مایکروسافت در آخرین به‌روزرسانی‌های امنیتی خود، رکورد جدیدی را با رفع بیش از ۱۲۰۰ آسیب‌پذیری در محصولات مختلف ثبت کرد. در Patch Tuesday ماه نوامبر، در مجموع ۱۲۳۵ نقص امنیتی برطرف شده است که یکی از آن‌ها یک آسیب‌پذیری زیرو دِی (Zero-Day) است که در حال حاضر به‌صورت فعال در محیط‌های عملیاتی مورد سوءاستفاده قرار می‌گیرد.
جزئیات آسیب‌پذیری زیرو دِی در Outlook
آسیب‌پذیری CVE-2026-124194 یک نقص از نوع Spoofing در نرم‌افزار Microsoft Outlook است که برای سرقت هش‌های حساب NTLM مورد استفاده قرار می‌گیرد. در این حمله، عامل تهدید یک فایل پیام specially crafted را ارسال کرده و کاربر را ترغیب به باز کردن آن می‌کند. پس از باز شدن فایل، Outlook بدون نمایش هشدار معمول درباره محتوای خارجی، به یک مکان شبکه تحت کنترل مهاجم متصل می‌شود.
این اتصال خاموش منجر به نشت هش NTLMv2 کاربر می‌شود؛ نسخه‌ای رمزنگاری‌شده از اطلاعات ورود که مهاجم می‌تواند از آن برای جعل هویت و ورود به سیستم به جای کاربر هدف استفاده کند. این نقص امنیتی نسخه‌های Microsoft 365 Apps for Enterprise و Office LTSC 2021 و 2024 را تحت تأثیر قرار داده است.
اولویت‌بندی برای مدیران سیستم
اگرچه این زیرو دِی در سطح «متوسط» (Moderate) رتبه‌بندی شده است، اما با توجه به اینکه به‌صورت فعال مورد اکسپلویت (Exploit) قرار گرفته و تنها به یک کلیک روی فایل ایمیل نیاز دارد، اولویت بالایی برای رفع آن وجود دارد. سرقت هش‌های NTLM می‌تواند دسترسی‌های گسترده‌ای را فراتر از صندوق ورودی ایمیل فراهم کند. توصیه می‌شود به‌روزرسانی‌های Office به‌سرعت برای تمامی کاربران، به‌ویژه مدیران سیستم و حساب‌های با دسترسی بالا (High-value accounts)، اعمال شود.
تحلیل آماری آسیب‌پذیری‌های رفع شده
بیشترین تعداد CVEهای رفع شده در این ماه مربوط به ارتقای سطح دسترسی (Elevation of Privilege یا EoP) با ۵۳۶ مورد است. پس از آن، اجرای کد از راه دور (Remote Code Execution یا RCE) با ۲۹۶ مورد و افشای اطلاعات (Information Disclosure) با ۱۵۷ مورد قرار دارند. در مجموع، ۶۶ آسیب‌پذیری در سطح «بحرانی» (Critical) ارزیابی شده‌اند که اکثر آن‌ها از نوع RCE هستند.
به‌روزرسانی‌های رکوردشکن SAP
همزمان با مایکروسافت، شرکت SAP نیز بزرگ‌ترین Patch Day تاریخ خود را تجربه کرد و ۴۳ آسیب‌پذیری را برطرف نمود. این به‌روزرسانی‌ها شامل ۱۲ مورد با اولویت Hot News (بالاترین سطح اولویت در SAP) و ۱۳ مورد High Priority بود. طبق تحلیل‌ها، حجم این وصله‌ها دو برابر میانگین سال ۲۰۲۶ بوده و چهار مورد از آن‌ها دارای نمره CVSS حداکثری ۱۰.۰ بودند.
