مایکروسافت در به‌روزرسانی‌های امنیتی ماه نوامبر ۲۰۲۶ (Patch Tuesday)، به رفع ۱,۰۹۳ آسیب‌پذیری جدید در محصولات خود از جمله Windows، Office، SQL Server، SharePoint، Exchange Server، سرویس‌های Azure و ابزارهای توسعه پرداخت.
این انتشار شامل ۶۳ آسیب‌پذیری بحرانی (Critical)، ۱,۰۲۹ مورد مهم (Important) و یک مورد متوسط (Moderate) است. نکته حائز اهمیت، وجود یک آسیب‌پذیری زیرو دِی (Zero-Day) در Outlook است که در حال حاضر مورد سوءاستفاده فعال قرار دارد و اطلاعات احراز هویت کاربران را به خطر می‌اندازد.
جزئیات آسیب‌پذیری زیرو دِی در Outlook
آسیب‌پذیری CVE-2026-124194 یک نقص در بخش Spoofing است که با امتیاز CVSS معادل ۶.۵ رتبه‌بندی شده است. این نقص به دلیل عدم هشدار مناسب نرم‌افزار به کاربر در مواجهه با اقدامات ناامن (CWE-356) رخ می‌دهد. در این سناریو، یک مهاجم بدون نیاز به احراز هویت می‌تواند یک فایل پیام دست‌کاری شده ارسال کند. با باز کردن فایل توسط کاربر، Outlook بدون نمایش هشدار محتوای خارجی، به یک مکان شبکه تحت کنترل مهاجم متصل می‌شود. این اتصال می‌تواند منجر به نشت هش NTLMv2 کاربر و امکان جعل هویت (Impersonation) شود.
این حمله نیازمند تعامل کاربر و اتصال به شبکه است، اما توجه داشته باشید که Preview Pane یک بردار حمله (Attack Vector) محسوب نمی‌شود. محصولات آسیب‌پذیر شامل نسخه‌های ۳۲ و ۶۴ بیتی Office LTSC 2021، Office LTSC 2024 و Microsoft 365 Apps for Enterprise هستند.
بررسی آسیب‌پذیری‌های بحرانی و RCE
از میان ۶۳ آسیب‌پذیری بحرانی شناسایی شده، ۴۸ مورد اجازه اجرای کد از راه دور (RCE) و ۱۵ مورد امکان ارتقای سطح دسترسی (Privilege Escalation) را فراهم می‌کنند. آسیب‌پذیری‌های مهمی در محصولات زیر شناسایی شده‌اند:
- Hyper-V: هشت مورد آسیب‌پذیری بحرانی برای ارتقای سطح دسترسی.
- Message Queuing: پنج مورد اصلاحیه بحرانی برای RCE.
- Microsoft Defender: یک مورد RCE بحرانی (CVE-2026-122194).
- سایر سرویس‌ها: اصلاحیه‌های بحرانی برای SMB Server، TCP/IP، Exchange Server، LDAP، Schannel، CredSSP، IIS، Print Spooler و Active Directory.
مدیران سیستم باید اولویت اصلی خود را بر رفع آسیب‌پذیری Outlook قرار داده و سپس سایر سیستم‌های تحت تأثیر را بر اساس راهنمای به‌روزرسانی امنیتی مایکروسافت بررسی و وصله کنند.
