Osegi
Безопасность·1 мин чтения

Уязвимость Outlook CVE-2026-124194 использовали до выхода патча

Microsoft закрыла баг в Outlook: программа подключалась к серверу атакующего без привычного предупреждения, и данные для входа в Windows могли утечь. Его уже эксплуатировали.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen.
Фото: ギズモード・ジャパン
SUMODialoediviewergiftdetect

Вы открываете файл в Outlook, никаких предупреждений нет, а компьютер тем временем тихо подключается к чужому серверу. Именно так работала уязвимость Outlook CVE-2026-124194. Microsoft закрыла её 10 ноября (по времени США) в ноябрьском пакете обновлений безопасности. Причём эксплуатировать брешь начали ещё до выхода исправления.

По данным японской организации JPCERT/CC, достаточно открыть в Outlook специально созданный файл сообщения. Обычно программа показывает предупреждение, но здесь его не было. Outlook соединялся с сервером, который контролирует атакующий, и мог раскрыть данные, используемые для сетевой аутентификации Windows. Получив их, злоумышленник в ряде случаев может пройти проверку под видом жертвы.

Это то же самое, что поддельный адрес отправителя?

Нет. Это не классическая подделка адреса в письмах. Всё происходит на компьютере получателя.

Уязвима классическая версия Outlook для Windows без исправления. Речь о Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024.

Как защититься от уязвимости Outlook

Нужно установить свежие обновления безопасности для Office, включая Outlook. Проверьте Windows Update или Microsoft Update. В классическом Outlook иногда можно обновиться вручную: «Файл» → «Учётная запись Office» → «Параметры обновления» → «Обновить». Японское агентство IPA предупреждает, что ущерб может вырасти, и просит поставить обновление как можно скорее. Если обновлениями управляет компания, действуйте по указаниям ИТ-отдела.

Волна патчей растёт

Ноябрьское обновление закрыло 1093 уязвимости по номерам CVE, 63 из них имели высший уровень «критическая». Для сравнения: в ноябре 2021 года было 55, а по подсчётам компании Tenable за весь 2025 год набралось 1130.

Британский NCSC в мае 2026 года заявил, что ИИ ускоряет поиск уязвимостей, и призвал готовиться к «волне патчей». Время от публикации уязвимости до её эксплуатации уже сократилось до нескольких дней и почти наверняка станет ещё короче. Защитнику нужно закрыть все дыры, атакующему хватит одной.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:outlookmicrosoftcve-2026-124194vulnerabilitywindowssecurity update

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →