Коротко: 10 ноября 2026 Microsoft закрыла 12 критических RCE в Excel и 4 в Word — все они срабатывают при обычном открытии вредоносного файла таблицы или документа, без макросов и без подтверждений пользователя. Причина — ошибки памяти (use-after-free, double-free, переполнение кучи и стека) при разборе формата файла. Эксплуатации в реальных атаках пока не выявлено, но обновить Office нужно немедленно — именно так выглядит самая частая точка входа вредоноса в компанию.
Содержание
Что произошло
10 ноября 2026 года Microsoft выпустила ноябрьский Patch Tuesday — по разным подсчётам, крупнейший на сегодня ежемесячный пакет обновлений (от 1093 до 1235 исправлений, расхождение из-за разной методики подсчёта одного CVE на нескольких платформах).
Внутри этого пакета отдельно выделяется блок из 12 критических уязвимостей в Excel и 4 — в Word, объединённых общим CWE-классом «повреждение памяти» (memory corruption): use-after-free, double-free, переполнение кучи (heap-based buffer overflow) и переполнение стека (stack-based buffer overflow).
В бюллетенях Microsoft (Microsoft Security Response Center) все эти записи помечены формулировкой «неаутентифицированный злоумышленник может выполнить код по сети» (unauthenticated attacker can execute code over the network) — то есть атакующему не нужны ни учётные данные жертвы, ни предварительный доступ к её сети. Единственное условие — заставить человека открыть присланный файл.
Как работает атака через файл
Схема во всех 16 уязвимостях похожа: злоумышленник собирает файл .xlsx/.xls (для Excel) или .docx/.doc (для Word) со специально повреждённой внутренней структурой — например, некорректным описанием объекта или ссылкой за пределы выделенной памяти. При разборе такого файла код Excel или Word обращается к уже освобождённой области памяти (use-after-free), освобождает один и тот же блок дважды (double-free) либо записывает данные за границы буфера (переполнение кучи или стека). Любой из этих сценариев может быть использован для перехвата управления и выполнения кода атакующего с правами открывшего файл пользователя.
Для большинства этих уязвимостей макросы не нужны — срабатывает сам факт открытия файла в уязвимой версии Office, в том числе через панель предпросмотра в некоторых сценариях. Расширение файла при этом остаётся «родным» (.xlsx, .docx) — переименованием в другой формат такую атаку не распознать.
Список уязвимостей
| Продукт | Примеры CVE | Тип ошибки памяти |
|---|---|---|
| Excel | CVE-2026-118701, CVE-2026-118702 | Heap overflow, double-free |
| Excel | CVE-2026-118711, CVE-2026-118713, CVE-2026-118730 | Stack overflow, use-after-free |
| Excel | CVE-2026-118292, CVE-2026-118296, CVE-2026-118297, CVE-2026-120786, CVE-2026-120788, CVE-2026-120789, CVE-2026-124170 | Memory corruption (разные подтипы) |
| Word | CVE-2026-110047, CVE-2026-110067, CVE-2026-111285, CVE-2026-124185 | Use-after-free, heap overflow |
Полные технические описания и индивидуальные CVSS-оценки каждой уязвимости — в официальном каталоге Microsoft Security Response Center (ссылка в разделе «Источники»). На момент публикации ни одна из перечисленных CVE не отмечена как активно эксплуатируемая.
Почему это важно именно для файлов
Документы Excel и Word остаются одним из самых массовых типов вложений в деловой переписке — счета, акты, прайс-листы, резюме, отчёты. Именно поэтому атаки через заражённый офисный файл стабильно входят в число самых частых путей проникновения вредоносного ПО в компанию: пользователь не ждёт угрозы от .xlsx с привычным названием, а антивирус не всегда успевает распознать свежую сигнатуру для 0-day-подобной уязвимости.
В этом же ноябрьском пакете Microsoft закрыла и отдельный zero-day в Outlook, который эксплуатировался до выхода патча, — подробный разбор того случая смотрите в материале CVE-2026-124194: zero-day в Outlook крадёт NTLM-хеш. Вместе эти два материала показывают: ноябрьский пакет затрагивает буквально весь путь файла от почтового клиента до его открытия в Excel или Word. Базовые принципы того, какие расширения файлов стоит считать потенциально опасными, — в нашей Карте опасных расширений файлов; а если нужно свериться, как вообще устроен формат .docx изнутри, — в материале Чем открыть DOCX.
Как защититься
Патч для всех перечисленных уязвимостей входит в обновления Microsoft 365 Apps, Office LTSC и автономных версий Office 2019/2021, выпущенные 10 ноября 2026 года.
- Обновите Office через встроенный апдейтер: в любом приложении Office откройте Файл → Учётная запись Office → Параметры обновления → Обновить сейчас.
- Через Центр обновления Windows: Параметры → Центр обновления Windows → Проверить наличие обновлений — для версий Office, которые ставятся через MSI.
- Проверьте версию сборки: дата последнего обновления в разделе «Учётная запись Office» должна быть не ранее 10 ноября 2026.
- В компании: приоритизируйте развёртывание через WSUS или Microsoft Endpoint Configuration Manager — особенно на станциях, куда регулярно приходят файлы от внешних контрагентов.
Не открывайте файлы Excel и Word, полученные от незнакомых отправителей или по неожиданной ссылке, даже если расширение выглядит обычным. При необходимости просмотра — сначала запросите файл в PDF или откройте его в режиме предпросмотра без полного рендеринга документа.