Zero-day CVE-2026-124194 в Outlook: файл сообщения обходил предупреждение и крал NTLM-хеш

Коротко: 10 ноября 2026 Microsoft закрыла CVE-2026-124194 — zero-day в Outlook (CVSS 6.5), который уже эксплуатировали до патча. Специально оформленный файл сообщения заставлял Outlook подключиться к серверу атакующего без обычного предупреждения о внешнем контенте и раскрывал NTLMv2-хеш учётной записи. CISA внесла уязвимость в каталог KEV со сроком устранения 24 ноября 2026 — обновите Outlook немедленно.

Что произошло

10 ноября 2026 года Microsoft выпустила ноябрьский Patch Tuesday, в котором среди рекордного по разным подсчётам пакета исправлений оказалась CVE-2026-124194 — уязвимость спуфинга (подмены) в Microsoft Outlook. В отличие от большинства CVE из этого пакета, её не просто закрыли «на всякий случай»: Microsoft подтвердила, что уязвимость уже активно эксплуатировалась злоумышленниками до выхода патча, то есть это классический zero-day.

CISA (Агентство кибербезопасности и защиты инфраструктуры США) 10 ноября 2026 внесла CVE-2026-124194 в каталог Known Exploited Vulnerabilities (KEV) — список уязвимостей с подтверждённой эксплуатацией в реальных атаках. Для федеральных ведомств США установлен срок устранения до 24 ноября 2026, но специалисты по безопасности советуют не привязывать патч к этой дате — закрывать уязвимость стоит в первые 72 часа после выхода обновления, на любом устройстве с установленным Outlook.

Microsoft оценила уязвимость как «Moderate» с CVSS 6.5 — ниже, чем у классических RCE-уязвимостей, потому что сама по себе она не позволяет выполнить произвольный код. Но именно умеренная оценка и реальная эксплуатация делают CVE-2026-124194 показательным примером: не каждая опасная атака начинается с CVSS 9+. Подробнее о том, как устроен ноябрьский пакет патчей в целом, — в разделе ниже.

Как работает атака

Схема эксплуатации не требует от атакующего никаких учётных данных или предварительного доступа к системе жертвы. Неавторизованный злоумышленник отправляет специально подготовленный файл сообщения и убеждает получателя открыть его в Outlook — это может быть обычное письмо или файл .msg, переданный любым способом.

При открытии такого файла Outlook подключается к сетевому ресурсу, контролируемому атакующим, — и делает это без привычного предупреждения о внешнем контенте, которое в норме должно насторожить пользователя перед загрузкой удалённых изображений или ссылок из непроверенного письма. Именно обход этого предупреждения и есть суть уязвимости класса «спуфинг»: жертва не получает сигнала о том, что происходит что-то нештатное.

Главное отличие CVE-2026-124194 от типичных RCE в Office-документах: здесь не нужно эксплуатировать переполнение буфера или добиваться выполнения шелл-кода. Достаточно того, что Outlook доверяет файлу сообщения больше, чем следует, и сам инициирует сетевое соединение — остальное делает протокол NTLM.

Масштаб ноябрьского патча

CVE-2026-124194 вышла не изолированно, а в составе крупнейшего на данный момент ежемесячного пакета обновлений Microsoft — по разным источникам, в ноябре 2026 закрыто от 1093 до 1235 уязвимостей (расхождение объясняется разной методикой подсчёта повторяющихся записей для разных платформ одного и того же CVE). Среди них — около 64–66 уязвимостей с критическим рейтингом, значительная часть которых относится к удалённому выполнению кода.

В этом же пакете Microsoft закрыла три критические уязвимости удалённого выполнения кода в самом Outlook — CVE-2026-111309, CVE-2026-110068 и CVE-2026-110043, — ни одна из них на момент выхода патча не отмечена как активно эксплуатируемая, но устанавливать обновление стоит для всех уязвимостей сразу, а не выбирать «только критичные».

Что это значит для работы с почтой и файлами

Электронная почта остаётся главным каналом, через который в компании попадают файлы — вложения, ссылки на документы, пересланные письма. CVE-2026-124194 показывает, что опасность не всегда связана с явным исполняемым вложением: иногда достаточно того, что почтовый клиент слишком доверчиво обрабатывает сам формат письма или файла сообщения.

Для обычного пользователя практический риск — это компрометация учётной записи Windows через утечку NTLM-хеша, а не немедленный запуск вредоносного кода. Но в корпоративной среде, где NTLM-аутентификация часто используется для доступа к внутренним ресурсам, украденный хеш может стать первым шагом к горизонтальному перемещению злоумышленника по сети.

О том, какие расширения файлов несут наибольший риск во вложениях и как их распознать, — в нашем справочнике Карта опасных расширений файлов. Похожий случай RCE-уязвимости в Outlook через вредоносный Office-файл во вложении мы разбирали в материале CVE-2026-70329 закрывает дыру в Microsoft Outlook.

Как защититься

Патч для CVE-2026-124194 вошёл в ноябрьский Patch Tuesday от 10 ноября 2026 года и распространяется через обновления Microsoft 365 Apps и Office LTSC.

1. Обновите Outlook через Центр обновления Windows: Параметры → Центр обновления Windows → Проверить наличие обновлений → Загрузить и установить.
2. Для Click-to-Run-версий (Microsoft 365, Office LTSC): В Outlook откройте Файл → Учётная запись Office → Параметры обновления → Обновить сейчас.
3. Проверьте дату последнего патча: в разделе Файл → Учётная запись Office дата обновления должна быть не ранее 10 ноября 2026.
4. В корпоративной среде: приоритизируйте развёртывание через WSUS или Microsoft Endpoint Configuration Manager — не ждите планового окна обновлений, учитывая подтверждённую эксплуатацию.

Источники

• BleepingComputer: Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
• Tenable: November 2026 Microsoft Patch Tuesday Addresses 1093 CVEs (CVE-2026-124194)
• SecurityOnline: Microsoft Outlook Zero-Day CVE-2026-124194 Exploited in the Wild Before November Patch
• CyberInsider: Microsoft's November updates fix 1094 flaws, Outlook zero-day