Ing. Calogero Bono
Microsoft ha pubblicato il Patch Tuesday di novembre 2026 con un numero record di correzioni. Il conteggio cambia da fonte a fonte, 1.094 secondo The Register e 1.235 secondo BleepingComputer. Una sola falla, in Outlook, era già sfruttata dagli attaccanti prima della patch. Conta perché basta far aprire un file a un utente per rubargli le credenziali di rete, e perché il volume dei bollettini ormai mette sotto pressione chi gestisce i sistemi.
Несколько терминов, прежде чем перейти к фактам. Zero-day è una falla senza correzione ufficiale al momento in cui viene scoperta o sfruttata. NTLMv2 hash è l'impronta della password che Windows usa per autenticarsi in rete, e se viene rubata può servire a farsi passare per l'utente. CVSS è il punteggio di gravità da 0 a 10. RCE significa esecuzione di codice da remoto. Zero-click indica una falla sfruttabile senza che la vittima faccia nulla.
Что делает zero-day в Outlook?
Эта уязвимость — спуфинг в Outlook, обозначенный как CVE-2026-124194, с оценкой CVSS 6.5 из 10. По данным The Register, Microsoft отметила её как эксплуатируемую, но не сообщила, с какого времени, кем и с какими целями.
Microsoft предупреждает, что неаутентифицированный злоумышленник может отправить файл сообщения и убедить пользователя его открыть. Outlook в таком случае подключается к сетевому ресурсу под контролем атакующего без обычного предупреждения о внешнем содержимом.
Почему риск выше, чем подсказывает название?
Дастин Чайлдс из Zero Day Initiative компании TrendAI предупреждает, что название вводит в заблуждение. По его словам, «метка говорит о спуфинге, но влияние больше, чем подсказывает название».
BleepingComputer объясняет механизм. Windows может попытаться аутентифицироваться на удалённом сервере и раскрыть хеш NTLMv2, который злоумышленник способен перехватить и затем попытаться расшифровать офлайн. Полученные учётные данные позволили бы войти в корпоративные аккаунты. Похожие уязвимости уже использовались в прошлом в фишинговых вложениях.
Сколько уязвимостей исправила Microsoft и почему цифры не сходятся?
The Register сообщает о 1.094 исправлениях, а в октябре их было 1.474. BleepingComputer насчитывает 1.235 уязвимостей, после 1.411 в октябре, и поясняет, что учитывает только те, что выпущены в день Patch Tuesday, исключая 108 исправленных ранее. Критерии подсчёта различаются.
По данным BleepingComputer, 66 уязвимостей критические, 48 — удалённое выполнение кода. Издание связывает рекордные показатели с использованием Microsoft ИИ для поиска и исправления уязвимостей. По близкой теме см. также GPT-6 Cyber от OpenAI и 81 уязвимость в Firefox 159.
Какие zero-click уязвимости исправлять в первую очередь?
Две критические уязвимости имеют CVSS 9.8. CVE-2026-116928 — это запись за пределами границ буфера в компоненте поиска Windows. По словам Microsoft, Exchange обрабатывает вложение для индексации, поэтому получателю ничего открывать не нужно.
CVE-2026-119958 касается реализации LDAP в Windows и может затронуть контроллеры домена специально созданными запросами. Чайлдс также насчитывает 30 уязвимостей с риском «wormable», то есть без аутентификации и взаимодействия пользователя. Он отмечает и CVE-2026-112967, переполнение кучи в службе Xbox Live Networking, которая тоже оценивается в 9.8.
Ограничения, которые стоит знать
Non sappiamo quando sono iniziati gli attacchi su Outlook, chi li conduce e cosa fa dopo l'accesso. Microsoft non l'ha detto, secondo The Register. I totali delle falle divergono tra le fonti e non possiamo stabilire quale sia il riferimento. Il documento di Microsoft Learn descrive come Defender gestisce gli zero-day in generale e non commenta questo bollettino. Altri dettagli potrebbero arrivare nei prossimi giorni.
Что это меняет для тех, кто работает с цифровыми системами
Se usi Outlook, installa subito l'aggiornamento e ricorda agli utenti di non aprire file di messaggio inattesi. Con la patch pubblica, The Register nota che altri attaccanti possono analizzarla per costruire i propri exploit. Dai priorità a Exchange e ai domain controller, come indica Childs, e isola i servizi di rete esposti come DNS e DHCP. Secondo Microsoft Learn, quando esce la patch la raccomandazione in Defender passa a Update e il tag zero-day sparisce. Se gestisci server per clienti, un hosting con aggiornamenti di sicurezza gestiti toglie parte di questo lavoro.
Наше мнение
I numeri di novembre dicono che il vecchio metodo, leggere il bollettino e correggere tutto, non regge più. Con oltre mille falle al mese serve decidere prima cosa conta davvero. Lo zero-day di Outlook ha un punteggio medio ma un impatto concreto, perché porta a credenziali rubate. Il punteggio CVSS da solo è una guida debole. Va incrociato con lo stato di sfruttamento e con l'esposizione dei sistemi. Colpisce anche che Microsoft resti avara di dettagli sugli attacchi.
Часто задаваемые вопросы
Quanti zero-day corregge Microsoft a novembre 2026?
Uno solo, in Outlook, con identificativo CVE-2026-124194. Era sfruttato in attacchi prima della patch. Secondo The Register nessuna delle altre falle è indicata come pubblicamente nota.
Cosa rischia chi apre il file malevolo?
Può perdere l'hash NTLMv2 dell'account. L'attaccante può usarlo per farsi passare per l'utente, dopo averlo decifrato offline secondo BleepingComputer. Serve connessione di rete e interazione dell'utente.
Perché le fonti indicano numeri diversi di falle?
Usano criteri diversi. The Register riporta 1.094 correzioni, BleepingComputer 1.235. Quest'ultima testata dichiara di contare solo le falle rilasciate nel giorno del Patch Tuesday.
Cosa significa zero-click?
Che la falla si sfrutta senza che l'utente apra o clicchi nulla. Nel caso di CVE-2026-116928, Exchange elabora da solo l'allegato per indicizzarlo. Per questo Childs consiglia di correggere prima Exchange.
Come segnala Defender gli zero-day?
Con un tag Zero day nelle pagine di vulnerabilità, software e raccomandazioni. Quando arriva la patch, la raccomandazione diventa Update e il tag viene rimosso. Defender mostra solo gli zero-day di cui ha informazioni.
Cosa osservare nelle prossime settimane dopo il Patch Tuesday
I dettagli sugli attacchi a Outlook devono ancora arrivare. Intanto conviene preparare un metodo di priorità che regga anche al prossimo bollettino.
- Segui le segnalazioni su chi sfrutta CVE-2026-124194 e su come, e adatta le difese di posta.
- Controlla se Exchange e i domain controller risultano davvero aggiornati, non solo programmati.
- Prepara una regola scritta di priorità per i prossimi bollettini, basata su sfruttamento ed esposizione.
