Используете Outlook? Обновите Office сейчас: уязвимость уже используется в атаках (ноябрьское обновление безопасности)

В регулярном обновлении безопасности от 10 ноября Microsoft устранила уязвимость Outlook, которая уже используется в реальных атаках. Это исправление не устанавливается только через Центр обновления Windows — Office нужно обновлять отдельно. Если вы пользуетесь Outlook, проверьте себя по инструкции ниже.

В чём заключается уязвимость?

• Она зарегистрирована как CVE-2026-124194. Когда вы открываете письмо или файл Office, отправленный злоумышленником, Outlook подключается к серверу злоумышленника без обычного предупреждения о «внешнем содержимом».
• В результате злоумышленнику передаётся учётная информация для входа в Windows (хеш NTLMv2), которую он может попытаться расшифровать или использовать в других атаках.
• Оценка критичности — 6,5 (средняя), но эксперты по безопасности советуют «не обольщаться низким баллом» и обновиться как можно скорее, поскольку уязвимость уже эксплуатируется.
• Среди затронутых продуктов — Приложения Microsoft 365 и поддерживаемые версии Office, например Office LTSC 2021 и 2024.

Как обновиться

• Откройте Outlook (или Word, или Excel).
• Перейдите в Файл → Учётная запись Office (в Word и Excel — Учётная запись) → Параметры обновления → Обновить сейчас.
• Если пункт «Параметры обновления» не отображается, сначала нажмите Включить обновления и повторите попытку.
• На рабочих компьютерах обновлениями могут управлять централизованно. Если вы не можете обновиться самостоятельно, обратитесь в свою ИТ-службу.

Обновите и Windows

• В этом месяце исправлено более 1000 уязвимостей, около 60 из них признаны критическими, включая уязвимости в поиске Windows, LDAP и сетевом стеке Xbox, эксплуатируемые удалённо.
• Откройте Параметры → Центр обновления Windows → Проверить наличие обновлений, установите их и перезагрузите компьютер.

Пока вы не обновились

• Не открывайте вложения и письма от незнакомых людей.
• Будьте особенно внимательны с внезапными письмами про «счёт», «доставку» или «подтверждение учётной записи», даже если имя отправителя кажется знакомым.

Источники: CSO Online – ноябрьский Patch Tuesday 2026 · Malwarebytes – Microsoft Patch Tuesday: исправлена уязвимость Outlook, уже используемая в атаках