Patch Tuesday של נובמבר: Microsoft סוגרת פרצה מנוצלת ב-Outlook שגונבת פרטי הזדהות
Microsoft פרסמה תיקונים לאלף חולשות ומעלה. אחת מהן, ב-Outlook, כבר מנוצלת: פתיחה של הודעה שמורה אחת עלולה למסור לתוקף את פרטי ההזדהות של העובד.
TL;DR בקצרה
- חולשה CVE-2026-124194 ב-Outlook כבר מנוצלת בתקיפות, ו-CISA הוסיפה אותה לרשימת החולשות המנוצלות
- פתיחה של הודעה שמורה זדונית גורמת ל-Outlook להתחבר לשרת של התוקף ולמסור לו גיבוב NTLMv2
- החבילה כוללת מעל אלף חולשות, בהן 726 ב-Windows ו-174 ב-Office
- זה העדכון האחרון למהדורות Enterprise ו-Education של Windows 11 23H2
Microsoft פרסמה ב-10 בנובמבר את חבילת Patch Tuesday החודשית, והפעם היא גדולה במיוחד. בין החולשות שתוקנו יש פרצה ב-Outlook שתוקפים כבר מנצלים. היא מאפשרת לגנוב פרטי הזדהות של עובדים. שם החולשה הוא CVE-2026-124194, ו-Microsoft מדרגת אותה כבינונית בלבד. מומחי אבטחה ממליצים לא להשתהות בגלל הדירוג.
איך הודעה אחת ב-Outlook מוסרת את פרטי ההזדהות
התקיפה מתחילה בהודעת דואר שמורה, שהתוקף שולח למשל בתור צרופה. התוקף צריך לשכנע את העובד לפתוח את הקובץ הזה ב-Outlook. ברגע הפתיחה, Outlook מתחבר לשרת שבשליטת התוקף. האזהרה הרגילה על חיבור לגורם חיצוני לא קופצת.
בחיבור הזה המחשב מוסר לתוקף גיבוב NTLMv2. הגיבוב הוא ייצוג מקודד של פרטי ההתחברות של המשתמש ב-Windows. לדברי Microsoft, התוקף יכול להשתמש בגיבוב כדי להזדהות בשם העובד. לפי SecurityWeek, חלונית התצוגה המקדימה לא מפעילה את החולשה. העובד צריך לפתוח את ההודעה בפועל.
החולשה פוגעת ב-Microsoft 365 Apps for Enterprise וב-Office LTSC 2021 ו-2024. Microsoft לא מסרה מי מנצל אותה ונגד מי. סוכנות הסייבר האמריקאית CISA הוסיפה אותה לרשימת החולשות המנוצלות שלה. סוכנויות פדרליות בארה״ב חייבות להתקין את התיקון עד 24 בנובמבר.
פרט מעניין: Microsoft מייחסת את הגילוי לחוקר בכינוי nono ולחוקר Benoît Sevens. בתודה לחוקר השני Microsoft מציינת שהוא נעזר במודל Claude של Anthropic.
מה עוד יש ב-Patch Tuesday של נובמבר
הספירה משתנה בין המקורות, כי חלקם כוללים גם חולשות של ספקים אחרים. SecurityWeek מונה 1,094 חולשות במוצרי Microsoft. The Hacker News מגיע ל-1,259, יחד עם 165 מזהי CVE של צד שלישי. זה החודש השני ברציפות שבו Patch Tuesday מגיע לאלף חולשות ומעלה.
ב-Windows לבד תוקנו 726 חולשות, וב-Office עוד 174. ברשימה יש גם חולשות להרצת קוד מרחוק ב-Windows Search, ב-LDAP וב-Schannel. Schannel הוא הרכיב שמטפל בהצפנת החיבורים ב-Windows. תיקונים בדירוג קריטי הגיעו ל-Windows 10 ו-11, לשרתי Windows 2016 עד 2025, ל-Exchange ול-Edge.
עוד פרט חשוב לעסקים: Patch Tuesday הזה הוא האחרון למהדורות Enterprise ו-Education של Windows 11 בגרסה 23H2. מחשבים שנשארים בגרסה הזו לא יקבלו מעכשיו תיקונים חודשיים.
למה החולשה ב-Outlook היא הדבר הראשון לעדכן ב-Patch Tuesday הזה
דירוג CVSS של 6.5 עלול להטעות. אבל הדירוג מודד את החולשה עצמה, ולא את מה שתוקף עושה אחריה. מי שמחזיק גיבוב של עובד יכול לנסות להתחבר בשמו למערכות פנימיות. הוא יכול גם לנסות לפצח את הגיבוב ולחשוף את הסיסמה עצמה.
הדואר הוא גם דרך הכניסה הנפוצה לעסקים קטנים בישראל. עובד שמקבל "הזמנת עבודה" או "חשבונית" בצרופה ייטה לפתוח אותה. לכן חולשה שדורשת קליק אחד ומנוצלת כבר עכשיו צריכה לעמוד בראש התור. את שאר החולשות מתקינים אחריה.
חשוב לזכור גם את הצד השני. רוב העסקים לא מריצים את כל הרכיבים שתוקנו החודש. אחרי Outlook, תעדפו את מה שחשוף לאינטרנט, כמו שרתי Exchange ו-SharePoint. רק אחר כך עברו לשאר.
מה זה אומר עבורכם
- עדכנו את Office ו-Microsoft 365 בכל המחשבים בעסק עכשיו. ב-Outlook בדקו תחת File ואז Office Account שהעדכונים הותקנו.
- התקינו את עדכון Windows של נובמבר והפעילו מחדש את המחשבים. אם יש לכם שרתי Exchange או SharePoint מקומיים, עדכנו גם אותם.
- הזהירו את העובדים מפני הודעות דואר שמגיעות בצרופה. היזהרו במיוחד מסיומות .msg או .eml מגורם לא מוכר.
- מי שמנהל רשת: שקלו לחסום יציאה של תעבורת SMB לאינטרנט. בדקו גם אם אפשר לצמצם את השימוש ב-NTLM.
- העבירו מחשבים עם Windows 11 23H2 במהדורת Enterprise או Education לגרסה חדשה. אחרת הם יישארו בלי תיקוני אבטחה.
מה הלאה
Microsoft לא פרסמה פרטים על התקיפות עצמן. אם יתפרסמו ממצאים על הקבוצה שמאחוריהן, או על ניצול של חולשות נוספות מהחבילה, נעדכן.
מקורות והרחבה
- Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug That May Expose NTLMv2 HashesThe Hacker News
- Exploited Outlook Zero-Day Among 1,094 Flaws Patched by MicrosoftSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
