Microsoft закрила понад 1 200 вразливостей: нульовий день в Outlook краде NTLMv2-хеші

Microsoft випустила листопадовий Patch Tuesday — щомісячний пакет безпекових оновлень, який цього разу закриває рекордні понад 1 200 вразливостей у Windows, Office, SharePoint та інших продуктах. Головна новина — активно експлуатований нульовий день у Microsoft Outlook, який дозволяє зловмиснику викрасти NTLMv2-хеш облікового запису користувача, а потім видати себе за нього в корпоративній мережі.

Вразливість отримала ідентифікатор CVE-2026-124194 і оцінку CVSS 6.5 («помірна»). Microsoft офіційно підтвердила, що баг уже експлуатують у реальних атаках — тобто патч закриває дірку, якою зловмисники користувалися ще до появи виправлення. Попри «помірний» статус, експерти називають цю вразливість однією з найнебезпечніших цього місяця: пошта — найпростіші «двері» в будь-яку компанію, а Outlook стоїть майже в кожній організації.

Цей тип атаки — крадіжка NTLM-хешів через шкідливі вкладення — не новий. Схожі вразливості роками експлуатували у фішингових кампаніях, і Microsoft неодноразово закривала аналогічні дірки. Показово, що серед жертв таких атак були й українські установи: ще кілька років тому Microsoft повідомляла про Windows-нульовий день, який використовували саме проти організацій в Україні. Саме тому поява чергового такого бага — привід не для ігнорування, а для негайного оновлення.

У цій статті розбираємо, як саме працює атака, чому викрадений NTLMv2-хеш — це серйозно, що ще закрила Microsoft і як захистити власні системи.

Нульовий день в Outlook: як крадуть NTLMv2-хеш

Технічно CVE-2026-124194 — це спубінг-вразливість, пов'язана з тим, що інтерфейс Outlook не попереджає користувача про потенційно небезпечну дію. За формулюванням Microsoft, «Product UI does not warn users of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network».

Сценарій атаки простий і не потребує жодних попередніх прав у мережі жертви:

1. Зловмисник готує спеціально сформований файл повідомлення (.msg) і надсилає його жертві — через електронну пошту чи інший канал.
2. Користувач відкриває файл в Outlook.
3. Замість звичного попередження про зовнішній контент Outlook мовчки звертається до мережевого ресурсу, який контролює атакер (зазвичай це SMB-сервер).
4. Windows автоматично намагається автентифікуватися на цьому сервері, передаючи NTLMv2-хеш облікового запису користувача.
5. Атакер перехоплює хеш і використовує його для імперсонації — тобто автентифікації від імені жертви.

Важлива деталь: атака не спрацьовує через панель попереднього перегляду (Preview Pane). Жертва має сама відкрити файл, а для успіху потрібні мережева доступність і взаємодія користувача. Це робить атаку схожою на класичний фішинг, але з суттєвою відмінністю — користувач не бачить жодного попередження і не розуміє, що відбувається щось небезпечне.

Вразливість виявили та повідомили дослідник під псевдонімом Nono і Бенуа Севенс (Benoît Sevens) з Anthropic, який використовував мовну модель Claude. Це ще одне нагадування, що LLM стають повноцінним інструментом і в дослідженні вразливостей.

Чому NTLMv2-хеш — цінна здобич

NTLMv2 — це механізм автентифікації Windows, який і досі широко використовується в корпоративних мережах. Викрадений хеш сам по собі не є паролем у відкритому вигляді, але відкриває два потужні напрями атаки:

• Офлайн-підбір (cracking). Хеш можна спробувати «розшифрувати» офлайн за допомогою словників чи перебору. Якщо пароль слабкий, його відновлять за хвилини чи години.
• Relay-атаки. Хеш можна не розшифровувати, а одразу «переслати» (relay) іншому сервісу, який приймає NTLM-автентифікацію. Так зловмисник входить від імені жертви, навіть не знаючи пароля.

Чому Outlook взагалі «віддає» хеш? Річ у тому, що поштовий клієнт вміє відображати зовнішній контент і звертатися до мережевих ресурсів, на які вказує повідомлення. У нормі перед такою дією Outlook показує попередження про зовнішній контент. Спеціально сформований файл обходить це попередження, тож користувач не бачить жодного сигналу небезпеки — а Windows тим часом уже відправила свій хеш на сервер зловмисника.

Це близький родич відомої техніки pass-the-hash: замість пароля зловмисник оперує самим хешем. Різниця в тому, що relay працює «на льоту», перенаправляючи автентифікацію між машинами, тоді як pass-the-hash використовує вже викрадений хеш для безпосереднього входу. Обидва сценарії мають спільний наслідок — зловмисник діє під легітимним обліковим записом жертви, а системи журналювання бачать звичайну автентифікацію.

Як пояснив Джек Байсер (Jack Bicer), директор з дослідження вразливостей компанії Action1: «Пошта — найпростіші двері в будь-яку компанію, і ця вразливість перетворює один відкритий файл на вкрадену ідентичність. Викрадений хеш дозволяє атакеру увійти як жертва, прочитати її дані та рухатися далі до інших систем, до яких у неї є доступ».

Саме тому експерти радять ставитися до CVE-2026-124194 серйозно попри «помірну» оцінку CVSS: важливий не сам бал, а те, що вразливість уже в руках зловмисників і б'є по найпоширенішому поштовому клієнту в бізнесі.

Що ще закрили цього місяця

Окрім нульового дня, листопадовий пакет містить десятки критичних виправлень. За даними CrowdStrike, серед 1 252 CVE — 68 критичних; BleepingComputer нарахував 66 критичних, із яких 48 — це віддалене виконання коду (RCE).

Найтривожніші категорії:

• Вісім критичних RCE в Office-застосунках (Outlook і Word). Серед них CVE-2026-110043 і CVE-2026-110068 в Outlook: достатньо лише виділити шкідливе повідомлення в панелі читання або переглянути вкладення у File Explorer, щоб спрацювало виконання коду — без жодного кліку чи макросів. Це той самий патерн «експлуатації через панель попереднього перегляду», який зловмисники активно використовують уже третій місяць поспіль.
• Критичний RCE у протоколі LDAP (CVE-2026-119958) та в Active Directory Domain Services (CVE-2026-118146, CVE-2026-118148). Це компоненти, на яких тримається доменна автентифікація, тож їхня компрометація може перерости в компрометацію всього домену.
• Вісім вразливостей підвищення привілеїв у Windows Hyper-V. Hyper-V лежить в основі Azure і таких функцій, як Windows Sandbox і Credential Guard, тому зона ураження ширша, ніж здається на перший погляд.

За технікою експлуатації майже половина патчів цього місяця припадає на підвищення привілеїв — 533 виправлення (43 %), далі йдуть віддалене виконання коду — 296 (24 %) та розкриття інформації — 156 (12 %). За продуктами найбільше оновлень отримали Windows (745), Extended Security Updates (658) та Microsoft Office (201).

Цей розподіл добре ілюструє, куди змістилася увага зловмисників: ідентичність (LDAP, AD DS) і пошта (Office/Outlook) — два найцінніші активи для початкового доступу та горизонтального переміщення в мережі. Окремо варто відзначити, що Microsoft продовжує використовувати штучний інтелект для пошуку та виправлення вразливостей — частково цим пояснюють різке зростання обсягу щомісячних патчів.

Рекордні обсяги: чому цифри такі великі

Листопадовий Patch Tuesday — другий місяць поспіль, коли Microsoft закриває понад 1 000 вразливостей. У жовтні було рекордні 1 411 виправлень за підрахунком BleepingComputer. Такі цифри легко витлумачити як «Microsoft стає менш безпечною», але насправді вони радше свідчать про інше: компанія систематично й автоматизовано шукає вразливості, зокрема за допомогою ШІ, і закриває їх швидше, ніж раніше.

Варто розуміти різницю в підрахунках. Одні видання рахують лише CVE, випущені саме в день Patch Tuesday (тому називають ~1 093–1 094 CVE), інші додають усі виправлення за місяць, включно з оновленнями Edge, Mariner та інших компонентів, що виходили раніше. Звідси розбіжність цифр — 1 235, 1 252 чи 1 259 залежно від методології.

Для практичного захисту конкретні числа менш важливі, ніж пріоритезація: серед сотень виправлень критично встановити оновлення для Outlook (нульовий день) і для компонентів ідентичності (LDAP / AD DS) у першу чергу.

Як захиститися: практичний чекліст

1. Встановіть листопадові оновлення негайно, особливо на поштових серверах і робочих станціях з Outlook. Пріоритет — CVE-2026-124194, а також критичні RCE в Office, LDAP та AD DS.
2. Заблокуйте вихідний SMB (TCP 445) на міжмережевому екрані. Саме через вихідні SMB-з'єднання Windows «видає» NTLM-хеші зовнішньому серверу атакера. Заборона порту 445 в інтернет нівелює цей вектор повністю.
3. Обмежте NTLM на користь Kerberos. Налаштуйте групові політики «Network security: Restrict NTLM» і підвищте рівень LmCompatibilityLevel. Там, де можливо, повністю вимкніть NTLM.
4. Увімкніть Extended Protection for Authentication (EPA) на критичних сервісах — це суттєво ускладнює relay-атаки.
5. Увімкніть MFA всюди, де можливо. Навіть викрадений хеш чи пароль стає значно менш корисним, якщо для входу потрібен другий фактор.
6. Моніторте аномальну NTLM-активність: незвичні вихідні підключення та події 4624 і 4776 у журналах. Спалах NTLM-автентифікацій — часто перша ознака атаки.
7. Навчіть користувачів не відкривати несподівані вкладення, особливо .msg-файли від невідомих відправників, навіть якщо вони виглядають легітимно.

Якщо встановити патчі одразу неможливо, застосуйте тимчасові компенсуючі заходи: блокування вихідного SMB на брандмауері (пункт 2) і обмеження NTLM (пункт 3) працюють незалежно від версії Outlook і здатні заблокувати атаку навіть без самого патча. Це той випадок, коли мережевий захист перекриває розрив між виходом оновлення та його фактичним розгортанням у всій організації.

Окремо зверніть увагу на застарілі системи: NTLM часто лишається ввімкненим саме через сумісність зі старими застосунками чи пристроями. Якщо повністю вимкнути його поки неможливо, проведіть аудит того, де саме він використовується, і поступово замінюйте ці залежності на Kerberos чи інші, сучасніші механізми автентифікації.

І як завжди: перевірте, чи ваші облікові дані вже не потрапили в попередні витоки, за допомогою нашого Breach Check — якщо паролі скомпрометовані, їх потрібно змінити незалежно від цієї вразливості. А якщо хочете глибше розібратися, як працюють такі атаки та як будувати захист на рівні організації, підійде наш матеріал про навчання кібербезпеці.

Висновок

Листопадовий Patch Tuesday — ще один сигнал про те, що атака через пошту залишається найдешевшим і наймасштабнішим вектором входу в корпоративні мережі. Нульовий день в Outlook не вимагає від атакера нічого, крім вміння надіслати файл і дочекатися одного кліку жертви, але ціна помилки — викрадена ідентичність користувача в домені.

«Помірна» оцінка CVSS тут оманлива: вразливість уже експлуатують, вона б'є по найпоширенішому поштовому клієнту в бізнесі, а викрадений хеш може відчинити двері далеко за межами поштової скриньки. Тому першочергове завдання для ІТ-команд цього тижня — встановити патчі та обмежити NTLM/SMB-атаку на рівні мережі, не чекаючи, поки атака торкнеться саме вашої організації.