به‌روزرسانی‌های Patch Tuesday نوامبر 2026 شرکت Microsoft در مجموع 1,094 آسیب‌پذیری را در محصولات این شرکت برطرف می‌کند، از جمله نقصی در Outlook که به گفته شرکت از آن سوءاستفاده شده است
این روز صفر با شناسه CVE-2026-124194 به‌عنوان یک نقص از نوع spoofing طبقه‌بندی شده است. ریشه مشکل آن است که Outlook پیش از انجام یک اقدام بالقوه خطرناک به کاربر هشدار نمی‌دهد.
شرکت Microsoft شدت این نقص را «متوسط» و امتیاز CVSS آن را 6.5 اعلام کرده است. اطلاعیه این شرکت درباره حملات مشاهده‌شده هیچ جزئیاتی ارائه نمی‌دهد.
به گفته شرکت Microsoft، برای موفقیت حمله لازم است قربانی فریب داده شود و یک فایل مخرب را باز کند.
این شرکت توضیح داد: «یک مهاجم بدون احراز هویت می‌تواند یک فایل پیام با ساختار ویژه ارسال کند و کاربر را متقاعد کند که آن را در نسخه‌های آسیب‌پذیر Microsoft Outlook باز کند. باز کردن فایل می‌تواند موجب شود Outlook بدون نمایش هشدار همیشگی محتوای خارجی، به یک مسیر شبکه تحت کنترل مهاجم متصل شود و در نتیجه ممکن است اطلاعات احراز هویت افشا شود؛ اطلاعاتی که می‌تواند برای جعل هویت کاربر به‌کار رود.»
به گفته شرکت Microsoft، این نقص از طریق Preview Pane قابل بهره‌برداری نیست. همچنین تصریح کرده است: «این آسیب‌پذیری هش NTLMv2 کاربر را در اختیار مهاجم قرار می‌دهد و مهاجم می‌تواند از آن برای احراز هویت به‌جای کاربر استفاده کند.»
این آسیب‌پذیری پیش از انتشار پچ به‌صورت عمومی افشا نشده بود. محصولات تحت تأثیر شامل Microsoft 365 Apps for Enterprise، Office LTSC 2021 و Office LTSC 2024 هستند.
اطلاعیه Microsoft کشف این نقص را به یک پژوهشگر با نام «nono» و همچنین Benoît Sevens نسبت می‌دهد. در تقدیر از Sevens، به استفاده از مدل Claude شرکت Anthropic اشاره شده است.
سیستم‌عامل Windows سهم 726 مورد از نقص‌های پچ‌شده این ماه را دارد و پس از آن Office با 174 مورد قرار می‌گیرد. شرکت Microsoft همچنین 59 آسیب‌پذیری در SQL Server، تعداد 53 مورد در ابزارهای توسعه، 27 مورد در SharePoint Server، 20 مورد در Azure و 9 مورد در Exchange Server را برطرف کرده است.
علاوه بر این، این شرکت 165 شناسه CVE را از طرف‌های ثالث بازنشر کرده است و اشاره کرده که آسیب‌پذیری‌های Chrome در این فهرست نیامده‌اند.
خلاصه انتشار Microsoft به به‌روزرسانی‌های با شدت بحرانی برای Windows 10، Windows 11، Windows Server 2016 تا 2025، Office، نسخه Subscription Edition از Exchange Server، مرورگر Edge و مولفه Malware Protection Engine اشاره می‌کند. سرویس Azure OpenAI و سرویس Azure Managed Grafana نیز در این فهرست قرار دارند.
انتشار ماه نوامبر از نظر تعداد آسیب‌پذیری‌های پچ‌شده کوچک‌تر از ماه اکتبر است؛ در آن ماه، شرکت Microsoft رکورد 1,413 آسیب‌پذیری را پچ کرد. با آخرین دور از پچ‌ها، شرکت Microsoft در سال جاری بیش از 5,000 آسیب‌پذیری را برطرف کرده است.
به‌روزرسانی‌های این ماه همچنین آخرین بسته‌ها برای ویرایش Enterprise و ویرایش Education از Windows 11 version 23H2 هستند. دستگاه‌هایی که این ویرایش‌ها را اجرا می‌کنند دیگر هیچ به‌روزرسانی امنیتی ماهانه‌ای دریافت نخواهند کرد.
به‌روزرسانی‌های Patch Tuesday اخیر شرکت Adobe حدود 110 آسیب‌پذیری را در 9 محصول برطرف می‌کند.
