Patch Tuesday noiembrie 2026: un zero-day în Outlook care scurge credențiale și peste o mie de vulnerabilități corectate

Publicat pe 11 noiembrie 2026 · Echipa mitza.es

Pe 10 noiembrie 2026, Microsoft și-a publicat buletinul lunar de securitate. După recordul de peste 1.400 de defecte din octombrie, luna aceasta depășește din nou o mie, cu un detaliu care contează pentru orice birou care folosește e-mailul: singurul zero-day exploatat este în Outlook. Rezumăm ce se știe la data de 11 noiembrie 2026, confruntat cu BleepingComputer, Krebs on Security, SecurityWeek și SANS ISC.

Esențialul în cinci puncte

• Peste o mie de vulnerabilități corectate: între 1.093 și 1.260, în funcție de cine le numără (mai jos explicăm de ce).
• Un singur zero-day exploatat: CVE-2026-124194, în Outlook. Este o falsificare (spoofing) care expune hash-ul NTLMv2 al celui care deschide un fișier de mesaj manipulat. Microsoft îl clasifică drept gravitate moderată (CVSS 6,5).
• Între 63 și 68 de defecte critice, în funcție de publicație. Potrivit BleepingComputer, 48 din cele 66 ale sale sunt de execuție de cod la distanță.
• Actualizările pentru Windows 10 (ESU) și Windows 11 sunt deja disponibile.
• Niciuna dintre sursele pe care le-am citit nu menționează alte defecte deja exploatate sau făcute publice înainte de patch.

Câte defecte sunt: de ce nu coincid cifrele

Ca și în octombrie, fiecare publicație dă un total diferit. Acestea sunt cele pe care le-am verificat:

• BleepingComputer: 1.235, inclusiv 142 de defecte Microsoft Edge (bazat pe Chromium). Numărătoarea sa include doar ce s-a publicat chiar în ziua de marți și exclude 108 defecte corectate mai devreme în cursul lunii.
• SANS ISC: 1.260, dintre care 68 critice și 167 de Chromium care afectează Edge.
• SecurityWeek: 1.094: 726 în Windows, 174 în Office, 59 în SQL Server, 53 în instrumentele de dezvoltare, 27 în SharePoint, 20 în Azure și 9 în Exchange.
• Krebs on Security: 1.093, cu 63 critice.

Se pare că diferența ține mai ales de modul în care sunt numărate defectele din Edge și cele corectate înainte de marți. Doar BleepingComputer își explică criteriul; celelalte nu îl detaliază pe al lor, așa că nu putem afirma acest lucru cu certitudine. Pentru un IMM concluzia nu se schimbă: este un volum enorm, iar ce contează este ce corectezi primul.

Zero-day-ul din Outlook: CVE-2026-124194

Microsoft îl descrie ca o vulnerabilitate de falsificare: Outlook nu avertizează utilizatorul înainte de o acțiune potențial periculoasă. Dacă un atacator reușește să convingă pe cineva să deschidă un fișier de mesaj manipulat, Outlook se conectează la o locație de rețea controlată de atacator fără să afișeze avertismentul obișnuit despre conținut extern și îi predă hash-ul NTLMv2 al utilizatorului. Microsoft confirmă că este deja exploatat, iar SecurityWeek adaugă că nu fusese făcut public înainte să existe patch-ul.

Ce este un hash NTLMv2 și de ce contează

NTLM este un protocol de autentificare din Windows. Când calculatorul tău se identifică în fața altuia, nu trimite parola ca atare, ci o valoare calculată pornind de la ea: hash-ul. În termeni generali, cine obține această valoare poate încerca să descopere parola testând combinații pe propriul calculator sau, în unele medii, o poate refolosi pentru a se identifica în fața altor servicii. Cu cât parola este mai lungă și mai unică, cu atât este mai greu de aflat. Pentru cazul concret, sursele vorbesc doar despre scurgerea hash-ului, nu despre ce face atacatorul după aceea.

Cum poate (și cum nu poate) fi exploatat

• Atacatorul nu trebuie să fie autentificat: este suficient să trimită fișierul și să convingă persoana să îl deschidă.
• Este nevoie ca utilizatorul să îl deschidă. Potrivit Microsoft, defectul nu se activează doar prin previzualizarea din Outlook.
• Necesită conectivitate la rețea și interacțiunea utilizatorului, conform descrierii Microsoft citate de BleepingComputer.

Cui i se aplică

SecurityWeek citează Microsoft 365 Apps for Enterprise, Office LTSC 2021 și Office LTSC 2024; Krebs vorbește despre Microsoft 365 Apps for Enterprise și ediții de Office. Nicio sursă nu dă numere de build, așa că cel mai practic este să verifici că Office este la zi. Dacă folosești Office 2021, merită să recitești și avizul nostru despre sfârșitul suportului pentru Windows 11 24H2 și Office 2021. Sursele nu detaliază alte produse și nu am găsit nicio măsură alternativă la patch.

Ce faci în privința acestui defect

1. Actualizează Office. În Outlook: Fișier → Cont Office → Opțiuni de actualizare → Actualizează acum. Pe echipamentele gestionate, cere furnizorului tău să confirme versiunea.
2. Avertizează personalul să nu deschidă fișiere de mesaj sau atașamente neașteptate, chiar dacă par să vină de la un contact. Este aceeași regulă ca în cazul mesajelor false și al codurilor QR falsificate.
3. Limitează conexiunile de ieșire din firewall. Blocarea traficului SMB (portul 445) către internet este o bună practică generală; sursele nu detaliază ce protocol folosește acest atac, așa că este o măsură de consolidare și nu un substitut pentru patch. Ai bazele în ce este un firewall și de ce are nevoie un IMM.
4. Folosește parole lungi și unice și activează verificarea în doi pași. Poți verifica puterea unei parole cu verificatorul nostru de parole și poți crea altele cu generatorul, care funcționează în browserul tău.
5. Dacă bănuiești că cineva a deschis un fișier ciudat, schimbă-i parola și anunță furnizorul tău de servicii IT.

Alte defecte critice care merită urmărite

Dintre cele critice citate de BleepingComputer și SANS ISC, acestea sunt cele care pot afecta cel mai mult un birou:

• Servere de identitate și de e-mail: execuție de cod la distanță în Active Directory Domain Services (CVE-2026-118146) și în Exchange Server (CVE-2026-118207). Dacă ai un server propriu, este prioritar.
• Office: trei defecte de execuție de cod la distanță în Excel (CVE-2026-118292, CVE-2026-118296 și CVE-2026-118297) și unul în Microsoft Defender (CVE-2026-122194).
• Windows: CredSSP (CVE-2026-119962), Windows Deployment Services (CVE-2026-119951), fonturi grafice (CVE-2026-119969), TCP/IP (CVE-2026-113859) și LDAP (CVE-2026-119958). SANS recomandă ca acesta din urmă să nu fie expus la internet.

Există și alte defecte critice în lista completă a Microsoft; nu am putut să le confruntăm pe toate cu surse independente, așa că aici le includem doar pe cele care apar literal în notele BleepingComputer și SANS.

Windows 10 și Windows 11: actualizările din noiembrie

Windows 10 (actualizări de securitate extinse, ESU)

Actualizarea KB5131096 include patch-urile lunii și corectează, printre altele, o eroare de imprimare (cod 87) la adăugarea imprimantelor publicate în Active Directory. Introduce o schimbare utilă de știut dacă folosești scripturi: o validare mai strictă a codificării la semnarea scripturilor PowerShell, astfel încât cele cu UTF-8 nevalid pot eșua la validarea semnăturii. BleepingComputer menționează că Microsoft nu listează probleme cunoscute deschise. Dacă mai rămâi pe Windows 10, vezi ce opțiuni ai în Windows 10 ESU: ce faci în IMM-ul tău.

Windows 11

Actualizările KB5132061 și KB5131087 sunt obligatorii pentru că includ patch-urile lunii. Potrivit BleepingComputer, Microsoft nu cunoaște incidente noi (există comentarii ale utilizatorilor despre erori la instalare, neconfirmate). Aduc îmbunătățiri precum un meniu contextual din File Explorer mai personalizabil și reinstalarea WinRE din Windows Update. Două avertismente: se adaugă un avertisment înainte de operațiunile de protecție a datelor cu solicitare (DPAPI), a căror experiență cu solicitare va fi retrasă în aprilie 2027; iar, potrivit SecurityWeek, acesta este ultimul patch lunar pentru edițiile Enterprise și Education ale Windows 11 23H2.

Ce faci săptămâna aceasta: checklist

1. Mai întâi, ce este exploatat: actualizează Office și Outlook pe toate echipamentele (vezi mai sus).
2. Servere: dacă ai Exchange Server sau controlere de domeniu, planifică de pe acum actualizarea lor, cu o copie de siguranță înainte.
3. Stații Windows: testează actualizarea pe unul sau două echipamente și implementeaz-o pe celelalte în una-două zile, cu excepția cazului în care se detectează o problemă.
4. Verifică dacă au fost aplicate (versiunea de Windows și de Office) și notează data și echipamentele.
5. Dacă îți rămân echipamente neactualizate, aplică recomandările din ghidul nostru pentru a citi un aviz și a stabili termene de aplicare a patch-urilor: un defect exploatat se rezolvă în 24–48 de ore.
6. Ai la îndemână copii de siguranță recente și testate.

Întrebări rapide

De ce contează dacă defectul este „moderat”?

Scorul măsoară gravitatea tehnică, nu dacă cineva îl atacă. Acest defect este deja exploatat, iar furtul unui hash de credențiale poate fi primul pas al unui atac mai mare. De aceea îl tratăm ca pe unul urgent.

Trebuie să corectez toate cele 1.000 de defecte?

Actualizările lunare le includ pe toate. Ce decide ordinea este ce este exploatat, ce este expus la internet și ce afectează serverele tale.

Și dacă firma mea folosește Microsoft 365?

Aplicațiile Microsoft 365 se actualizează singure, dar nu întotdeauna instantaneu. Verifică versiunea și forțează actualizarea din Outlook dacă nu ești sigur.

Cum te ajutăm la Mitza

Verificăm versiunile de Windows și Office de pe toate echipamentele tale, aplicăm mai întâi ce este urgent și îți lăsăm o evidență a celor făcute. Vezi serviciul nostru de mentenanță IT pentru IMM-uri sau spune-ne cazul tău din pagina de contact.

Citește și: al optulea zero-day Chrome din 2026 și Patch Tuesday din septembrie.