Microsoft Patch Tuesday: Outlook pod útokem a opravy LDAP

Listopadové aktualizace zahrnují aktivně zneužívanou chybu Outlooku a závažné možnosti vzdáleného spuštění kódu ve Windows. Při určování priorit je potřeba spojit stav zneužívání se skutečnou dostupností zasažených služeb.

Microsoft vydal měsíční bezpečnostní aktualizace 10. listopadu 2026. V ověřené revizi poznámek uvádí 1 094 vlastních CVE; vedle nich přebírá také záznamy jiných vydavatelů. Prostý počet všech položek v datovém dokumentu proto není počtem nově opravených chyb Microsoftu. Rozsah zahrnuje Windows, Office, Exchange Server, SharePoint Server, SQL Server, Azure a vývojářské nástroje. CVE zároveň nelze zaměňovat za počet instalačních balíčků.

Aktivně zneužívaná CVE-2026-124194 se týká Outlooku. Microsoft jí přiřazuje CVSS 3.1 ve výši 6,5 a závažnost Moderate, přesto ji kvůli doloženým útokům nelze automaticky odsouvat za každou chybu s vyšším skóre. Útočník potřebuje přimět uživatele otevřít speciálně připravený soubor zprávy. Outlook se pak může bez obvyklého upozornění na externí obsah spojit s útočníkovým síťovým umístěním a prozradit NTLMv2 hash využitelný k vydávání se za oběť. Podokno náhledu podle Microsoftu není cestou zneužití.

Opravy zahrnují Office LTSC 2021 od sestavení 16.0.14334.21048 a LTSC 2024 od 16.0.17932.21140. U Microsoft 365 Apps for Enterprise je nutné ověřit bezpečnostní vydání příslušného aktualizačního kanálu. Nestačí tedy pouze kontrola aktualizací operačního systému. Chyba je již zahrnuta také v přehledu CISA KEV: Barracuda, Outlook a další zneužívané chyby.

CVE-2026-119958 v implementaci LDAP systému Windows má CVSS 3.1 ve výši 9,8. Zápis mimo vyhrazenou paměť může neověřenému útočníkovi umožnit spuštění kódu v kontextu služby LDAP prostřednictvím speciálně sestavené série volání. Microsoft v ověřeném záznamu neuvádí zjištěné zneužívání. Pro posouzení expozice je podstatné, odkud lze zasaženou službu oslovit, nejen zda je daný systém v inventáři označen jako aktualizovaný.

Další kritická chyba, CVE-2026-119952 ve Windows Schannel, má CVSS 3.1 ve výši 8,1. Speciálně vytvořený síťový paket může umožnit spuštění kódu bez přihlášení a bez interakce uživatele. Útok ale vyžaduje určité podmínky protokolu nebo konfigurace, což se odráží ve vysoké složitosti útoku. Ani u této chyby Microsoft nepotvrdil aktivní zneužívání; odhad budoucí pravděpodobnosti útoku není totéž jako jeho pozorování.

Opravy LDAP a Schannel jsou součástí systémových aktualizací pro příslušné větve Windows. Konkrétní balíček je nutné vybrat podle verze a edice systému a dokončit požadovaný restart. Praktické pořadí nasazení by mělo zohlednit Outlook pod aktivním útokem, síťově dostupné služby a následně celý soubor používaných produktů. Po instalaci je vhodné ověřit skutečná sestavení a provozní funkčnost; schválení aktualizace v centrální konzoli ještě nedokládá její dokončené nasazení na koncový systém.