وصلهٔ ماهانهٔ مایکروسافت در نوامبر ۲۰۲۶ که ۱۰ نوامبر منتشر شد، دوباره بیش از هزار آسیب‌پذیری را رفع می‌کند و یک zero-day دارد که مهاجمان همین حالا از آن استفاده می‌کنند: نقصی در Outlook که با باز شدن یک فایل مخرب هش رمز NTLM کاربر را لو می‌دهد. برای بیشتر مدیران سه مورد از عدد کل مهم‌تر است: zero-day مربوط به Outlook، یک نقص اجرای کد راه دور بحرانی در Exchange و نقصی در Windows Search که از طریق Exchange قابل دسترس است. این راهنما اولویت وصله و کار موقت را اگر امروز نمی‌توانید وصله کنید می‌گوید. واقعیت‌ها از منابع لینک‌شده‌اند و ۱۱ نوامبر ۲۰۲۶ خوانده شدند.
چند نقص؟ چرا هر رسانه عدد دیگری می‌دهد
شمارش بسته به آنچه هر رسانه در نظر می‌گیرد فرق می‌کند. BleepingComputer عدد ۱٬۲۳۵ را (رکورد) می‌شمارد و ۶۶ مورد Critical (۴۸ اجرای کد راه دور، ۱۵ ارتقای امتیاز و سه use-after-free در Edge) را گزارش می‌کند و ۱۰۸ نقص رفع‌شدهٔ اوایل ماه را کنار می‌گذارد. SecurityWeek ۱٬۰۹۴ می‌شمارد، Ivanti و Dark Reading ۱٬۰۹۳ (۶۳ Critical، ۱٬۰۲۹ Important، ۱ Moderate)، Rapid7 ۱٬۰۹۲ برای محصولات خود مایکروسافت و Zero Day Initiative حدود ۱٬۰۹۰. ZDI می‌گوید این از حدود ۱٬۴۰۰ اکتبر کمتر است و دومین Patch Tuesday چهاررقمی پشت‌سرهم است. عدد دقیق کم‌اهمیت‌تر از ترکیب آن است: SecurityWeek ۷۲۶ مورد Windows، ۱۷۴ Office، ۵۹ SQL Server، ۵۳ ابزار توسعه، ۲۷ SharePoint، ۲۰ Azure و نُه نقص Exchange Server را فهرست کرده است.
طبق توصیه‌نامه‌های مایکروسافت به نقل Rapid7 و ZDI، این ماه فقط یک مورد سوءاستفاده‌شده است و هیچ‌کدام پیشتر علنی نشده بودند.
اول وصله کنید: zero-day مربوط به Outlook
CVE-2026-124194 نقص جعل در Outlook است، با درجهٔ Moderate و CVSS ۶٫۵، که سوءاستفادهٔ آن در طبیعت تأیید شده. اگر کاربر یک فایل پیام دست‌کاری‌شده را باز کند، Outlook بدون هشدار معمول محتوای خارجی به مکانی در کنترل مهاجم وصل می‌شود و می‌تواند هش NTLMv2 کاربر را فاش کند. Microsoft 365 Apps for Enterprise و Office LTSC 2021 و 2024 را درگیر می‌کند (Lansweeper). Rapid7 می‌گوید Preview Pane راه حمله نیست که اثر را تا حدی محدود می‌کند، اما هشدار می‌دهد امتیاز پایین ارزش آن را پنهان می‌کند: هش را می‌شود زنده به سرویس دیگر رله کرد یا آفلاین شکست. رله جایی کار می‌کند که امضای پیام برای SMB یا LDAP یا Extended Protection for Authentication برای Exchange یا Active Directory Certificate Services نباشد (Rapid7).
Exchange و Windows Search
| CVE | چیست | شدت | رتبهٔ سوءاستفادهٔ مایکروسافت | چرا مهم است |
|---|---|---|---|---|
| CVE-2026-118207 | اجرای کد راه دور در Exchange Server | Critical، CVSS ۸٫۸ | Exploitation More Likely | فقط ورود کم‌امتیاز می‌خواهد و تعامل کاربر نمی‌خواهد؛ تنها باگ Exchange با این رتبه |
| CVE-2026-116928 | اجرای کد راه دور در Windows Search | CVSS ۹٫۸ | از طریق Exchange در دسترس | ZDI: مهاجم بدون احراز هویت پیوستی دست‌کاری‌شده ایمیل می‌کند که هنگام نمایه‌سازی سرور باگ را فعال می‌کند؛ گیرنده چیزی را باز نمی‌کند |
| CVE-2026-119952 | اجرای کد راه دور پیش از احراز هویت در Windows Schannel (TLS) | Critical | Exploitation More Likely، شرایط خاص لازم است | Rapid7: چون Schannel پشتهٔ TLS ویندوز است، مهاجم ممکن است نقاط آسیب‌پذیر را آسان پیدا کند |
| CVE-2026-118146 / 118148 | RCE و ارتقای امتیاز در Active Directory Domain Services | Critical (۸٫۸ و ۷٫۵) | Exploitation More Likely | Lansweeper: با هم مسیری از جای پایی کم‌امتیاز تا کنترل دایرکتوری |
Exchange Server این ماه نُه اصلاح می‌گیرد: دو اجرای کد راه دور، چهار ارتقای امتیاز، یک DoS و دو جعل. ZDI توصیه می‌کند اول CVE-2026-118207 را همراه با باگ Windows Search وصله کنید و مسائل جعل را کم‌اهمیت ندانید، چون اغلب به رلهٔ اعتبارنامه تبدیل می‌شوند. اصلاح Windows Search در به‌روزرسانی سیستم‌عامل ویندوز می‌آید، نه Exchange (Rapid7). Rapid7 همچنین می‌گوید فقط Exchange Subscription Edition هنوز پشتیبانی می‌شود، چون همهٔ نسخه‌های قبلی از پایان پشتیبانی گذشته‌اند، پس برای Exchange 2016 یا 2019 بدون برنامهٔ پولی اصلاحی نیست. Dark Reading به نقل از Automox به CVE-2026-110043 هم اشاره می‌کند، سرریز heap بحرانی در Outlook که از طریق Preview Pane فعال می‌شود.
چک‌لیست روز وصله
- اول Outlook. به‌روزرسانی نوامبر را برای Microsoft 365 Apps و Office LTSC 2021 و 2024 همین حالا پخش کنید. درجهٔ Moderate را مثل توصیهٔ Ivanti Critical بدانید.
- Exchange SE و به‌روزرسانی ویندوز روی هر سرور Exchange. هر دو لازم است: وصلهٔ امنیتی Exchange و به‌روزرسانی ویندوز که اصلاح Windows Search را دارد.
- دامین‌کنترلرها و سرورهای ویندوز رو به TLS. اصلاح‌های AD DS و Schannel را در اولویت بگذارید.
- در حین پخش، آسیب NTLM را محدود کنید. SMB خروجی (TCP 445) را به اینترنت در فایروال ببندید، امضای SMB و LDAP را روشن کنید، Extended Protection for Authentication را روی Exchange و AD CS فعال کنید و NTLM را تا حد ممکن کم کنید.
- دنبال هش‌های نشت‌کرده بگردید. فرایندهای Outlook که به میزبان‌های خارجی ناآشنا SMB یا WebDAV خروجی می‌زنند را بررسی کنید. رمز کاربرانی که فایل پیام مشکوک را باز کرده‌اند بازنشانی کنید.
- Exchange بدون پشتیبانی. مهاجرت به Exchange SE یا Exchange Online را برنامه‌ریزی کنید. راهنمای به‌روزرسانی Exchange اکتبر را ببینید.
دو مورد VPN همان هفته هم اقدام می‌خواهند: وصلهٔ دوبارهٔ Ivanti Connect Secure و دور زدن SSL VPN در SonicWall. پس از وصلهٔ دستگاه‌های لبه، آنچه دیده‌اند را بچرخانید: پس از وصله اسرار را بچرخانید.
پرسش‌های متداول
مایکروسافت در نوامبر ۲۰۲۶ چند آسیب‌پذیری رفع کرد؟ بسته به شمارش هر رسانه بین حدود ۱٬۰۹۰ تا ۱٬۲۳۵. بیشتر منابع حدود ۱٬۰۹۳ تا ۱٬۰۹۴ با ۶۳ مورد Critical می‌گویند.
آیا zero-day سوءاستفاده‌شده هست؟ بله، یکی: نقص جعل Outlook با شناسهٔ CVE-2026-124194. هیچ‌کدام پیشتر علنی نبودند.
آیا نقص Outlook در Preview Pane فعال می‌شود؟ طبق Rapid7 خیر. کاربر باید فایل مخرب را باز کند.
وصله برای کدام نسخه‌های Exchange است؟ Exchange Server Subscription Edition. نسخه‌های قبلی بی‌پشتیبانی‌اند.