מיקרוסופט: עדכון נובמבר מתקן 1,259 פגיעויות, כולל באג Outlook מנוצל שחושף גיבובי NTLMv2

מיקרוסופט פרסמה את עדכוני האבטחה של נובמבר 2026 עם 1,259 תיקונים. הפגיעות היחידה שסומנה כמנוצלת בפועל נמצאת ב-Outlook, ועלולה לחשוף למתקיף את גיבוב האימות NTLMv2 של המשתמש.

מזהה	CVE-2026-124194
מוצר	Microsoft Outlook (גרסאות מושפעות: לא פורסם)
חומרה	בינונית, CVSS 6.5
מנוצל בפועל	כן, לפי מיקרוסופט; נוסף ל-KEV של CISA
סטטוס תיקון	תוקן בעדכון נובמבר 2026

מה קרה

לפי הסיקור של The Hacker News, הפגיעות דורשת גישת רשת ופעולת משתמש: פתיחת קובץ הודעה שנבנה במיוחד. פרטי הניצול ושם התוקף לא פורסמו. הגילוי יוחס לחוקר בשם Nono ולבנואה סבייאן מ-Anthropic.

מעבר לכך, יותר מ-500 מהתיקונים הם מסוג העלאת הרשאות, ולצידם תיקוני הרצת קוד מרחוק ברכיבים כמו Windows Search, LDAP ו-Schannel. הסיקור לא מציין פגיעויות בדרגה קריטית נוספות או ציוני CVSS עבורן. סוכנויות פדרליות בארה"ב נדרשות לתקן עד 24 בנובמבר 2026.

נקודות לשים לב

התחל בהפצת עדכון נובמבר ל-Outlook, כי זו הפגיעות היחידה שמנוצלת בפועל.
גיבוב NTLMv2 שנחשף עלול לשמש לניחוש סיסמה או להתחזות. שקול להגביל תעבורת NTLM יוצאת ולעבור ל-Kerberos היכן שאפשר.
חפש בלוגי הרשת חיבורי SMB יוצאים לכתובות חיצוניות מתחנות עבודה.
מספר התיקונים הגדול אינו מעיד על דחיפות אחידה: תעדף לפי ניצול בפועל, חשיפה לרשת ורכיבי שרת כמו LDAP.
הנתונים על חלוקת התיקונים בין מוצרים אינם מסתכמים במקור, ולכן בדוק מול MSRC לפני הסקת מסקנות.