گزارش Patch Tuesday ماه نوامبر: رفع بیش از ۱۰۰۰ آسیب‌پذیری و شناسایی یک Zero-day فعال
November Patch Tuesday boasts over 1,000 bugs but only one zero-day so far
مایکروسافت در به‌روزرسانی ماه نوامبر خود ۱،۰۹۴ آسیب‌پذیری را در محصولات مختلف برطرف کرده است که شامل یک مورد Zero-day تحت بهره‌برداری فعال می‌شود. با توجه به حجم بالای وصله‌ها و استفاده مهاجمان از هوش مصنوعی برای مهندسی معکوس، تیم‌های امنیتی باید اولویت‌بندی دقیقی برای اعمال اصلاحات داشته باشند.
جزئیات آسیب‌پذیری Zero-day در Outlook
آسیب‌پذیری CVE-2026-124194 یک نقص جعل (Spoofing) در Outlook است که با امتیاز CVSS 6.5 ارزیابی شده، اما خطر آن فراتر از نام آن است. در این حمله، مهاجم با ارسال یک فایل پیام دست‌کاری شده و ترغیب کاربر به باز کردن آن، باعث می‌شود Outlook بدون نمایش هشدارهای معمول، به یک شبکه تحت کنترل مهاجم متصل شود.
این فرآیند منجر به افشای هش NTLMv2 کاربر می‌شود که مهاجم می‌تواند از آن برای احراز هویت به جای کاربر استفاده کند. با توجه به انتشار عمومی وصله، احتمال سوءاستفاده گسترده از این نقص توسط مهاجمان افزایش یافته است.
تهدیدات بحرانی و حملات Zero-click
در این ماه دو آسیب‌پذیری بحرانی با امتیاز CVSS 9.8 شناسایی شده‌اند که نیازی به تعامل کاربر ندارند (Zero-click). آسیب‌پذیری CVE-2026-116928 در مؤلفه Windows Search در Exchange، به مهاجم اجازه می‌دهد از طریق ارسال یک پیوست دست‌کاری شده که به‌طور خودکار توسط سیستم ایندکس می‌شود، کد مخرب اجرا کند.
همچنین آسیب‌پذیری CVE-2026-119958 در پیاده‌سازی پروتکل LDAP ویندوز، امکان اجرای کد از راه دور را برای مهاجمان احراز هویت نشده فراهم می‌کند که می‌تواند منجر به نفوذ به Domain Controllerها شود. علاوه بر این، یک نقص سرریز حافظه (Heap-overflow) با شناسه CVE-2026-112967 در سرویس Xbox Live Networking نیز شناسایی شده که امکان اجرای کد از راه دور را فراهم می‌کند.
نکته‌های کلیدی
- رفع ۱،۰۹۴ آسیب‌پذیری در ماه نوامبر که دومین ماه متوالی با بیش از ۱۰۰۰ وصله است.
- شناسایی ۳۰ آسیب‌پذیری با قابلیت انتشار کرمی (Wormable) که نیازی به احراز هویت یا تعامل کاربر ندارند.
- افزایش سرعت تولید اکسپلویت‌ها به دلیل استفاده مهاجمان از هوش مصنوعی برای تحلیل وصله‌ها.
- عدم وجود آسیب‌پذیری‌های شناخته‌شده عمومی (Publicly known) در میان موارد اصلاح شده.
چه باید کرد
- اولویت‌بندی فوری برای وصله کردن سرورهای Exchange و Domain Controllerها.
- ایزوله‌سازی (Ring-fencing) سرویس‌های شبکه در معرض خطر مانند DNS و DHCP برای جلوگیری از انتشار کرم‌های رایانه‌ای.
- بررسی و تایید دستی اصلاحات امنیتی اعمال شده بر روی سرویس‌های ابری.
- پایش دقیق ایمیل‌ها برای شناسایی فایل‌های مشکوک و آموزش کاربران در خصوص باز نکردن پیام‌های ناشناس.
آسیب‌پذیری‌های این خبر
- CVE-2026-112967 Microsoft Windows 10, Microsoft Windows 11 9.8بحرانی
- CVE-2026-116928 Microsoft Windows 10, Microsoft Windows 11, Microsoft Windows Server 9.8بحرانی
- CVE-2026-119958 Microsoft Windows 10, Microsoft Windows 11, Microsoft Windows Server 9.8بحرانی
- CVE-2026-124194 KEV · مهلت ۱۴۰۵/۰۹/۰۳ Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 6.5متوسط
این خبر در منابع دیگر
- Dark Reading: بسته امنیتی ماه نوامبر مایکروسافت: انبوهی از آسیب‌پذیری‌های CVE ↗
- Krebs on Security: مایکروسافت نزدیک به ۱۱۰۰ آسیب‌پذیری امنیتی را برطرف کرد ↗
- SecurityWeek: مایکروسافت ۱,۰۹۴ آسیب‌پذیری از جمله یک روز صفر در Outlook را وصله کرد ↗
- Franky's Web (Exchange): انتشار به‌روزرسانی‌های امنیتی جدید برای Exchange Server (نوامبر ۲۰۲۶) ↗
- BleepingComputer: آپدیت امنیتی نوامبر 2026 مایکروسافت با رفع 1,235 آسیب‌پذیری و یک صفرروز Outlook منتشر شد ↗
- Malwarebytes Labs: برای رفع آسیب‌پذیری مورد بهره‌برداری، مرورگر Chrome را فوراً به‌روزرسانی کنید ↗