הספירות שונות בין כלי התקשורת: BleepingComputer מונה 1,235 חולשות, מתוכן 66 קריטיות ו-48 שמאפשרות הרצת קוד מרחוק, ו-SecurityWeek מונה 1,094. בחודש שעבר תיקנה החברה 1,411 חולשות. לפי BleepingComputer, המספרים הגבוהים קשורים לשימוש של מיקרוסופט ב-AI כדי למצוא ולתקן חולשות.
חולשת יום האפס, CVE-2026-124194, היא חולשת התחזות ב-Outlook. תוקף יכול לשלוח קובץ הודעה שנבנה במיוחד, ואם המשתמש פותח אותו, Outlook מתחבר לשרת של התוקף בלי להציג את האזהרה הרגילה על תוכן חיצוני. כך עלול לדלוף גיבוב ה-NTLMv2 של המשתמש, שבעזרתו אפשר להתחזות אליו ולהתחבר לחשבונות בארגון. מיקרוסופט מדרגת את החולשה כבינונית (CVSS 6.5), ולדבריה היא לא מופעלת דרך חלונית התצוגה המקדימה. החברה לא פרסמה פרטים על התקיפות.
מה לעשות: להתקין את עדכוני נובמבר, ובמיוחד את העדכון ל-Outlook. לפי SecurityWeek, בין המוצרים המושפעים Microsoft 365 Apps for Enterprise, Office LTSC 2021 ו-Office LTSC 2024. משתמשים צריכים להיזהר במיוחד מקבצים מצורפים לא צפויים, כי התקיפה דורשת שהמשתמש יפתח את הקובץ.
