Microsoftin 10. marraskuuta 2026 julkaisema tietoturvapäivitys korjasi yli 1 000 haavoittuvuutta, mukaan lukien Outlook-haavoittuvuuden, jota hyökkääjät olivat jo käyttäneet käyttäjien Windows-kirjautumistietojen paljastamiseen.
Tenable laski päivityksen sisältävän 1 093 Microsoft-haavoittuvuutta, joista 63 luokiteltiin kriittisiksi. BleepingComputerin laajempi laskenta päätyi 1 235 haavoittuvuuteen, kun mukaan laskettiin Chromiumiin perustuvan Microsoft Edgen haavoittuvuudet. Luvut vaihtelevat sen mukaan, miten haavoittuvuudet lasketaan.
CVE-2026-124194-tunnuksella listattu Outlook-haavoittuvuus voi saada väärennetyn identiteetin näyttämään luotettavalta. Hyökkääjät voivat käynnistää sen suostuttelemalla jonkun avaamaan erityisesti laaditun tiedoston. Outlook saattaa tämän jälkeen muodostaa yhteyden hyökkääjän hallitsemaan sijaintiin näyttämättä tavanomaista varoitustaan.
Tämä voi paljastaa käyttäjän NTLMv2-todennuksen tiivisteen, joka on kirjautumistietojen koodattu muoto. Hyökkääjät voivat käyttää sitä myöhemmissä yrityksissään esiintyä käyttäjänä. Microsoft luokitteli haavoittuvuuden vakavuudeltaan kohtalaiseksi ja antoi sille CVSS-asteikolla 6,5 pistettä.
Koska Microsoft kuitenkin vahvisti hyökkääjien käyttäneen haavoittuvuutta hyväkseen, päivityksen asentaminen on ensisijaisen tärkeää. Päivitys korjaa myös Microsoftin tuotteissa ja komponenteissa olevia kriittisiä haavoittuvuuksia, joiden avulla hyökkääjät voivat suorittaa koodia etänä. Se korjaa lisäksi kriittisiä haavoittuvuuksia, joiden avulla hyökkääjät voivat saada tavallista laajemmat käyttöoikeudet Microsoftin tuotteissa ja komponenteissa.
Koska Outlook-korjaus toimitetaan haavoittuvien Office-tuotteiden kautta, käyttäjien kannattaa tarkistaa Office-päivitykset Windowsin korjauspäivitysten lisäksi. Työnantajan hallinnoimien laitteiden käyttäjien kannattaa noudattaa IT-tiiminsä ohjeita.