Listopadowa aktualizacja Microsoftu łata ponad tysiąc luk. Ta, którą już wykorzystują przestępcy, ma ocenę zaledwie umiarkowaną

Liczcie, jak chcecie, to duży miesiąc. BleepingComputer podaje, że wtorkowa aktualizacja Microsoftu usuwa 1235 luk, Tenable mówi o 1093, a Dustin Childs z Zero Day Initiative poprzestaje na "około 1090" i przyznaje, że rachunek jest "trochę mylący". Którąkolwiek liczbę wybierzecie, to mniej niż październikowy rekord i więcej niż w jakimkolwiek wcześniejszym miesiącu.

Tylko jedna z tych luk była wykorzystywana przez napastników, zanim pojawiła się poprawka, i to dość osobliwy lider listy. CVE-2026-124194 tkwi w Outlooku, ma 6,5 punktu na 10, a Microsoft ocenia ją zaledwie jako umiarkowaną. Ktoś wysyła wam specjalnie spreparowany plik wiadomości i namawia do jego otwarcia. Outlook po cichu łączy się wtedy z komputerem kontrolowanym przez napastnika, bez zwykłego ostrzeżenia o treści zewnętrznej, i przy okazji przekazuje tak zwany skrót NTLMv2. Można o nim myśleć jak o zaszyfrowanej kopii hasła, którym logujecie się do Windows. Da się go użyć, by podszyć się pod was w sieci firmowej, a słabe hasło można z niego bez pośpiechu odtworzyć.

Dwa szczegóły uspokajają. Samo zobaczenie wiadomości w okienku podglądu niczego nie uruchamia, jak twierdzi Childs; plik trzeba otworzyć. Microsoft zaznacza też, że atak wymaga "interakcji użytkownika", co po ludzku oznacza, że stara zasada dotycząca niespodziewanych załączników nadal działa. Jego werdykt w sprawie niskiej oceny brzmi jednak tak: "Microsoft oznacza ją jako wykorzystywaną, więc trafia na samą górę listy." Tenable dodaje, że badacz, któremu przypisano odkrycie, posłużył się Claude, modelem AI firmy Anthropic, co po części tłumaczy, dlaczego te miesięczne sumy tak spuchły.

W Windows 11 poprawki przychodzą jako KB5132061 lub KB5131087, zależnie od wersji, a na komputerach z Windows 10 objętych rozszerzonymi aktualizacjami jako KB5131096. Otwórzcie Ustawienia, Windows Update i zainstalujcie to, co czeka. Potem otwórzcie Worda, wybierzcie Plik, Konto, Opcje aktualizacji i Aktualizuj teraz, bo Office ma własny harmonogram. Jeśli Windows Update wciąż kończy się błędem zamiast sukcesem, właśnie na taką sytuację przygotowano kreator naprawy Windows Update w Tendvane.