מיקרוסופט תיקנה 1,235 פגיעויות, אחת מהן כבר מנוצלת בידי האקרים

ההיקף אמנם נמוך מזה של אוקטובר, שבו נשבר שיא התיקונים של החברה, אך הוא ממשיך את רצף העדכונים העצומים של השנה, אחרי שיאים קודמים ביולי ובספטמבר. בספירות שאינן כוללות את התיקונים לדפדפן Edge ולהפצת Azure Linux, מספר הפגיעויות במוצרי החברה עומד על 1,094, ובכל מקרה מדובר בעומס כבד על צוותי האבטחה בארגונים.

פגיעות יום אפס בתוכנת הדואר

פגיעות יום האפס, CVE-2026-124194, היא פגיעות זיוף (Spoofing) בתוכנת הדואר Outlook. לפי ניתוח של דסטין צ'יילדס מ-Zero Day Initiative, קובץ הודעה שנבנה במיוחד גורם ל-Outlook להתחבר לכתובת רשת שבשליטת התוקף בלי האזהרה הרגילה. כך נחשף גיבוב הסיסמה (NTLMv2) של המשתמש, שבאמצעותו התוקף יכול להזדהות בשמו.

"התוקפים כבר מנצלים אותו, הוא צריך רק לחיצה אחת על קובץ אימייל, והוא פוגע ב-Outlook, שכמעט כל ארגון מריץ", הסבירו חוקרי אבטחה. מיקרוסופט לא פירטה מתי החלו ההתקפות ומי עומד מאחוריהן, ובעבר כבר נחשפו בתוכנה חולשות שאפשרו לעקוף תיקונים קודמים.

רוב הפגיעויות: העלאת הרשאות

רוב הפגיעויות שתוקנו החודש, 536, הן פגיעויות של העלאת הרשאות (EoP). אחריהן באות פגיעויות של הרצת קוד מרחוק (296) ושל חשיפת מידע (157), ו-66 מהפגיעויות מדורגות קריטיות, רובן מסוג הרצת קוד מרחוק.

אחת הפגיעויות שהחוקרים הדגישו היא CVE-2026-112967 בשירות הרשת של Xbox Live ב-Windows. מדובר בפגיעות שמאפשרת הרצת קוד מרחוק והשתלטות על המחשב, והיא קיבלה ציון חומרה גבוה של 9.8 בסולם CVSS. ניצולה אינו מחייב הזדהות או פעולה כלשהי של המשתמש.

חוקרים ציינו כי "עם בינה מלאכותית שהופכת את יצירת הטלאים ואת ניצול הפגיעויות לכמעט מיידיים, חלון האיום נפתח ברגע שהעדכונים האלה יוצאים". הדברים מצטרפים למחקר שפורסם השבוע, ולפיו מחצית מהחברות בעולם פגיעות למתקפות סייבר המבוססות על בינה מלאכותית.

לא רק מיקרוסופט

מיקרוסופט לא הייתה ענקית התוכנה היחידה ששחררה ביום שלישי עדכון אבטחה גדול. היקף התיקונים ששחררה סאפ בנובמבר היה הגדול ביותר אי פעם: 43 פגיעויות שטופלו, ובהן 12 עדכוני אבטחה בדירוג החומרה הגבוה ביותר ו-13 פגיעויות בעדיפות גבוהה לתיקון. ההיקף כפול מהממוצע החודשי של החברה ב-2026, וארבע מהפגיעויות קיבלו ציון 10.0 בסולם CVSS, הציון המרבי.

ג'ייק נוט, ראש מודיעין האיומים בחברת ניהול החשיפות watchTowr, סיכם בקצרה: "אולי פשוט נלך הביתה". לדבריו, "רוב צוותי האבטחה עדיין לא התאוששו לגמרי מהחודש האחרון של פגיעויות קריטיות, תיקוני חירום והכול עם מותג '2shell', והנה אנחנו מוצאים את עצמנו שוב, עם עדכון יום שלישי".