Microsoft Outlookdagi zaiflik foydalanuvchilarning Windows autentifikatsiya maʼlumotlarini oshkor qilishi mumkin. CVE-2026-124194 identifikatoriga ega boʻlgan bu zaiflik Microsoft tomonidan seshanba kuni (10-kun) tuzatishlar chiqarilishi bilan allaqachon zararli aktorlar tomonidan ishlatilgan.
Bu muammo buzuvchilarga NTLMv2 autentifikatsiya hashini olish imkonini beradi, uni keyinchalik tizimlarga va hisoblarga kirishga urinishlar uchun qoʻllash mumkin, shu orqali halol foydalanuvchi sifatida koʻrinishni taqlid qilish mumkin. Bu xavfsizlik boʻshligʻidan foydalanish uchun jinoyatchi qurbonni maxsus tayyorlangan xabar faylini ochishga majburlashi kerak.
Microsoft bu zaiflikni oʻrtacha darajadagi deb tasniflagan boʻlsa-da, uning faol ravishda ishlatilayotganligi haqida tasdiqlab berdi. Bundan tashqari, AQSh Kibersavdo va infratuzilma agentligi (CISA) bu zaiflikni maʼlum boʻlgan ekspluatatsiya qilinadigan zaifliklar katalogiga kiritdi.
Tuzatish seshanba kuni (10-kun) Microsoftning Patch Tuesday deb nomlanuvchi oylik xavfsizlik yangilanishlari toʻplami doirasida chiqarildi. Kompaniya CVE-2026-124194 parchi paydo boʻlishidan oldin ekspluatatsiya qilinganini tasdiqladi. Zaiflik raqamli xavfsizlik muammolarining jiddiy ligini oʻlchaydigan CVSS miqyosida 6,5 baho berilgan soxta (falsification) xatosi sifatida aniqlangan.
Rasmiy ogohlantirishga koʻra, tegishli mahsulotlar Microsoft 365 Apps for Enterprise, shuningdek, Office LTSC 2021 va Office LTSC 2024 versiyalari hisoblanadi. Bu ochilish Nono va Benoît Sevens tadqiqotchilariga nisbatan keltirilgan. Microsoft maʼlumotlariga koʻra, Sevens zaiflikni tahlil qilish jarayonida Anthropic kompaniyasining sunʼiy intellekt (AI) modeli Claude dan foydalangan.
CISA ushbu xatoni maʼlum boʻlgan ekspluatatsiya qilinadigan zaifliklar katalogi boʻlgan KEV ga ham kiritdi. Agentlik AQSh federal fuqarolik organlari uchun tuzatishni qoʻllash muddati 2026-yil 24-noyabr deb belgiladi. Ushbu talab Braziliya kompaniyalari emas, balki Amerika muassasalari uchun moʻljallangan.
Outlookdagi zaiflik Microsoft tomonidan noyabr oyida taqdim etilgan kengroq yangilanishlar toʻplamining bir qismidir. Tahlilga koʻra, paket 1.259 ta tuzatish va zaiflik identifikatorlarini oʻz ichiga oladi. Ushbu umumiy sonning 1.094 tasi Microsoftning oʻz mahsulotlaridagi xatoliklarga tegishli, 165 ta boshqa identifikator esa uchinchi tomon xabarlari asosida eʼlon qilingan.
Qamrab olingan mahsulotlar orasida Windows va Office mavjud. Paketda Windows bilan bogʻliq 726 ta, Office bilan bogʻliq 174 ta tuzatish mavjud, bundan tashqari, tizimda belgilanganidan yuqori ruxsatnoma olish (privilege escalation) bilan bogʻliq 500 dan ortiq zaifliklar ham bor. Yangilanish shuningdek, Windows komponentlaridagi kodni masofadan bajarishga imkon berishi mumkin boʻlgan xatolarni va Azure OpenAI dagi ruxsatnoma oshirish zaifligini bartaraf etadi.
Bu Microsoftning oylik xavfsizlik paketi mingdan ortiq zaifliklarni oʻz ichiga olgan ikkinchi oy davom etmoqda. Outlook orqali buzilish haqidagi maqola birinchi marta Olhar Digital portali da eʼlon qilingan.
