Co się wydarzyło
Outlook. Według NVD w przypadku CVE-2026-124194 interfejs Outlooka nie ostrzega użytkownika o niebezpiecznej czynności, co pozwala na spoofing przez sieć. Ocena CVSS 3.1 to 6,5: atak nie wymaga uprawnień, ale ofiara musi wykonać czynność. Jack Bicer z Action1 opisał mechanizm w Infosecurity Magazine: napastnik wysyła spreparowany plik wiadomości, a po jego otwarciu Outlook łączy się z lokalizacją sieciową napastnika bez zwykłego ostrzeżenia o treści zewnętrznej. Połączenie może ujawnić skrót NTLMv2 użytkownika, którym da się potem zalogować w jego imieniu. Podatne są Microsoft 365 Apps for Enterprise oraz Office LTSC 2021 i 2024. CISA wyznaczyła agencjom federalnym USA termin na 24 listopada 2026.
Pakiet poprawek. Infosecurity Magazine podaje, że listopadowe wydanie Microsoftu obejmuje 1235 podatności, w tym 66 krytycznych, i jest czwartym rekordowym miesiącem w tym roku. Inne redakcje liczą inaczej i podają od około 1,1 tys. do ponad 1,25 tys.
Barracuda ESG. CVE-2026-116606 (CVSS 9,3) to obejście uwierzytelniania w wersjach starszych niż 9.4.0.030. Według Mandiant nieuwierzytelniony napastnik może wywołać import konfiguracji i wgrać spreparowaną kopię zapasową. CVE-2026-111560 (CVSS 8,6) to wstrzyknięcie poleceń w ustawieniu strefy czasowej, które administratorowi daje uprawnienia roota. Barracuda potwierdza, że połączenie obu błędów prowadzi do przejęcia urządzenia. Termin CISA: 13 listopada 2026.
Najważniejsze ustalenia
- CVE-2026-124194 (Outlook, CVSS 6,5): wyciek skrótu NTLMv2 po otwarciu spreparowanego pliku wiadomości; luka jest wykorzystywana w atakach.
- Poprawka jest w listopadowych aktualizacjach Office; sprawcy i skala ataków nie są znani.
- CVE-2026-116606 i CVE-2026-111560 (Barracuda ESG): razem dają roota na bramce; w KEV od 10 listopada 2026.
- Drugi błąd dotyczy też innych produktów Barracuda, m.in. Web Application Firewall i Message Archiver.
- Barracuda zaleca, by interfejs administracyjny był dostępny wyłącznie z zaufanych sieci wewnętrznych.