Microsoft məhsullarında mindən çox boşluğu, o cümlədən bir “sıfır gün” boşluğunu aradan qaldırdı

Microsoft şirkəti Patch Tuesday proqramı çərçivəsində aylıq düzəlişlər və yamalar paketini buraxıb. Yeniləmə Windows 11 sistemində və onun üzərində işləyən tətbiqlərdəki 1094 boşluğu, o cümlədən bir sıfır gün boşluğunu aradan qaldırır.

Sıfır gün boşluğu Outlook poçt müştərisinə təsir edir və CVE-2026-124194 identifikatoru ilə izlənilir. Təhlükəlilik səviyyəsinin nisbətən aşağı — 10 baldan 6,5 bal qiymətləndirilməsinə baxmayaraq, mütəxəssislər ona son dərəcə ciddi yanaşmağa çağırırlar. Hücum sxemi sosial mühəndisliyə əsaslanır: haker qurbana xüsusi fayl göndərir və onu qoşmanı açmağa məcbur edir. Bundan sonra proqram xarici məzmunun yüklənməsi barədə heç bir xəbərdarlıq etmədən hücumçunun serverinə müraciət edir. Bağlantı zamanı NTLMv2 heşi ələ keçirilir və hücumçu onun köməyi ilə sistemdə ələ keçirilmiş istifadəçinin adından avtorizasiyadan keçə bilər.

Microsoft özü CVE-2026-124194 boşluğunun artıq real hücumlarda istifadə edildiyini etiraf edib. Bununla yanaşı, şirkət ənənəvi olaraq təfərrüatları açıqlamır: sistemlərə müdaxilələrin nə vaxt başladığı, onların arxasında kimin dayandığı və giriş əldə edildikdən sonra nələrin baş verdiyi məlum deyil. Yamanın dərc edilməsi əlavə risklər yaradır, çünki artıq digər kibercinayətkarlar yeniləməni əks mühəndislik üsulu ilə araşdıra və qorunmayan müştəriləri tapmaq üçün şəbəkələri kütləvi şəkildə skan etməyə başlaya bilərlər. Administratorlara və istifadəçilərə yeniləməni mümkün qədər tez quraşdırmaq və daxil olan məktublara xüsusi ehtiyatla yanaşmaq qətiyyətlə tövsiyə olunur.

Bundan əlavə, yeni yeniləmə istismarı qurbanın ümumiyyətlə heç bir hərəkət etməsini tələb etməyən zero-click kateqoriyalı iki kritik boşluğu birdən bağlayır. Hər iki problemə — CVE-2026-116928 və CVE-2026-119958-ə — 10 baldan 9,8 ballıq kritik təhlükə reytinqi verilib. Onlardan birincisi — CVE-2026-116928 — Microsoft Windows Search komponentində ayrılmış buferin hüdudlarından kənara çıxma problemidir və bu, kodun uzaqdan icrasına yol açır. Nəzarəti ələ keçirmək üçün avtorizasiyadan keçməmiş hakerin Exchange serverinə zərərli qoşması olan məktub göndərməsi kifayətdir. Sistem daxil olan faylları avtomatik indeksləşdirdiyinə görə, qurbanın hətta mesajı açmasına da ehtiyac yoxdur — hücum fon rejimində işə düşəcək və sistem xidmətinin imtiyazları ilə ixtiyari kodu icra etməyə imkan verəcək. İkinci kritik xəta — CVE-2026-119958 — yaddaşla işləmə zamanı yaranan analoji problemdən qaynaqlanır, lakin bu dəfə LDAP protokolunun reallaşdırılmasında. Sistemi sındırmaq üçün hücumçunun boşluq olan qovşağa xüsusi hazırlanmış şəbəkə sorğusu göndərməsi kifayətdir ki, bu da gələcəkdə domen kontrollerlərinin tamamilə ələ keçirilməsi təhlükəsini yaradır. Həmçinin qeyd etmək lazımdır ki, paket ümumilikdə şəbəkədə insan iştirakı olmadan avtomatik yayıla bilən 30 “qurdvari” boşluğu bağlayır.

Digər ciddi təhlükə Windows Xbox Live Networking Service şəbəkə xidmətində aşkar edilmiş CVE-2026-112967 boşluğu olub. Təhlükəlilik səviyyəsi 10 baldan 9,8 bal qiymətləndirilən bu boşluq kodun uzaqdan icrasına imkan yaradır və hücum üçün nə avtorizasiya, nə də qurbanın iştirakı tələb olunur.