微软11月补丁星期二值得关注的漏洞，含1个0day

CVE-2026-124194 是Microsoft Outlook 中已遭活跃利用的欺骗漏洞，虽然被标记为欺骗漏洞，但影响比名称所示更大。攻击者发送一个特殊构造消息文件，并说服用户打开它，Outlook 随后会连接到攻击者控制的网络位置，而不显示通常的外部内容警告，从而泄露用户的 NTLMv2 哈希。如此攻击者可以利用该哈希以用户身份进行身份验证。预览窗格不是攻击向量，CVSS 评分仅为 6.5，因此不要被这个分数麻痹。

ZDI 在文章中提到，可蠕虫漏洞是指无需身份验证或用户交互，可导致未经身份验证的攻击者通过网络执行代码的漏洞。上个月有 59 个符合这一定义，11月共有 30 个符合该定义。虽然其中的13 个漏洞并未在描述中透露这一条件，但摘要和 CVSS 向量（AV:N/PR:N/UI:N）描述相同。

这些漏洞如下：

• 消息队列（5 个）：CVE-2026-116710、119963、119964、109459、119967

• DNS（4 个）：CVE-2026-81384、96092、96177、88218

• 各两个（8 个）：颜色管理（CVE-2026-96067、96078）、DHCP 服务器（CVE-2026-88243、72998）、DirectMusic（CVE-2026-95882、95901）和 Xbox（CVE-2026-112967、66801）

• 各一个（13 个）：Exchange Server（CVE-2026-116928）、LDAP（CVE-2026-119958）、Schannel（CVE-2026-119952）、CredSSP（CVE-2026-119962）、部署服务（CVE-2026-119951）、IIS（CVE-2026-119961）、NAT（CVE-2026-113862）、RPC 运行时（CVE-2026-118737）、媒体基础（CVE-2026-96157）、iSCSI（CVE-2026-88234）、虚拟筛选平台（CVE-2026-95962）、eSCL 扫描程序（CVE-2026-95956）和新式设备管理（CVE-2026-119945）。

作者提到，由于一些公告中细节较少因此可能判断有误，但仍然建议尽快测试并部署这些补丁，尤其是 DNS、DHCP、LDAP 和 Exchange 等面向网络的服务。

CVE-2026-116928 是位于Windows Search 中的远程代码执行 (RCE) 漏洞。Windows Search可从 Exchange Server 触达。该漏洞可导致未经身份验证的攻击者发送一封带有特殊构造的附件的电子邮件，当服务器自动索引该附件时触发漏洞。收件人无需打开任何内容。这是针对高价值目标的零点击代码执行漏洞。它的 CVSS 评分为 9.8，明显比 Exchange 本月收到的九个补丁中的任何一个都更严重。

CVE-2026-119958是位于Windows LDAP轻量目录访问协议中的远程代码执行漏洞，可导致未经身份验证的攻击者通过网络发送特殊构造的 LDAP 调用，利用越界写入（CWE-787），且无需用户交互。由于它会在 LDAP 服务上下文中运行代码，可能具有相当大的破坏性，尤其是在域控制器上更是如此，所以应尽快测试并部署该补丁。

CVE-2026-119990 是 Azure OpenAI 权限提升漏洞，且Microsoft 已修订该公告，表示无需客户采取任何操作即可遭利用。目前没有缓解措施、应变方法或客户应采取的步骤。常见问题解答称，未经身份验证的攻击者可以通过互联网向受影响的 Azure OpenAI 服务发送特殊构造的请求，无需账户或用户交互。影响包括访问编排信息、更改工作流或服务中断。

CVE-2026-119952 是Windows Schannel 远程代码执行漏洞，可导致未经身份验证的攻击者通过网络利用任意代码，且无需用户交互。微软将该漏洞评为“更可能被利用”，是少数带有该评级的严重补丁之一。该漏洞的攻击复杂度被列为高，因此 CVSS 评分低于其它漏洞。

CVE-2026-95962 是位于 Windows 虚拟筛选平台（VFP）中的远程代码执行漏洞。该漏洞的特殊之处在于它位于一个文档较少的组件中。这不是 VFP 的第一个 CVE，但似乎是第二个。它是一个释放后使用漏洞，可导致未经身份验证的攻击者通过网络向受影响服务发送特制数据包，从而在受影响目标上获得代码执行，无需身份验证或用户交互。虽然这里存在竞争条件，但在 Pwn2Own 中经常看到这类条件可被绕过，因此值得关注。

CVE-2026-112967 是位于Windows Xbox Live 网络服务中的远程代码执行漏洞，CVSS评分为9.8。该漏洞是一个堆溢出，无需身份验证或用户交互。微软表示，攻击者可以“通过网络内攻击者调用任意端点获得远程代码执行”。