„Patch Tuesday” al Microsoft din noiembrie 2026: o vulnerabilitate din cele 1.095 a primit un scor de 6,5 și este ținta unor atacuri

Singura vulnerabilitate a Microsoft exploatată în această lună este clasificată ca fiind de nivel „Moderate” – și are cel mai ridicat nivel de maturitate a exploatării acordat de Microsoft. Aceasta a fost descoperită de un cercetător cu ajutorul inteligenței artificiale și era deja utilizată în mediul real. În același timp, vulnerabilitatea care a dus efectiv la preluarea controlului asupra firewall-urilor în această lună nu aparținea deloc Microsoft.

Pe scurt

Numărul din titlu se referă la CVE-urile clasificate de Microsoft cu un rating de impact, excluzând 267 de CVE-uri ale unor terți republicate (pachetele Azure Linux / Mariner, CVE-urile Chromium atribuite de Google). Inclusiv acestea, documentul conține 1.362 de rânduri. Tenable și Krebs raportează 1.093, ZDI aproximativ 1.090, iar BleepingComputer 1.235, pe baza unor criterii diferite. Datele noastre provin din revizuirea din 11 noiembrie. Luna noiembrie înregistrează o scădere de 23% față de cele 1.418 din octombrie — a doua lună cu un număr de patru cifre, dar nu un nou record.

Lansarea, pe clase de impact

1.095 de vulnerabilități CVE identificate de Microsoft.

Exploatarea privilegiilor reprezintă 49% din vulnerabilitățile identificate și necesită mai întâi un punct de acces. Execuția de cod la distanță este categoria care se manifestă fără un astfel de punct de acces. Tenable numără 287 de produse afectate; cele mai afectate sunt Office Word (65), Office Excel (64) și SQL Server (53).

Ce contează cu adevărat în această lună

Cinci lucruri, în ordinea priorității.

1. Singura vulnerabilitate Microsoft exploatată a obținut un scor de 6,5 — iar Microsoft îi atribuie un nivel ridicat de maturitate a exploatării

Acesta este nivelul maxim al scalei: cod de exploatare larg disponibil și fiabil. CVE-2026-124194 este o vulnerabilitate a aplicației Outlook care duce la scurgerea hash-urilor NTLM, iar scorul CVSS o subestimează deoarece impactul se limitează la confidențialitate și necesită interacțiunea utilizatorului. Din 1.095 de CVE-uri, 1.084 sunt clasificate ca „Neconfirmat” , iar o altă vulnerabilitate se află la nivelul „Dovadă de concept”. CVSS a indicat nivelul „Moderate”. Maturitatea exploitului indică faptul că se poate trece la acțiune imediat.

2. Patch-ul său nu se regăsește în actualizarea cumulativă Windows

Actualizarea este disponibilă în actualizările de securitate — Microsoft 365 Apps for Enterprise și Office LTSC 2021/2024 — nu prin KB5132061. O rețea care implementează pachetul cumulativ lunar pentru Windows și consideră că problema este rezolvată va rămâne în continuare expusă. Termenul limită stabilit de CISA este 24 noiembrie.

3. AI a apărut de ambele părți ale aceleiași luni

Microsoft atribuie descoperirea vulnerabilității din Outlook unui cercetător care lucra „folosind Claude de la Anthropic” — iar vulnerabilitatea era deja exploatată în momentul descoperirii. În același context, atacatorii au folosit asistența oferită de IA pentru a construi lanțul de exploatare php2shell care a preluat controlul asupra firewall-urilor Palo Alto. Atât descoperirea, cât și exploatarea s-au desfășurat într-un ritm accelerat, în cadrul aceluiași ciclu de știri.

4. Adevăratele pagube ale lunii au fost cauzate de PHP, nu de Microsoft

CVE-2026-109618 și CVE-2026-109619 reprezintă vulnerabilități de tip RCE fără autentificare în nucleul PHP — EPSS 0,9999, cel mai ridicat scor dintre toate vulnerabilitățile CVE din această perioadă. Honeypot-ul Amazon a detectat o încercare de exploatare cu patru zile înainte de dezvăluirea publică, în timp ce informațiile erau încă sub embargo. Cel puțin 25 de firewall-uri Palo Alto au fost compromise. Niciuna dintre aceste vulnerabilități nu apare în fluxul Patch Tuesday.

5. Volumul continuă să scadă pe fondul aversiunii față de risc

1.095 de vulnerabilități CVE ale Microsoft, dintre care una a fost exploatată — 0,09%. Datele VulnCheck arată că numărul vulnerabilităților CVE publicate a crescut cu 45% față de aceeași perioadă a anului trecut, în timp ce numărul celor confirmate ca fiind exploatate a crescut cu 10%, iar ponderea celor exploatate a scăzut la 1,4% de la un maxim de 2,7%. Totuși, durata medie de la publicare până la exploatare a scăzut de la 120 de zile la 80. Numărul vulnerabilităților se diluează; timpul până la exploatare se scurtează.

Ghid privind măsurile de atenuare

Cele cinci remedieri Microsoft care necesită un plan, nu doar un patch. Pentru fiecare dintre ele: ce face de fapt un atacator cu aceasta, ce trebuie să verificați în propria infrastructură și ce măsuri trebuie luate după implementarea actualizării.

CVE-2026-124194 — Microsoft Outlook, divulgarea hash-urilor NTLM

EXPLOATAT · CVSS 6,5 · Nivelul de maturitate al exploatului: Ridicat · KEV valabil până la 24 noiembrie 2026 · CWE-356

Microsoft clasifică acest fenomen drept „spoofing”; din punct de vedere funcțional, este vorba de o scurgere de date de autentificare. Un fișier de mesaj special creat determină Outlook să acceseze o locație controlată de atacator fără avertismentul obișnuit privind conținutul extern, iar Windows se autentifică apoi automat, transmitând hash-ul NTLMv2 al utilizatorului. Valoarea 6,5 reflectă doar impactul asupra confidențialității, precum și necesitatea unei interacțiuni — aceasta nu oferă nicio indicație cu privire la valoarea unei date de autentificare de domeniu transmise prin intermediul unui server.

Cum profită atacatorii de această vulnerabilitate

• Trimiteți un fișier cu un mesaj personalizat; utilizatorul îl deschide. Panoul de previzualizare nu este un vector — fișierul trebuie deschis.
• Outlook se conectează la servere externe, iar Windows efectuează autentificarea automată, expunând hash-ul NTLMv2.
• Transmite-l în timp real împotriva oricărui serviciu care nu dispune de semnare SMB/LDAP sau de Protecție extinsă pentru autentificare, sau sparge-l offline, când ai timp.

La ce trebuie să fii atent

• Trafic SMB de ieșire (portul 445) către destinații externe, la scurt timp după deschiderea unui fișier de mesaje.
• Încercări de autentificare NTLM către destinații de pe internet — verificați jurnalul de evenimente „NTLM Operational”.
• Dacă semnarea SMB, semnarea LDAP și EPA sunt efectiv aplicate. Acestea sunt elementele care transformă un hash scurs în urma unei breșe de securitate într-o problemă.
• Nu au fost publicate coduri IOC și nu a fost menționat niciun actor, așa că singura opțiune este identificarea pe baza comportamentului.

Ghid privind măsurile de atenuare

• Instalați actualizarea Office, nu doar pachetul cumulativ Windows. Aplicațiile Microsoft 365 pentru întreprinderi și Office LTSC 2021/2024 conțin remedierea. Aceasta este cea mai probabilă situație în care ați putea crede că ați aplicat patch-ul, dar de fapt nu ați făcut-o.
• Dispozitivele finale înaintea serverelor. Transmiterea se face prin e-mail, iar destinatarul este o persoană.
• Activați semnarea SMB și LDAP, precum și protecția extinsă pentru autentificare, dacă nu ați făcut-o deja. Aceste măsuri împiedică atacurile de tip relay pentru orice variantă viitoare a acestei vulnerabilități, nu doar pentru acest CVE.
• Blocați traficul SMB de ieșire la nivelul perimetrului. Rareori există un motiv legitim pentru acest lucru.

CVE-2026-116928 — Componenta Windows Search, executarea de cod la distanță

CRITIC · CVSS 9,8 · AV:N / PR:N / UI:N · Declanșator: atașament indexat · Nu a fost încă exploatat

RCE înainte de autentificare, fără interacțiune din partea utilizatorului. Detaliul care o diferențiază de celelalte vulnerabilități cu scorul de 9,8: un atașament rău intenționat trimis către un server Exchange este procesat automat în momentul indexării. Nimeni nu deschide nimic. Pentru remedierea completă a vulnerabilității sunt necesare atât actualizarea pentru Windows, cât și cea pentru Exchange.

Cum profită atacatorii de această vulnerabilitate

• Trimiteți un atașament personalizat către orice căsuță poștală de pe un server Exchange pe care este activată indexarea.
• Programul de indexare analizează mesajul și îl execută înainte ca un utilizator să îl vadă.

La ce trebuie să fii atent

• Serverele Exchange pe care este activată indexarea conținutului — adică majoritatea dintre ele.
• Procese-copil neașteptate provenite de la indexatorul de căutare sau de la componentele de transport Exchange.
• Servere de fișiere cu funcția Windows Search activată pe partițiile partajate care acceptă încărcări.

Ghid privind măsurile de atenuare

• Patch atât Windows și Exchange. Jumătate din soluție lasă calea deschisă.
• Tratați-l cu aceeași urgență ca și elementul exploatat — fără autentificare, fără interacțiune și cu un mecanism de livrare pe care fiecare organizație îl utilizează deja.
• Asigură-te că actualizarea a ajuns la toate serverele din DAG, nu doar la cel pe care l-ai testat.

CVE-2026-119958 — Windows LDAP, executarea de cod la distanță

CRITIC · CVSS 9,8 · Scriere în afara limitelor · AV:N / PR:N / UI:N · Nu a fost încă exploatată

Operațiune de scriere neautentificată în afara limitelor permise în serviciul LDAP. Serviciul LDAP rulează pe fiecare controler de domeniu, ceea ce face ca această problemă să fie echivalentul din noiembrie al problemei DNS: serviciul vulnerabil și „comorile coroanei” se află pe același gazdă.

Cum profită atacatorii de această vulnerabilitate

• Trimite trafic LDAP generat manual către un controler de domeniu accesibil. Fără date de autentificare, fără a da clic pe nimic.
• Se execută în contextul serviciului LDAP — pe un DC, adică în directorul propriu-zis.

La ce trebuie să fii atent

• Ce rețele pot atinge 389/636 în centrele tale de date? Răspunsul este, de obicei, „mai multe decât ți-ai dori”.
• Serviciul LDAP se blochează sau se repornește fără să fi avut loc o modificare corespunzătoare.
• DC-uri expuse la segmente de tip „guest”, de acces la distanță sau OT.

Ghid privind măsurile de atenuare

• Mai întâi controlerele de domeniu, înaintea parcului general de servere. Tot restul din director depinde de ele.
• Limitați accesibilitatea LDAP pe durata implementării. Măsurile de control al rețelei vă oferă timp; doar patch-ul remediază eroarea.
• Cât timp sunteți acolo: dacă semnarea LDAP nu este impusă, luna aceasta vă oferă două motive independente pentru a remedia această situație.

CVE-2026-88218 — Vulnerabilitate de tip „ Server ” în DNS-ul Windows, executare de cod la distanță

CRITIC · CVSS 9,8 · AV:N / PR:N / UI:N · 4 vulnerabilități DNS în acest ciclu · Nu a fost încă exploatată

Executarea de cod la distanță fără autentificare în DNS-ul Windows, una dintre cele patru vulnerabilități DNS din acest ciclu și parte din cele 30 de CVE-uri pe care ZDI le consideră exploatabile prin viermi. În majoritatea mediilor de rețea, serviciul DNS Server rulează pe controlere de domeniu, astfel încât această vulnerabilitate se încadrează în aceeași categorie cu vulnerabilitatea LDAP menționată mai sus — ceea ce înseamnă că o singură fereastră de întreținere poate remedia ambele probleme.

Cum profită atacatorii de această vulnerabilitate

• Trimite un pachet personalizat către orice server DNS Windows accesibil.
• Se execută în contextul serviciului DNS; pe un DC co-rezident, aceasta reprezintă o cale directă către compromiterea domeniului.

La ce trebuie să fii atent

• Serverele DNS care împart același gazdă cu Active Directory — efectuați inventarierea înainte de a programa operațiunea, nu în timpul acesteia.
• DNS-ul Windows este accesibil din VLAN-urile utilizatorilor, din zonele de acces la distanță sau de pe internet.
• Celelalte trei vulnerabilități CVE legate de DNS din această versiune; aplicați patch-urile pentru ele ca un tot unitar.

Ghid privind măsurile de atenuare

• Combinați această operațiune cu patch-ul LDAP într-o singură fereastră de întreținere a DC-ului. Prezența a două versiuni 9.8 pe același host justifică devansarea ferestrei.
• „Doar la nivel intern” nu constituie o măsură de atenuare atunci când punctul de acces inițial este un laptop compromis prin phishing.
• Verificați starea serviciului după aplicarea pachetului cumulativ — patru remedieri DNS într-un singur ciclu reprezintă o suprafață de regresie mai mare decât de obicei.

CVE-2026-119952 — Schannel din Windows, executarea de cod la distanță

CRITIC · CVSS 8.1 · Probabilitate ridicată de exploatare · AV:N / PR:N / UI:N · Nu a fost încă exploatată

Schannel este implementarea TLS pentru Windows — aceasta stă la baza oricărui proces care încheie o conexiune criptată. Deși are un scor mai mic decât vulnerabilitățile menționate mai sus, este una dintre foarte puținele evaluări de tip „Exploatare mai probabilă” din această versiune, prin care Microsoft vă indică de unde se așteaptă să provină următoarea exploatare.

Cum profită atacatorii de această vulnerabilitate

• Accesați orice serviciu care utilizează TLS prin Schannel — IIS, RDP, LDAPS, SMB peste TLS.
• Se execută în timpul procesului de stabilire a conexiunii, înainte de finalizarea autentificării.

La ce trebuie să fii atent

• Orice serviciu Windows conectat la internet care încheie o conexiune TLS. Suprafața de expunere este mai extinsă decât ar sugera denumirea oricărui produs în parte.
• Erorile Schannel sau eșecurile de stabilire a conexiunii se acumulează în jurnalele de evenimente ale sistemului.

Ghid privind măsurile de atenuare

• Acordați o pondere mai mare evaluării Microsoft decât celei de 8,1. „Probabilitate mai mare de exploatare” este o apreciere prospectivă; CVSS este o descriere statică.
• Mai întâi terminatoarele TLS conectate la internet, apoi cele interne.
• Nu există nicio soluție alternativă de configurare — Schannel nu poate fi dezactivat. Actualizarea reprezintă singura soluție.

Comunicate de presă ale unor terți

Unde are loc, de fapt, exploatarea. Patruzeci și două dintre cele patruzeci și trei de vulnerabilități CVE pentru care s-a confirmat că au fost exploatate în această perioadă proveneau din afara Microsoft. Nouă dintre acestea sunt dispozitive de tip edge sau de perimetru.

PHP și Palo Alto

php2shell · EPSS 0,9999 · EXPLOATAT

CVE-2026-109618 și CVE-2026-109619 reprezintă vulnerabilități de tip RCE fără autentificare în nucleul PHP, dezvăluite pe 21 octombrie. Una dintre ele corupe memoria în timpul curățării cererii după o situație de epuizare a memoriei; cealaltă reutilizează starea învechită a cererii pe un worker reciclat. Acestea afectează fiecare instalare PHP care servește cereri web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed — mod_php fiind cel mai vulnerabil, deoarece exploatarea are loc înainte ca codul aplicației să fie executat. Remediate în versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35.

Honeypot-ul MadPot al Amazon a înregistrat o încercare de exploatare pe data de 17 octombrie, cu patru zile înainte de dezvăluire și încă sub embargou. Atacatorii au combinat-o cu o vulnerabilitate de escaladare a privilegiilor la nivel de kernel, numită Fragnesia, pentru a implementa shell-uri web cu drepturi de root pe interfețele de administrare ale firewall-urilor Palo Alto; Dream Research a identificat cel puțin 25 de dispozitive compromise. Palo Alto: „Nu este necesară nicio configurație specială pentru a fi afectat.” Conform SecurityWeek, atacatorii au folosit asistență bazată pe inteligență artificială pentru a construi lanțul de atac.

Ivanti

Conectează- Secure · lanț închis · EXPLOATAT

Raportul din octombrie a semnalat că lanțul „Connect Secure ” avea o vulnerabilitate ne remediată. Aceasta a fost acum remediată. CVE-2026-111357 (CVSS 8,8, lipsa autentificării în serviciul de întreținere dsinvoked root) și CVE-2026-118527 (4,3, identificatori previzibili care permit o cursă de încărcare) au fost remediate pe 29 octombrie în versiunile 25.1.1.3 și 22.8R2.6. Ambele au fost introduse în KEV pe 30 octombrie; termenul limită pentru 118527 este 13 noiembrie — peste două zile.

Merită citite detaliile furnizate de Volexity cu privire la UTA0576: etapa „dsinvoked” a rulat o sarcină utilă Python care a modificat temporar o bibliotecă din memorie, a redirecționat o sarcină de întreținere pentru a fi executată ca root, apoi a restabilit configurația inițială și starea memoriei. Fără web shell, fără backdoor persistent — comenzile au fost transmise prin cereri HTTPS repetate. Etapa de post-exploatare a extras parolele de administrator LAPS din Windows și cheile de recuperare BitLocker. Dispozitivul compromis era complet actualizat la momentul respectiv. „Un rezultat curat al verificării integrității nu exclude, în sine, posibilitatea unei compromiteri.”

Adobe

110 CVE-uri · 9 buletine · CRITIC

Adobe Connect este subiectul principal — APSB26-191, 24 de vulnerabilități CVE, dintre care 18 sunt critice, cu un scor CVSS maxim de 10,0 și accesibile prin rețea fără autentificare și fără interacțiunea utilizatorului. ZDI îl numește cel mai mare și mai grav buletin Adobe al lunii. Experience Manager (APSB26-189) adaugă încă 14 vulnerabilități, inclusiv patru cu scorul de 9,9, care necesită doar un cont cu privilegii reduse.

Doar aceste două sunt de Prioritate 2; restul de șapte buletine sunt de Prioritate 3. Niciuna dintre vulnerabilitățile din lotul Adobe al acestei luni nu este exploatată — însă CVE-2026-48356, o vulnerabilitate care permite încărcarea fără restricții a fișierelor în Commerce și Magento, a fost introdusă în KEV pe 27 octombrie cu un scor EPSS de 0,475. Aceasta este a a treia lună consecutivă în care s-a confirmat exploatarea unei vulnerabilități din Adobe Commerce.

SAP

43 de note · 12 știri de ultimă oră · CRITIC

Onapsis vorbește despre un record: 43 de note de securitate noi și actualizate, 12 știri de ultimă oră și patru vulnerabilități cu scor CVSS 10.0, toate neautentificate. Două dintre acestea sunt perechea de vulnerabilități de corupere a memoriei ICM2SHELL — CVE-2026-76964 (NetWeaver AS ABAP) și CVE-2026-89126 (Web Dispatcher și HANA XSA). CVE-2026-89103 este PROXYGATE, o vulnerabilitate legată de controlul accesului defectuos în SAP Gateway, iar CVE-2026-120017 reprezintă lipsa autentificării în furnizorul de servicii NetWeaver SAML2.

Două capcane operaționale. PROXYGATE necesită o modificare manuală a parametrilor profilului după aplicarea patch-ului — patch-ul în sine nu o închide. Iar soluția de ocolire care dezactivează WebSocket pentru ICM2SHELL nu este recomandată în mod explicit de SAP. Cercetătorii au furnizat companiei SAP exploaturi funcționale; nu s-au raportat încă exploatări în mediul real.

Dispozitive Edge

Citrix · SonicWall · Barracuda · EXPLOATATE

Barracuda este cea mai recentă: CVE-2026-116606 (ocolirea autentificării) și CVE-2026-111560 (injectarea de comenzi în sistemul de operare) sunt legate în mod explicit, Barracuda confirmă atacuri asupra „unui număr redus de organizații”, watchTowr a publicat codul de exploatare, iar ambele sunt programate pentru 13 noiembrie.

Vulnerabilitatea SonicWall CVE-2026-19868 (7.1) permite unui utilizator cu date de autentificare valide, altele decât cele SAML, să ocolească autentificarea multifactorială (MFA) impusă de SAML în cadrul SSL-VPN. Nu există soluție provizorie; versiunile de remediere sunt 7.3.4-7013 și 8.2.3-8015, cu lansare prevăzută pentru 20 noiembrie. Citrix a lansat CVE-2026-107406 (CVSS 9,5, NetScaler configurat pentru SAML) pe 8 octombrie, precum și un pachet separat de remedieri php2shell în versiunile 14.1-73.49 / 13.1-64.32, care include și remediile din septembrie și octombrie.

Mozilla Firefox

160 · 99 CVE-uri · FĂRĂ EXPLOATARE

Firefox 160 (MFSA 2026-125) a fost lansat în cadrul Patch Tuesday cu 99 de vulnerabilități CVE — 57 de nivel ridicat, 24 de nivel moderat, 18 de nivel scăzut și niciuna de nivel critic. Au fost lansate simultan și versiunile ESR 115.45 și 153.7, precum și Thunderbird 160 și 153.7. Cele 99 de vulnerabilități dintr-o singură versiune de browser depășesc cu mult media istorică a Mozilla și se încadrează în același model de volum ca și cel al Microsoft, deși Mozilla nu a atribuit public acest lucru descoperirii asistate de IA.

Apple

Un CVE din 2024, exploatat deja · EXPLOATAT

Pe 9 noiembrie, Apple a lansat versiunile 27.2.1, 26.7.3 și 18.7.12 pentru iOS/iPadOS, precum și trei ramuri macOS. Existența a trei ramuri iOS simultane este în sine un semnal — Lee Neely de la SANS: „Îmi atrage atenția când Apple lansează remedieri pentru mai mult de două versiuni.”

Cel mai interesant caz este unul mai vechi. CVE-2024-27834 — o vulnerabilitate de ocolire a autentificării prin pointer cu scor CVSS 5,5, pentru care Apple a lansat un patch în mai 2024 — a fost introdusă în KEV pe 4 noiembrie. Sekoia atribuie exploatarea acestei vulnerabilități grupului APT29 / Midnight Blizzard, realizată prin intermediul unor site-uri legitime compromise și al unei compromiteri a lanțului de aprovizionare al trackerului SEO Plerdy, într-un lanț de tip „zero-click” care se încheie cu un program de furt de informații care sustrage cookie-uri. O vulnerabilitate de gravitate medie, veche de doi ani și jumătate, transformată în armă de către un actor statal.

Ce înseamnă acest lucru dacă efectuați livrări Software

Tendința care caracterizează această lună nu este volumul. Ci faptul că cele două evenimente cu cele mai grave consecințe — descoperirea singurei vulnerabilități exploatate a Microsoft și compromiterea firewall-urilor Palo Alto — au implicat amândouă asistența AI, de partea opusă, la un interval de trei săptămâni una de cealaltă. Un cercetător a folosit-o pentru a identifica o vulnerabilitate care era deja exploatată. Un atacator a folosit-o pentru a construi un lanț de atacuri care a permis preluarea controlului asupra echipamentelor de producție.

Iar ceea ce a dus efectiv la compromiterea sistemelor a fost PHP: o dependență, nu un produs. Esențial este să știi ce se află în produsul tău și pe terminalele tale înainte ca vulnerabilitatea CVE să fie publicată. Acesta este lanțul pe care îl mapează tabloul de bord OESIS Detection & Patching: ce aplicație este instalată, ce vulnerabilități CVE conține și dacă există deja un patch.

Matricea priorităților

Patru categorii, începând cu cea mai gravă. Clasificarea se bazează pe expunere și exploatare, nu pe scorul CVSS — de aceea un scor de 6,5 se află în frunte, iar unul de 10,0 se află la coadă. Analiza se limitează la software-ul pe care majoritatea organizațiilor îl utilizează efectiv; setul complet de date acoperă toate cele 43 de vulnerabilități CVE exploatate și fiecare furnizor din ciclu.

P1 — ACUM În termen de 24 de ore 19 din 43 au fost exploatate

S-a confirmat că a fost exploatată în mediul real — a fost observată, nu prevăzută. Sortate după data cea mai recentă: rândurile de sus reprezintă aspectele care nu au fost acoperite în ciclul anterior.

Rândurile corespunzătoare Microsoft și Chrome nu au valoare EPSS, deoarece modelul nu le evaluase la momentul realizării acestei capturi de ecran. Celelalte 24 de vulnerabilități CVE exploatate se regăsesc în servere media, dispozitive de backup, instrumente pentru dezvoltatori și lotul de vulnerabilități vechi din 8 octombrie; toate cele 43 pot fi căutate în tabloul de bord CVE de la OPSWAT .

P2 — SĂPTĂMÂNA ACEASTA În termen de 72 de ore 12 din 32

Windows, fără autentificare, accesibil prin rețea, fără interacțiune din partea utilizatorului. Nu este nevoie să faceți clic pe nimic pentru ca acestea să vă afecteze expunerea. Rolurile Server sunt pe primul loc — și rețineți că atât DNS, cât și LDAP se află pe controlere de domeniu.

Luna aceasta nu apare coloana EPSS. La momentul realizării acestei capturi de ecran, modelul identificase doar 1 din cele 1.095 de vulnerabilități CVE ale Microsoft — față de o acoperire aproape completă în octombrie, în urma unei rulări efectuate aproape la aceeași oră. Scorurile EPSS sunt furnizate conform propriului program, iar o rubrică cu liniuțe ar indica un risc scăzut, mai degrabă decât lipsa datelor. Oricum, pentru exploatările confirmate, acesta nu a fost niciodată un indicator de clasificare adecvat.

P3 — ACEST CICLU În termen de 7 zile 8 CVE-uri

Sunt critice și accesibile, dar fiecare necesită o condiție prealabilă — o acreditare, o sesiune autentificată, un fișier transmis. Rândul „Proof-of-Concept” se încadrează aici, la categoria „maturitatea exploitului”, indiferent de scorul său.

P4 — NICI O ACȚIUNE Doar informare 4 CVE-uri

Din perspectiva serviciului. Microsoft a remediat aceste vulnerabilități în propria sa infrastructură; clienții nu trebuie să implementeze nimic. Compania realizează lunar un clasament CVSS brut — tocmai de aceea sunt menționate aici, pentru a nu crea confuzie.

Planul de 72 de ore

Ce nu îți spune matricea de priorități.

Ce urmează în calendar

Surse

Mai întâi, avizele furnizorilor principali.

1. Centrul de răspuns la incidente de securitate Microsoft, documentul CVRF 2026-Nov, revizia din 11 noiembrie 2026 — lista canonică CVE, valorile CVSS și vectorii temporali atribuiți de Microsoft.
2. Catalogul CISA al vulnerabilităților cunoscute care au fost exploatate și FIRST EPSS.
3. Zero Day Initiative, Analiza actualizărilor de securitate din noiembrie 2026.
4. Tenable, „Patch Tuesday” din noiembrie 2026 remediază 1.093 de vulnerabilități CVE; Krebs on Security; Rapid7.
5. Avize ale PHP Group privind CVE-2026-109618 și CVE-2026-109619; sistemul de urmărire a produsului php2shell al NCSC-NL; articolul din SecurityWeek despre atacurile asupra Palo Alto.
6. Volexity privind UTA0576 și Ivanti Connect Secure; avize de securitate Ivanti pentru CVE-2026-111357 și CVE-2026-118527.
7. Onapsis, Ziua patch-urilor de securitate SAP, noiembrie 2026.
8. Buletine de securitate Adobe (APSB26-191, -189 și altele).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; avize de securitate Barracuda; The Hacker News despre CVE-2024-27834 și APT29.
11. VulnCheck: vulnerabilități identificate cu ajutorul IA și rate de exploatare.

Metodologie. Numărul menționat în titlu reprezintă CVE-urile clasificate de Microsoft cu un rating de impact în CVRF, excluzând 267 de CVE-uri ale unor terți republicate. Valorile CVSS și de maturitate a exploatării ale Microsoft sunt atribuite de furnizor pe baza CVRF; valorile CVSS ale terților provin de la NVD sau de la furnizor, în cazul în care CISA nu publică una. EPSS este un model de predicție și este raportat, nefiind niciodată utilizat pentru a clasifica exploatările confirmate — în această lună, acesta a evaluat doar una dintre cele 1.095 de vulnerabilități CVE ale Microsoft la momentul extragerii datelor, motiv pentru care este absent din tabelele Microsoft. Matricea de priorități se referă la software-ul enterprise obișnuit; setul de date de bază acoperă toate cele 43 de CVE-uri a căror exploatare a fost confirmată între 8 octombrie și 10 noiembrie, precum și fiecare furnizor din ciclu. Starea de exploatare reflectă KEV-ul CISA și confirmarea furnizorului direct, nu afirmațiile terților.

Date la data de 11 noiembrie 2026. CISA KEV și EPSS sunt actualizate continuu, iar Microsoft revizuiește CVRF după publicare — cifrele prezentate aici reflectă revizuirea din 11 noiembrie și catalogul așa cum era în dimineața respectivă. Recomandările de atenuare sunt generale și derivă din caracteristicile publicate ale fiecărei vulnerabilități; ele nu înlocuiesc testarea în propriul mediu.