CVE-2026-124194 в Outlook: какие версии проверить и как подтвердить обновление

10 ноября Microsoft выпустила исправление CVE-2026-124194 для настольного Outlook. В тот же день CISA внесла уязвимость в каталог известных эксплуатируемых уязвимостей. Если в организации используются затронутые выпуски Office, начните с инвентаризации настольных клиентов и проверки фактических сборок. Ни версия Windows, ни название почтового сервера сами по себе не отвечают на вопрос, установлено ли исправление Outlook. Запись Microsoft · Каталог CISA

Кого затрагивает CVE-2026-124194

В записи Microsoft указаны 32- и 64-разрядные версии Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024 до исправленных сборок. Проверка нужна командам, у которых установлен Outlook из этих пакетов. Сам факт использования Exchange, Outlook в браузере или сервиса Microsoft 365 не позволяет определить, какой настольный клиент установлен на рабочих станциях. Применимость устанавливают по локальному инвентарю. Перечень затронутых продуктов Microsoft

По оценке Microsoft уязвимость относится к классу spoofing и требует действия пользователя. Запись также указывает высокий потенциальный ущерб для конфиденциальности и базовую оценку CVSS 6,5. Для приоритета внутри компании учитывайте и то, что CISA зафиксировала эксплуатацию. Публичный бюллетень не определяет, сколько организаций пострадало и в каких странах. Практическая применимость в СНГ определяется наличием затронутых настольных выпусков, в том числе в смешанных средах, где почту уже перевели на другого поставщика, а часть рабочих мест по-прежнему использует Outlook. Запись Microsoft · Каталог CISA

Какие сборки проверять

Выпуск Office	Ориентир по обновлению от 10 ноября
Office LTSC 2021, корпоративная лицензия	Версия 2108, сборка 14334.21048
Office LTSC 2024, корпоративная лицензия	Версия 2408, сборка 17932.21140
Microsoft 365 Apps for Enterprise	Сборка для фактического канала и версии из бюллетеня Microsoft. Например, для Current Channel версии 2610 указана сборка 20527.20196

Если установлен Microsoft 365 Apps for Enterprise, сначала узнайте канал и ветку. Для Monthly Enterprise Channel Microsoft, например, указала для версии 2610 сборку 20527.20194, для версии 2609 — 20430.20264. Сравнение с номером для Current Channel может дать ошибочный результат. Для более свежей сборки сверяйтесь с историей обновлений своей ветки, чтобы убедиться, что она включает ноябрьское исправление. Сохраните ссылку на строку бюллетеня, которой пользовались. Ноябрьские обновления Office · История обновлений Office LTSC 2021 · История обновлений Office LTSC 2024

У двух рабочих мест может быть одна и та же надпись «Outlook», но разный порядок обновления. Например, бухгалтерия использует Office LTSC 2021, а часть проектной команды работает в Microsoft 365 Apps for Enterprise. Для первой группы можно сверить сборку с отдельной историей LTSC. Для второй сначала нужен канал обновлений, который организация назначила устройству. Если карточка инвентаря показывает только «Office 16», попросите администратора собрать точную сборку и редакцию. Общий номер семейства годится для первого поиска, но слишком груб для подтверждения исправления.

Отдельно проверьте устройства, где установлен старый выпуск Office, отсутствующий в списке Microsoft по этой CVE. Из отсутствия в перечне нельзя вывести, что неподдерживаемый клиент проверен на этот дефект и безопасен. Для таких установок заведите отдельный список, сверяйте жизненный цикл продукта и согласуйте обновление или вывод из эксплуатации. Эта работа может занять больше времени, чем установка ноябрьского пакета на поддерживаемых версиях, поэтому её удобно вести отдельной задачей. Сведения Microsoft об обновлениях Office

Как подтвердить установку исправления

Соберите список устройств. Возьмите отчёт из используемой системы управления рабочими станциями. Для каждой записи нужны устройство, владелец или группа, продукт, канал, версия и сборка, время последнего опроса. Отдельно отметьте устройства вне сети, виртуальные рабочие места и общие компьютеры. При клонировании виртуальных машин проверьте также исходный образ, чтобы новые рабочие места создавались с исправлением.

Проверьте несколько устройств вручную. В классическом Outlook откройте «Файл» и «Учётная запись Office», затем сведения о приложении. Сопоставьте название продукта и номер сборки с централизованным отчётом. Если меню обновления управляется администратором, используйте принятый в компании механизм развёртывания. На рабочих местах с ограниченным доступом к внешним ресурсам проверяйте поступление пакета через ваш утверждённый канал обновлений. Инструкция Microsoft по обновлению Office

Проведите пробную установку. Возьмите небольшую группу с разными версиями Office и привычными почтовыми сценариями. После обновления проверьте, что приложения запускаются, отправка и получение почты работают, а сборка действительно изменилась. Затем расширьте развёртывание по своему регламенту. Для исключений заведите владельца и срок следующей попытки. На очередной сверке отличайте сбой установки от ситуации, когда ноутбук ещё не вышел на связь.

Подтвердите результат вторым измерением. Например, система управления может показывать «пакет доставлен», хотя приложение ещё работает со старой сборкой. Для закрытия задачи используйте фактический номер и время опроса. Если перезапуск приложения нужен по вашей процедуре, перепроверьте сборку после него. Отдельно соберите остаток по группам, чтобы следующий администратор мог восстановить картину без переписки с каждым владельцем.

Представим парк из 120 рабочих мест. После первой волны на 104 устройствах опрос показывает подходящую сборку, 11 отсутствуют в сети, а ещё 5 вернули ошибку. В отчёте подтверждённое покрытие — 104 из 120. Для 11 устройств следующий шаг — обновление при выходе на связь с повторной проверкой. Для 5 с ошибкой нужен ответственный за диагностику и повторное развёртывание. Цифры иллюстрируют метод учёта. Каждая группа заканчивается проверкой установленной сборки.

Как вести исключения

Для каждого устройства, где пока нельзя подтвердить исправление, запишите причину. Например, ноутбук находится вне сети, сборка не обновилась после штатной установки или администратор ещё не подтвердил канал. Следующая проверка для этих случаев будет разной. Ноутбук проверяют при следующем подключении. При ошибке установки собирают сведения о развёртывании и назначают повторную попытку. Неизвестный канал выясняют по политике управления Office и сверяют с данными на устройстве.

Для виртуальных рабочих столов ведите отдельный учёт базовых образов и уже запущенных рабочих мест. Обновлённый образ влияет на новые экземпляры после его подключения, а существующие экземпляры могут продолжать работать на старой сборке. Зафиксируйте, на каком пуле и когда образ вступил в действие, а затем проверьте несколько фактически запущенных сессий. Если образ обновляется внешней командой, попросите её прислать номер сборки и дату публикации образа. Ответ можно приложить к отчёту, а установленную версию всё равно полезно проверить на своей стороне.

Что сделать, если рабочее место вызывает подозрение

Если пользователь сообщил о подозрительном письме и есть основания полагать, что оно связано с этим риском, начните с внутренней процедуры реагирования. Зафиксируйте время сообщения и устройство, передайте сведения ответственной команде и сохраните письмо и доступные журналы предусмотренным для расследования способом. Пусть ИБ сопоставит время с доступными событиями на рабочей станции и в системах аутентификации. Установка обновления закрывает известную уязвимость на устройстве. Проверка возможного предыдущего инцидента остаётся отдельной задачей.

В плане реагирования полезно заранее указать, кто принимает решение об ограничении доступа, кто может временно изолировать устройство и кто подтверждает восстановление обычной работы. На основании результатов расследования администраторы определяют, требуется ли сменить конкретные учётные данные, проверить связанные входы или завершить затронутые сеансы. Учитывайте тип учётной записи и системы, в которых она используется. Сначала подтвердите основания, поскольку массовый сброс паролей затрагивает и службы, которые могут зависеть от тех же учётных данных.

Если актуальное обновление пока не удаётся доставить на часть рабочих мест, документируйте исключение и согласуйте с ИБ временные ограничения по внутреннему регламенту. Укажите срок, владельца, критерий выхода из исключения и способ убедиться, что сборка изменилась. При сообщении о возможном инциденте назначьте отдельный номер задачи для расследования. Так в одном отчёте не смешаются два разных результата: обновление ПО и установление факта злоупотребления.

Для сообщения сотрудникам достаточно объяснить, куда передать подозрительное письмо и какие данные пригодятся службе поддержки. Например, сотрудник может указать время получения письма и имя устройства. Если почтовая система уже поддерживает кнопку сообщения о фишинге, используйте действующий процесс. Инструкция для коллег должна идти через привычный внутренний канал, чтобы просьба обновить Office сама не выглядела как предложение скачать вложение из неизвестного письма.

В журнале расследования полезно отмечать степень уверенности. Само получение письма, открытие вложения, обнаружение необычной активности и подтверждённое злоупотребление — разные результаты. Для каждого результата нужны свои свидетельства и действия. При отсутствии нужной телеметрии зафиксируйте, какой период или тип событий проверить невозможно. Это поможет ИБ выбрать последующие меры и сохранить точность отчёта при передаче дела другой смене.

Как передать задачу между ИТ и ИБ

Пусть ИТ ведёт инвентарь и раскатку, ИБ задаёт порядок обработки подозрительных событий, а владелец рабочих мест подтверждает допустимое окно обслуживания. Для первого совещания достаточно четырёх вопросов. Сколько устройств попадает в область проверки? Где уже видна нужная сборка? Где есть исключения и на какой срок? Какие сообщения пользователей переданы в расследование? Ответы лучше хранить в одном трекере с датой, чтобы при смене дежурного команда понимала, что именно проверено.

При смешанном парке группируйте устройства по версии Office, а не по названиям подразделений. У бухгалтерии и отдела продаж может быть один канал обновлений, а два устройства одной команды могут работать на разных выпусках. Если часть сотрудников пользуется браузером, а часть запускает настольный Outlook, проверяйте наличие установленного клиента через инвентарь. Даже редко используемая установка может оставаться в зоне ответственности ИТ.

Если подрядчик обслуживает часть парка, согласуйте с ним формат подтверждения до начала развёртывания. Просите выгрузку сборок по управляемой группе с отметкой времени и перечнем исключений. Для совместных рабочих мест заранее назначьте одного владельца проверки, чтобы устройство не выпало из обоих списков. У одного номера сборки может быть несколько источников, например отчёт управления, ручная сверка и журнал установки. Для итогового решения используйте источник, который показывает текущее состояние самого приложения.

В итоговом отчёте приведите дату сверки, число проверенных устройств, число подходящих сборок и остаток с владельцами. Отдельно отметьте обращения в ИБ и их статус. По такому отчёту можно воспроизвести проверку через несколько дней, когда вернутся устройства вне сети или обновится базовый образ. Ноябрьское исправление считается подтверждённым на конкретном устройстве после повторной инвентаризации с правильной сборкой для его выпуска Office.

Частые вопросы

Рекомендуем к прочтению

• Кто владеет корпоративными секретами: RACI-матрица для ИТ и бизнеса
• Инвентаризация корпоративных паролей перед миграцией: таблица и план работ
• Заявки на временный доступ к паролям подрядчиков: шаблон процесса