Ноябрьский Patch Tuesday 2026: дыры в Excel и Access, zero-day в Outlook и последний патч .NET 8 и 9
10 ноября 2026 года Microsoft выпустила ноябрьский пакет обновлений безопасности, один из крупнейших за всю историю Patch Tuesday. Под удар попали инструменты, на которых до сих пор держится немало внутренней автоматизации: Excel, Access и Outlook. В тот же день вышли последние патчи для .NET 8 и .NET 9.
Счёт уязвимостей у аналитиков расходится из-за того, учитывать ли отдельно исправления браузера Edge: BleepingComputer насчитал 1235 исправлений, Tenable — 1093 CVE, из них 63 критических. Обе оценки сходятся в главном: одна уязвимость в Outlook уже эксплуатировалась до выхода патча, а в Word и Excel закрыто больше сотни ошибок.
Для команд, которые сопровождают отчёты на VBA, формы в Access и десктопные программы на VB.NET, ноябрьский выпуск лишний раз показывает, сколько стоит такая инфраструктура: каждый месяц её надо латать на каждой машине. Если учёт, заявки или склад годами живут в файле .accdb на общем диске, имеет смысл посчитать, во что обойдётся разработка корпоративного приложения вместо базы Access с нормальными правами доступа и централизованными обновлениями. Ниже — что именно закрыли и что проверить в первую очередь.
Какие уязвимости в Office важны для VBA и Access
По данным Qualys, только критических уязвимостей удалённого выполнения кода в Excel — десять: переполнения буфера в куче и на стеке, двойное освобождение памяти и use-after-free. Все они срабатывают при открытии подготовленного файла. Tenable называет 64 CVE в Excel и 65 в Word. BleepingComputer отдельно выделяет семь уязвимостей удалённого выполнения кода в Microsoft Office Access.
Важная деталь для тех, кто полагается на запрет макросов. Эти ошибки находятся в разборе формата файла, а не в движке VBA. Политика «отключить все макросы без уведомления» здесь не помогает: вредоносной книге макрос не нужен. Особенно уязвимы сценарии, где файлы открываются автоматически: служба на сервере, которая через COM-автоматизацию Excel собирает отчёты из присланных книг, или задание, импортирующее чужие базы Access.
CreateObject("Excel.Application"), этот сервер в ноябре стоит обновить первым.Чем опасен zero-day в Outlook
Единственная уязвимость, которую атаковали до выхода патча, — CVE-2026-124194 в Outlook. Злоумышленник присылает подготовленный файл, и при открытии Outlook подключается к сетевому ресурсу атакующего без обычного предупреждения о внешнем содержимом. Windows автоматически пытается аутентифицироваться, и хеш NTLMv2 пользователя уходит атакующему. Tenable оценивает уязвимость в 6,5 балла CVSS, но перехваченный хеш позволяет выдавать себя за сотрудника в последующих атаках.
Это касается и legacy-приложений: многие старые внутренние программы на VB6 и Web Forms до сих пор используют встроенную аутентификацию Windows через NTLM. Чем шире NTLM разрешён в домене, тем ценнее украденный хеш. Ограничение исходящего NTLM и перевод внутренних сервисов на Kerberos — работа не одного дня, и начинать её стоит с инвентаризации таких приложений.
Что вышло для .NET 8 и .NET 9
В блоге .NET Microsoft перечисляет выпуски 11.0.0, 10.0.15, 9.0.23 и 8.0.34 и 30 закрытых CVE в ASP.NET Core, среде выполнения и Visual Studio. BleepingComputer относит к .NET шесть уязвимостей, а к ASP.NET Core — тринадцать, в основном отказ в обслуживании и повышение привилегий. Для .NET 8 и 9 эти выпуски финальные: поддержка обеих версий закончилась 10 ноября, подробнее — в нашей новости об окончании поддержки .NET 8 и 9.
Две уязвимости требуют больше, чем обновить среду выполнения. CVE-2026-118741 затрагивает шаблоны и scaffolding ASP.NET Core Identity: страницы, сгенерированные раньше, остаются уязвимыми, их нужно перегенерировать или поправить и заново развернуть приложение. Для CVE-2026-118747 отдельно обновляется NuGet-пакет System.Formats.Cbor. Проверка выглядит так:
# Версии среды выполнения на сервере: нужны 8.0.34, 9.0.23 или 10.0.15
dotnet --list-runtimes
# Проекты, которые тянут System.Formats.Cbor напрямую или транзитивно
dotnet list package --include-transitive | Select-String 'System.Formats.Cbor'
# Страницы Identity, сгенерированные scaffolding (кандидаты на перегенерацию)
Get-ChildItem -Recurse -Filter *.cshtml | Where-Object FullName -Match 'Areas.Identity'Для .NET Framework ноябрьские обновления вышли в том же цикле, сайтам на Web Forms они приходят через Windows Update. Как укрепить такой сайт помимо патчей, мы разбирали в материале о защите старых приложений на ASP.NET Web Forms.
Что сделать на этой неделе
- Установить ноябрьские обновления Office на рабочие места и в первую очередь на серверы с COM-автоматизацией Excel и Access.
- Проверить, что почтовые клиенты обновлены, а исходящий NTLM к внешним адресам заблокирован на периметре.
- Обновить .NET до 8.0.34, 9.0.23 или 10.0.15 и пересобрать self-contained-сборки.
- Перегенерировать страницы ASP.NET Core Identity и обновить
System.Formats.Cbor. - Составить список приложений на .NET 8 и 9 с датами перехода на .NET 10.
Если после инвентаризации выяснится, что критичные процессы держатся на десятках книг с макросами, начните с переноса самых нагруженных сценариев: варианты от Power Query до приложения на .NET описаны в статье о замене макросов Excel. А базам Access с веб-формами внутри стоит учитывать ещё один срок — отключение старого контрола Web Browser в 2027 году.
Вопросы о ноябрьских обновлениях
Обязательно ли ставить ноябрьские обновления Office, если макросы в организации отключены?
Да. Уязвимости в Excel и Access, которые закрыл ноябрьский выпуск, относятся к разбору файлов, а не к выполнению VBA. Отключённые макросы не мешают эксплуатации переполнения буфера при открытии специально подготовленной книги или базы. Защищает только установленный патч.
Выйдут ли ещё обновления для .NET 8 и .NET 9?
Нет. Версии 8.0.34 и 9.0.23 от 10 ноября 2026 года — последние. Поддержка обеих версий закончилась в тот же день, новые уязвимости в них Microsoft исправлять не будет. Приложения нужно переводить на .NET 10 с поддержкой до ноября 2028 года.
Что делать с CVE-2026-118741 в шаблонах ASP.NET Core Identity?
Обновить пакеты шаблонов и scaffolding, затем перегенерировать или вручную исправить уже созданные страницы Identity и заново развернуть приложение. По словам Microsoft, одного обновления среды выполнения для этой уязвимости недостаточно: код, сгенерированный раньше, остаётся уязвимым.