Aktivně zneužívané CVSS 9,8 Aktuálně

Patch Tuesday listopad 2026: zneužívaná chyba v Outlooku a kritické díry ve Windows

Microsoft 10. 11. 2026 vydal listopadové bezpečnostní aktualizace. Jedna chyba se už zneužívá: CVE-2026-124194 v Outlooku dovolí útočníkovi získat NTLMv2 hash hesla uživatele, který otevře podvržený soubor se zprávou. Mezi opravami jsou i kritické chyby ve Windows LDAP a Windows Search s CVSS 9,8.

Redakce Kyberkitu · 10. listopadu 2026 · událost ze dne 10. listopadu 2026 · čtení na 5 minut · aktualizováno 12. listopadu 2026 · Pro správce a analytiky

Aktivně zneužívané: Patch Tuesday listopad 2026, CVE-2026-124194, CVSS 9,8

Ve zkratce

Microsoft 10. 11. 2026 vydal Patch Tuesday. V průvodci aktualizacemi je s tímto datem 1 105 záznamů, 63 s hodnocením Kritická. Jako aktivně zneužívanou Microsoft označuje jedinou chybu: CVE-2026-124194 v Outlooku.
CVE-2026-124194 (CVSS 6,5) je spoofing: když uživatel otevře podvržený soubor se zprávou, Outlook se bez obvyklého varování připojí na síťové umístění útočníka a prozradí NTLMv2 hash. S ním se útočník může vydávat za uživatele. Podokno náhledu útočným vektorem není.
Kritické jsou mimo jiné CVE-2026-119958 ve Windows LDAP (9,8, bez přihlášení, přes síť) a CVE-2026-116928 ve Windows Search (9,8): podle Microsoftu stačí poslat e-mail s přílohou, kterou Exchange zpracuje při indexaci. CVE-2026-110043 v Outlooku (8,8) jde zneužít už přes podokno náhledu.
Oprava je v aktualizacích Office (LTSC 2021 build 16.0.14334.21048, LTSC 2024 16.0.17932.21140, Microsoft 365 Apps podle poznámek k vydání) a v kumulativních aktualizacích Windows, např. KB5132061 pro Windows 11 24H2 až 26H2 a KB5131080 pro Windows Server 2025.

Zranitelnosti: CVE-2026-124194, CVE-2026-119958, CVE-2026-116928, CVE-2026-110043

Co se stalo

Microsoft 10. listopadu 2026 vydal pravidelné měsíční bezpečnostní aktualizace (Patch Tuesday). V průvodci aktualizacemi (Security Update Guide) je s tímto datem vydání 1 105 záznamů, z toho 63 s hodnocením Kritická. Počty v médiích se liší podle toho, co kdo započítává (třeba chyby v komponentách třetích stran).

Jako aktivně zneužívanou Microsoft označuje jedinou chybu: CVE-2026-124194 v Outlooku. Veřejně zveřejněnou předem (zero-day bez opravy) neoznačil žádnou.

Technické podrobnosti

CVE-2026-124194 – Outlook prozradí NTLMv2 hash

Údaj	Hodnota (Microsoft)
Typ	spoofing, CWE-356 (rozhraní nevaruje před nebezpečnou akcí)
CVSS 3.1	6,5 (střední), `AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N`
Zneužívá se	ano
Přihlášení útočníka	nepotřebuje
Podokno náhledu	útočným vektorem není

Podle Microsoftu útočník pošle podvržený soubor se zprávou, který uživatel otevře v Outlooku. Outlook se pak připojí na síťové umístění pod kontrolou útočníka, aniž by zobrazil obvyklé varování před externím obsahem. Při tomto připojení Windows odešlou NTLMv2 hash přihlášeného uživatele. S ním se útočník může ověřit jako tento uživatel, nebo se pokusit hash prolomit offline.

Microsoft nezveřejnil, jaký typ souboru ani jaký protokol útočníci používají. Návod ke zneužití tu z principu neuvádíme.

Další vážné chyby

CVE	Komponenta	CVSS 3.1	Podstata podle Microsoftu
CVE-2026-119958	Windows LDAP	9,8	sada podvržených volání LDAP spustí kód v kontextu služby LDAP, bez přihlášení
CVE-2026-116928	Windows Search	9,8	e-mail s podvrženou přílohou; Exchange přílohu automaticky zpracuje při indexaci, příjemce nemusí nic otevřít
CVE-2026-110043	Outlook	8,8	podvržený e-mail; útočným vektorem je i podokno náhledu

Žádná z nich se podle Microsoftu k 10. 11. 2026 nezneužívá. CVE-2026-119958 je typu zápis mimo hranice paměti (CWE-787) a týká se všech podporovaných Windows, prakticky nejvíc řadičů domény, které LDAP poskytují. U CVE-2026-116928 Microsoft výslovně popisuje cestu přes Exchange, který přílohy indexuje bez zásahu uživatele.

Řetězec útoku podle popisu Microsoftu (zjednodušeno)

Koho se to týká

CVE-2026-124194 (Outlook) – Microsoft uvádí tyto produkty a opravené verze:

Opravené buildy podle průvodce aktualizacemi Microsoftu (10. 11. 2026)

CVE-2026-119958 (LDAP) a CVE-2026-116928 (Windows Search) – Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) a Windows Server 2016, 2019, 2022 a 2025 včetně instalace Server Core.

Jak poznat napadení

Microsoft k CVE-2026-124194 nezveřejnil indikátory napadení ani podrobnosti o útocích. Z popisu chyby podle nás vyplývá, co hledat:

Odchozí spojení z OUTLOOK.EXE na adresy v internetu přes SMB (TCP 445) nebo WebDAV (HTTP/HTTPS), hlavně krátce po otevření přílohy nebo souboru se zprávou.
Logy firewallu a proxy: odchozí TCP 445 z pracovních stanic mimo firemní síť by neměl projít vůbec.
Přihlášení NTLM (událost 4624, balíček ověřování NTLM) z neobvyklých adres pod účty uživatelů, kteří podezřelou zprávu dostali.
Soubory se zprávami (například .msg, .eml) přijaté jako přílohy od neznámých odesílatelů.

Adresy a domény z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči. Pokud najdete spojení na cizí server, změňte heslo dotčeného účtu.

Kdo používá Snort nebo Cisco Secure Firewall, aktualizujte sadu pravidel: Cisco Talos 11. 11. 2026 vydal pravidla pro Snort 2 i Snort 3 k chybám z listopadového Patch Tuesday (čísla SID jsou v článku Talos). Pravidla jsou doplněk aktualizace, ne její náhrada.

Co udělat

Aktualizujte Office. Microsoft 365 Apps a Office LTSC se obvykle aktualizují samy přes Klikni a spusť; ověřte build v Outlooku (Soubor → Účet Office → O aplikaci Outlook) proti tabulce výše.
Nainstalujte kumulativní aktualizace Windows: Windows 11 24H2, 25H2 a 26H2 KB5132061, 23H2 KB5131087, 26H1 KB5132059; Windows 10 21H2/22H2 KB5131096; Windows Server 2025 KB5131080 (hotpatch KB5131077), 2022 KB5131090, 2019 KB5131085, 2016 KB5131291.
Přednostně opravte řadiče domény (LDAP), servery Exchange a stroje, na kterých běží indexace pošty (Windows Search), a počítače uživatelů s Outlookem.
Blokujte odchozí SMB (TCP 445) do internetu na hraničním firewallu a zvažte omezení odchozího NTLM a zařazení privilegovaných účtů do skupiny Protected Users (naše doporučení, Microsoft je k této chybě neuvádí).
Po aktualizaci zkontrolujte logy podle předchozí části za posledních několik týdnů.

Časová osa

Vydání oprav a zveřejnění záznamů (Microsoft, NVD, CISA)

Aktualizace

12. 11. 2026 – Výzkumník zveřejnil veřejný exploit SignDrop na novou chybu v ovladači CLFS (lokální eskalace na SYSTEM). Vyšel až po listopadových aktualizacích a Microsoft k ní opravu nevydal, takže ji tyto aktualizace neřeší. Podrobnosti a doporučení v článku SignDrop: neopravená chyba v CLFS.
11. 11. 2026, večer – NVD dokončil analýzu CVE-2026-124194. Jako dotčené vede Microsoft 365 Apps for Enterprise a Office LTSC 2021 a 2024 (32 i 64 bit), tedy stejné produkty jako Microsoft v tabulce výše. Vlastní hodnocení CVSS NVD nepřidal, platí 6,5 od Microsoftu (CWE-356). Nové indikátory napadení ani podrobnosti o útocích Microsoft ani CISA nezveřejnili.
11. 11. 2026 – Cisco Talos vydal pravidla Snort 2 a Snort 3 k listopadovým chybám Microsoftu (doplněno do části Jak poznat napadení). Microsoft dál hlásí jako zneužívanou jen CVE-2026-124194.
10. 11. 2026, večer – CISA zařadila CVE-2026-124194 (Outlook) do katalogu známých zneužívaných zranitelností (KEV), federální úřady USA ji musí opravit do 24. 11. 2026. Použití při ransomwaru katalog vede jako neznámé. Microsoft ani CISA indikátory napadení nezveřejnili.
10. 11. 2026 – první verze článku.

Časté otázky

Chyba v Outlooku má jen střední hodnocení. Proč spěchat?

Protože se podle Microsoftu už zneužívá. Získaný NTLMv2 hash útočník může prolomit offline nebo ho použít k přihlášení jménem uživatele k dalším službám. Hodnocení CVSS říká, jak vážná je chyba sama o sobě, ne jak rychle po ní útočníci jdou.

Stačí, když uživatelé nebudou otevírat přílohy?

Nestačí. Útok podle Microsoftu potřebuje otevření podvrženého souboru, to se ale v praxi dá vynutit dobře napsanou zprávou. Spolehlivá ochrana je aktualizace. Blokování odchozího SMB do internetu a omezení NTLM jsou dobrá opatření navíc.

Používáme Outlook na webu nebo v mobilu. Týká se nás to?

Microsoft uvádí jako dotčené jen desktopový Outlook v Microsoft 365 Apps for Enterprise a Office LTSC 2021 a 2024. Webový a mobilní Outlook v seznamu nejsou.

Máme Office 2016 nebo 2019. Kde je oprava?

Microsoft tyto verze u CVE-2026-124194 neuvádí a jejich podpora skončila 14. 10. 2025. Bezpečnostní opravy pro ně nevycházejí; přejděte na podporovanou verzi.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.