„Outlook“ naudotojams – perspėjimas: „Microsoft“ ištaisė spragą, kuri jau naudojama atakose

Sekite TechNaujienos Google

„Microsoft“ lapkričio 10 dieną paskelbė naują saugumo atnaujinimų paketą, kuriame ištaisyta ir „Outlook“ spraga CVE-2026-124194. Oficialiuose duomenyse patvirtinta, kad pažeidžiamumas jau naudojamas realiose atakose, todėl jį verta vertinti rimčiau nei daugelį vien teoriškai aptiktų klaidų. Problema susijusi su tuo, kad programos sąsaja ne visada tinkamai perspėja apie potencialiai nesaugų veiksmą. Dėl to užpuolikas gali bandyti pasinaudoti tinklo sąveika ir atskleisti autentifikavimo informaciją.

Ši naujiena svarbi Lietuvos įmonėms, valstybės įstaigoms ir visiems žmonėms, kurie naudoja pažeidžiamas „Office“ bei „Outlook“ versijas. Tačiau tai nereiškia, kad bet kuris gautas laiškas automatiškai užvaldo kompiuterį. Gamintojo pateiktas CVSS įvertinimas siekia 6,5 balo – vidutinio sunkumo lygį. Pataisos svarbą padidina faktas, kad ją išnaudoja užpuolikai. JAV kibernetinio saugumo agentūra CISA šią CVE įtraukė į žinomų išnaudojamų pažeidžiamumų katalogą.

Kaip veikia pavojinga „Outlook“ spraga

Pažeidžiamumas siejamas su nepakankamu įspėjimu apie veiksmą, kuriam vartotojas įprastai turėtų suteikti aiškesnį leidimą. Tam tikru scenarijumi specialiai parengta medžiaga gali paskatinti „Outlook“ jungtis prie išorinio tinklo resurso, o tai gali lemti autentifikavimo atsako atskleidimą. Techniniuose aprašuose minimas NTLMv2 atsakas. Jis nėra tas pats, kas paprastu tekstu užrašytas slaptažodis, tačiau priešiškoje aplinkoje gali būti panaudotas kitam prisijungimo bandymui arba paskyros kompromitavimo grandinei.

Oficialūs pažeidžiamumo įrašai nurodo, kad numatyta vartotojo sąveika. Taigi nėra pagrindo vadinti šios klaidos universalia „zero-click“ ataka, veikiančia be jokio vartotojo veiksmo. Pažeidžiamos tam tikros „Microsoft 365 Apps for Enterprise“, „Office LTSC 2021“ ir „Office LTSC 2024“ versijos. Tikslų paveiktų leidimų ir pataisų sąrašą reikėtų tikrinti „Microsoft Security Response Center“ dokumentacijoje, nes skirtingoms organizacijoms diegimo kanalai gali skirtis.

Naujausi straipsniai

4 min. skaitymo • prieš 2 val

„Microsoft Edge“ pradėjo ieškoti nuolaidų už pirkėją: nauji įrankiai lygina kainas ir kuponus

4 min. skaitymo • prieš 2 val

„Apple TV“ pristato naują funkciją kurtiesiems: filmai turės gestų kalbos vertimo pasirinkimą

4 min. skaitymo • prieš 2 val

Europoje pirmąkart 3D spausdinta atvirame kosmose: palydove per pusvalandį sukurta konstrukcija

Visi naujausi straipsniai →

Kibernetinio saugumo specialistai paprastai sprendžia apie prioritetus ne vien pagal balą. Kai pažeidžiamumas jau aktyviai išnaudojamas, pataisos diegimas tampa svarbesnis net jei oficialus įvertinimas nėra kritinis. CISA įtraukimas į žinomų išnaudojamų spragų katalogą suteikia papildomą patvirtinimą, kad rizika nėra vien laboratorinė hipotezė. Tačiau jokie šaltiniai neleidžia teigti, kad ataka jau paveikė konkrečius Lietuvos bankus, institucijas ar verslo įmones.

Ką gali padaryti Lietuvos vartotojai ir IT administratoriai

Pirmasis žingsnis – atnaujinti „Office“ programų rinkinį naudojantis gamintojo arba organizacijos patvirtintu atnaujinimų kanalu. Įmonėms vertėtų patikrinti kompiuterių inventorių ir užtikrinti, kad atnaujinimas pasiektų ne tik pagrindinio biuro, bet ir nuotoliu dirbančių darbuotojų įrenginius. Taip pat verta riboti nereikalingus autentifikavimo ryšius į išorinius serverius ir stebėti neįprastus bandymus jungtis prie tinklo resursų. Tikslesnes priemones reikėtų parinkti pagal naudojamą infrastruktūrą.

Darbuotojams verta priminti atsargiai vertinti nepažįstamus el. laiškų priedus ir netikėtus failus, kurie prašo atidarymo per „Outlook“. Kelių veiksnių autentifikavimas yra svarbus apsaugos sluoksnis, bet jis savaime nepašalina visų NTLM ar el. pašto klientų spragų. Todėl technologiniai atnaujinimai, darbuotojų mokymai ir tinklo apsauga turi veikti kartu. Jei įtariamas incidentas, būtina jį perduoti atsakingam specialistui, o ne bandyti savarankiškai keisti visus darbo kompiuterio nustatymus.

Tokios problemos nėra vien „Microsoft“ išskirtinumas. Šią savaitę rašėme apie „Android“ sistemos saugumo pataisas ir „SonicWall“ VPN pažeidžiamumą. Apie Lietuvos įmonių reagavimo pasirengimą pasakojome ir kibernetinio saugumo pratybų apžvalgoje.

Šio atvejo pamoka aiški: net oficialiai „vidutinio“ sunkumo spraga gali būti pavojinga, jei užpuolikai jau rado būdą ją išnaudoti. Todėl saugumo atnaujinimų planas turėtų būti grindžiamas realiu incidentų kontekstu, o ne vien deklaruojamu reitingu. „Microsoft“ paskelbta pataisa yra prieinama pagal paveiktos programinės įrangos versiją, ir jos diegimo nereikėtų atidėlioti vien todėl, kad iki šiol kompiuteris veikė įprastai.

Įmonės, naudojančios centralizuotą programinės įrangos administravimą, turėtų ne tik patikrinti pataisos paskirstymą, bet ir tai, ar darbuotojų kompiuteriai tikrai ją įdiegė. Vien suplanuotas atnaujinimo užduoties paleidimas gali nieko nereikšti, jei įrenginys ilgai buvo išjungtas arba prisijungęs prie netinkamos tinklo aplinkos. Saugumo komandoms taip pat naudinga peržiūrėti pastarųjų dienų neįprastus išorinius autentifikavimo ryšius, atsižvelgiant į jų įprastą incidentų valdymo procedūrą.

Ši CVE parodo, kodėl rizikos valdymas negali remtis vien paprastu kritiškumo slenksčiu. Vidutinis balas nereiškia, kad spraga nereikšminga, ypač jei patvirtintas jos aktyvus išnaudojimas. Pataisos pirmumas gali priklausyti ir nuo to, ar programa naudojama tinkle su jautriais vidiniais resursais, ir nuo to, kiek paskyrų galėtų būti paveikta.

Šaltiniai: „Microsoft“ oficiali spragos CVE-2026-124194 suvestinė; CISA aktyviai išnaudojamų spragų katalogas.