A Microsoft 2026. novemberi „Patch Tuesday” frissítése: az 1 095 biztonsági rés közül egy 6,5-ös értékelést kapott, és jelenleg is támadás alatt áll

A Microsoft egyetlen, ebben a hónapban kihasznált sebezhetősége „Közepes” besorolást kapott – és a Microsoft által kiadott legmagasabb kihasználhatósági besorolással rendelkezik. Ezt egy mesterséges intelligenciát alkalmazó kutató fedezte fel, és a sebezhetőséget már a valós környezetben is kihasználták. Eközben az a hiba, amely ebben a hónapban ténylegesen támadta meg a tűzfalakat, egyáltalán nem a Microsofté volt.

Egy pillantásra

A bejegyzések száma a Microsoft által hatásfokozat-besorolással ellátott CVE-ket jelenti, kizárva a 267 újraközölt, harmadik féltől származó CVE-t (Azure Linux / Mariner csomagok, a Google által hozzárendelt Chromium CVE-k). Ezeket is beleértve a dokumentum 1 362 sort tartalmaz. A Tenable és a Krebs 1 093-at, a ZDI körülbelül 1 090-et, a BleepingComputer pedig 1 235-öt jelent, eltérő alapon. Adataink a november 11-i frissítésből származnak. A novemberi szám 23%-os csökkenést jelent az októberi 1 418-hoz képest – ez a második négyjegyű hónap, de nem új rekord.

A kibocsátás hatástípus szerinti bontásban

1 095, a Microsoft által közzétett CVE.

A jogosultságok kiterjesztése a sebezhetőségek 49%-át teszi ki, és ehhez először be kell jutni a rendszerbe. A távoli kódfutás az a típusú támadás, amelyhez nincs szükség ilyen bejutásra. A Tenable 287 érintett terméket számolt össze; ezek közül a leginkább érintettek az Office Word (65), az Office Excel (64) és az SQL Server (53).

Ami ebben a hónapban igazán számít

Öt dolog, fontossági sorrendben.

1. Az egyetlen kihasznált Microsoft-sebezhetőség 6,5 pontot kapott — a Microsoft pedig a kihasználhatóság érettségi szintjét „magasnak” minősíti

Ez a skála legfelső szintje: széles körben elérhető, megbízható kihasználási kód. A CVE-2026-124194 egy Outlook-sebezhetőség, amely NTLM-hashértékeket szivárogtat ki, és a CVSS alulértékeli, mivel a hatása kizárólag a titkosságot érinti, és felhasználói beavatkozást igényel. Az 1 095 CVE-ből 1 084-et „Nem bizonyított” minősítésű, egy pedig „Proof-of-Concept”kategóriába tartozik. A CVSS „Közepes” minősítést adott. A kihasználási érettségi szint szerint azonnal cselekedni kell.

2. A javítás nem szerepel a Windows kumulatív frissítésében

A javítás a következő verzióban jelenik meg: Office biztonsági frissítésekben — a Microsoft 365 Apps for Enterprise és az Office LTSC 2021/2024 verziókban —, nem pedig a KB5132061 frissítésben. Azok a szervezetek, amelyek csak a havi Windows-összefoglaló frissítést telepítik, és ezzel elégnek tartják a feladatot, továbbra is sebezhetőek maradnak. A CISA határideje november 24.

3. Az AI ugyanazon hónap mindkét felében megjelent

A Microsoft az Outlook-sebezhetőség felfedezését egy „az Anthropic Claude-ját használó” kutatónak tulajdonítja – és a sebezhetőséget már kihasználták, amikor felfedezték. Ugyanebben az időszakban a támadók mesterséges intelligencia segítségével hozták létre azt a php2shell kihasználási láncot, amellyel megkerülték a Palo Alto tűzfalakat. A felfedezés és a kihasználás egyaránt felgyorsult, mindkettő ugyanazon hírcikluson belül történt.

4. A hónap valódi kárát a PHP okozta, nem a Microsoft

A CVE-2026-109618 és a CVE-2026-109619 hitelesítés nélküli távoli kódvégrehajtási sebezhetőségek a PHP magjában – EPSS 0,9999, ami a legmagasabb érték az ebben az időszakban nyilvánosságra hozott CVE-k közül. Az Amazon honeypotja négy nappal a nyilvános közzététel előtt, még az embargó ideje alatt észlelt egy kihasználási kísérletet. Legalább 25 Palo Alto tűzfalat sikerült feltörni. Ezek közül egyik sem szerepel a Patch Tuesday hírcsatornában.

5. A forgalom a kockázatos befektetésektől folyamatosan elfordul

1 095 Microsoft CVE, ebből egyet kihasználtak — 0,09%. A VulnCheck adatai szerint a közzétett CVE-k száma évről évre 45%-kal nőtt, míg a kihasználásuk megerősített eseteinek száma 10%-kal emelkedett, és a kihasznált CVE-k aránya a 2,7%-os csúcsról 1,4%-ra esett vissza. A közzétételtől a kihasználásig eltelt idő mediánja azonban 120 napról 80 napra csökkent. A sebezhetőségek halmaza egyre ritkul, a gyújtózsinór pedig egyre rövidebb.

Kockázatcsökkentési útmutató

Az öt olyan Microsoft-javítás, amelyhez nem csupán egy frissítésre, hanem egy átfogó tervre is szükség van. Mindegyik esetében: mit tesz valójában egy támadó ezzel a sebezhetőséggel, mire kell figyelni a saját rendszerkörnyezetben, és mit kell tenni a frissítés telepítése után.

CVE-2026-124194 — Microsoft Outlook, NTLM-hash-adatok kiszivárogtatása

KIHASZNÁLT · CVSS 6,5 · A kihasználás érettségi szintje: Magas · KEV lejárata: 2026. november 24. · CWE-356

A Microsoft ezt „spoofing”-ként osztályozza; funkcionálisan azonban hitelesítőadatok kiszivárgásáról van szó. Egy speciálisan kialakított üzenetfájl arra készteti az Outlookot, hogy a szokásos külső tartalomra vonatkozó figyelmeztetés nélkül kapcsolódjon egy támadó által ellenőrzött helyre, majd a Windows automatikusan hitelesíti a felhasználót, átadva a felhasználó NTLMv2 hash-értékét. A 6,5-ös értékelés kizárólag a titkosságot érintő hatásra és a szükséges felhasználói beavatkozásra utal – arról azonban nem szól, hogy mennyit ér egy továbbított domain-hitelesítőadat.

Hogyan használják ki ezt a támadók?

• Küldj el egy speciálisan elkészített üzenetfájlt; a felhasználó megnyitja azt. Az előnézeti ablak nem vektoros — a fájlt meg kell nyitni.
• Az Outlook létrehoz kimenő kapcsolatot, és a Windows automatikusan hitelesíti a felhasználót, ezzel nyilvánosságra hozva az NTLMv2 hash-értéket.
• Használd élőben bármely olyan szolgáltatás ellen, amely nem támogatja az SMB/LDAP aláírást vagy a hitelesítés kiterjesztett védelmét, vagy tetszés szerint feltörheted offline módban.

Mire kell figyelni?

• Az üzenetfájl megnyitását követően röviddel kimenő SMB-forgalom (445-ös port) külső célállomások felé.
• NTLM-hitelesítési kísérletek internetes célpontok felé — ellenőrizze az „NTLM Operational” eseménynaplót.
• Hogy az SMB-aláírás, az LDAP-aláírás és az EPA valóban érvényesülnek-e. Ezek azok a tényezők, amelyek egy adatvédelmi incidens során kiszivárgott hash-értéket valódi problémává tesznek.
• Mivel nem tettek közzé semmilyen IOC-t, és egyetlen szereplőt sem neveztek meg, így az egyetlen lehetőség a viselkedésalapú keresés.

Kockázatcsökkentési útmutató

• Telepítse az Office-frissítést is, ne csak a Windows-összevont frissítést. A Microsoft 365 Apps for Enterprise és az Office LTSC 2021/2024 tartalmazza a javítást. Ez a legvalószínűbb eset, amikor azt hiszi, hogy telepítette a javítást, pedig valójában nem.
• Először a végpontok, aztán a szerverek. A kézbesítés e-mailben történik, és a címzett egy személy.
• Ha még nem tették meg, akkor vezessék be az SMB- és LDAP-aláírást, valamint a hitelesítés kiterjesztett védelmét. Ezek minden jövőbeli változat esetében hatástalanítják a relé-támadást, nem csak ennek a CVE-nek az esetében.
• Blokkolja a kimenő SMB-forgalmat a hálózati peremén. Erre ritkán van jogos indok.

CVE-2026-116928 — Windows keresőkomponens, távoli kódfuttatás

KRITIKUS · CVSS 9,8 · AV:N / PR:N / UI:N · Kiváltó ok: indexelt melléklet · Még nem használták ki

Felhasználói beavatkozás nélküli, hitelesítés előtti távoli kódvégrehajtás (RCE). Az a részlet, ami kiemeli a többi 9,8-as besorolású sebezhetőség közül: az Exchange-kiszolgálóra elküldött rosszindulatú melléklet az indexelés során automatikusan feldolgozásra kerül. Senki sem nyit meg semmit. A sebezhetőség teljes kiküszöböléséhez mind a Windows, mind az Exchange javítására szükség van.

Hogyan használják ki ezt a támadók?

• Küldjön egy egyedi mellékletet bármely olyan postafiókba, amely egy indexeléssel ellátott Exchange-kiszolgálón található.
• A keresési indexelő feldolgozza és végrehajtja az üzenetet, még mielőtt az ember meglátná azt.

Mire kell figyelni?

• Azok az Exchange-kiszolgálók, amelyeken engedélyezve van a tartalomindexelés – vagyis a legtöbbjük.
• A keresési indexelő vagy az Exchange-átviteli komponensekből származó váratlan gyermekfolyamatok.
• Fájlkiszolgálók, amelyeken engedélyezve van a Windows Search azoknál a megosztásoknál, amelyek feltöltéseket fogadnak.

Kockázatcsökkentési útmutató

• Javítás mindkettőt Windows, mind az Exchange esetében. A javítás fele nyitva hagyja az utat.
• Kezelje ugyanolyan sürgősséggel, mint a kihasznált elemet — hitelesítés nélkül, interakció nélkül, és olyan terjesztési csatornán keresztül, amelyet minden szervezet máris használ.
• Győződjön meg arról, hogy a frissítés a DAG minden szerverére eljutott, nem csak arra, amelyet tesztelt.

CVE-2026-119958 — Windows LDAP, távoli kódfuttatás

KRITIKUS · CVSS 9,8 · Memóriahatáron kívüli írás · AV:N / PR:N / UI:N · Még nem használták ki

Hitelesítés nélküli, határon kívüli írás az LDAP-szolgáltatásban. Az LDAP minden tartományvezérlőn fut, ami miatt ez a probléma a novemberi DNS-probléma megfelelője: a sebezhető szolgáltatás és a legértékesebb adatok ugyanazon a gazdagépen találhatók.

Hogyan használják ki ezt a támadók?

• Készített LDAP-forgalmat küldjön egy elérhető tartományvezérlőnek. Hitelesítő adatok nélkül, egyetlen gombnyomás nélkül.
• Végrehajtás az LDAP-szolgáltatás kontextusában — egy DC-n ez maga a könyvtár.

Mire kell figyelni?

• Mely hálózatok képesek elérni a 389/636-os értéket a DC-jeiden? A válasz általában: „több, mint amennyit szeretnél”.
• Az LDAP-szolgáltatás összeomlik vagy újraindul anélkül, hogy bármilyen változás történt volna.
• Azok a DC-k, amelyek vendég-, távoli hozzáférési vagy OT-szegmenseknek vannak kitéve.

Kockázatcsökkentési útmutató

• Először a tartományvezérlők, csak azután az általános szerverpark. A címtárban található minden egyéb elem tőlük függ.
• A bevezetés ideje alatt korlátozzák az LDAP elérhetőségét. A hálózati korlátozások időt nyernek; a hibát csak a javítás szünteti meg.
• Ha már itt tartunk: ha az LDAP-aláírás nem kötelező, akkor ebben a hónapban két egymástól független ok is adódik arra, hogy ezt orvosold.

CVE-2026-88218 — Windows DNS Server, távoli kódfuttatás

KRITIKUS · CVSS 9,8 · AV:N / PR:N / UI:N · 4 DNS-hez kapcsolódó CVE ebben a ciklusban · Még nem használták ki

Hitelesítés nélküli távoli kódfuttatás a Windows DNS-ben – ez a ciklus négy DNS-sebezhetőségének egyike, és része annak a 30 CVE-nek, amelyet a ZDI „féregterjesztésre alkalmasnak” minősít. A legtöbb hálózatban a DNS Server a tartományvezérlőkön fut, így ez ugyanazt a területet érinti, mint a fenti LDAP-sebezhetőség – ami azt jelenti, hogy egy karbantartási ablak alatt mindkettőt el lehet hárítani.

Hogyan használják ki ezt a támadók?

• Küldj el egy speciálisan kialakított csomagot bármely elérhető Windows DNS-kiszolgálóra.
• A DNS-szolgáltatás kontextusában hajtsa végre; egy ugyanazon a gépen futó tartományi vezérlőn ez közvetlen utat jelent a tartomány megsértéséhez.

Mire kell figyelni?

• Az Active Directory-vel közös gazdagépet használó DNS-kiszolgálók – a tervezés előtt, ne pedig közben végezzen leltározást.
• A Windows DNS-szolgáltatás elérhető a felhasználói VLAN-okból, a távoli hozzáférési tartományokból vagy az internetről.
• A kiadásban szereplő további három DNS-hez kapcsolódó CVE-t egy egységként javítsa ki.

Kockázatcsökkentési útmutató

• Egyesítsük az LDAP-javítással egyetlen DC-karbantartási időablakba. Mivel két 9.8-as verzió fut ugyanazon a szerveren, indokolt az időablak előrehozása.
• A „csak belső használatra” kifejezés nem jelent védelmet, ha a kezdeti behatolási pont egy adathalász támadás áldozatává vált laptop.
• Ellenőrizze a szolgáltatás állapotát a frissítési csomag telepítése után – négy DNS-javítás egy ciklusban a szokásosnál nagyobb visszaesési felületet jelent.

CVE-2026-119952 — Windows Schannel, távoli kódvégrehajtás

KRITIKUS · CVSS 8.1 · A kihasználás valószínűsége magas · AV:N / PR:N / UI:N · Még nem használták ki

A Schannel a Windows TLS-megvalósítása – minden olyan folyamat alapját képezi, amely titkosított kapcsolatot létesít. Pontszáma alacsonyabb, mint a fenti sebezhetőségeké, de a kiadásban az egyik kevés „kizsákmányolás valószínűbb” minősítéssel rendelkező elem, amivel a Microsoft jelzi, hogy szerinte honnan várható a következő támadási módszer.

Hogyan használják ki ezt a támadók?

• Elérhetővé válik minden olyan szolgáltatás, amely a Schannel segítségével zárja le a TLS-kapcsolatot — IIS, RDP, LDAPS, SMB over TLS.
• A kézfogás során, még a hitelesítés előtt hajtsa végre.

Mire kell figyelni?

• Minden olyan, az internetre kapcsolódó Windows-szolgáltatás, amely TLS-kapcsolatot zár le. Az érintett terület szélesebb körű, mint amit bármelyik terméknév önmagában sugallna.
• A rendszereseménynaplókban gyakran előforduló Schannel-hibák vagy kézfogás-hibák.

Kockázatcsökkentési útmutató

• A fenti Microsoft-értékelést vegyék figyelembe a 8,1-es értéknél magasabb súllyal. A „Kihasználás valószínűbb” kifejezés előretekintő megítélés; a CVSS viszont statikus leírás.
• Először az internet felé irányuló TLS-végpontok, majd a belsőek.
• Nincs konfigurációs megoldás – a Schannel nem kapcsolható ki. A frissítés jelenti a megoldást.

Harmadik felek által kiadott termékek

Hol történik valójában a kihasználás. A 43 olyan CVE közül, amelyekről megerősítést nyert, hogy ebben az időszakban kihasználták őket, 42 nem a Microsofttól származott. Ezek közül kilenc perem- vagy külső hálózati eszköz.

PHP és Palo Alto

php2shell · EPSS 0,9999 · KIHASZNÁLT

A CVE-2026-109618 és a CVE-2026-109619 hitelesítés nélküli távoli kódvégrehajtási sebezhetőségek a maga a PHP mag, amelyeket október 21-én hoztak nyilvánosságra. Az egyik a memóriahiányos állapotot követő kérés-tisztítás során memóriatörést okoz; a másik pedig egy újrahasznosított munkáson elavult kérésállapotot használ fel újra. Minden olyan PHP-telepítést érint, amely webes kéréseket szolgál ki — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed —, wobei a mod_php a legrosszabb, mert a kihasználás az alkalmazáskód futása előtt történik. A hibákat a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókban javították.

Az Amazon MadPot nevű honeypotja egy támadási kísérletet rögzített október 17-én, négy nappal a nyilvánosságra hozatal előtt, amikor még érvényben volt a közzétételi tilalom. A támadók ezt egy Fragnesia nevű, a kernel jogosultságait kiterjesztő hibával láncolták össze, hogy root web shell-eket telepítsenek a Palo Alto tűzfal kezelőfelületeire; a Dream Research legalább 25 megfertőzött rendszert talált. Palo Alto: „Nincs szükség különleges konfigurációra ahhoz, hogy a rendszer érintett legyen.” A SecurityWeek szerint a támadók mesterséges intelligencia segítségével építették fel a láncot.

Ivanti

Biztonságos kapcsolat · lánc zárva · KIHASZNÁLT

Az októberi jelentés rámutatott, hogy a Connect Secure láncban volt egy javítatlan láncszem. Ezt időközben kijavították. A CVE-2026-111357 (CVSS 8,8, hiányzó hitelesítés a dsinvoked root karbantartási szolgáltatásban) és a CVE-2026-118527 (4,3, kiszámítható azonosítók, amelyek lehetővé teszik a feltöltési versenyt) október 29-én jelent meg a 25.1.1.3 és a 22.8R2.6 verziókban. Mindkettő október 30-án került be a KEV-be; a 118527-es határideje november 13. – két nap múlva.

Érdemes elolvasni a Volexity által az UTA0576-ról közzétett részleteket: a „dsinvoked” fázisban egy Python-alapú hasznos terhet futtattak, amely ideiglenesen módosította a memóriában lévő könyvtárat, átirányította a karbantartási feladatot, hogy root jogosultsággal futtassák, majd visszaállította az eredeti konfigurációt és a memória állapotát. Nem volt web shell, sem tartós hátsóajtó – a parancsok ismételt HTTPS-kérelmeken keresztül érkeztek. A támadás után a támadók kinyerték a Windows LAPS rendszergazdai jelszavakat és a BitLocker helyreállítási kulcsokat. A megfertőzött eszköz abban az időpontban teljesen naprakész volt. „Egy tiszta integritás-ellenőrzési eredmény önmagában nem zárja ki a kompromittáltságot.”

Adobe

110 CVE · 9 biztonsági közlemény · KRITIKUS

Az Adobe Connect a fő hír — APSB26-191, 24 CVE, amelyek közül 18 kritikus, a CVSS-értékük 10,0, és hálózaton keresztül hitelesítés és felhasználói beavatkozás nélkül is elérhetők. A ZDI ezt a hónap legnagyobb és legsúlyosabb Adobe-biztonsági közleményének nevezi. Az Experience Manager (APSB26-189) további 14 sebezhetőséget tartalmaz, köztük négy 9,9-es értékűt, amelyekhez csupán alacsony jogosultságú fiókra van szükség.

Csak ez a kettő tartozik a 2. prioritási szintbe; a fennmaradó hét biztonsági közlemény a 3. prioritási szintbe tartozik. Az Adobe e havi frissítési csomagjában szereplő sebezhetőségek közül egyet sem használnak ki – viszont a CVE-2026-48356, amely a Commerce és a Magento rendszerekben a korlátozás nélküli fájlfeltöltést jelenti, október 27-én került be a KEV-be 0,475-ös EPSS-értékkel. Ez már a harmadik egymást követő hónap , hogy megerősítést nyert, hogy egy Adobe Commerce-sebezhetőséget kihasználnak.

SAP

43 megjegyzés · 12 HotNews · KRITIKUS

Az Onapsis ezt rekordnak nevezi: 43 új és frissített biztonsági közlemény, 12 HotNews és négy CVSS 10.0-s sebezhetőség, amelyek mindegyike hitelesítés nélküli. Kettő az ICM2SHELL memóriakorruptáló sebezhetőségpár – a CVE-2026-76964 (NetWeaver AS ABAP) és a CVE-2026-89126 (Web Dispatcher és HANA XSA). A CVE-2026-89103 a PROXYGATE, az SAP Gateway hibás hozzáférés-vezérlése, a CVE-2026-120017 pedig a NetWeaver SAML2 szolgáltató hiányzó hitelesítése.

Két működő csapda. A PROXYGATE esetében a javítás telepítése után manuálisan módosítani kell a profilparamétereket — a javítás önmagában nem zárja le a rést. Az ICM2SHELL esetében a WebSocket letiltására szolgáló ideiglenes megoldást az SAP kifejezetten nem javasolja. A kutatók működő kihasználási módszereket adtak át az SAP-nak; eddig még nem jelentettek valós körülmények között történő kihasználást.

Edge-eszközök

Citrix · SonicWall · Barracuda · KIHASZNÁLT

A Barracuda a legújabb: a CVE-2026-116606 (hitelesítés megkerülése) és a CVE-2026-111560 (operációs rendszer parancsbevitele) kifejezetten összekapcsolódnak, a Barracuda megerősítette, hogy „néhány szervezetet” támadtak meg, a watchTowr közzétette a kihasználási kódot, és mindkettő esetében a határidő november 13.

A SonicWall CVE-2026-19868 (7.1) sebezhetőség lehetővé teszi, hogy egy érvényes, nem SAML-alapú hitelesítő adatokkal rendelkező felhasználó megkerülje az SSL-VPN-en a SAML által érvényesített többfaktoros hitelesítést (MFA). Ideiglenes megoldás nincs; a javítások a 7.3.4-7013 és a 8.2.3-8015 verziókban lesznek elérhetők, amelyek november 20-án jelennek meg. A Citrix október 8-án kiadta a CVE-2026-107406 (CVSS 9,5, SAML-konfigurációjú NetScaler) javítást, valamint egy külön php2shell-összefoglaló frissítést a 14.1-73.49 / 13.1-64.32 verziókhoz, amely a szeptemberi és októberi javításokat is tartalmazza.

Mozilla Firefox

160 · 99 CVE · NINCS KIHASZNÁLÁS

A Firefox 160 (MFSA 2026-125) a Patch Tuesday keretében jelent meg 99 CVE-vel — 57 „magas”, 24 „közepes” és 18 „alacsony” súlyosságú, kritikus pedig egy sem volt. Az ESR 115.45 és 153.7 verziók is megjelentek, valamint a Thunderbird 160 és 153.7 verziók. Kilencvenkilenc sebezhetőség egy böngészőkiadásban messze meghaladja a Mozilla eddigi átlagát, és megegyezik a Microsoft által tapasztalt mennyiségi mintával, bár a Mozilla nyilvánosan nem tulajdonította ezt az AI-támogatott felfedezésnek.

Apple

Egy 2024-es CVE, amelyet már kihasználnak · KIHASZNÁLT

Az Apple november 9-én kiadta az iOS/iPadOS 27.2.1, 26.7.3 és 18.7.12 verziókat, valamint három macOS-ágat. Már önmagában is figyelemre méltó, hogy egyszerre három iOS-ág létezik – Lee Neely, a SANS munkatársa: „Felkeltette a figyelmemet, amikor az Apple kétnél több verzióhoz is kiadott javításokat.”

Az érdekesebb bejegyzés régebbi keletű. A CVE-2024-27834 — egy CVSS 5,5-ös pontszámú, a mutatóalapú hitelesítést megkerülő sebezhetőség, amelyet az Apple 2024 májusában javított ki — november 4-én került fel a KEV-be. A Sekoia a kihasználást az APT29 / Midnight Blizzard-nek tulajdonítja, amely a feltört legitim webhelyeken és a Plerdy SEO-követő ellátási láncának megsértésén keresztül terjedt, egy olyan „zero-click” láncban, amely egy cookie-lopó infostealerrel végződött. Egy két és fél éves, közepes súlyosságú hiba, amelyet egy állami szereplő fegyverként használt fel.

Mit jelent ez a szállítás szempontjából? Software

A hónapot meghatározó tendencia nem a támadások száma. Hanem az, hogy a két legjelentősebb esemény – a Microsoft egyetlen kihasznált sebezhetőségének felfedezése és a Palo Alto tűzfalainak feltörése – mindkét esetben mesterséges intelligencia segítségével történt, egymással ellentétes oldalon, három héten belül. Az egyik kutató annak segítségével fedezett fel egy olyan hibát, amelyet már kihasználtak. Az egyik támadó pedig annak segítségével hozott létre egy támadási láncot, amellyel behatolt a termelési eszközökbe.

És ami valójában az emberek rendszerét megfertőzte, az a PHP volt: egy függőség, nem pedig egy termék. A legfontosabb az, hogy már a CVE megjelenése előtt tudjuk, mi található a termékünkben és a végpontjainkon. Éppen ezt a láncot ábrázolja az OESIS Detection & Patching Dashboard: melyik alkalmazás van telepítve, milyen CVE-ket tartalmaz, és létezik-e már javítás hozzá.

Prioritási mátrix

Négy sáv, a legveszélyesebb az első. A sávok elhelyezkedését a sebezhetőségnek való kitettség és a kihasználás mértéke határozza meg, nem pedig a CVSS-érték – ezért áll egy 6,5-ös érték az élen, míg egy 10,0-ás a lista alján. A vizsgálat a legtöbb szervezet által ténylegesen használt szoftverekre korlátozódik; a teljes adatkészlet mind a 43 kihasznált CVE-t, mind a ciklusban szereplő összes gyártót lefedi.

P1 — MOST 24 órán belül 43-ból 19-et kihasználtak

Megerősítve, hogy a valós környezetben kihasználták — megfigyelték, nem pedig előre jelezték. Legújabbakkal az élen: a felső sorok azokat tartalmazzák, amelyekre az előző ciklus nem terjedt ki.

A Microsoft és a Chrome soroknál nincs EPSS-érték, mivel a modell még nem értékelte őket a pillanatfelvétel készítésének időpontjában. A fennmaradó 24 kihasznált CVE médiaszerverekben, biztonsági mentőeszközökben, fejlesztői eszközökben, valamint az október 8-i régebbi adagban található; mind a 43 kereshető az OPSWAT CVE Dashboardon.

P2 — EZEN A HÉTEN 72 órán belül 12 a 32-ből

Windows, hitelesítés nélkül, hálózaton keresztül elérhető, felhasználói beavatkozás nélkül. Nem kell semmire kattintani ahhoz, hogy ezek befolyásolják a biztonsági kockázatot. Először a „ Server ” szerepköröket – és vegyük figyelembe, hogy mind a DNS, mind az LDAP a tartományvezérlőkre kerül.

Ebben a hónapban nem jelenik meg az EPSS-rovat. A pillanatfelvétel készítésének időpontjában a modell az 1 095 Microsoft CVE-ből mindössze 1-et értékelte – szemben az októberi, szinte teljes lefedettséggel, amely szinte ugyanabban az órában készült futtatás eredménye volt. Az EPSS-értékek saját ütemezés szerint érkeznek, és a kötőjelekkel teli rovat inkább alacsony kockázatot jelez, mint adat hiányát. A megerősített kihasználások esetében ez egyébként sem volt soha megfelelő rangsorolási jelző.

P3 — EZ A CIKLUS 7 napon belül 8 CVE

Létfontosságúak és elérhetők, de mindegyikhez szükség van egy előfeltételre – hitelesítő adatokra, hitelesített munkamenetre vagy egy átadott fájlra. A „Proof-of-Concept” sor a pontszámtól függetlenül ide tartozik a kihasználhatóság érettségi szintje alapján.

P4 — NINCS TEVÉKENYSÉG Csak tájékoztatás 4 CVE

Szolgáltatói oldal. A Microsoft saját rendszerében kijavította ezeket a hibákat; az ügyfeleknek nincs mit telepíteniük. Havonta közzétesznek egy nyers CVSS-rangsort – éppen ezért szerepelnek itt, ahelyett, hogy valakit megzavarnának.

A 72 órás terv

Amit a prioritási mátrix nem árul el.

Mi következik a naptárban?

Források

Először az elsődleges beszállítói tájékoztatók.

1. Microsoft Security Response Center, CVRF-dokumentum 2026-november, 2026. november 11-i változat — hivatalos CVE-lista, a Microsoft által hozzárendelt CVSS-értékek és időbeli vektorok.
2. A CISA „Ismert, kihasznált biztonsági rések” katalógusa és a FIRST EPSS.
3. Zero Day Initiative: A 2026. novemberi biztonsági frissítések áttekintése.
4. A Tenable 2026. novemberi „Patch Tuesday” frissítése 1 093 CVE-t javít ki; Krebs on Security; Rapid7.
5. A PHP Group biztonsági közleményei a CVE-2026-109618 és a CVE-2026-109619 sebezhetőségekről; az NCSC-NL php2shell terméknyomkövetője; a SecurityWeek cikke a Palo Alto elleni támadásokról.
6. A Volexity az UTA0576-ról és az Ivanti Connect Secure-ről; az Ivanti biztonsági figyelmeztetései a CVE-2026-111357 és a CVE-2026-118527 számú sebezhetőségekről.
7. Onapsis, SAP biztonsági frissítési nap, 2026. november.
8. Adobe biztonsági közlemények (APSB26-191, -189 és egyéb).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; Barracuda biztonsági közlemények; The Hacker News a CVE-2024-27834-ről és az APT29-ről.
11. A VulnCheck az AI által feltárt sebezhetőségekről és azok kihasználási arányairól.

Módszertan. A címsorban szereplő szám a Microsoft által a CVRF-ben hatásfokozatot kapott CVE-k száma, kivéve a 267 újraközölt, harmadik féltől származó CVE-t. A Microsoft CVSS- és exploit-maturity értékeit a gyártó rendeli hozzá a CVRF alapján; a harmadik féltől származó CVSS-értékek az NVD-től vagy a gyártótól származnak, amennyiben a CISA nem tesz közzé ilyet. Az EPSS egy előrejelző modell, amelyről csak beszámolnak, de soha nem használják a megerősített kihasználások rangsorolására — ebben a hónapban az adatlekérés időpontjában az 1 095 Microsoft CVE közül csak egyet értékelte, ezért nem szerepel a Microsoft táblázataiban. A prioritási mátrix hatálya a mainstream vállalati szoftverekre terjed ki; az alapul szolgáló adatkészlet az október 8. és november 10. között kihasználásként megerősített mind a 43 CVE-t, valamint a ciklusban szereplő összes gyártót lefedi. A kihasználási állapot a CISA KEV-adatokat és a gyártók saját megerősítését tükrözi, nem pedig harmadik felek állításait.

Az adatok 2026. november 11-i állapotot tükröznek. A CISA KEV és az EPSS folyamatosan frissül, a Microsoft pedig a kiadás után felülvizsgálja a CVRF-et — az itt szereplő adatok a november 11-i felülvizsgálatot és az aznap reggel érvényes katalógust tükrözik. A kockázatcsökkentési útmutatások általános jellegűek, és az egyes sebezhetőségek közzétett jellemzőiből származnak; nem helyettesítik a saját környezetben végzett tesztelést.