Már támadják az Outlook egyik hibáját: telepítsd a Microsoft novemberi frissítését, amely több mint ezer sérülékenységet javít

A Microsoft novemberi biztonsági frissítése több mint ezer sérülékenységet érint – így fogalmaz a Nemzeti Kiberbiztonsági Intézet és a Malwarebytes is. Ezek közül egyet, az Outlookot érintő CVE-2026-124194 jelű hibát már aktívan kihasználnak. A támadó egy speciálisan kialakított üzenetfájlt küldhet, és ha azt az Outlook érintett verziójában megnyitod, a program a szokásos, külső tartalomra vonatkozó figyelmeztetés nélkül kapcsolódhat a támadó hálózati helyéhez. Ebből hitelesítési adatok szivároghatnak ki, amelyeket a felhasználó megszemélyesítésére lehet felhasználni.

A Malwarebytes szerint a már támadott Outlook-hiba javítása az Office-frissítésekben érkezik, ezért a Windows Update mellett az Office frissítését is ellenőrizni kell. A cikk ezért mindkét teendőt bemutatja. A novemberi csomagban szereplő kritikus hibák számáról a két megnyitott forrás eltérően ír, ezért itt nem választunk egyetlen számot, és a címben, a leadben is csak a közös „több mint ezer” szerepel.

Mit jelent a CVE-2026-124194, és miért kell az Office-t is frissíteni?

Az NKI ismertetése szerint a Microsoft úgy írja le a hibát, hogy a támadó ráveheti a felhasználót: nyissa meg a speciálisan kialakított üzenetfájlt. A megnyitás után az Outlook figyelmeztetés nélkül csatlakozhat egy, a támadó által ellenőrzött hálózati helyhez. A Malwarebytes a Microsoft leírását idézve azt is megjegyzi, hogy a kiszivárgó adat a felhasználó NTLMv2-hash-e lehet, és a pontszám 6,5 a tízfokozatú skálán. A lényeg a gyakorlatban ugyanaz: nem elég az e-mailt „csak megnézni”, ha a fájlt az Outlook megnyitja, a figyelmeztetés elmaradhat.

A javítás helye emiatt fontos. A Windows Update sok novemberi hibát lefed, de a már kihasznált Outlook-hibát a Malwarebytes szerint az érintett Office-termékeken keresztül javítják. Ha csak a Windows frissítését nézed, az Outlookos rés eltűnhet a figyelmedből. A lépéseket ezért külön, az Office-ban is érdemes elvégezni, akkor is, ha a rendszered egyébként naprakésznek látszik.

Az NKI azt írja, hogy a sebezhetőséget Benoît Sevens az Anthropic Claude segítségével fedezte fel, és a CISA felvette a hibát a Known Exploited Vulnerabilities katalógusába. A szövetségi ügynökségeknek a hónap végéig adott határidőt a javítás telepítésére; ez az amerikai intézményi határidő, nem magyar hatósági kötelezés, de jelzi, hogy a javítást sürgősnek tartják. A Microsoft az év eleje óta az NKI szerint már több mint 5160 sérülékenységet hozott nyilvánosságra.

Ezt is olvasd el: Aktívan kihasznált hibát javít a Chrome 157: így ellenőrizd, hogy frissült-e a böngésződ

A novemberi csomagban más, súlyos hibák is vannak. A Malwarebytes kiemeli a CVE-2026-116928 jelű, a Windows keresőösszetevőjét érintő hibát, amelynek pontszáma 9,8, és a leírás szerint bizonyos Exchange-kiszolgálós helyzetben a csatolmány indexelése is elég lehet a kódfuttatáshoz, anélkül, hogy a címzett megnyitná a levelet. A Microsoft erről a hibáról nem jelentett kihasználást. Ez nem az Outlookos, már támadott eset, de mutatja, miért érdemes a Windows frissítését is telepíteni. Az érintett Office-verziók tételes listáját a megnyitott források nem közlik megbízhatóan, ezért itt nem soroljuk őket.

Hogyan ellenőrzöd a Windows és az Office frissítését?

A Windows oldalon a Malwarebytes leírása szerint a Start gombra, majd a Beállításokra kell kattintani, és a Windows Update menüt megnyitni. Ott az „Frissítések keresése” gombbal indíthatod az ellenőrzést. Ha van letölthető frissítés, a rendszer általában magától elkezdi; ha kéri, telepítsd, és indítsd újra a gépet, majd az újraindítás után nézd meg újra a Windows Update oldalt. A Malwarebytes említi a KB5132061 jelű biztonsági frissítést mint olyat, amely már telepítve lehet; ez nem helyettesíti az Office-oldali ellenőrzést.

Az Office frissítéséhez nyiss meg egy Office-alkalmazást, például a Wordöt. A Fájl menüben válaszd a Fiók vagy, Outlookban, az Office-fiók pontot. A termékinformációknál a Frissítési beállítások, majd a „Frissítés most” következik. Ha a frissítés nincs engedélyezve, először kapcsold be. Munkahelyi gépen a vezérlők hiányozhatnak, mert a frissítést a szervezet kezeli; ebben az esetben a saját informatikai csapatot kell kérdezni. A frissítés közben a program kérheti, hogy mentsd a nyitott dokumentumokat.

A két ellenőrzést érdemes egymás után elvégezni, nem csak az egyiket. A már támadott Outlook-hiba szempontjából az Office-oldal a Malwarebytes szerint a döntő; a Windows Update a többi novemberi javítás miatt ugyanolyan fontos. Ha a gép újraindítás után is „naprakésznek” mondja magát a Windows Update-en, az még nem jelenti automatikusan azt, hogy az Outlook is megkapta a rá vonatkozó csomagot.

A Microsoft a Patch Tuesday részeként adta ki a novemberi csomagot. Az NKI szerint a Google, a Cisco, az Adobe, a Barracuda és az Ivanti is hozott ki biztonsági frissítéseket ebben az időszakban; ezek más termékek, a cikk teendője a Windows és az Office ellenőrzése. A már támadott Outlook-hiba szempontjából a saját gépeden a két, fent leírt ellenőrzés a releváns lépés, nem a többi gyártó listája.

Ezt is olvasd el: Virtuális kártyával vásárolnál online? A fogyasztóvédelmi hatóság tanácsai: alszámla, alacsony limit, azonnali értesítés

A tegnapi, asztali Chrome 157-es, aktívan kihasznált hibáról ebben a cikkben írtunk; az más termék, más teendő, de ugyanúgy a pontos frissítés ellenőrzéséről szól. A Windows 10 hosszabbított biztonsági frissítéséről itt van összefoglaló. A böngészőben felugró, teljes képernyős riasztásokról ebben a cikkben van gyakorlati útmutató: azok gyakran nem a hivatalos frissítési ablakot jelentik.

A két ellenőrzés után a gyakorlatban az a biztos pont, ha az Office a frissítés végén visszaigazolja a telepítést, a Windows Update pedig újraindítás után is naprakésznek mutatja a gépet. A már támadott hiba miatt ezt érdemes hamarabb megtenni, mint a szokásos, halogatott frissítési kört.

Gyakori kérdések

Elég, ha csak a Windows Update-et futtatom?

Nem feltétlenül. A Malwarebytes szerint a már támadott Outlook-hibát az Office-frissítések javítják, ezért egy Office-alkalmazásban, a Fiók menü Frissítés most pontjánál is ellenőrizd a csomagot.

Mit csinál a CVE-2026-124194, ha megnyitom a hamis üzenetfájlt?

Az NKI és a Malwarebytes szerint az Outlook a szokásos figyelmeztetés nélkül kapcsolódhat a támadó hálózati helyéhez, és hitelesítési adatok szivároghatnak ki, amelyekkel a felhasználót meg lehet személyesíteni. A Microsoft szerint a támadáshoz a speciálisan kialakított fájl megnyitása kell.

Hány hibát javít a novemberi Microsoft-frissítés?

A megnyitott források közös megfogalmazása: több mint ezer sérülékenységet. A kritikus hibák pontos számában az NKI és a Malwarebytes eltér, ezért itt nem közlünk egyetlen, kiválasztott számot.

Munkahelyi gépen nem látom a Frissítés most gombot. Mit tegyek?

A Malwarebytes szerint ilyenkor a szervezet informatikai csapatát kell keresni, mert a frissítést központilag kezelhetik. Otthoni gépen először engedélyezd a frissítéseket, majd válaszd a Frissítés most lehetőséget.

Források

• A Microsoft novemberi frissítései több mint ezer sérülékenységet érintenek – Nemzeti Kiberbiztonsági Intézet
• Microsoft Patch Tuesday fixes Outlook flaw already under attack – Malwarebytes