Οι ενημερώσεις ασφαλείας Microsoft του Νοεμβρίου φτάνουν τις 1.093 διορθώσεις ευπαθειών στα Windows και στο υποστηριζόμενο λογισμικό της εταιρείας, ξεπερνώντας για άλλη μία φορά το όριο των τεσσάρων ψηφίων. Ανάμεσά τους βρίσκονται 63 κρίσιμα σφάλματα και μία zero-day ευπάθεια στο Outlook, δηλαδή ένα κενό που αξιοποιείται ήδη από επιτιθέμενους. Την ίδια εβδομάδα κυκλοφόρησαν κρίσιμες διορθώσεις και από την Apple, την Google, τη Mozilla και την Adobe.
Ενημερώσεις ασφαλείας Microsoft: τι περιλαμβάνει το φετινό Νοέμβριο
Τα 63 «κρίσιμα» σφάλματα επιτρέπουν σε έναν επιτιθέμενο να αποκτήσει τον έλεγχο ενός συστήματος Windows με ελάχιστη ή και μηδενική βοήθεια από τον χρήστη. Σχεδόν τα μισά είναι ευπάθειες απομακρυσμένης εκτέλεσης κώδικα (remote code execution). Επιπλέον, 535 από τα κενά που διορθώθηκαν επιτρέπουν κλιμάκωση προνομίων σε μια ευάλωτη συσκευή, κάτι που βοηθά έναν εισβολέα να περάσει από περιορισμένη πρόσβαση σε πλήρη έλεγχο.
Η μοναδική ευπάθεια που, σύμφωνα με τη Microsoft, εκμεταλλεύεται ήδη ενεργά κάποιος είναι η CVE-2026-124194, ένα σφάλμα πλαστοπροσωπίας (spoofing) στο Outlook. Επηρεάζει τα Microsoft 365 Apps for Enterprise και εκδόσεις του Microsoft Office.
Ένας ρυθμός διορθώσεων που δεν είχαμε ξαναδεί
Με το τελευταίο πακέτο, η Microsoft έχει εκδώσει πάνω από 5.100 patches μέσα στη χρονιά. Πριν από έναν χρόνο ο μέσος όρος ήταν περίπου 100 το μήνα, ενώ τον Οκτώβριο οι διορθώσεις ξεπέρασαν τις 1.400. Η εταιρεία αποδίδει την αύξηση στις προόδους της τεχνητής νοημοσύνης, που βοηθά στον εντοπισμό και στη διόρθωση ενός πολύ μεγαλύτερου όγκου σφαλμάτων τους τελευταίους μήνες.
Για τις ομάδες ασφαλείας μεγάλων οργανισμών ο όγκος αυτός μπορεί να γίνει δυσβάσταχτος. Ο Chris Goettl της Ivanti επισημαίνει ότι φέτος έχουν λάβει CVE περίπου 95.000 ευπάθειες από όλους τους κατασκευαστές, αλλά μόλις 217 έχουν προστεθεί στον κατάλογο Known Exploited Vulnerabilities (KEV) της αμερικανικής CISA.
Τα υπόλοιπα patches της εβδομάδας
Η Apple κυκλοφόρησε τη Δευτέρα εκτάκτως ενημερώσεις για τα iOS/iPadOS, macOS, watchOS και visionOS, με διορθώσεις για τουλάχιστον εννέα ευπάθειες. Μία από αυτές στο iMessage θα μπορούσε να επιτρέψει σε απομακρυσμένο επιτιθέμενο να μπει σε ομαδική συνομιλία και να λαμβάνει τα μηνύματά της. Μια δεύτερη θα επέτρεπε σε κάποιον που προστέθηκε σε ομάδα να δει μηνύματα που στάλθηκαν πριν από την ένταξή του. Η διόρθωση εφαρμόστηκε αναδρομικά και στο iOS 18.
Η Google έβγαλε το Chrome 157.0.8103.50, που κλείνει εννέα κενά, μεταξύ των οποίων η CVE-2026-125350, η έκτη zero-day του Chrome φέτος. Το ίδιο σφάλμα διορθώνεται και σε προγράμματα περιήγησης βασισμένα στο Chromium, όπως ο Edge. Η προηγούμενη έκδοση, στις 3 Νοεμβρίου, είχε διορθώσει 213 ευπάθειες. Το Firefox 160 κλείνει σχεδόν 100 CVE, περίπου τα μισά υψηλής σοβαρότητας. Η Adobe κυκλοφόρησε patches για τουλάχιστον 110 ευπάθειες, με σχεδόν τις μισές υψηλής σοβαρότητας, και δηλώνει ότι δεν υπάρχουν ενδείξεις ενεργής εκμετάλλευσης.
Τι διδάσκει το περιστατικό
Ο αριθμός των διορθώσεων δεν σημαίνει ότι όλες οι ευπάθειες είναι εξίσου επικίνδυνες. Η πραγματική απειλή συγκεντρώνεται σε ένα μικρό υποσύνολο που εκμεταλλεύονται ήδη επιτιθέμενοι. Ο Goettl σημειώνει ότι περίπου τέσσερις στις δέκα εκμεταλλευόμενες ευπάθειες της χρονιάς βρίσκονται σε λειτουργικά συστήματα, λογισμικό τερματικών, προγράμματα περιήγησης και πλατφόρμες διακομιστών, που μια συνεχής στρατηγική patching μπορεί να καλύψει γρήγορα. Το 44% βρίσκεται σε συσκευές στην άκρη του δικτύου και σε εργαλεία διαχείρισης IT ή απομακρυσμένης πρόσβασης, δηλαδή σε συστήματα εκτεθειμένα στο διαδίκτυο με προνομιακή πρόσβαση. Εκεί η διαχείριση της έκθεσης (exposure management) πρέπει να συμπληρώνει το patching.
Γιατί οι ενημερώσεις ασφαλείας Microsoft δεν αρκούν μόνες τους
Ο Lee Neely του SANS Institute παρατηρεί ότι, όταν η Apple διορθώνει περισσότερες από δύο εκδόσεις, αξίζει ιδιαίτερη προσοχή. Συνιστά να φτάσουν οι συσκευές στην έκδοση 27.2.1 και να οριστεί ημερομηνία αναβάθμισης για το παλαιό υλικό που δεν μπορεί να τρέξει την τρέχουσα έκδοση.
Τι πρέπει να κάνετε
- Εγκαταστήστε άμεσα τις ενημερώσεις των Windows και του Office, με προτεραιότητα στη διόρθωση για την ευπάθεια του Outlook που ήδη αξιοποιείται.
- Ενημερώστε Chrome, Edge και Firefox και κάντε επανεκκίνηση, ώστε να ισχύσουν οι αλλαγές.
- Ελέγξτε όλες τις συσκευές Apple και μην υποθέτετε ότι οι διορθώσεις εγκαταστάθηκαν αυτόματα. Σχεδιάστε την αντικατάσταση συσκευών που δεν υποστηρίζονται πια.
- Στους οργανισμούς, εντοπίστε πρώτα τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο, όπως οι συσκευές δικτύου και τα εργαλεία απομακρυσμένης πρόσβασης, και δώστε προτεραιότητα στις ευπάθειες με επιβεβαιωμένη εκμετάλλευση.
- Πάρτε αντίγραφο ασφαλείας των σημαντικών δεδομένων πριν από την εγκατάσταση των ενημερώσεων.
Πηγή: Krebs on Security