Microsoft исправила критические уязвимости в SharePoint и более сотни ошибок в Office

Microsoft выпустила ноябрьское обновление безопасности для Office. Две критические уязвимости в SharePoint Server Subscription Edition получили по CVSS 9.9 и 9.0: первая позволяет поднять привилегии, вторая - подделать содержимое страниц от имени другого пользователя. Ещё десятки ошибок затрагивают Excel, Word, Outlook, PowerPoint, Access, Visio, OneNote и Teams. Большая часть требует, чтобы жертва открыла подготовленный документ, но ряд ошибок в SharePoint и Teams срабатывает без участия пользователя.

Что вошло в ноябрьский патч

Бюллетень NCSC-2026-0474 [1.0.0] от 10 ноября 2026 года сводит исправления в один перечень и отсылает за деталями в портал MSRC. Приоритет advisory - обычный, но две критические записи в SharePoint требуют отдельного внимания. Остальные уязвимости распределены по приложениям пакета, и их характер заметно различается.

Две критические ошибки в SharePoint

CVE-2026-120002 описывает некорректную проверку авторизации (CWE-863) и получила CVSS 9.9. Атака идёт по сети, требует низких привилегий и не требует действий пользователя. Проще говоря, достаточно любой действующей учётной записи на портале, включая рядового сотрудника или гостя с доступом к одному сайту. Дальше ошибка в проверке прав позволяет выйти за пределы своей роли.

CVE-2026-109454 - это межсайтовый скриптинг (XSS, CWE-79) с CVSS 9.0. Здесь участие пользователя нужно: скрипт выполняется в браузере жертвы в контексте сайта. В результате атакующий действует от её имени и видит данные, к которым у неё есть доступ. В записи CVE последствие указано как подделка (spoofing), но вектор угрозы включает высокий ущерб по конфиденциальности, целостности и доступности.

В том же патче закрыта третья критическая запись - CVE-2026-80095, тоже XSS в SharePoint с CVSS 9.0, но с последствием в виде повышения привилегий.

Условия атаки

Практическая разница между этими ошибками важнее самих оценок. CVE-2026-120002 не требует ни письма, ни ссылки, ни открытия файла: атакующий работает напрямую с сервером. CVE-2026-109454 и CVE-2026-80095 требуют, чтобы пользователь открыл специально сформированную страницу или ссылку.

Отдельную группу в SharePoint составляют ошибки десериализации недоверенных данных (CWE-502): CVE-2026-109464, CVE-2026-109472 и CVE-2026-110044 с CVSS 8.8, а также CVE-2026-120000 с CVSS 7.5. Это выполнение кода на сервере, и для него нужна лишь учётная запись с низкими правами. При десериализации приложение восстанавливает объект из присланных клиентом данных и доверяет им; подставленные данные приводят к исполнению кода.

Рядом стоят ошибки SSRF (CWE-918): CVE-2026-109502 с CVSS 8.8, CVE-2026-111296 с 8.0 и CVE-2026-112736 с 5.3. Сервер по запросу атакующего обращается к внутренним ресурсам, которые снаружи недоступны. Ещё одна ошибка, CVE-2026-110057 с CVSS 6.5 (CWE-639), позволяет читать чужие данные через подмену идентификатора объекта.

Ошибки памяти в Excel

Excel - самая массовая часть патча. Здесь десятки записей с CVSS 8.8, и почти все ведут к выполнению кода. Механика повторяется: переполнение кучи (CWE-122), переполнение стека (CWE-121), двойное освобождение памяти (CWE-415), использование после освобождения (CWE-416), путаница типов (CWE-843), целочисленное переполнение и недоверенный указатель (CWE-822).

Типичные примеры - CVE-2026-116927, CVE-2026-118292, CVE-2026-118295, CVE-2026-118296, CVE-2026-118703, CVE-2026-120785 и CVE-2026-124187. Сценарий один: пользователь открывает файл таблицы, полученный по почте или скачанный со страницы, и код выполняется с его правами. У части ошибок сложность атаки высокая, это CVE-2026-118301 и CVE-2026-124170 с CVSS 7.5.

Отдельно стоит отметить, что те же ошибки Excel затрагивают Office Online Server - серверную версию, где документ обрабатывается без участия клиента. Для этой платформы указан порог 16.0.10417.20236.

Есть и группа утечек: CVE-2026-111292, CVE-2026-118300, CVE-2026-124178 и CVE-2026-124183 с CVSS 6.5 построены на чтении за границами буфера (CWE-125, CWE-126). Они не дают кода, но раскрывают содержимое памяти.

Word, Outlook и остальные приложения

В Word картина похожая: более полусотни записей, основная масса - выполнение кода с CVSS 8.8, например CVE-2026-109501, CVE-2026-110047, CVE-2026-110054 и CVE-2026-116719. Часть ошибок помечена как локальные с CVSS 7.8 (CVE-2026-110049, CVE-2026-111302, CVE-2026-113759). Отдельно выделяется CVE-2026-62804 (CWE-73) - внешний контроль имени файла или пути, тоже локальный сценарий.

В Outlook закрыто более двадцати записей. Критичных по оценке нет, но группа 8.8 обширна: CVE-2026-110043, CVE-2026-110068, CVE-2026-111309 и серия CVE-2026-123375 - CVE-2026-123384. Для части ошибок указана высокая сложность атаки и CVSS 7.5 (CVE-2026-119995, CVE-2026-123378). Есть утечка через путаницу типов (CVE-2026-119993) и ошибка интерфейса, который не предупреждает пользователя об опасном действии (CVE-2026-124194, CVSS 6.5).

В PowerPoint исправлены CVE-2026-112734, CVE-2026-112737, CVE-2026-120001 и CVE-2026-120005 с CVSS 8.8, а также CVE-2026-109487 с 7.5 и высокой сложностью. В Access - шесть записей по 8.8 и одна по 7.5. В Visio - CVE-2026-109494 и CVE-2026-109496 по 8.8. В OneNote - CVE-2026-116924, CVE-2026-119994 и CVE-2026-124181.

Teams и ошибки без участия пользователя

CVE-2026-116926 в Teams - XSS с CVSS 7.5. Здесь привилегии не нужны, участие пользователя тоже: подделка выполняется по сети. В клиенте Teams для Android закрыты CVE-2026-122979 (внедрение кода, CVSS 8.1) и CVE-2026-69901 (ошибка проверки источника, CVSS 7.5).

Пометка CISA KEV

В обогащении CISA ADP для записи CVE-2026-124194 указано, что она добавлена в каталог CISA KEV 10 ноября 2026 года. Попадание в KEV означает подтверждённую эксплуатацию в реальных атаках, а не теоретическую возможность. Для спуфинга в Outlook с оценкой 6.5 это весомый аргумент не откладывать обновление, несмотря на невысокий CVSS.

Данных о публичных эксплойтах для критических уязвимостей SharePoint в бюллетене нет. Упоминаний PoC в источнике также нет.

Затронутые версии

SharePoint Server Subscription Edition затронут до сборки 16.0.20326.20278. Для CVE-2026-88176 указан более ранний порог - 16.0.20326.20190.

Office LTSC 2021 исправлен до 16.0.14334.21048, Office LTSC 2024 - до 16.0.17932.21140. Для CVE-2026-120005 пороги чуть иные: 16.0.14334.20974 и 16.0.17932.21056. Сборки для Mac выходят на уровень 16.115.26110837. Для Microsoft 365 Apps вендор указывает актуальный канал поставки.

Если обновиться нельзя

Обходных мер Microsoft в записях CVE не приводит. Значит, действовать нужно ограничениями доступа. Для SharePoint это сужение круга пользователей, у которых есть учётные записи на портале, и проверка прав гостей. Ошибки десериализации и SSRF особенно опасны там, где портал опубликован в интернет.

Для настольных приложений разумно ограничить открытие вложений из внешних писем и включить защищённый просмотр. Правила почтового шлюза, отсекающие документы от неизвестных отправителей, снижают риск, но не заменяют патч. Office Online Server стоит обновить в первую очередь: там документ обрабатывается на сервере, и пользовательский клиент ничего не блокирует.