先说核心结论：2026 年 11 月补丁星期二（Patch Tuesday），微软面向全软件产品线发布安全补丁，共修复 1259 个漏洞，这是连续第二个月补丁数量突破 1000 个；按 Tenable 统计口径，今年以来微软累计修复的 CVE 数量已超过 5100 个。本轮唯一被微软确认存在在野利用的漏洞，是 Outlook 中的 CVE-2026-124194：攻击者发送特制消息文件，诱导用户在 Outlook 中打开后，程序会静默连接攻击者控制的网络位置且不弹出常规外部内容警告，可能泄露 NTLMv2 哈希等身份验证信息，后续可被离线破解或中继用于冒充用户。该漏洞已被美国 CISA 列入已知被利用漏洞（KEV）目录，联邦机构需在 2026 年 11 月 24 日前完成修复。对企业来说，处置顺序应先看互联网暴露资产、先补已在野利用项，再按严重度和网络可达性推进其余远程代码执行、权限提升类漏洞。
一、本轮补丁总览
| 项目 | 公开口径 |
|---|---|
| 发布周期 | 2026 年 11 月补丁星期二 |
| 漏洞总量 | 1259 个（连续第二个月超过 1000 个） |
| 年度累计 | 2026 年至今累计修复超 5100 个 CVE（Tenable 口径） |
| Windows 系统 | 726 个 |
| Office | 174 个 |
| 开发工具 | 61 个、53 个（两组统计） |
| SQL Server | 59 个 |
| SharePoint Server | 27 个 |
| 其他编号 | 含 165 个非微软发布的 CVE 编号 |
| 主要类型 | 超 500 个为权限提升类，其次为远程代码执行、信息泄露 |
说明：不同安全追踪器对本轮总数的统计口径存在差异（另有约 1090、1094 个等统计值），差异主要来自是否纳入非微软编号、是否重复计数；具体单个漏洞的状态和评分以微软官方安全公告为准。
二、在野利用漏洞档案：CVE-2026-124194
| 字段 | 内容 |
|---|---|
| CVE 编号 | CVE-2026-124194 |
| 受影响产品 | Microsoft Outlook |
| 漏洞类型 | 欺骗（Spoofing） |
| 严重度 / 评分 | 中等（Moderate），CVSS 6.5 |
| 利用状态 | 微软标记已遭在野利用 |
| 认证要求 | 攻击者无需预先认证 |
| 交互要求 | 需要用户交互（打开特制消息文件） |
| 前置条件 | 目标需具备网络连通条件 |
| 目录收录 | 已加入 CISA 已知被利用漏洞（KEV）目录 |
| 修复时限 | 美国联邦民事机构须于 2026 年 11 月 24 日前完成修复 |
| 发现上报 | 研究员 Nono 与 Anthropic 的 Benoît Sevens（研究过程借助 Claude） |
| 归因情况 | 微软未将利用活动归因到特定威胁行为者，未公布完整在野利用技术细节 |
漏洞成因
微软公告指出，Outlook 产品界面未就不安全操作向用户发出警告，未授权攻击者可借此通过网络实施欺骗攻击。正常情况下，Outlook 对来自组织外部的内容连接会给出提示；该场景下提示没有出现，使一次外联行为在用户看来像常规操作。
三、攻击链原理拆解
- 构造文件：攻击者准备一份特制的 Outlook 消息文件（.msg），内嵌指向其控制网络位置的连接信息。
- 投递目标：通过邮件或其他渠道把文件送到目标员工面前。
- 用户打开：受害者在受影响版本 Outlook 中主动打开该文件；公开口径显示预览窗格不是触发路径，需要主动打开动作。
- 静默外联：Outlook 连接攻击者控制的网络位置，过程中不显示常规外部内容警告。
- 凭据信息泄露：连接过程可能携带用户的 NTLMv2 哈希等身份验证信息。
- 后续滥用：攻击者拿到哈希后，可尝试离线破解或通过中继方式向其他内部系统认证，进而冒充用户访问其有权限的资源。
风险边界
- 捕获 NTLMv2 哈希不等于直接拿到明文密码，也不等于无条件获得企业系统访问权；后续能否成功，取决于目标环境的认证配置、网络暴露面、NTLM 使用情况和额外安全控制。
- 公开报道中安全厂商提醒：中等评级不代表实际危害有限，因为该漏洞已被确认利用、触发只需一次文件打开动作，且 Outlook 在企业中覆盖面很广。
四、其他需同步关注的漏洞
| CVE 编号 | 受影响组件 | 类型 | 公开要点 |
|---|---|---|---|
| CVE-2026-116928 | Windows Search | 远程代码执行 | 经 Exchange Server 索引路径触发，有报道称可实现零点击、CVSS 9.8 |
| CVE-2026-119958 | Windows LDAP | 远程代码执行 | 未认证攻击者发送特制 LDAP 请求可触发越界写入，域控制器需重点排查 |
| CVE-2026-119952 | Windows Schannel | 远程代码执行 | 被标注为更易被利用（Exploitation More Likely），攻击复杂度较高 |
| CVE-2026-95962 | Windows 虚拟筛选平台 | 释放后使用（UAF） | 特制网络包可达，无需认证或用户交互 |
| CVE-2026-112967 | Xbox Live 网络服务 | 堆溢出 | CVSS 9.8，公开口径认为实际利用可能性不高 |
| CVE-2026-119990 | Azure OpenAI | 权限提升 | 已认证攻击者可在 Azure OpenAI 工作区内提升权限，生产环境需排查适用性 |
此外，Security Affairs 统计本轮有约 30 个具备潜在蠕虫传播特征的漏洞，主要集中在网络可达服务；DNS、DHCP、LDAP、Exchange 等面向网络的组件建议优先测试和部署补丁。
五、修复与缓解优先级
建议处置顺序
- 资产盘点：先确认环境中是否存在受影响组件，是否满足漏洞利用前提，避免对无关资产盲目加急。
- 暴露面优先：优先梳理直接面向互联网或处于不可信网段的资产。
- 在野利用项置顶：CVE-2026-124194 已确认被利用，Outlook 终端应优先安排补丁验证与推送。
- 关键网络服务：接着处理 LDAP、Exchange、DNS、Schannel、虚拟筛选平台等网络可达组件的高危漏洞。
- 云与身份相关：排查 Azure OpenAI 工作区及身份基础设施是否存在提权风险。
- 常规批次：其余权限提升、信息泄露类漏洞按常规补丁窗口推进。
配套缓解措施
- 在终端和网络边界审视出站 SMB（TCP 445）连接限制，降低哈希中继横向移动空间。
- 强化邮件附件过滤与外联内容审查，减少可疑.msg 文件直达终端的机会。
- 对员工做文件打开风险提示，尤其是来自陌生发件人的附件。
- 补丁部署后排查可疑认证日志、异常出站网络连接，确认是否已有凭据暴露迹象。
- 结合身份加固措施推进 NTLM 弱化与迁移，降低旧协议在中继攻击中的可利用性。
六、相关 NTLM 加固背景
微软消息中心同期还披露了两项身份认证相关的安全改进，可作为补丁之外的长期防护参考：
- NTLM 签名改进（CVE-2026-118737）：2026 年 11 月 10 日及更高版本 Windows 安全更新后，客户端默认为非匿名连接提供 NTLM 消息签名，有助于减少 NTLM 中继攻击风险，并提供审核能力识别未签名连接。
- NTLMv1 限制：自 2026 年 10 月安全更新起，未启用 Credential Guard 的设备对单点登录生成 NTLMv1 派生凭据施加限制；组织应识别依赖 MS-CHAPv2 的 Wi-Fi、以太网和 VPN 连接，逐步迁移到基于证书的身份验证。
七、综合梳理
本轮 1259 个漏洞的补丁批量，对安全团队的压力主要在 "分辨优先级"：数量大不代表每个都要同批加急，真正需要置顶的是已确认在野利用的 Outlook NTLMv2 哈希泄露漏洞，以及直接暴露在网络上的远程代码执行组件。处置时要把补丁修复、网络访问控制、邮件过滤和身份加固结合起来；同时注意 CVSS 分数只是理论风险参考，被实际利用的漏洞即使评级不高，也应排在理论上更严重但暂无利用迹象的项目之前。后续可关注微软公告是否补充该 Outlook 漏洞的利用细节、受影响版本范围，以及各组件补丁在实际环境中的兼容性反馈。
【相关 FAQ】
问题 1：微软本轮补丁一共修复了多少个漏洞，Outlook 的 NTLMv2 哈希泄露漏洞编号是什么、严重程度如何？
回答 1：2026 年 11 月补丁星期二共修复 1259 个漏洞，连续第二个月破千。Outlook 相关漏洞编号为 CVE-2026-124194，属于欺骗类漏洞，微软评为中等严重度、CVSS 6.5，但已被确认存在在野利用；漏洞可导致 NTLMv2 哈希等身份验证信息泄露，纳入 CISA KEV 目录，联邦机构须在 2026 年 11 月 24 日前修复。
问题 2：CVE-2026-124194 是怎么泄露 Outlook 用户 NTLMv2 哈希的，攻击需要什么前提条件？
回答 2：攻击者发送特制 Outlook 消息文件，诱导用户在受影响版本 Outlook 中打开；Outlook 会静默连接攻击者控制的网络位置，不显示常规外部内容警告，从而可能泄露 NTLMv2 哈希。利用需要网络连通条件和用户交互，攻击者无需预先认证；拿到哈希后是否能进一步登录或横向移动，还取决于目标环境的认证配置和安全控制。
问题 3：除了 Outlook 漏洞，本轮 1259 个补丁中还有哪些组件需要重点关注？
回答 3：重点关注包括 Windows Search（CVE-2026-116928）、Windows LDAP（CVE-2026-119958）、Windows Schannel（CVE-2026-119952）、Windows 虚拟筛选平台（CVE-2026-95962）、Xbox Live 网络服务（CVE-2026-112967）等远程代码执行或堆溢出漏洞，以及 Azure OpenAI 权限提升漏洞（CVE-2026-119990）。网络可达的 LDAP、Exchange、DNS 等服务建议优先测试部署。
问题 4：企业面对这批微软补丁应该按什么顺序修复，有哪些配套缓解手段？
回答 4：建议先做资产盘点，再优先处理互联网暴露资产和已在野利用的 Outlook 漏洞，随后推进网络可达组件的高危 RCE，最后按常规窗口处理其余提权和信息泄露漏洞。配套措施包括限制出站 SMB 连接、加强邮件附件过滤、排查可疑认证与外联日志，并结合 NTLM 签名、NTLMv1 限制等身份加固措施降低中继风险。
【参考资料】
[2026-11-12]（Microsoft November 2026 Patch Tuesday: 1,259 patches and the Outlook NTLMv2 trap）Infosec.ge
[2026-11-11]（微软发布补丁修复 1259 个漏洞，含已遭利用的 Outlook NTLMv2 哈希泄露漏洞）FreeBuf
[2026-11-11]（Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug That May Expose NTLMv2 Hashes）The Hacker News
[2026-11-11]（Microsoft November Patch Tuesday: one exploited Outlook bug and 30 wormable flaws）Security Affairs
[2026-11-11]（Microsoft November 2026 Patch Tuesday: 1,094 CVEs）SHAttered
[2026-11-11]（Microsoft Patches 1,259 Vulnerabilities, Including Actively Exploited Outlook Zero-Day）First Hackers News
[2026-11-11]（Microsoft Releases 1,259 Security Fixes in November Patch Tuesday, Warns of Actively Exploited Outlook Vulnerability）Undercode News
[2026-11-11]（Windows 消息中心）Microsoft Learn
【免责声明】
本文信息整理自微软官方公告及公开安全媒体报道。文中漏洞编号、评分、受影响组件和利用状态以微软官方安全公告为准；不同追踪器对漏洞总数的统计口径存在差异。攻击链描述仅用于风险识别与防护参考，不构成可复现的利用指引。企业实际补丁部署须结合自身资产盘点、兼容性测试和安全策略开展，本文不替代专业安全评估或应急响应方案。
本文来自作者[不慌青柠]投稿，不代表新品牌网立场，如若转载，请注明出处：https://www.china12315.com.cn/qyzx/202611/732.html
评论列表（4条）
我是新品牌网的签约作者“不慌青柠”！
希望本篇文章《微软 11 月补丁修复 1259 个漏洞在野利用的 Outlook NTLMv2 哈希泄露漏洞优先处置》能对你有所帮助！
本站[新品牌网]内容主要涵盖：互联网行业的追踪与探索
本文概览：先说核心结论：2026 年 11 月补丁星期二（Patch Tuesday），微软面向全软件产品线发布安全补丁，共修复 1259 个漏洞，这是连续第二个月补丁数量突破 1000 个；按 Tenable 统计口径，今年以来微软累计修复的 CVE 数量已超过 5100 个。本轮唯一被微软确认存在在野利用的漏洞，是 Outlook 中的 CVE-2026-124194：攻击者发送特制消息文件，诱导用户在 Outlook 中打开后，程序会静默连接攻击者控制的网络位置且不弹出常规外部内容警告，可能泄露 NTLMv2 哈希等身份验证信息，后续可被离线破解或中继用于冒充用户。该漏洞已被美国 CISA 列入已知被利用漏洞（KEV）目录，联邦机构需在 2026 年 11 月 24 日前完成修复。对企业来说，处置顺序应先看互联网暴露资产、先补已在野利用项，再按严重度和网络可达性推进其余远程代码执行、权限提升类漏洞。