Microsoft ने 10 नवंबर, 2026 को नवंबर के सुरक्षा अपडेट जारी किए। जिन समस्याओं को ठीक किया गया है, उनमें Outlook की एक कमज़ोरी शामिल है जिसका सक्रिय रूप से दुरुपयोग हो रहा है, और साथ ही Windows और एंटरप्राइज़ सेवाओं की गंभीर कमज़ोरियां भी।
Microsoft ने क्या जारी किया
Microsoft की नवंबर 2026 की Patch Tuesday रिलीज़ में Microsoft Outlook, Windows, SharePoint और Active Directory Domain Services जैसे प्रोडक्ट शामिल हैं। एक खास तौर पर ज़रूरी समस्या CVE-2026-124194 है, जो Outlook की एक स्पूफ़िंग (spoofing) कमज़ोरी है और जिसके लिए Microsoft ने चिह्नित किया है कि वास्तविक हमलों में उसका दुरुपयोग हुआ है (exploited in the wild)। TechiesJournal ने पिछले महीने की जानकारी Microsoft के अक्टूबर 2026 सुरक्षा अपडेट में दी थी।
प्रकाशित विश्लेषण कमज़ोरियों की कुल संख्या पर सहमत नहीं हैं। Tenable 1,093 CVE गिनता है, जबकि BleepingComputer 1,235 गिनता है। Microsoft का अपना नवंबर 2026 सुरक्षा अपडेट डेटा, जिसे 12 नवंबर को पढ़ा गया, 1,417 CVE एंट्री दिखाता है। अंतर गिनती के नियम का है:
| Microsoft के नवंबर 2026 डेटा की एंट्री | संख्या |
|---|---|
| Microsoft Edge और Azure Linux के अलावा Microsoft के प्रोडक्ट | 1,093 |
| Microsoft Edge (Chromium पर आधारित) | 220 |
| Azure Linux (Mariner) | 104 |
| कुल एंट्री | 1,417 |
एंट्री को उन प्रोडक्ट के हिसाब से गिना गया है जिन पर उनका असर है, Microsoft के नवंबर 2026 सुरक्षा अपडेट दस्तावेज़ (11 नवंबर को संशोधित) से। यह गिनती TechiesJournal की है।
Tenable का कुल आंकड़ा पहली पंक्ति के बराबर है। यह मेल TechiesJournal का अपना अवलोकन है, Tenable द्वारा बताई गई कोई पद्धति नहीं। BleepingComputer एक अलग नियम बताता है: वह Patch Tuesday पर जारी खामियों को गिनता है और महीने में पहले ठीक की गई 108 खामियों को बाहर रखता है (एक Entra Device Registration, 82 Mariner और 25 Edge)। Microsoft का दस्तावेज़ 10 नवंबर के बाद भी बढ़ा, क्योंकि 81 एंट्री पर शुरुआती रिलीज़ तारीख 11 नवंबर दर्ज है। किसी भी एक आंकड़े को उसके गिनती के नियम के बिना Microsoft का कुल आंकड़ा नहीं कहा जाना चाहिए। सुरक्षा की तात्कालिक प्राथमिकता यह है कि किसी संगठन के सिस्टम प्रभावित हैं या नहीं और उन पर पैच लगा है या नहीं।
स्रोत: Microsoft Security Update Guide, नवंबर 2026 और उसका मशीन से पढ़ा जा सकने वाला डेटा।
Outlook की जिस कमज़ोरी का दुरुपयोग हो रहा है: CVE-2026-124194
CVE-2026-124194 Microsoft Outlook की एक स्पूफ़िंग कमज़ोरी है। Microsoft की एडवाइज़री के अनुसार, बिना ऑथेंटिकेशन वाला कोई हमलावर खास तरह से तैयार की गई एक मैसेज फ़ाइल भेज सकता है और किसी यूज़र को Outlook के प्रभावित वर्शन में उसे खोलने के लिए राज़ी कर सकता है। फ़ाइल खोलने पर Outlook सामान्य बाहरी कंटेंट (external content) चेतावनी दिखाए बिना हमलावर के नियंत्रण वाली किसी नेटवर्क लोकेशन से कनेक्ट हो सकता है। इससे यूज़र का NTLMv2 हैश उजागर हो जाता है, जिसका इस्तेमाल करके हमलावर उस यूज़र के रूप में ऑथेंटिकेट कर सकता है।
इस परिदृश्य के लिए यूज़र इंटरैक्शन और नेटवर्क कनेक्टिविटी ज़रूरी है, और Microsoft कहता है कि Preview Pane हमले का ज़रिया (attack vector) नहीं है। इसका यह अर्थ नहीं है कि सिर्फ़ एक सामान्य ईमेल मिलने से हर Outlook क्लाइंट कंप्रोमाइज़ हो जाता है।
दुरुपयोग की स्थिति: Microsoft इसे ऐसी कमज़ोरी के रूप में चिह्नित करता है जिसका दुरुपयोग हुआ है (exploited) और जो सार्वजनिक रूप से प्रकट नहीं की गई है (not publicly disclosed)। गंभीरता: Microsoft इसे Moderate (मध्यम) रेटिंग देता है, जिसका CVSS v3.1 बेस स्कोर 6.5 है (नेटवर्क अटैक वेक्टर, यूज़र इंटरैक्शन ज़रूरी, गोपनीयता पर ऊंचा असर, अखंडता या उपलब्धता पर कोई असर नहीं)। गंभीरता बताती है कि किसी खामी का दुरुपयोग होने पर असर क्या होगा, जबकि दुरुपयोग की स्थिति बताती है कि हमलावर क्या कर रहे हैं, और इसीलिए एक Moderate खामी भी महीने की सबसे बड़ी प्राथमिकता हो सकती है। Tenable भी यही स्कोर बताता है।
प्रभावित प्रोडक्ट और फ़िक्स वाले बिल्ड: Microsoft ने Microsoft Office LTSC 2021 (32-bit और 64-bit एडिशन) को सूचीबद्ध किया है, जो बिल्ड 16.0.14334.21048 में ठीक हुआ है, Microsoft Office LTSC 2024 (32-bit और 64-bit एडिशन) को, जो बिल्ड 16.0.17932.21140 में ठीक हुआ है, और Microsoft 365 Apps for Enterprise (32-bit और 64-bit) को, जिसे Microsoft के Office सुरक्षा रिलीज़ नोट्स के ज़रिए अपडेट किया जाता है।
आधिकारिक रिकॉर्ड: Microsoft CVE-2026-124194। सहायक रिपोर्ट: BleepingComputer, Tenable।
नवंबर की अन्य अहम कमज़ोरियां
Microsoft का डेटा कुछ और कमज़ोरियों को रेखांकित करता है जिन्हें प्रभावित डिप्लॉयमेंट में जांचना उपयोगी है। नीचे दी गई चार में से किसी के बारे में भी यह चिह्नित नहीं है कि उसका दुरुपयोग हुआ है या वह सार्वजनिक रूप से प्रकट की गई है, इसलिए इन्हें Outlook की खामी के साथ एक समूह में नहीं रखना चाहिए।
| CVE और कमज़ोरी | CVSS v3.1 और Microsoft गंभीरता | Microsoft का दुरुपयोग संभावना लेबल |
|---|---|---|
| CVE-2026-120002, SharePoint Server प्रिविलेज एस्केलेशन (गलत ऑथराइज़ेशन) | 9.9, Important | Exploitation Less Likely |
| CVE-2026-119958, Windows LDAP रिमोट कोड एक्ज़ीक्यूशन (out-of-bounds write) | 9.8, Critical | Exploitation Less Likely |
| CVE-2026-118146, Active Directory Domain Services रिमोट कोड एक्ज़ीक्यूशन (गलत ऑथराइज़ेशन) | 8.8, Critical | Exploitation More Likely |
| CVE-2026-119952, Windows Schannel रिमोट कोड एक्ज़ीक्यूशन (देखी जा सकने वाली टाइमिंग विसंगति) | 8.1, Critical | Exploitation More Likely |
Microsoft के नवंबर 2026 सुरक्षा अपडेट दस्तावेज़ से, जिसे 12 नवंबर, 2026 को पढ़ा गया। ये रेखांकित कमज़ोरियां हैं, पूरी सूची नहीं। दुरुपयोग संभावना लेबल नवीनतम सॉफ़्टवेयर रिलीज़ के लिए Microsoft के आकलन हैं।
इनकी दुरुपयोग की पूर्व शर्तें और प्रभावित कॉन्फ़िगरेशन अलग अलग हैं। Microsoft ने Active Directory Domain Services और Schannel की समस्याओं को “Exploitation More Likely” (दुरुपयोग की अधिक संभावना) रेटिंग दी है, जो एक्सपोज़र पर आधारित योजना में इन्हें जल्दी रखने का एक कारण है, भले ही किसी दुरुपयोग की रिपोर्ट नहीं है।
IT टीमों को क्या करना चाहिए
प्रभावित Outlook इंस्टॉलेशन को प्राथमिकता दें। CVE-2026-124194 के दायरे में आने वाले Office LTSC 2021, Office LTSC 2024 और Microsoft 365 Apps for Enterprise इंस्टॉलेशन की पहचान करें, Microsoft के दिए अपडेट लागू करें, और पुष्टि करें कि एंडपॉइंट बिल्ड 16.0.14334.21048 (LTSC 2021), बिल्ड 16.0.17932.21140 (LTSC 2024) या Microsoft के रिलीज़ नोट्स में दिए गए Microsoft 365 Apps के फ़िक्स वाले बिल्ड तक पहुंच गए हैं। रिमोट डिवाइस और देर से अपडेट होने वाले चैनल पर चल रहे सिस्टम पर ध्यान दें।
अहम एंटरप्राइज़ सेवाओं की समीक्षा करें। पता करें कि प्रभावित SharePoint इंस्टॉलेशन, डोमेन कंट्रोलर और Windows सेवाएं मौजूद हैं या नहीं। Microsoft की लागू होने की जानकारी (applicability information), एक्सपोज़र और कारोबारी अहमियत के आधार पर सुधार को प्राथमिकता दें। डायरेक्टरी सेवाओं और अन्य अहम सिस्टम के लिए स्थापित मेंटेनेंस और रिकवरी प्रक्रियाओं का इस्तेमाल करें।
अपडेट डिप्लॉयमेंट की पुष्टि करें। जांचें कि पैच इंस्टॉल हो गए हैं, ज़रूरी रीस्टार्ट पूरे हो गए हैं और संबंधित सेवाएं ठीक से चल रही हैं। डोमेन कंट्रोलर के लिए, ज़रूरत के अनुसार ऑथेंटिकेशन और रेप्लिकेशन की पुष्टि करें।
कंप्रोमाइज़ के सबूत मिलने पर जांच करें। अगर Outlook में संदिग्ध गतिविधि दिखे, तो संबंधित ऑथेंटिकेशन और एंडपॉइंट इवेंट की समीक्षा करें। पैच लगाने से आगे के लिए कमज़ोरी दूर होती है, लेकिन इससे यह साबित नहीं होता कि पहले से कंप्रोमाइज़ हुआ सिस्टम साफ़ है।
प्रभावित वर्शन, अपडेट और इंस्टॉलेशन की ज़रूरतें तय करने के लिए Microsoft Security Update Guide ही आधिकारिक स्रोत बना हुआ है।
संगठनों के लिए मुख्य सीख
Outlook की जिस खामी का दुरुपयोग हो रहा है, वह एडमिनिस्ट्रेटर को नवंबर की एक स्पष्ट प्राथमिकता देती है। SharePoint, Windows LDAP, Active Directory और Schannel को प्रभावित करने वाली अन्य ऊंचे असर वाली समस्याओं के लिए एक्सपोज़र पर आधारित आकलन और समय पर पैचिंग ज़रूरी है। ऑपरेशनल लक्ष्य किसी सुर्खी वाली संख्या पर प्रतिक्रिया देना नहीं, बल्कि यह पुष्टि करना है कि प्रभावित सिस्टम को संबंधित सुरक्षा अपडेट मिल गए हैं।
स्रोत
- Microsoft नवंबर 2026 Security Update Guide
- Microsoft Outlook CVE-2026-124194
- Microsoft नवंबर 2026 सुरक्षा अपडेट डेटा
- Tenable का नवंबर 2026 आकलन
- BleepingComputer की नवंबर 2026 रिपोर्ट
स्रोत 12 नवंबर, 2026 को पढ़े गए। Microsoft अपनी एडवाइज़री में संशोधन कर सकता है, इसलिए संख्याएं और बिल्ड नंबर बदल सकते हैं।