微软2026年11月的“补丁星期二”：1,095个漏洞中有一个评分为6.5，且该漏洞正遭受攻击

微软本月唯一被利用的漏洞被评定为“中等”级别——且该漏洞获得了微软发布的最高利用成熟度评级。该漏洞由一名研究人员利用人工智能发现，且已在实际环境中被利用。与此同时，本月真正导致防火墙被攻破的漏洞其实根本不属于微软。

一览

标题数量指微软按“影响”评级分类的CVE，不包括267个重新发布的第三方CVE（Azure Linux/Mariner软件包、由谷歌分配的Chromium CVE）。若包含这些，该文档共包含1,362行。Tenable和Krebs报告的数量为1,093个，ZDI约为1,090个，BleepingComputer则基于不同标准报告了1,235个。 我们的数据源自 11 月 11 日的修订版。11 月的数量较 10 月的 1,418 下降了 23%——这是继 10 月之后第二个四位数月份，但并非新纪录。

按冲击等级划分的释放情况

微软发布的1,095个CVE。

权限提升占此次漏洞披露内容的49%，且需要先获得立足点。远程代码执行则属于无需立足点即可执行的漏洞类别。Tenable统计到共有287款受影响的产品；其中受影响最严重的是Office Word（65款）、Office Excel（64款）和SQLServer （53款）。

本月真正重要的是什么

五件事，按优先级排序。

1. 唯一被利用的微软漏洞得分为6.5分——而微软将其漏洞利用成熟度评定为“高”

这是严重性评级中的最高级别：广泛流传且可靠的漏洞利用代码。CVE-2026-124194 是 Outlook 中的一个漏洞，会导致 NTLM 哈希值泄露，而其 CVSS 评分被低估了，因为该漏洞仅涉及机密性影响，且需要用户交互。在 1,095 个 CVE 中，有 1,084 个被评为 “未证实” ，还有一项被评为 概念验证。CVSS 将其评定为“中等”。但根据漏洞利用成熟度评估，现在就可以动手了。

2. 该补丁未包含在 Windows 累积更新中

该修复程序将于 Office 的安全更新中发布——即 Microsoft 365 企业版应用和 Office LTSC 2021/2024——而非 KB5132061。如果某个环境仅部署了 Windows 月度累积更新就认为已解决，该环境仍将面临安全风险。CISA 设定的截止日期为 11 月 24 日。

3. 同一个月内，双方都出现了AI

微软将此次Outlook漏洞的发现归功于一位“使用Anthropic公司的Claude”进行研究的研究人员——且该漏洞在被发现时已遭利用。在同一事件中，攻击者利用AI辅助构建了php2shell利用链，从而攻破了Palo Alto防火墙。漏洞的发现与利用均在同一新闻周期内加速推进。

4. 本月真正的损失来自PHP，而非微软

CVE-2026-109618 和 CVE-2026-109619 是 PHP 核心本身中存在的无需身份验证的远程代码执行漏洞 — EPSS 0.9999，是本周期内所有 CVE 中最高的。亚马逊的蜜罐在公开披露前四天——即信息仍处于保密期内——就捕获了一次攻击尝试。至少有 25 台帕洛阿尔托防火墙被攻破。这些漏洞均未出现在“补丁星期二”的更新列表中。

5. 成交量持续因风险因素而萎缩

1,095 个微软 CVE，其中 1 个被利用——占比 0.09%。VulnCheck 的数据显示，已发布的 CVE 数量同比增长 45%，而经确认被利用的 CVE 数量增长了 10%，被利用的比例已从 2.7% 的峰值降至 1.4%。 但从漏洞公布到被利用的中位时间已从120天缩短至80天。漏洞储备正在减少；引信正在变短。

减缓措施指南

微软这五项修复措施需要制定计划，而不仅仅是打补丁。针对每一项：攻击者实际会如何利用该漏洞、在自身环境中应关注哪些方面，以及在部署更新后还应采取哪些措施。

CVE-2026-124194 — Microsoft Outlook，NTLM 哈希值泄露

已遭利用 · CVSS 6.5 · 漏洞利用成熟度：高 · KEV 有效期至 2026 年 11 月 24 日 · CWE-356

微软将其归类为欺骗攻击；从功能上讲，这属于凭据泄露。经过特殊构造的消息文件会诱使Outlook在未显示常规外部内容警告的情况下连接到攻击者控制的位置，随后Windows会自动进行身份验证，并将用户的NTLMv2哈希值交予攻击者。该6.5分评级反映了仅涉及机密性的影响以及需要用户交互这一事实——但并未说明被中继的域凭据究竟价值几何。

攻击者如何利用这一漏洞

• 发送一个经过精心设计的消息文件；用户打开它。 预览窗格不是矢量 ——必须打开该文件。
• Outlook 连接外网时，Windows 会自动进行身份验证，从而泄露 NTLMv2 哈希值。
• 针对任何不支持 SMB/LDAP 签名或“身份验证扩展保护”功能的服务，可实时进行中继攻击；或者在离线状态下从容破解。

需要注意的事项

• 在消息文件打开后不久，向外部目的地发送出站SMB（端口445）。
• 针对互联网目标的 NTLM 身份验证尝试——请检查“NTLM 运行”事件日志。
• SMB签名、LDAP签名和EPA是否真正得到执行。正是这些措施，才让数据泄露事件中泄露的哈希值从单纯的泄露演变为实际的威胁。
• 目前尚未发布任何IOC，也没有指名道姓地指出任何攻击者，因此“行为追踪”是唯一的选择。

减缓措施指南

• 请部署 Office 更新，而不仅仅是 Windows 累积更新。 Microsoft 365 Apps for Enterprise 以及 Office LTSC 2021/2024 包含此修复程序。这是最容易让人误以为已打补丁、实则未打补丁的情况。
• 终端优先于服务器。信息通过电子邮件发送，接收对象是个人。
• 如果尚未启用，请强制实施 SMB 和 LDAP 签名以及“身份验证扩展保护”功能。这些措施能有效遏制此类漏洞未来所有变种的转发攻击，而不仅仅针对此 CVE。
• 在网络边界处阻止外发SMB流量。这几乎没有正当理由。

CVE-2026-116928 — Windows 搜索组件，远程代码执行

严重 · CVSS 9.8 · AV:N / PR:N / UI:N · 触发条件：索引附件 · 尚未被利用

无需用户交互的预身份验证远程代码执行（RCE）漏洞。使其区别于其他9.8分漏洞的关键细节在于：发送到Exchange服务器的恶意附件在被索引时会自动处理。用户无需手动打开任何文件。要彻底修复该漏洞，必须同时应用Windows和Exchange的补丁。

攻击者如何利用这一漏洞

• 将一个精心制作的附件发送至任何启用了索引功能的 Exchange 服务器上的邮箱。
• 在用户看到该消息之前，搜索索引器会先对其进行解析并执行。

需要注意的事项

• 启用了内容索引功能的 Exchange 服务器——这几乎涵盖了所有服务器。
• 来自搜索索引器或 Exchange 传输组件的意外子进程。
• 在允许上传的共享文件夹上启用了 Windows 搜索功能的文件服务器。

减缓措施指南

• 补丁 同时 Windows 和 Exchange。该修复方案仅解决了其中一半的问题，漏洞仍未完全消除。
• 应像对待被利用的漏洞一样紧急处理——无需身份验证、无需交互，且利用该漏洞的传播途径是每个组织都已部署的。
• 请确认更新已同步到 DAG 中的每台服务器，而不仅仅是您测试的那台。

CVE-2026-119958 — Windows LDAP，远程代码执行

严重 · CVSS 9.8 · 越界写入 · AV:N / PR:N / UI:N · 尚未被利用

LDAP 服务中存在未经身份验证的越界写入漏洞。由于 LDAP 在每台域控制器上运行，这使得该漏洞成为 11 月版“DNS 问题”：存在漏洞的服务与核心资产位于同一台主机上。

攻击者如何利用这一漏洞

• 向可访问的域控制器发送精心构造的 LDAP 流量。无需凭据，也无需点击任何内容。
• 在 LDAP 服务上下文中执行——在域控制器（DC）上，即在目录本身中执行。

需要注意的事项

• 哪些网络可以访问您数据中心中的 389/636？答案通常是“比你想象的要多”。
• LDAP 服务会崩溃或重启，但并未发生相应的变更。
• 与客体、远程访问或运营技术（OT）分段相连的分布式控制器（DC）。

减缓措施指南

• 先部署域控制器，再部署其他服务器。目录中的其他所有内容都依赖于它们。
• 在部署期间限制 LDAP 的可达性。网络控制措施可以争取时间；只有补丁才能修复该漏洞。
• 既然您已经关注到这一点：如果尚未强制实施 LDAP 签名，本月将为您提供两个独立的理由来解决这个问题。

CVE-2026-88218 — Windows DNSServer ，远程代码执行

严重 · CVSS 9.8 · AV:N / PR:N / UI:N · 本周期内有4个DNS相关CVE · 尚未被利用

Windows DNS 中存在未经身份验证的远程代码执行漏洞，这是本周期内发现的四个 DNS 漏洞之一，也属于 ZDI 认定为“可引发蠕虫传播”的 30 个 CVE 之一。在大多数环境中，DNSServer 运行在域控制器上，因此该漏洞与上文提到的 LDAP 漏洞影响范围相同——这意味着只需一次维护窗口即可同时修复这两个问题。

攻击者如何利用这一漏洞

• 向任何可访问的 Windows DNS 服务器发送一个精心构造的数据包。
• 在 DNS 服务上下文中执行；在同一台服务器上的域控制器上，这将直接导致域安全受损。

需要注意的事项

• 与 Active Directory 共享同一主机的 DNS 服务器——请在安排任务前进行清点，而非在安排过程中。
• 可从用户VLAN、远程访问范围或互联网访问Windows DNS。
• 本次发布中另外三个与 DNS 相关的 CVE；请将它们作为一个整体进行修补。

减缓措施指南

• 将其与 LDAP 补丁合并到同一个域控制器维护窗口中。同一台主机上运行两个 9.8 版本，因此有理由将维护窗口提前。
• 当初始入侵点是一台遭钓鱼攻击的笔记本电脑时，“仅限内部”并非一种缓解措施。
• 在累积更新发布后验证服务状态——一个周期内进行四项 DNS 修复，其回归风险范围比平时更大。

CVE-2026-119952 — Windows Schannel，远程代码执行

严重 · CVSS 8.1 · 被利用的可能性较高 · AV:N / PR:N / UI:N · 尚未被利用

Schannel 是 Windows 的 TLS 实现——它位于所有终止加密连接的组件之下。虽然其评分低于上述漏洞，但它是本次发布中极少数被评为“更可能被利用”的漏洞之一，这表明微软正在向您提示，它预计下一次武器化攻击将从何而来。

攻击者如何利用这一漏洞

• 访问任何通过 Schannel 终止 TLS 的服务——IIS、RDP、LDAPS、基于 TLS 的 SMB。
• 在握手过程中执行，在进入身份验证阶段之前。

需要注意的事项

• 所有面向互联网且终止 TLS 的 Windows 服务。受影响的范围比任何单一产品名称所暗示的都要大。
• 系统事件日志中频繁出现Schannel错误或握手失败。

减缓措施指南

• 应将微软的评估结果置于8.1之上。“被利用的可能性更高”是一种前瞻性判断；而CVSS则是一种静态描述。
• 首先是面向互联网的 TLS 终结器，然后是内部的。
• 没有配置上的变通方法——无法禁用 Schannel。更新本身就是控制手段。

第三方发布的版本

实际被利用的情况。在此时间段内，已确认被利用的43个CVE中，有42个源自微软以外的来源。其中9个是边缘或外围设备。

PHP 和帕洛阿尔托

php2shell · EPSS 0.9999 · 已遭利用

CVE-2026-109618 和 CVE-2026-109619 是 PHP 核心本身，于 10 月 21 日披露。其中一个漏洞会在发生内存不足情况后的请求清理过程中导致内存损坏；另一个漏洞则会在回收的工作进程上重复使用过期的请求状态。它们影响所有处理 Web 请求的 PHP 安装环境——包括 PHP-FPM、mod_php、php-cgi、FrankenPHP 和 LiteSpeed——其中 mod_php 的风险最大，因为攻击发生在应用程序代码运行之前。 已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。

亚马逊的MadPot蜜罐于 10月17日，即该漏洞披露前四天且仍处于保密期内。攻击者将其与一个名为Fragnesia的内核权限提升漏洞串联使用，在Palo Alto防火墙的管理接口上部署了root级Web后门；Dream Research发现至少有25个系统遭到入侵。Palo Alto方面表示：“系统无需特殊配置即可受到影响。”据SecurityWeek报道，攻击者利用AI辅助构建了这一攻击链。

伊凡蒂

连接Secure · 链已关闭 · 已遭利用

10月份的简报指出，ConnectSecure 链中存在一个未修补的环节。该问题现已解决。 CVE-2026-111357（CVSS 8.8，dsinvoked 根维护服务中缺少身份验证）和 CVE-2026-118527（4.3，可预测的标识符导致上传竞争条件）已于 10 月 29 日随 25.1.1.3 和 22.8R2.6 版本发布。 这两个漏洞均于 10 月 30 日进入 KEV 阶段；其中 118527 的截止日期为 11 月 13 日——距离现在仅剩两天。

Volexity 关于 UTA0576 的详细分析值得一读：dsinvoked 阶段运行了一个 Python 有效载荷，该载荷暂时修改了内存中的库，将一项维护任务重定向为以 root 身份执行，随后恢复了原始配置和内存状态。 没有 Web shell，也没有持久的后门——命令是通过反复的 HTTPS 请求传输的。利用阶段提取了 Windows LAPS 管理员密码和 BitLocker 恢复密钥。被入侵的设备当时已安装了所有补丁。 “仅凭一次完整的完整性检查结果，并不能排除系统已遭入侵的可能性。”

Adobe

110 个 CVE · 9 份安全公告 · 严重

Adobe Connect 成为头条新闻 ——APSB26-191 共涉及 24 个 CVE，其中 18 个为“严重”级别，最高 CVSS 评分为 10.0，且无需身份验证和用户交互即可通过网络被利用。ZDI 将其称为本月规模最大、危害最严重的 Adobe 安全公告。Experience Manager（APSB26-189）则新增了 14 个漏洞，其中包括 4 个 CVSS 评分为 9.9 的漏洞，仅需低权限账户即可利用。

只有这两项属于2级优先级；其余七份安全公告均为3级优先级。本月Adobe发布的这批安全公告中尚无被利用的漏洞——但CVE-2026-48356（Commerce和Magento中存在无限制文件上传漏洞）已于10月27日被纳入KEV，其EPSS评分为0.475。这是 连续第三个月 Adobe Commerce漏洞被确认遭到利用。

SAP

43 条笔记 · 12 条热点新闻 · 重要

Onapsis 称这是创纪录的数量：43 份新增和更新的安全公告、12 条“热点新闻”，以及 4 个 CVSS 10.0 漏洞，且均为无需身份验证即可利用的漏洞。 其中两项是 ICM2SHELL 内存破坏漏洞对——CVE-2026-76964（NetWeaver AS ABAP）和 CVE-2026-89126（Web Dispatcher 和 HANA XSA）。 CVE-2026-89103 是 PROXYGATE，即 SAP Gateway 中的访问控制缺陷；而 CVE-2026-120017 则是 NetWeaver SAML2 服务提供商中缺少身份验证的问题。

两个运行中的陷阱。 PROXYGATE 在打补丁后需要手动修改配置文件参数 ——仅靠补丁无法彻底解决该问题。此外，SAP明确不建议使用针对ICM2SHELL的禁用WebSocket的临时解决方案。研究人员已向SAP提交了可行的漏洞利用代码；目前尚未有该漏洞在实际环境中的利用报告。

边缘设备

Citrix · SonicWall · Barracuda · 已遭利用

Barracuda 最新动态：CVE-2026-116606（身份验证绕过）和CVE-2026-111560（操作系统命令注入）已被明确串联利用，Barracuda证实“少数组织”遭受了攻击，watchTowr已发布利用代码，两项漏洞的披露日期均为11月13日。

SonicWall CVE-2026-19868（7.1）漏洞允许拥有有效非SAML凭据的用户绕过SSL-VPN上由SAML强制实施的多因素身份验证（MFA）。目前尚无临时解决方案；修复版本为7.3.4-7013和8.2.3-8015，预计于11月20日发布。 Citrix 已于 10 月 8 日发布了 CVE-2026-107406（CVSS 9.5，配置了 SAML 的 NetScaler）的修复程序，并在 14.1-73.49 / 13.1-64.32 版本中发布了一个独立的 php2shell 汇总补丁，该补丁还包含了 9 月和 10 月的修复内容。

火狐浏览器

160 · 99 个 CVE · 无利用案例

Firefox 160（MFSA 2026-125）于“补丁星期二”发布，包含 99 个 CVE——其中 57 个为“高”危，24 个为“中”危，18 个为“低”危，无“严重”危。 ESR 115.45 和 153.7 以及 Thunderbird 160 和 153.7 也同步发布。单次浏览器发布中包含 99 个漏洞，远超 Mozilla 历史平均水平，且与微软的漏洞数量模式一致，尽管 Mozilla 尚未公开将其归因于 AI 辅助漏洞发现。

苹果

一个2024年的CVE漏洞，现已遭恶意利用 · 已遭利用

苹果于11月9日发布了iOS/iPadOS 27.2.1、26.7.3和18.7.12版本，以及三个macOS分支。同时存在三个iOS分支本身就是一个信号——SANS的李·尼利表示：“当苹果为超过两个版本发布补丁时，我会特别留意。”

更有趣的漏洞其实出现得更早。CVE-2024-27834——一个CVSS评分为5.5的指针认证绕过漏洞，苹果已于2024年5月修复——于11月4日被纳入KEV。Sekoia将该漏洞的利用归因于 APT29 / Midnight Blizzard所为，攻击者通过被入侵的合法网站以及Plerdy SEO追踪器的供应链漏洞进行传播，形成了一条以窃取Cookie的信息窃取器为终点的零点击攻击链。这是一个存在了两年半的中等严重性漏洞，却被国家行为体武器化利用了。

如果您需要发货，这意味着什么Software

本月最显著的特征并非事件数量之多，而是两起最具影响力的事件——发现微软唯一被利用的漏洞，以及帕洛阿尔托防火墙遭入侵——都在三周内相继发生，且双方均涉及人工智能辅助，只是立场截然相反。一位研究人员利用人工智能发现了一个已被利用的漏洞；一位攻击者则利用人工智能构建了一条攻击链，成功在生产设备上植入后门。

而真正导致系统遭入侵的其实是PHP：它只是一个依赖项，而非产品本身。在CVE发布之前，了解产品内部及终端设备上的具体情况，才是关键所在。这正是OESIS检测与补丁管理仪表盘所映射的链条：安装了哪些应用程序、这些应用程序存在哪些CVE漏洞，以及是否已有相应的补丁。

优先级矩阵

共四个等级，最严重的排在最前面。等级划分依据的是漏洞的暴露程度和被利用情况，而非CVSS评分——这就是为什么评分6.5的漏洞排在最前面，而评分10.0的却排在最后。评估范围限定在绝大多数组织实际运行的软件上；完整数据集涵盖了所有43个被利用的CVE以及本周期内的所有厂商。

P1 — 现在 24小时内 43个漏洞中有19个被利用

已确认在实际环境中被利用——是实际观察到的，而非预测到的。按时间倒序排列：最上面的几行是上一轮未涵盖的内容。

Microsoft 和 Chrome 相关条目未显示 EPSS 值，因为在生成此快照时，模型尚未对其进行评分。其余 24 个被利用的 CVE 分别存在于媒体服务器、备份设备、开发工具以及 10 月 8 日的旧批次中；这 43 个 CVE 均可在OPSWAT 的 CVE 仪表盘中进行检索。

P2 — 本周 72小时内 32项中的12项

Windows，未经过身份验证，可通过网络访问，无需用户交互。无需点击任何内容，这些因素就会改变您的风险暴露程度。Server 角色优先——请注意，DNS 和 LDAP 都会连接到域控制器。

本月没有EPSS专栏。 截至本快照生成时，该模型在1,095个微软CVE中仅评分了1个——而10月份在几乎同一时间运行时，其覆盖率曾接近100%。EPSS评分有其自身的发布周期，且一栏全为连字符通常表示风险较低，而非无数据。对于已确认的漏洞利用，这本来就不是一个合适的排名指标。

P3 — 本周期 7天内 8 个 CVE

这些漏洞既关键又可利用，但每种情况都需要满足一个先决条件——凭证、经过身份验证的会话或已传输的文件。无论其评分如何，“概念验证”这一行都应归类于“漏洞利用成熟度”部分。

P4 — 无需采取行动 仅供知悉 4 个 CVE

服务端。微软已在自家系统中修复了这些问题；客户无需进行任何部署。他们每月都会发布一份未处理的 CVSS 排序列表——这正是它们被列在此处而非被忽略以避免造成混淆的原因。

72小时计划

优先级矩阵没有告诉你的那些事。

日程表上的下一项是什么

资料来源

首先是主要供应商的公告。

1. 微软安全响应中心，CVRF 文档 2026-Nov，修订版 2026-11-11 — 标准 CVE 列表、微软分配的 CVSS 评分及时间向量。
2. CISA“已知被利用漏洞”目录和FIRST EPSS。
3. Zero Day Initiative，《2026年11月安全更新回顾》。
4. Tenable，2026年11月“补丁星期二”修复了1,093个CVE；Krebs on Security；Rapid7。
5. PHP Group 针对 CVE-2026-109618 和 CVE-2026-109619 发布的公告；NCSC-NL 的 php2shell 产品追踪器；SecurityWeek 关于帕洛阿尔托公司遭入侵事件的报道。
6. Volexity 关于 UTA0576 和 Ivanti Connect 的报告Secure ；Ivanti 针对 CVE-2026-111357 和 CVE-2026-118527 发布的安全公告。
7. Onapsis，SAP 安全补丁发布日，2026年11月。
8. Adobe 安全公告（APSB26-191、-189 等）。
9. Mozilla，MFSA 2026-125（Firefox 160）。
10. Citrix CTX697191；SonicWall SNWLID-2026-0014；Barracuda 安全公告；《The Hacker News》关于 CVE-2024-27834 和 APT29 的报道。
11. VulnCheck 关于 AI 发现的漏洞及其利用率。

方法论。 标题中的数量指微软在CVRF中归类并标注了“影响”评级的CVE，其中不包括267个重新发布的第三方CVE。 微软的 CVSS 和漏洞利用成熟度值由厂商根据 CVRF 分配；当 CISA 未发布第三方 CVSS 值时，该值来自 NVD 或相关厂商。EPSS 是一种预测模型，仅用于报告，绝不用于对已确认的漏洞利用进行排序——本月在数据提取时，该模型仅对 1,095 个微软 CVE 中的 1 个进行了评分，因此未出现在微软的表格中。 优先级矩阵的范围限定于主流企业软件；其基础数据集涵盖了10月8日至11月10日期间所有43个已确认被利用的CVE，以及本周期内的所有厂商。利用状态反映了CISA KEV和第一方厂商的确认信息，而非第三方声明。

数据截至2026年11月11日。 CISA KEV 和 EPSS 会持续更新，微软会在发布后修订 CVRF——此处的数字反映了 11 月 11 日的修订版本以及当天上午的漏洞目录。缓解措施指南仅为通用建议，基于各漏洞已公布的特征制定；不能替代针对您自身环境的测试。