Microsoft пусна спешна кръпка, за да отстрани уязвимост от типа „нулев ден“ в Office

Microsoft спешно пусна непланирани актуализации за сигурност, за да поправи сериозна уязвимост от типа „нулев ден“ в Microsoft Office, която беше използвана при реални кибератаки.

Уязвимостта е проследена като CVE-2026-21509 и засяга множество версии на Office, включително Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024 и Microsoft 365 Apps for Enterprise.

Това ви позволява да заобиколите защитите от уязвимости на OLE в Microsoft 365 и Microsoft Office, които са предназначени да предпазват потребителите от уязвими COM/OLE елементи за управление.

По този начин, неупълномощени локални нападатели могат успешно да експлоатират тази уязвимост чрез прости атаки, които изискват взаимодействие с потребителя, въпреки че техният вектор заобикаля екрана за предварителен преглед. За да експлоатират тази уязвимост, те трябва да изпратят злонамерен файл за Office до потребителя и да го убедят да го отвори. В крайна сметка, „използването на ненадеждни данни при вземане на решения за сигурност в Office позволява на неупълномощен нападател да заобиколи локалната функция за сигурност“. 

Microsoft пусна кръпка за всички засегнати версии на Office. За тези, които не могат своевременно да актуализират своите инсталации на Office, са налични смекчаващи мерки, които могат да „намалят сериозността на експлоатацията на уязвимостта“.

Уязвимостта е открита от самите изследователи по сигурността на Microsoft, но компанията все още не е предоставила никаква информация за реални случаи. Вероятно е била използвана за целенасочен шпионаж.

Microsoft вече заяви, че ще плаща награди на изследователи по сигурността за откриване на критични уязвимости във всяка от онлайн услугите им, независимо дали кодът е написан от самата компания или от трета страна.