CISA: ranljivosti v Outlooku in Chromu se že izkoriščata

Zakaj je opozorilo CISA z 10. novembra 2026 pomembno?

CISA je 10. novembra 2026 v katalog aktivno izkoriščanih ranljivosti vključila napaki v Microsoft Outlooku (CVE-2026-124194) in Googlu Chrome (CVE-2026-125350). Popravka sta na voljo, zato je potrebno hitro posodabljanje.

Ameriška agencija za kibernetsko varnost CISA je 10. novembra v katalog Known Exploited Vulnerabilities (KEV) dodala šest ranljivosti, za katere obstajajo dokazi o izkoriščanju v dejanskih napadih. Med njimi sta napaki v dveh zelo razširjenih programih: odjemalcu elektronske pošte Microsoft Outlook in spletnem brskalniku Google Chrome. Njuna uvrstitev v KEV pomeni več kot zgolj teoretično možnost napada, ne pove pa, koliko uporabnikov je bilo prizadetih. Pomen takšnega opozorila pojasnjuje tudi prejšnji pregled ranljivosti, ki jih spremlja CISA.

Za obe ranljivosti je CISA določila datum 24. november 2026 kot rok za ukrepanje pri zadevnih ameriških zveznih organih. Ta datum ni zakonsko predpisan rok za slovenska podjetja ali posameznike in ga ni smiselno razumeti kot varen čas za odlašanje. Google je popravljeno različico Chroma objavil 9. novembra, Microsoft pa je popravek za Outlook vključil v varnostne posodobitve 10. novembra. Datumi začetka dejanskih napadov niso javno zanesljivo opredeljeni.

Microsoft Outlook: nevarnost razkritja podatkov za overjanje

Ranljivost CVE-2026-124194 v Microsoft Outlooku je povezana s pomanjkljivim opozarjanjem uporabnika na potencialno nevarno dejanje. Napadalec lahko pripravi posebej oblikovano sporočilno datoteko in uporabnika prepriča, da jo odpre v prizadeti različici programa. Outlook se lahko pri tem brez običajnega opozorila o zunanji vsebini poveže z omrežno lokacijo pod nadzorom napadalca. Posledica je lahko razkritje podatkov za overjanje, zlasti odziva NTLMv2, ki ga je pod določenimi pogoji mogoče zlorabiti pri nadaljnjih napadih.

Gre za ranljivost vrste spoofing oziroma možnost lažnega predstavljanja, ne za potrjeno neposredno izvajanje poljubne kode v Outlooku. Microsoft ji pripisuje oceno CVSS 6,5 od 10 in stopnjo resnosti »zmerno«, toda dejansko izkoriščanje je razlog za prednostno odpravo tudi pri takšni oceni. Pomembna je še razlika med samim predogledom in odpiranjem datoteke: po objavljenih pojasnilih za ta CVE podokno za predogled ni napadalni vektor, potrebna je uporabnikova interakcija. To ni enak scenarij kot pri predhodno obravnavani ranljivosti Outlooka brez uporabniškega klika.

Odziv NTLMv2 ni geslo v berljivi obliki. Vendar lahko njegovo razkritje v določenih okoliščinah pomaga napadalcu pri poskusu lažnega predstavljanja ali pridobivanja dostopa do storitev, ki uporabljajo ustrezne načine overjanja. Iz javno dostopnih informacij ni mogoče sklepati, da je vsaka uporaba prizadetega Outlooka že povzročila krajo računa ali uspešno prijavo napadalca. Takšno razlikovanje je pomembno pri obveščanju zaposlenih in ocenjevanju morebitnega incidenta.

Google Chrome: ranljivost pri obdelavi XML

Ranljivost CVE-2026-125350 se nahaja v delu brskalnika Chromium, ki obdeluje XML, in spada med napake vrste use-after-free oziroma uporabo pomnilnika po njegovi sprostitvi. Napadalec lahko izkoristi nepravilno ravnanje s pomnilnikom prek posebej pripravljene spletne strani. V uradnem opisu ranljivosti je navedena možnost izvajanja poljubne kode znotraj zaščitenega okolja brskalnika (peskovnika). To še ne pomeni, da je potrjen tudi pobeg iz peskovnika ali popoln prevzem operacijskega sistema.

Google je izrecno potrdil, da obstaja izkoriščanje te ranljivosti v resničnem okolju, vendar ni razkril obsega napadov ali identitete napadalcev. V varnostni posodobitvi Chroma z dne 9. novembra je odpravil devet varnostnih napak, med njimi CVE-2026-125350. Ranljivost je ocenjena kot visoko tvegana, pri čemer je sama uvrstitev v KEV pomembnejša za odločanje o nujnosti popravka kot zgolj številčna ocena. Na podobno potrebo po takojšnjem ukrepanju je iVarnost opozoril že ob prejšnji aktivno izkoriščani ranljivosti v Chromu.

Ker temelji na Chromiumu tudi več drugih brskalnikov, CISA opozarja na možno širšo izpostavljenost, med drugim pri Microsoft Edge in Operi. To še ne dokazuje, da ima vsak tak brskalnik enako prizadeto različico ali da je popravek za Chrome neposredno uporaben tudi zanj. Uporabniki in skrbniki morajo zato preveriti varnostna obvestila ter posodobitve posameznega proizvajalca.

Katere različice Chroma in Outlooka vsebujejo popravke?

Za Google Chrome so popravljene različice jasno navedene v uradni objavi z dne 9. novembra 2026. Pri Outlooku je treba upoštevati izdajo Officea in kanal, po katerem organizacija prejema posodobitve. Preverjanje samo po imenu izdelka ni dovolj, saj lahko različni računalniki uporabljajo različne gradnje istega programa. Namestitev popravkov je treba po izvedbi tudi preveriti, ne zgolj sprožiti.

Chrome Stable za Windows in macOS: različici 157.0.8103.50 oziroma 157.0.8103.51 ali novejša ustrezna različica.
Chrome Stable za Linux in Android: za oba sistema je Google 9. novembra objavil različico 157.0.8103.50 z ustreznimi varnostnimi popravki.
Chrome Extended Stable za Windows in macOS: popravljena različica 156.0.8078.96 ali novejša ustrezna različica tega kanala. Tudi ta posodobitev vključuje odpravo CVE-2026-125350.
Outlook za Office LTSC in Microsoft 365 Apps: v Office LTSC 2021 je popravljena gradnja 16.0.14334.21048, v Office LTSC 2024 pa 16.0.17932.21140 oziroma novejša ustrezna gradnja. Pri Microsoft 365 Apps za podjetja je treba posodobitev preveriti glede na uporabljeni kanal in Microsoftov seznam varnostnih izdaj Officea.

Google opozarja, da se posodobitve Chroma lahko uvajajo postopoma. Po namestitvi je zato treba brskalnik znova zagnati, da začne uporabljati popravljeno različico. Pri centralno upravljanih namestitvah Officea mora skrbnik preveriti dejansko stanje na napravah, saj ponujena ali načrtovana posodobitev še ni dokaz, da je ranljivost odpravljena.

Kaj morajo storiti podjetja in javna uprava?

Prednostna naloga organizacij je ugotoviti, kje so nameščene prizadete različice Chroma in Outlooka, ter poskrbeti za preverljivo uvedbo popravkov. Posebno pozornost zahtevajo delovne postaje, na katerih se obdelujejo zaupni dokumenti, elektronska pošta in dostopi do poslovnih informacijskih sistemov. V upravljanih okoljih samo samodejno posodabljanje brez pregleda uspešnosti ne zagotavlja, da so vsi računalniki zaščiteni. Tovrstno razvrščanje po dejanskem tveganju sodi v širše upravljanje ranljivosti in odpravljanje popravkov.

Priporočeni neposredni ukrepi so:

Preveriti inventar naprav, dejanske različice obeh programov in uspešnost namestitve varnostnih posodobitev.
Zagotoviti, da uporabniki Chrome po posodobitvi znova zaženejo, in obravnavati naprave, ki se dalj časa ne povezujejo v upravljano okolje.
Pri Outlooku pregledati morebitno odpiranje nepričakovanih sporočilnih datotek in sumljive izhodne povezave; kjer je strokovno upravičeno, omejiti nepotreben izhodni promet SMB in uporabo NTLM.
Ob utemeljenem sumu zlorabe ohraniti ustrezne dnevnike, preveriti povezane prijave in sprožiti interni postopek odzivanja na incident.

Omejevanje SMB ali NTLM je dodatni obrambni ukrep, ne nadomestilo za Microsoftov popravek. Prav tako odsotnost očitnih opozoril v dnevnikih sama po sebi ne dokazuje, da poskusa izkoriščanja ni bilo. Organizacije naj ukrepe prilagodijo svoji arhitekturi, poslovnim odvisnostim in postopkom obvladovanja incidentov.

Kaj naj preverijo posamezni uporabniki?

Posamezniki lahko najprej preverijo različico Chroma v meniju Pomoč > O Google Chromu, kjer brskalnik praviloma preveri razpoložljivost posodobitev. Po namestitvi naj ga znova zaženejo in preverijo, ali je številka različice ustrezna. Pri Outlooku je treba v namiznem Officeu preveriti možnost Datoteka > Račun za Office > Možnosti posodobitve, kadar je ta možnost na voljo; v službenem okolju posodobitve lahko upravlja skrbnik. Nepričakovanih sporočilnih datotek iz e-pošte ali drugih kanalov ni priporočljivo odpirati, tudi če je navedeni pošiljatelj videti znan.

Varen brskalnik je rezultat posodobljene programske opreme, ustreznih nastavitev in previdnosti pri obisku spletnih strani. Pri razumevanju zaščitnih funkcij so lahko v pomoč priporočila za varne spletne brskalnike in pojasnila o tem, kdaj posodobiti programsko opremo. Če je uporabnik že odprl sumljivo Outlookovo datoteko, naj dogodek čim prej prijavi pristojni podpori, namesto da sam sklepa o obsegu posledic.

Kaj je o napadih še neznano?

Javno dostopna opozorila potrjujejo aktivno izkoriščanje obeh ranljivosti, ne omogočajo pa zanesljive ocene števila uspešnih napadov. Prav tako niso potrjeni podatki o slovenskih žrtvah, celotni nastali škodi, izbranih tarčah ali natančnem datumu začetka posameznih napadalnih kampanj. Samo dejstvo, da je organizacija uporabljala prizadeti program, še ni dokaz incidenta. Po drugi strani odsotnost javno potrjenih slovenskih primerov ni razlog za odlašanje s popravki.

Opozorilo CISA je zato predvsem poziv k pravočasni in preverljivi odpravi tveganja. Pri Outlooku je v ospredju možnost razkritja podatkov za overjanje po uporabnikovem dejanju, pri Chromu pa možnost izvajanja kode znotraj peskovnika prek posebej pripravljene spletne strani. Različna tehnična mehanizma zahtevata različna dodatna preverjanja, skupna nujna naloga pa ostaja namestitev ustreznih varnostnih posodobitev.