Microsoft Outlook закрывает лазейку с MSIX

С ноября 2026 года Microsoft Outlook начнёт по умолчанию блокировать вложения с расширениями .msix и .msixbundle. Эти форматы служат для установки приложений в Windows, и через них можно протащить вредоносный пакет. Запрет затронет пользователей Exchange Online, которые работают с веб-версией Outlook и с новым Outlook для Windows. Развёртывание стартует в первых числах ноября и завершится к середине месяца. После этого такие файлы нельзя будет отправить, получить, открыть или скачать.

MSIX — современный формат пакетов приложений в Windows, а MSIXBundle — контейнер, объединяющий несколько MSIX-пакетов, например под разные архитектуры. Поскольку установка чужого пакета может привести к компрометации системы, Microsoft решила внести оба расширения в список BlockedFileTypes. Правка коснётся как стандартных, так и кастомных политик OwaMailboxPolicy. В компании считают, что большинство организаций ничего не заметит: файлы таких типов по почте пересылают редко.

Если MSIX-вложения всё же нужны для работы, администраторы смогут разрешить их вручную. Для этого до развёртывания обновления нужно добавить соответствующие расширения в свойство AllowedFileTypes политики OwaMailboxPolicy. Это не первый случай, когда формат MSIX привлекает внимание Microsoft по части безопасности: в декабре 2023 года компания отключила обработчик протокола ms-appinstaller, которым злоумышленники доставляли малварь.

Outlook постепенно закрывает и другие похожие векторы. Веб-версия сервиса уже блокирует вложения .py, .ps1 и .cab, а в июне 2025 года к списку запрещённых добавили .library-ms и .search-ms, которые использовались в фишинговых и вредоносных кампаниях. Так что ноябрьское обновление — логичное продолжение курса на сужение путей доставки угроз через почту.