Разработчики Microsoft расширяют список потенциально опасных вложений, которые Outlook блокирует по умолчанию. В ноябре 2026 года под запрет попадут файлы с расширениями .msix и .msixbundle, которые используются для установки приложений в Windows.

Нововведение затронет пользователей Exchange Online, работающих с веб-версией Outlook и новым Outlook для Windows. Развертывание начнется в первых числах ноября 2026 года и должно завершиться к середине месяца. После этого пользователи не смогут отправлять, получать, открывать и скачивать упомянутые вложения.

MSIX — современный формат пакетов приложений в Windows, а MSIXBundle представляет собой контейнер, который может объединять несколько MSIX-пакетов (например, для разных архитектур). Так как установка вредоносного пакета может привести к компрометации системы, в Microsoft решили внести оба расширения в список BlockedFileTypes.

Изменение коснется стандартных и кастомных политик OwaMailboxPolicy, и в Microsoft отмечают, что большинство организаций, скорее всего, вообще ничего не заметят, поскольку файлы таких типов редко пересылают по почте. Если же MSIX-вложения нужны для работы, администраторы смогут разрешить их пересылку вручную: для этого до развертывания обновления потребуется добавить соответствующие расширения в свойство AllowedFileTypes политики OwaMailboxPolicy.

Следует отметить, что формат MSIX и связанные с ним механизмы уже не первый раз привлекают внимание специалистов компании. Так, еще в декабре 2023 года разработчики Microsoft отключили обработчик протокола ms-appinstaller после того, как злоумышленники начали активно применять его для доставки малвари.

Кроме того, в Outlook постепенно закрывают и другие похожие векторы атак. Например, веб-версия сервиса блокирует вложения .py, .ps1 и .cab, а в июне 2025 года к списку запрещенных добавили .library-ms и .search-ms, которые применялись в фишинговых и вредоносных кампаниях.