Microsoft во вторник побила свой собственный рекорд Patch Tuesday, выпустив патчи для колоссальных 1,413 уязвимостей, включая одну, о которой было заявлено, что она находится под активной эксплуатацией.
Среди них 1,102 уязвимости в Windows, 134 в Office, 61 в инструментах разработчика, 36 в SharePoint Server и 22 в SQL Server. Из них более 670 относятся к повышению привилегий, за которыми следуют более 300 уязвимостей удаленного выполнения кода и 250 уязвимостей раскрытия информации. Более 70 уязвимостей оценены как критические по степени серьезности.
"Сотни CVE в одном релизе раньше были исключением; теперь это базовый уровень," - сказал Дастин Чайлдс, глава отдела осведомленности о угрозах в Zero Day Initiative (ZDI). "Виновата ли в этом ИИ? Частично. Это ускоряет поиск ошибок с обеих сторон, поэтому поставщики находят (и исправляют) больше уязвимостей, а исследователи находят их быстрее."
"Но ИИ не создает эти ошибки из воздуха; он просто сокращает время между существованием уязвимости и тем, как кто-то ее замечает. Объем больше не является настоящей историей. Важно то, что открытие масштабируется быстрее, чем эксплуатация, поэтому команды, которые сортируют по количеству CVE, а не по возможности эксплуатации, тратят ресурсы на неправильные ошибки. Исправляйте то, что доказано, приоритезировано и публично, и рассматривайте все остальное как новую норму этого месяца."
Три уязвимости, заслуживающие внимания, перечислены ниже -
CVE-2026-96951 (оценка CVSS: 8.8) - Уязвимость внедрения команд в Windows Shell, которая позволяет несанкционированному атакующему обойти функцию безопасности через сеть.
CVE-2026-108398 (оценка CVSS: 8.8) - Уязвимость ненадежного поискового пути в .NET Framework, которая позволяет авторизованному атакующему обойти функцию безопасности локально.
CVE-2026-92707 (оценка CVSS: 5.3) - Уязвимость неправильно контролируемого последовательного выделения памяти в MessagePack-CSharp, которая позволяет несанкционированному атакующему отказать в обслуживании через сеть.
Microsoft, которая поблагодарила Рику Бамбу и Юю Чудо из Fujitsu, а также Бенуа Севенса из Anthropic и исследователя по имени yhw за сообщение о CVE-2026-96951, заявила, что уязвимость была эксплуатирована в дикой природе.
"Атакующий, который успешно использовал уязвимость, мог бы избежать защит Mark of the Web (MOTW)," - сказал производитель Windows. "В сценарии атаки по электронной почте или мгновенному сообщению атакующий мог бы отправить целевому пользователю специально подготовленный файл, который предназначен для эксплуатации уязвимости."
"В любом случае атакующий не имел бы возможности заставить пользователя просмотреть контролируемый атакующим контент. Вместо этого атакующий должен был бы убедить пользователя предпринять действия. Например, атакующий мог бы соблазнить пользователя либо кликнуть по ссылке, которая направляет пользователя на сайт атакующего, либо отправить вредоносный вложение."
Неясно, как уязвимость используется в реальных атаках, кем и кто стал целью. Агентство кибербезопасности и безопасности инфраструктуры США (CISA) добавило уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), требуя от федеральных агентств применить исправления до 16 октября 2026 года.
CVE-2026-108398 была признана публично известной на момент выпуска патчей, при этом Microsoft заявила, что уязвимость безопасности может быть использована для обхода контроля приложений Windows Defender (WDAC) и запуска несанкционированных приложений на целевых системах.
"Авторизованный атакующий мог бы разместить специально подготовленный .NET сборку на затронутой системе и зарегистрировать ее для загрузки защищенным процессом," - сказала Microsoft. "Успешная эксплуатация могла бы обойти ограничения контроля приложений Windows Defender и позволить атакующему выполнять код внутри защищенного процесса. Взаимодействие с пользователем не требуется."
"Эта уязвимость особенно опасна как техника атаки после компрометации, позволяя атакующим с существующим локальным доступом обходить ограничения безопасности без взаимодействия с пользователем," - сказал Майк Уолтерс, президент и соучредитель Action1. "Успешная эксплуатация может подорвать целостность системы, раскрыть конфиденциальную бизнес-информацию, ослабить защиту конечных точек и нарушить критические операции."
Microsoft приписала открытие уязвимости Джеймсу Форшоу из Google Project Zero, в то время как анонимному исследователю было отдано должное за сообщение о CVE-2026-92707. Уязвимость безопасности является второй, которая была помечена как публично раскрытая.
Патчи также были выпущены для не-Microsoft CVE (CVE-2026-21413, оценка CVSS: 9.8), уязвимости переполнения буфера на основе кучи, затрагивающей Raw Image Extension, которая может привести к удаленному выполнению кода.
"Атакующий мог бы использовать эту уязвимость, убедив пользователя перейти в папку, содержащую специально подготовленный файл RAW изображения," - сказала Microsoft. "Уязвимость может быть активирована, когда Windows генерирует миниатюру или предварительный просмотр; пользователю не нужно открывать файл."
Это развитие событий происходит на фоне продолжающегося использования подходов с поддержкой искусственного интеллекта (ИИ) для обнаружения и устранения уязвимостей безопасности. В прошлом месяце Microsoft устранила почти 1,000 уязвимостей. По словам Сатнама Нарана, старшего исследовательского инженера в Tenable, более 4,000 CVE были исправлены Microsoft только в этом году.
"Огромный объем уязвимостей в недавних релизах Patch Tuesday может легко включать несколько примеров потенциально вызывающих беспокойство уязвимостей, каждая из которых могла бы быть более замечательной сама по себе, когда объемы были ниже," - сказал Адам Барнетт, ведущий инженер-программист в Rapid7.
Вместе с обновлениями этого месяца Redmond также представила новый метод, который поможет организациям приоритизировать обновления безопасности, группируя связанные уязвимости в то, что она называет "группами риска."
"Группа риска - это группа CVE, которые требуют аналогичной оценки со стороны клиента," - сказала Microsoft. "Группы риска являются отправной точкой, а не окончательным решением. Клиенты должны продолжать проверять каждую CVE на предмет активной эксплуатации, серьезности, вектора атаки, взаимодействия с пользователем и конкретных рекомендаций по продукту."
Найдена ли эта статья интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.