Октябрьское обновление патчей Microsoft выделяется по двум причинам. Во-первых, общее количество патчей впервые достигло четырехзначного числа. Во-вторых, чтобы помочь компаниям лучше понять детали уязвимостей, Microsoft решила сгруппировать их по группам риска. Группа объединяет уязвимости, которые эксплуатируются при одних и тех же условиях и затрагивают одни и те же системы. Они не заменяют ни оценку серьезности, ни отдельные бюллетени для каждой CVE. Хотя они вряд ли подойдут для комплексной приоритизации патчей, они помогут быстро оценить, какая часть инфраструктуры в настоящее время наиболее подвержена риску.
Статистический уголок
Из 1,414 уязвимостей, устраненных в октябрьском обновлении патчей, 1,102 напрямую затрагивают операционную систему Windows, 134 — Microsoft Office, 36 — SharePoint Server, 22 — SQL Server и семь — Exchange Server. Подавляющее большинство — 677 — приводят к повышению привилегий, 317 — к удаленному выполнению кода, 40 — к обходу безопасности и 73 — к отказу в обслуживании (DoS).
В списке 86 критических уязвимостей, из которых 68 приводят к RCE, 14 — к повышению привилегий, три — к подделке и одна — к утечке данных. Кроме того, две уязвимости были раскрыты до того, как были выпущены патчи, и одна используется в реальных атаках.
CVE-2026-96951 — уязвимость в Windows Shell
Единственная уязвимость нулевого дня, устраненная в октябрьском обновлении и уже эксплуатируемая злоумышленниками в реальных атаках, — это CVE-2026-96951 в Windows Shell (оценка серьезности CVSS: 8.8). Подробности о том, как она эксплуатируется, пока неизвестны; однако, согласно описанию Microsoft, это связано с инъекцией команд, которая позволяет обойти функцию безопасности при доступе к системе через сеть. Microsoft благодарит экспертов из Fujitsu и Anthropic за обнаружение уязвимости, поэтому, вероятно, она была найдена с использованием нейронных сетей.
CVE-2026-108398 и CVE-2026-92707: уязвимости, раскрытые до выпуска патчей
Информация об этих двух уязвимостях была обнародована до выхода октябрьского обновления. Теоретически это может означать, что злоумышленники пытались эксплуатировать их заранее. Это:
CVE-2026-108398 — уязвимость в .NET Framework, позволяющая обойти защиту WDAC;
CVE-2026-92707 — уязвимость в стороннем компоненте сериализации MessagePack-CSharp, приводящая к отказу в обслуживании (DoS).
Тем не менее, согласно бюллетеням безопасности, ни одна из них пока не наблюдалась в реальных атаках.
На что еще стоит обратить внимание
Несколько уязвимостей, устраненных в последнем обновлении, сочетают потенциально серьезные последствия с относительно простой эксплуатацией. Особое внимание следует уделить трем недостаткам, которые могут привести к произвольному выполнению кода:
CVE-2026-65674 (в SQL Server);
CVE-2026-70571 (в Exchange Server);
CVE-2026-70229 (в AD Domain Services).
Что еще следует исправить?
Microsoft не единственная компания, которая выпускает регулярные пакеты обновлений для вновь обнаруженных уязвимостей.
В своем октябрьском обновлении Adobe исправила 174 дефекта в своих продуктах, включая критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для злоумышленников.
Октябрьский бюллетень безопасности SAP перечисляет 20 уязвимостей, включая CVE-2026-89111 — уязвимость SSRF в Cloud SDK для Python. Эта уязвимость, оцененная в CVSS 10, позволяет злоумышленникам красть токены OAuth.
Как защитить вашу компанию?
Недавно, благодаря нейронным сетям, количество обнаруженных и исправленных уязвимостей регулярно бьет рекорды. Чтобы избежать перегрузки потоком патчей, мы рекомендуем использовать автоматизированную платформу для отслеживания и оценки уязвимостей. Она помогает не только выявлять и исправлять уязвимости, но и приоритизировать их на основе фактических рисков и автоматизировать процесс устранения.