Вчера прошел «Вторник исправлений» (Patch Tuesday) в октябре, и обновления безопасности Microsoft устранили 1416 новых уязвимостей. Это не только очередной рекорд, но и первый случай, когда за один месяц было исправлено более 1000 уязвимостей. Более того, в октябре 2026 года было устранено больше уязвимостей безопасности за месяц, чем за весь предыдущий год.
Помимо уязвимостей в Windows и Office, были исправлены многочисленные недочеты в Exchange Server, SQL Server, Hyper-V, Skype for Business, Microsoft Defender, .NET Framework, Visual Studio и облачных сервисах Microsoft.
Microsoft классифицирует 85 из 1416 уязвимостей как «критические», включая 67 уязвимостей удаленного выполнения кода (RCE). Остальные уязвимости классифицированы как «высокорисковые»; одна из них уже активно используется злоумышленниками, а две были известны публично заранее.
Следующий «Вторник исправлений» запланирован на 10 ноября 2026 года.
Уязвимости безопасности Windows
Значительное количество уязвимостей — более 1000 в этот раз — распределено по различным версиям Windows (10, 11, Server), для которых Microsoft по-прежнему предоставляет обновления безопасности, включая Windows 10 по программе расширенных обновлений безопасности (ESU), которая была продлена до 12 октября 2027 года.
Примечание: Если вы все еще используете Windows 11 24H2, это ваш последний «Вторник исправлений». Компьютеры с версией 24H2 больше не будут получать обновления безопасности. При появлении соответствующего запроса в Центре обновления Windows следует обновиться до Windows 11 25H2 или 26H2, чтобы оставаться в безопасности и быть в курсе последних обновлений.
Windows под атакой
Одна уязвимость безопасности Windows в этом месяце уже активно используется злоумышленниками. CVE-2026-96951 в оболочке Windows позволяет злоумышленникам обходить системные средства защиты, маскируя источник исполняемого файла из Интернета (Mark of the Web, или MotW).
Критические уязвимости Windows
Microsoft классифицировала 42 уязвимости Windows как критические, включая 30 уязвимостей RCE. Через эти уязвимости злоумышленник может удаленно выполнить внедренный код без аутентификации или взаимодействия с пользователем. Вредоносный код затем может распространяться по сети.
Уязвимости безопасности Microsoft Edge
Последнее обновление безопасности Microsoft Edge 155.0.4283.45 датировано 8 октября и основано на Chromium 155.0.8059.40. Оно устраняет 247 уязвимостей Chromium, которые *не* включены в общее число уязвимостей, исправленных в Microsoft Edge в этом месяце.
Уязвимости безопасности Microsoft Office
Microsoft исправила 194 уязвимости в различных продуктах Office, включая 25 уязвимостей RCE, классифицированных как критические. При наличии «критических» уязвимостей RCE в Office обычным вектором атаки является область предварительного просмотра: пользователю не нужно открывать зараженный файл для успешной атаки, достаточно лишь предварительно просмотреть его в этой области. Между тем, «высокорисковые» уязвимости RCE обычно требуют от пользователя открытия зараженного файла Office в уязвимом продукте Office (open-and-own).
Среди многочисленных уязвимостей в SharePoint CVE-2026-102866 — уязвимость повышения привилегий (EoP), которую Microsoft классифицирует как критическую. Это также единственная уязвимость SharePoint, которую злоумышленник может использовать без входа пользователя в систему. Ему потребуется получить действительный токен пользователя, изменить его и выдать себя за этого пользователя на сервере.
Уязвимости безопасности Exchange Server
В этом месяце Microsoft исправила 7 уязвимостей в Exchange Server. Шесть из них классифицированы как высокорисковые, включая пять уязвимостей EoP. Также включена CVE-2026-70571 — уязвимость RCE, классифицированная как критическая.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Frank Ziemann
