Во вторник Microsoft побила собственный рекорд «Вторника исправлений», выпустив патчи для рекордных 1413 уязвимостей, включая одну, которая, по данным компании, активно эксплуатируется.
Среди них 1102 уязвимости в Windows, 134 в Office, 61 в Developer Tools, 36 в SharePoint Server и 22 в SQL Server. Из них более 670 связаны с повышением привилегий, более 300 — с удаленным выполнением кода и 250 — с раскрытием информации. Более 70 уязвимостей имеют критический уровень серьезности.
«Сотни CVE в одном выпуске раньше были исключением, а теперь стали нормой», — сказал Дастин Чайлдс, руководитель отдела Threat Awareness в Zero Day Initiative (ZDI). «Виноват ли в этом ИИ? Отчасти. Он ускоряет поиск ошибок с обеих сторон, поэтому поставщики находят (и исправляют) больше уязвимостей, а исследователи находят их быстрее».
«Но ИИ не создает эти ошибки из воздуха; он просто сокращает время между существованием уязвимости и тем, как кто-то ее заметит. Объем — это уже не главная история. Важно то, что обнаружение масштабируется быстрее, чем эксплуатация, поэтому команды, которые сортируют по количеству CVE, а не по возможности эксплуатации, тратят время на неправильные ошибки. Исправляйте то, что доказано, приоритизировано и публично, а все остальное считайте новой нормой этого месяца».
Ниже перечислены три заслуживающие внимания уязвимости:
Microsoft, которая поблагодарила Рику Бамбу и Юю Тюдо из Fujitsu, а также Бенуа Севенса из Anthropic и исследователя по имени yhw за сообщение об CVE-2026-96951, заявила, что уязвимость уже эксплуатировалась в реальных атаках.
«Злоумышленник, успешно эксплуатировавший уязвимость, мог обойти защиту Mark of the Web (MOTW)», — заявили в Microsoft. «В сценарии атаки через электронную почту или мгновенные сообщения злоумышленник мог отправить целевому пользователю специально созданный файл, предназначенный для эксплуатации уязвимости».
«В любом случае у злоумышленника не было бы возможности заставить пользователя просмотреть контент, контролируемый злоумышленником. Вместо этого злоумышленнику пришлось бы убедить пользователя предпринять действия. Например, злоумышленник мог бы побудить пользователя перейти по ссылке, ведущей на сайт злоумышленника, или отправить вредоносное вложение».
Неясно, как именно эксплуатируется уязвимость в реальных атаках, кем и кто стал целью. Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), требуя от федеральных агентств применить исправления к 16 октября 2026 года.
CVE-2026-108398 была признана общеизвестной на момент выпуска исправлений, при этом Microsoft заявила, что уязвимость безопасности может быть использована для обхода принудительного применения Windows Defender Application Control (WDAC) и запуска неавторизованных приложений на целевых системах.
«Аутентифицированный злоумышленник мог разместить специально созданный .NET-ассамблер на затронутой системе и зарегистрировать его для загрузки защищенным процессом», — заявили в Microsoft. «Успешная эксплуатация могла бы обойти ограничения Windows Defender Application Control и позволить злоумышленнику выполнить код в защищенном процессе. Взаимодействие с пользователем не требуется».
«Эта уязвимость особенно опасна как метод атаки после компрометации, позволяющий злоумышленникам с уже имеющимся локальным доступом обходить ограничения безопасности без взаимодействия с пользователем», — сказал Майк Уолтерс, президент и соучредитель Action1. «Успешная эксплуатация может поставить под угрозу целостность системы, раскрыть конфиденциальную деловую информацию, ослабить защиту конечных точек и нарушить критически важные операции».
Microsoft отнесла обнаружение уязвимости Джеймсу Форшоу из Google Project Zero, а также отметила анонимного исследователя за сообщение об CVE-2026-92707. Эта уязвимость стала второй, помеченной как публично раскрытая.
Также были выпущены исправления для не связанной с Microsoft уязвимости CVE (CVE-2026-21413, оценка CVSS: 9.8) — переполнение буфера на основе кучи, затрагивающее Raw Image Extension, которое могло привести к удаленному выполнению кода.
«Злоумышленник мог бы использовать эту уязвимость, убедив пользователя перейти в папку, содержащую специально созданный файл RAW-изображения», — заявили в Microsoft. «Уязвимость может быть вызвана при создании миниатюры или предварительного просмотра в Windows; пользователю не нужно открывать файл».
Это развитие событий происходит на фоне продолжающегося использования подходов, основанных на искусственном интеллекте (ИИ), для обнаружения и устранения уязвимостей безопасности. В прошлом месяце Microsoft исправила почти 1000 уязвимостей. По словам Сатнама Наранга, старшего инженера-исследователя в Tenable, в этом году Microsoft исправила более 4000 CVE.
«Огромный объем уязвимостей в последних выпусках Patch Tuesday может легко включать несколько примеров потенциально вызывающих беспокойство уязвимостей, каждая из которых могла бы быть более примечательной сама по себе, когда объемы были ниже», — сказал Адам Барнетт, ведущий инженер-программист в Rapid7.
Вместе с обновлениями этого месяца Редмонд также представил новый метод, помогающий организациям приоритизировать обновления безопасности, группируя связанные уязвимости в так называемые «когорты риска».
«Когорта риска — это группа CVE, требующих аналогичной оценки со стороны клиента», — заявили в Microsoft. «Когорты риска являются отправной точкой, а не окончательным решением. Клиенты должны продолжать анализировать каждый CVE на предмет активной эксплуатации, серьезности, вектора атаки, взаимодействия с пользователем и специфических для продукта рекомендаций».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
