Microsoft выпустила исправления для 1 413 уязвимостей — это рекорд для Patch Tuesday. Компания подтвердила, что одну из них уже используют в атаках. Более 70 проблем получили критическую оценку. Больше всего исправлений пришлось на Windows — 1 102; далее идут Office (134), инструменты разработчика (61), SharePoint Server (36) и SQL Server (22).
Такой объём перестал быть исключением. Дастин Чайлдс, руководитель направления информирования об угрозах в Zero Day Initiative (ZDI), говорит, что сотни CVE в одном выпуске раньше удивляли, а теперь стали обычным масштабом. По его словам, искусственный интеллект ускоряет поиск ошибок и помогает быстрее находить и исправлять их. Самих уязвимостей ИИ не создаёт: он сокращает промежуток между появлением ошибки и её обнаружением.
Чайлдс советует оценивать не количество CVE, а реальную возможность эксплуатации. В первую очередь стоит разбирать уязвимости, атаки на которые подтверждены или которые получили приоритет и стали публично известны. Адам Барнетт, ведущий инженер-программист Rapid7, добавляет: в крупных пакетах могут затеряться опасные проблемы, на которые при меньшем потоке обновлений обратили бы больше внимания.
Среди подтверждённо используемых в атаках ошибок — CVE-2026-96951 в Windows Shell. Её оценка CVSS составляет 8,8, тип — внедрение команд. Удалённый неавторизованный злоумышленник может обойти защитный механизм, в том числе защиту Mark of the Web (MOTW). Для атаки через электронную почту или мессенджер требуется специально подготовленный файл, но заставить пользователя открыть его или перейти по ссылке атакующий не может: ему нужно убедить человека сделать это.
Microsoft поблагодарила за обнаружение CVE-2026-96951 Рику Бамбу и Юю Тюдо из Fujitsu, Бенуа Севенса из Anthropic и исследователя под псевдонимом yhw. Как именно уязвимость используют на практике, кто стоит за атаками и кто стал их целью, пока неизвестно. Агентство кибербезопасности и защиты инфраструктуры США (CISA) внесло CVE-2026-96951 в каталог известных эксплуатируемых уязвимостей KEV. Федеральные ведомства США должны установить исправление до 16 октября 2026 года.
Ещё одна проблема с оценкой CVSS 8,8 — CVE-2026-108398 Framework. Это уязвимость недоверенного пути поиска, позволяющая авторизованному пользователю локально обойти защиту. К моменту выпуска исправления о ней уже знали публично. Microsoft предупреждает, что ошибку можно использовать для обхода Windows Defender Application Control (WDAC) и запуска неразрешённых приложений. Злоумышленнику с учётной записью достаточно поместить подготовленную на систему и зарегистрировать её для загрузки в защищённый процесс. Взаимодействие пользователя не требуется; после успешной атаки код может выполниться внутри этого процесса. Уязвимость обнаружил Джеймс Форшоу из Google Project Zero.
Майк Уолтерс, президент и сооснователь Action1, назвал эту ошибку особенно опасной как способ закрепиться в уже скомпрометированной системе. По его оценке, эксплуатация может нарушить целостность системы, раскрыть конфиденциальную деловую информацию, ослабить защиту конечных устройств и помешать критически важным операциям.
В списке также CVE-2026-92707 в MessagePack-CSharp: ошибка управления последовательным выделением памяти с оценкой CVSS 5,3. Неавторизованный удалённый злоумышленник может вызвать отказ в обслуживании. Microsoft указала анонимного исследователя, сообщившего о проблеме. Это вторая из выделенных уязвимостей, сведения о которой стали публичными до выпуска исправления.
Отдельный патч Microsoft выпустила для стороннего компонента Raw Image Extension. Уязвимость CVE-2026-21413 получила CVSS 9,8: переполнение буфера в куче может привести к удалённому выполнению кода. Атакующему достаточно убедить пользователя перейти в папку со специально подготовленным RAW-изображением. Ошибка срабатывает, когда Windows создаёт миниатюру или предварительный просмотр; открывать сам файл не нужно.
Поток исправлений растёт на фоне применения ИИ для поиска и устранения уязвимостей. В прошлом месяце Microsoft устранила почти тысячу проблем. Сатнам Наранг, старший инженер-исследователь Tenable, подсчитал, что только за этот год компания исправила более 4 000 CVE.
Одновременно Microsoft, штаб-квартира которой находится в Редмонде, предложила новый способ расставлять приоритеты: объединять связанные уязвимости в «группы риска». Компания определяет такую группу как набор CVE, требующих сходной оценки со стороны клиентов. Это отправная точка, а не готовое решение. Для каждой уязвимости организациям всё равно нужно отдельно проверить, эксплуатируется ли она, насколько серьёзна, каким путём атакуют, требуется ли действие пользователя и какие рекомендации даны для конкретного продукта.
Изображение носит иллюстративный характер
Такой объём перестал быть исключением. Дастин Чайлдс, руководитель направления информирования об угрозах в Zero Day Initiative (ZDI), говорит, что сотни CVE в одном выпуске раньше удивляли, а теперь стали обычным масштабом. По его словам, искусственный интеллект ускоряет поиск ошибок и помогает быстрее находить и исправлять их. Самих уязвимостей ИИ не создаёт: он сокращает промежуток между появлением ошибки и её обнаружением.
Чайлдс советует оценивать не количество CVE, а реальную возможность эксплуатации. В первую очередь стоит разбирать уязвимости, атаки на которые подтверждены или которые получили приоритет и стали публично известны. Адам Барнетт, ведущий инженер-программист Rapid7, добавляет: в крупных пакетах могут затеряться опасные проблемы, на которые при меньшем потоке обновлений обратили бы больше внимания.
Среди подтверждённо используемых в атаках ошибок — CVE-2026-96951 в Windows Shell. Её оценка CVSS составляет 8,8, тип — внедрение команд. Удалённый неавторизованный злоумышленник может обойти защитный механизм, в том числе защиту Mark of the Web (MOTW). Для атаки через электронную почту или мессенджер требуется специально подготовленный файл, но заставить пользователя открыть его или перейти по ссылке атакующий не может: ему нужно убедить человека сделать это.
Microsoft поблагодарила за обнаружение CVE-2026-96951 Рику Бамбу и Юю Тюдо из Fujitsu, Бенуа Севенса из Anthropic и исследователя под псевдонимом yhw. Как именно уязвимость используют на практике, кто стоит за атаками и кто стал их целью, пока неизвестно. Агентство кибербезопасности и защиты инфраструктуры США (CISA) внесло CVE-2026-96951 в каталог известных эксплуатируемых уязвимостей KEV. Федеральные ведомства США должны установить исправление до 16 октября 2026 года.
Ещё одна проблема с оценкой CVSS 8,8 — CVE-2026-108398 Framework. Это уязвимость недоверенного пути поиска, позволяющая авторизованному пользователю локально обойти защиту. К моменту выпуска исправления о ней уже знали публично. Microsoft предупреждает, что ошибку можно использовать для обхода Windows Defender Application Control (WDAC) и запуска неразрешённых приложений. Злоумышленнику с учётной записью достаточно поместить подготовленную на систему и зарегистрировать её для загрузки в защищённый процесс. Взаимодействие пользователя не требуется; после успешной атаки код может выполниться внутри этого процесса. Уязвимость обнаружил Джеймс Форшоу из Google Project Zero.
Майк Уолтерс, президент и сооснователь Action1, назвал эту ошибку особенно опасной как способ закрепиться в уже скомпрометированной системе. По его оценке, эксплуатация может нарушить целостность системы, раскрыть конфиденциальную деловую информацию, ослабить защиту конечных устройств и помешать критически важным операциям.
В списке также CVE-2026-92707 в MessagePack-CSharp: ошибка управления последовательным выделением памяти с оценкой CVSS 5,3. Неавторизованный удалённый злоумышленник может вызвать отказ в обслуживании. Microsoft указала анонимного исследователя, сообщившего о проблеме. Это вторая из выделенных уязвимостей, сведения о которой стали публичными до выпуска исправления.
Отдельный патч Microsoft выпустила для стороннего компонента Raw Image Extension. Уязвимость CVE-2026-21413 получила CVSS 9,8: переполнение буфера в куче может привести к удалённому выполнению кода. Атакующему достаточно убедить пользователя перейти в папку со специально подготовленным RAW-изображением. Ошибка срабатывает, когда Windows создаёт миниатюру или предварительный просмотр; открывать сам файл не нужно.
Поток исправлений растёт на фоне применения ИИ для поиска и устранения уязвимостей. В прошлом месяце Microsoft устранила почти тысячу проблем. Сатнам Наранг, старший инженер-исследователь Tenable, подсчитал, что только за этот год компания исправила более 4 000 CVE.
Одновременно Microsoft, штаб-квартира которой находится в Редмонде, предложила новый способ расставлять приоритеты: объединять связанные уязвимости в «группы риска». Компания определяет такую группу как набор CVE, требующих сходной оценки со стороны клиентов. Это отправная точка, а не готовое решение. Для каждой уязвимости организациям всё равно нужно отдельно проверить, эксплуатируется ли она, насколько серьёзна, каким путём атакуют, требуется ли действие пользователя и какие рекомендации даны для конкретного продукта.
