Tulainfo
Корпорация Microsoft в рамках октябрьского «вторника обновлений» закрыла рекордное количество уязвимостей в своих продуктах. По данным различных источников, число исправлений превысило 1400, что стало самым масштабным пакетом за всю историю компании. Предыдущий рекорд был установлен месяцем ранее, когда специалисты устранили около тысячи проблем.
Основная часть исправлений традиционно касается операционной системы Windows — здесь закрыто более 1100 уязвимостей. Остальные патчи затрагивают офисный пакет Office, инструменты для разработчиков, сервер SharePoint и систему управления базами данных SQL Server. Свыше 670 проблем были связаны с повышением привилегий, более 300 позволяли удаленно выполнять код, а около 250 вели к раскрытию информации. Порядка 70 уязвимостей получили критический статус.
Центральной проблемой месяца стала уязвимость нулевого дня CVE-2026-96951, связанная с обходом защиты в оболочке Windows. Этот баг позволял обойти механизм Mark of the Web, который помечает файлы, загруженные из интернета, и активирует для них дополнительные проверки безопасности. Для эксплуатации злоумышленнику достаточно было убедить пользователя открыть специально подготовленный файл или перейти по вредоносной ссылке. В Microsoft подтвердили, что уязвимость уже применялась в реальных атаках, однако подробности инцидентов и информация о пострадавших не раскрываются.
Еще две уязвимости нулевого дня были публично раскрыты до выхода официальных патчей. Первая, CVE-2026-108398, затрагивает .NET Framework и позволяет аутентифицированному атакующему обойти ограничения Windows Defender Application Control, запустив неавторизованный код внутри защищенного процесса. Вторая, CVE-2026-92707, связана с некорректным выделением памяти в MessagePack-CSharp и позволяла спровоцировать отказ в обслуживании. Кроме того, в пакет вошел патч для критической уязвимости CVE-2026-21413 в Raw Image Extension, которая позволяла удаленно выполнить код при обработке специально подготовленного RAW-изображения. Для эксплуатации достаточно было, чтобы система сформировала миниатюру или превью файла.
Одновременно с выпуском обновлений завершилась поддержка Windows 11 версии 24H2 в редакциях Home и Pro. Октябрьский пакет стал для них последним: эти системы больше не будут получать ежемесячные обновления безопасности и необязательные предварительные обновления. Ограничение не распространяется на редакции Enterprise и Education, которые продолжат получать обновления до 12 октября 2027 года. Исправления также доступны для поддерживаемых версий Windows 11 25H2 и 26H2.
Стремительный рост числа патчей в компании связывают в том числе с внедрением искусственного интеллекта в процессы поиска и анализа уязвимостей. Еще летом 2026 года представители Microsoft предупреждали, что ежемесячных исправлений будет становиться только больше. В общей сложности за 2026 год специалисты компании устранили уже более 4000 уязвимостей. Для упрощения приоритизации такого объема исправлений Microsoft представила экспериментальную систему risk cohorts, которая объединяет уязвимости по схожим группам риска и условиям эксплуатации. В октябре инженеры сформировали 15 таких групп. В компании подчеркивают, что принадлежность бага к определенной группе сама по себе не говорит о его опасности, а реальный риск зависит от серьезности уязвимости, ее эксплуатации в атаках и особенностей инфраструктуры конкретной организации.
Специалисты по безопасности рекомендуют пользователям не откладывать установку обновлений, прежде всего из-за уязвимости, которую злоумышленники уже применяли в атаках. Патчи доступны через «Параметры», далее «Центр обновления Windows», затем «Проверить наличие обновлений».