Microsoft публикует информацию о 1413 уязвимостях в собственных продуктах на October 2026 Patch Tuesday, включая 1102 уязвимости в Windows. Все, кому понравился рекордный «вторник обновлений» в прошлом месяце, будут в восторге от октябрьского выпуска 2026 года, поскольку он стал еще масштабнее. Как отмечала компания Rapid7 в течение 2026 года, есть все основания полагать, что количество уязвимостей будет продолжать расти. Microsoft известно об эксплуатации в дикой природе только одной из опубликованных сегодня уязвимостей, а также о публичном раскрытии информации еще о двух.
Windows Shell: обход функции безопасности нулевого дня
Windows Shell — это термин Microsoft для обозначения логики взаимодействия с графическим интерфейсом всей ОС, обеспечиваемой explorer.exe и связанными библиотеками и API. Второй раз за этот год Windows Shell становится местом обнаружения уязвимости нулевого дня, эксплуатируемой в дикой природе. Сегодняшний экземпляр — CVE-2026-96951. Очередной непосредственной целью злоумышленника является обход Mark of the Web (MOTW). Это означает, что Windows не покажет пользователю диалоговое окно с сообщением о том, что система защитила компьютер, поскольку в данном случае этого не произошло. Для эксплуатации требуется, чтобы пользователь открыл специально созданный вредоносный файл или посетил контролируемый злоумышленником сайт, поэтому старый добрый совет быть осторожнее с тем, на что вы нажимаете, остается актуальным. Поклонникам устаревших операционных систем следует учесть, что Windows Server 2012 не получает патч, в отличие от Server 2012 R2. В бюллетене упоминаются исследователи из нескольких организаций, хотя ни одного из самой Microsoft. Уязвимость также затронула облачные службы Microsoft Outlook.com, однако Outlook.com был исправлен в сборке, датированной несколькими неделями ранее.
.NET Framework: обход функции безопасности нулевого дня
Microsoft известно о некотором уровне публичного раскрытия информации об CVE-2026-108398, уязвимости обхода функции безопасности .NET Framework. Для эксплуатации злоумышленнику, уже имеющему доступ к системе, необходимо зарегистрировать вредоносную сборку .NET для загрузки доверенным процессом, что позволяет обойти принудительное применение Windows Defender Application Control (WDAC). Несколько лет назад Microsoft провела ребрендинг WDAC в App Control for Business, поэтому вы можете знать его под новым названием. На странице Microsoft Learn, посвященной Application Control для Windows, отмечается, что «данные вашей организации — один из ее самых ценных активов... и злоумышленники хотят их получить», и это, безусловно, верно. Патч, по-видимому, удаляет контролируемое злоумышленником расположение из списка мест, где .NET Framework ищет зарегистрированные сборки, которые обычно содержатся в DLL и исполняемых файлах. Если требовались дополнительные признаки того, что количество уязвимостей растет по всей отрасли, то это лишь второй месяц, когда Microsoft публикует уязвимости с шестизначными номерами CVE, но эти сверхбольшие CVE отныне станут обычным делом.
Outlook: множественные уязвимости RCE без взаимодействия с пользователем
Огромный объем уязвимостей в недавних выпусках Patch Tuesday легко может включать несколько примеров потенциально опасных уязвимостей, каждая из которых могла бы быть более примечательной сама по себе, когда объемы были меньше. Сегодня Microsoft опубликовала пять отдельных уязвимостей удаленного выполнения кода (RCE) в Outlook, где вектором атаки является область предварительного просмотра, что означает, что простого прокручивания электронного письма в области чтения Outlook было бы достаточно для запуска эксплуатации. Хуже того, Outlook может услужливо отобразить предварительный просмотр вообще без какого-либо взаимодействия с пользователем. Все пять уязвимостей: CVE-2026-70242, CVE-2026-97749, CVE-2026-97016, CVE-2026-88156 и CVE-2026-70291 — получают исправления в одних и тех же патчах. Уязвимости в области предварительного просмотра Outlook, не требующие взаимодействия, иногда занимают видное место в кампаниях, поддерживаемых государственными структурами, ярким примером чего является CVE-2023-23397.
Edge: обновления безопасности неясны
В сентябре 2026 года Microsoft, по-видимому, не публиковала никаких бюллетеней по безопасности настольных браузеров в период с начала месяца до «вторника обновлений». В октябре появился несколько иной подход: в нескольких недавних записях в примечаниях к выпуску обновлений безопасности Edge упоминаются новые версии Edge, которые включают последние обновления проекта Chromium, но без детализации того, какие именно уязвимости были исправлены. Вместо этого там указано: «CVE будут добавлены, как только станут доступны», и читателей направляют к Руководству по обновлениям безопасности (SUG). На момент написания статьи в SUG указано в общей сложности ноль уязвимостей, устраненных в Edge за первые 13 дней октября, а сообщение «CVE будут добавлены в ближайшее время» висит уже больше недели. В результате у защитников нет очевидного способа узнать, какие недавние уязвимости Microsoft устранила в Edge.
Обновление жизненного цикла Microsoft
Что касается новостей о жизненном цикле продуктов Microsoft, сегодня Windows 11 24H2 Home & Pro достигает конца обслуживания, а Windows Server 2022 переходит на расширенную поддержку, при которой бесплатные критические обновления безопасности продолжаются, но дальнейшая разработка функций прекращается. Также в этом месяце опускается занавес для Windows Server 2012 и 2012 R2 в связи с истечением третьего и последнего года программы платных обновлений Extended Security Update (ESU) для этих «рабочих лошадок». Microsoft указывает дату окончания 3-го года ESU — 14 октября 2026 года — в обоих случаях. У Microsoft долгая история предоставления хотя бы некоторых патчей безопасности для продуктов после окончания поддержки, как в случае с Server 2008, но сейчас самое время отказаться от Server 2012. Office 2021 также уходит в отставку 14 октября; это включает канал долгосрочного обслуживания (LTSC), для которого в данном случае ESU не предусмотрен.
Также 15 октября 2026 года Exchange Server 2016 и Exchange Server 2019 окончательно вступают в клуб «без ESU» после двух предыдущих шестимесячных отсрочек. Похоже, на этот раз Microsoft настроена серьезно, поскольку в любых будущих CVE для Exchange Server, выпущенных MSRC, перестанут упоминаться Exchange 2016 и 2019. Однако Microsoft отмечает, что отсутствие предупреждений не означает, что эти неподдерживаемые версии не уязвимы для будущих проблем безопасности.
Сводные таблицы
Уязвимости приложений
Уязвимости Azure
Уязвимости инструментов разработчика
Уязвимости ESU
Уязвимости Microsoft Dynamics
Уязвимости Microsoft Office
Уязвимости программного обеспечения с открытым исходным кодом
Прочие уязвимости
Уязвимости серверного программного обеспечения
Уязвимости SQL Server
Уязвимости System Center
Уязвимости Windows
Некатегоризированные уязвимости
Уязвимости нулевого дня: известная эксплуатация
| | Уязвимость обхода функции безопасности Windows Shell | Эксплуатация обнаружена | Нет | 8.8 |
Уязвимости нулевого дня: публично раскрытые (эксплуатация не известна)
| CVE-2026-108398 | Уязвимость обхода функции безопасности .NET Framework | Эксплуатация менее вероятна | Да | 8.8 | | CVE-2026-92707 | Уязвимость отказа в обслуживании MessagePack-CSharp | | Да | 5.3 |
Критические RCE и EoP
| CVE-2026-88102 | Уязвимость удаленного выполнения кода в Microsoft Failover Cluster | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-96864 | Уязвимость удаленного выполнения кода в виртуальном драйвере Microsoft Failover Cluster | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-70242 | Уязвимость удаленного выполнения кода в Microsoft Office Outlook | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70291 | Уязвимость удаленного выполнения кода в Microsoft Office Outlook | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-88156 | Уязвимость удаленного выполнения кода в Microsoft Office Outlook | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-97016 | Уязвимость удаленного выполнения кода в Microsoft Office Outlook | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-97749 | Уязвимость удаленного выполнения кода в Microsoft Office Outlook | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-88178 | Уязвимость удаленного выполнения кода в Microsoft Office PowerPoint | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70300 | Уязвимость удаленного выполнения кода в Microsoft Office Word | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-97816 | Уязвимость удаленного выполнения кода в Microsoft OpenSSH для Windows | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70147 | Уязвимость удаленного выполнения кода в драйвере принтера Microsoft PostScript | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70153 | Уязвимость удаленного выполнения кода в драйвере принтера Microsoft PostScript | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83578 | Уязвимость удаленного выполнения кода в Microsoft PowerShell | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-100219 | Уязвимость удаленного выполнения кода в Microsoft QUIC | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-105016 | Уязвимость удаленного выполнения кода в Microsoft QUIC | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83517 | Уязвимость удаленного выполнения кода в Microsoft Windows Media Foundation | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-85814 | Уязвимость удаленного выполнения кода в Microsoft Windows Media Foundation | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-105010 | Уязвимость повышения привилегий в компоненте поиска Microsoft Windows | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83935 | Уязвимость удаленного выполнения кода в Microsoft XML | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-100222 | Уязвимость удаленного выполнения кода в Network Policy Server (NPS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-85806 | Уязвимость удаленного выполнения кода в Network Policy Server (NPS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-21413 | Уязвимость удаленного выполнения кода в Raw Image Extension | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-84015 | Уязвимость удаленного выполнения кода в протоколе удаленного доступа Point-to-Point Protocol (PPP) EAP-TLS | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83910 | Уязвимость удаленного выполнения кода в библиотеке среды выполнения RPC | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-102238 | Уязвимость удаленного выполнения кода в Visual Studio Code | Эксплуатация менее вероятна | Нет | 9.6 | | CVE-2026-83869 | Уязвимость удаленного выполнения кода в службе доменных имен Windows (DNS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96113 | Уязвимость удаленного выполнения кода в службе доменных имен Windows (DNS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96909 | Уязвимость удаленного выполнения кода в Windows BitLocker | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83780 | Уязвимость удаленного выполнения кода в драйвере Windows CCFFilter | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96320 | Уязвимость удаленного выполнения кода в Windows DHCP Server | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96934 | Уязвимость удаленного выполнения кода в Windows DHCP Server | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83519 | Уязвимость удаленного выполнения кода в Windows Error Reporting | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83693 | Уязвимость удаленного выполнения кода в Windows Error Reporting | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83748 | Уязвимость удаленного выполнения кода в Windows Error Reporting | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-97815 | Уязвимость удаленного выполнения кода в Windows Error Reporting | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-69886 | Уязвимость удаленного выполнения кода в Windows Imaging Component | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70024 | Уязвимость удаленного выполнения кода в Windows Internet Information Services | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-69634 | Уязвимость удаленного выполнения кода в Windows iSCSI | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-69705 | Уязвимость удаленного выполнения кода в Windows iSCSI | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-69883 | Уязвимость удаленного выполнения кода в Windows iSCSI | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-69639 | Уязвимость удаленного выполнения кода в Windows libarchive | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96219 | Уязвимость удаленного выполнения кода в подсистеме локальной службы безопасности Windows (LSASS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96096 | Уязвимость удаленного выполнения кода в Windows Media Player | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-100202 | Уязвимость удаленного выполнения кода в диспетчере очередей Windows Message Queuing | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83862 | Уязвимость удаленного выполнения кода в Windows Network Load Balancing | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-96924 | Уязвимость удаленного выполнения кода в Windows OLE | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-97805 | Уязвимость удаленного выполнения кода в драйвере управления разделами Windows | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70096 | Уязвимость удаленного выполнения кода в элементе управления Windows Rich Text Edit | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-85792 | Уязвимость удаленного выполнения кода в службе маршрутизации и удаленного доступа Windows (RRAS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-85809 | Уязвимость удаленного выполнения кода в службе маршрутизации и удаленного доступа Windows (RRAS) | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83782 | Уязвимость удаленного выполнения кода в Windows Shell | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-70157 | Уязвимость удаленного выполнения кода в консоли системной информации Windows | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-102210 | Уязвимость удаленного выполнения кода в Windows Text Shaping | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-83770 | Уязвимость удаленного выполнения кода в Windows Text Shaping | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-97814 | Уязвимость удаленного выполнения кода в Windows Text Shaping | Эксплуатация менее вероятна | Нет | 9.8 | | CVE-2026-85928 | Уязвимость удаленного выполнения кода в драйвере расширения диспетчера томов Windows | Эксплуатация менее вероятна | Нет | 9.8 |
Теги статьи
- Вторник исправлений
- Управление уязвимостями
