Краткий обзор
Сентябрьские обновления безопасности Microsoft 2026 года — KB5124008, KB5124012 и KB5123099 — были связаны с серьезными проблемами, что подчеркивает операционные риски, сопряженные с установкой исправлений безопасности. После развертывания возникло пять известных проблем: устройства, присоединенные к домену, теряли безопасные доверительные отношения с доменом; USB-аудиоустройства не запускались или не воспроизводили звук; общие папки хоста становились недоступными в виртуальных машинах Linux на базе Hyper-V; службы удаленных рабочих столов переставали отвечать; а «История файлов» прекращала работу. Кроме того, опубликованный файл .msu для KB5123099 содержал поврежденный двоичный файл, хеш которого не совпадал с записью в каталоге Microsoft. Один и тот же URL-адрес загрузки при разных попытках возвращал разные файлы, извлечение через DISM завершалось ошибкой, а Центр обновления Windows возвращал ошибку 0x8007065E, поэтому развертывание было бы невозможно. Qualys TruRisk Eliminate классифицировала KB5124008, KB5124012 и KB5123099 как обновления с низкой надежностью, сигнализируя о необходимости дополнительной проверки перед развертыванием в рабочей среде. Показатель надежности исправлений (Patch Reliability) помогает командам по устранению уязвимостей сосредоточиться на более глубоком тестировании там, где это необходимо, позволяя быстрее внедрять высоконадежные исправления. Для исправлений с низкой надежностью организации могут использовать меры по смягчению последствий, подготовленные Qualys, или кольцевое развертывание для проверки исправлений в тестовых и промежуточных средах перед выпуском в эксплуатацию.
Команды безопасности устанавливают исправления для снижения рисков. Но не каждое исправление обладает одинаковым уровнем надежности.
Проблемное обновление может создать новые риски, такие как сбои при установке, необходимость отката, нестабильность системы, недоступность служб или нарушение работы пользователей. Это ставит ИТ-команды и службы безопасности перед сложным выбором: хотя крайне важно быстро устранять уязвимости, развертывание нестабильного исправления может привести к операционным инцидентам.
Сентябрьские обновления Microsoft 2026 года, KB5124008, KB5124012 и KB5123099, демонстрируют различные сценарии развития событий. Одно обновление столкнулось с проблемами еще до успешной установки, в то время как другие вызвали проблемы уже после нее.
Понимание этого различия и выявление исправлений, требующих дополнительной проверки перед развертыванием в рабочей среде, становятся все более важными аспектами эффективного управления исправлениями.
Что произошло с KB5124008 и KB5124012?
8 сентября 2026 года Microsoft выпустила KB5124008 и KB5124012 в качестве ежемесячного обновления безопасности для Windows 11 версий 24H2 и 25H2. Хотя обновление установилось без каких-либо проблем, впоследствии в производственных средах начали возникать сбои.
В течение следующих двух недель Microsoft выявила пять известных проблем: устройства, присоединенные к домену, теряли безопасные доверительные отношения с Active Directory; USB-аудиоустройства не запускались или не воспроизводили звук; общие папки хоста становились недоступными в виртуальных машинах Linux на базе Hyper-V и WSL; службы удаленных рабочих столов становились нестабильными; а «История файлов» переставала создавать или обновлять резервные копии. Эти проблемы в значительной степени не связаны друг с другом. Некоторые из них были решены в течение нескольких дней, на исправление одной потребовалось две недели, а другие остаются нерешенными.
Устройства, присоединенные к домену, теряют доверие к Active Directory
После недавнего обновления некоторые устройства с учетными записями компьютеров, защищенными с помощью Credential Guard, столкнулись с потерей безопасного канала связи с локальной Active Directory. В результате пользователи не могли войти в систему с действительными учетными данными домена. Они получали сообщение об ошибке, указывающее на то, что доверительные отношения между рабочей станцией и доменом нарушены. Однако вход с использованием ранее кэшированных учетных данных продолжал работать без проблем. Контроллеры домена, службы Active Directory и репликация не были затронуты этой проблемой.
Первопричиной проблемы является функция, известная как изоляция идентификатора компьютера (Machine Identity Isolation). Хотя KB5124008 сама по себе не включает принудительное применение, она заставляет Windows соблюдать уже существующие параметры принудительного применения, независимо от того, применяются ли они напрямую или через политики. Эта функция поддерживается только в доменах, работающих на уровне функциональности домена Windows Server 2025 или выше. Следовательно, любое устройство, настроенное на принудительное применение и пытающееся подключиться к более старым контроллерам домена, потеряет свои доверительные отношения.
USB-аудиоустройства не запускаются или не воспроизводят звук
Microsoft has confirmed that USB audio devices may fail on some Windows systems after installing the September 2026 security updates KB5124008 and KB5124012. Проблема затрагивает устройства USB Audio Class 1.0 и может привести к тому, что они не запустятся или не будут воспроизводить звук.
В обновлении своей панели мониторинга работоспособности выпусков от 11 сентября Microsoft заявила, что после установки обновления безопасности Windows от 8 сентября 2026 года «некоторые устройства USB Audio Class 1.0 могут не запускаться или не воспроизводить звук».
Затронутые пользователи сообщали об ошибках с кодом 10 в диспетчере устройств, полном отсутствии вывода звука, а также о том, что регуляторы громкости и настройки звука перестают отвечать. Другие сообщали, что их USB-аудиоколонки выходят из строя только при включении многоканальных функций, таких как 3D-звук или 8-канальные режимы. 14 сентября Microsoft выпустила внеплановые обновления, которые устраняют проблемы с 8-канальным и 3D-звуком; однако другие симптомы, включая ошибки с кодом 10 и отсутствие вывода звука, остаются нерешенными.
Общие папки хоста отсутствуют в виртуальных машинах Linux Hyper-V
Приложения, работающие на виртуальных машинах Linux через службу Host Compute Service (HCS), столкнулись с проблемами доступа к папкам, предоставленным хостом Windows по протоколу Plan9. Хотя виртуальные машины запускались нормально, общие папки отсутствовали или были недоступны в гостевой среде. Приложения, зависящие от этих общих папок, сообщали, что общие диски Plan9 не смонтированы. Microsoft определила подсистему Windows для Linux (WSL) и Claude Cowork как затронутые приложения. Стандартные виртуальные машины Hyper-V, которые не используют Plan9, не пострадали.
Службы удаленных рабочих столов перестают отвечать
В некоторых средах службы удаленных рабочих столов (Remote Desktop Services) стали нестабильными после обновления. RDP-соединения обрывались через несколько минут, пользователи сталкивались с трудностями при входе в систему, а серверы зависали на сообщении «Пожалуйста, подождите настройки удаленного рабочего стола». Кроме того, связанные инструменты, такие как консоль управления Microsoft (MMC), средство диагностики лицензирования RDS и проводник, переставали отвечать. Страница настроек Центра обновления Windows также могла зависнуть на индикаторе загрузки. Однако Windows 365 и Azure Virtual Desktop эта проблема не затронула.
Резервное копирование «Истории файлов» незаметно прекращается
Эта проблема считается наиболее критической из пяти выявленных, поскольку она может возникнуть без какого-либо явного предупреждения. На устройствах, затронутых этой проблемой, «История файлов» — встроенная функция, которая создает версионные копии пользовательских файлов на внешнем диске или сетевом ресурсе, — перестала создавать или обновлять резервные копии.
Пользователи могут неоднократно получать запросы на повторное подключение резервного диска, который уже подключен и работает. Метка времени «Последнее резервное копирование» не обновляется, а для файлов, которые должны были быть скопированы, не отображаются предыдущие версии. Кроме того, в некоторых случаях журналы Просмотра событий указывают на сбои, связанные с FileHistory.exe и KERNELBASE.dll. Хотя само устройство хранения остается исправным, процесс резервного копирования не завершается. В результате пользователи могут ошибочно полагать, что их данные в безопасности, хотя на самом деле недавние резервные копии отсутствуют.
Что произошло с KB5123099?
8 сентября 2026 года Microsoft выпустила KB5123099 в качестве накопительного обновления безопасности для Windows Server 2016 и Windows 10 версии 1607. Вскоре после выпуска администраторы начали сообщать о проблемах со скачиванием пакета обновления. Опубликованный Microsoft файл .msu содержал поврежденный двоичный код. Хэш файла не совпадал с задокументированной записью в каталоге.
- Ожидаемый SHA1: 28560cfadc1030ab60e40ddadc3683165f40bc58
- Фактический полученный SHA1: 745eb9039f8a8cb857090ce23eadbb06bfc92c3d
- Ожидаемый SHA256: 90b81aeccbf44e626d57fe86446e68ecb8b1fc44b1bcce365e7b1ed26a050cea
- Фактический полученный SHA256: e4a9d660f56139ec89496cf68e710c2cc52293eb335a9dd6e74563f20650b6af
Один и тот же URL-адрес загрузки возвращал разные файлы при разных попытках и в разных средах. Инструменты не могли открыть пакет. Извлечение DISM завершилось неудачей. Центр обновления Windows вернул ошибку 0x8007065E. Развертывание было бы невозможно.
К 10 сентября 2026 года Microsoft повторно опубликовала исправленную версию.
Для администратора, готовящего масштабное развертывание, задача ясна: как определить, готов ли патч к работе в производственной среде?
Что показывают эти примеры?
В совокупности эти случаи подчеркивают серьезную проблему с установкой исправлений: тот факт, что патч был успешно загружен или установлен, не гарантирует, что он готов к широкому развертыванию в производственных средах.
Для команд безопасности и ИТ-специалистов эти инциденты иллюстрируют общую проблему: хотя обновление безопасности может быть необходимо для снижения киберрисков, его широкое развертывание без понимания надежности патча может создать новые бизнес-риски.
Именно для этого и предназначена функция оценки надежности патчей на базе ИИ в Qualys TruRisk Eliminate: она помогает командам принимать обоснованные решения до начала развертывания, а не после того, как начнут поступать заявки в службу поддержки.
Что означает низкая надежность для этих обновлений
Оценка надежности патчей на базе ИИ от Qualys в TruRisk Eliminate™ помогает командам оценивать надежность патча перед развертыванием. Она предоставляет аналитические данные на основе ИИ о стабильности патча и известных проблемах после развертывания, давая командам дополнительный контекст для принятия решения о том, можно ли быстро внедрить патч в производство или требуется дополнительная проверка.
И в случае с сентябрьскими обновлениями Microsoft этот предупреждающий сигнал уже виден.
Qualys TruRisk Eliminate классифицировала KB5124008, KB5124012 и KB5123099 как имеющие «Низкую надежность», предоставив командам ранний сигнал о необходимости проявить дополнительную осторожность перед развертыванием.
Значение заключается не в том, что оценка надежности патчей предсказала конкретный сбой USB-аудио. Скорее, классификация «Низкая надежность» указывает на то, что эти обновления не следует развертывать бездумно, а необходимо дополнительно протестировать и развертывать поэтапно, используя кольцевой подход.
Как мы рассчитываем надежность патчей
Оценка надежности патчей на базе ИИ от Qualys прогнозирует, будет ли патч корректно развернут в вашей среде, прежде чем вы его установите.
Она объединяет два сигнала: глобальные общественные настроения, где большие языковые модели (LLM) непрерывно анализируют масштабные отзывы со всего интернета, включая технические дискуссии, отзывы о выпусках и другие реальные индикаторы, появляющиеся после выхода патча, и телеметрию Qualys по частоте отката патчей и повторного открытия уязвимостей. Эти два сигнала объединяются в единую оценку надежности.
Наша рекомендация: для патча с низкой надежностью используйте стратегию поэтапного развертывания или примените меры по снижению рисков
Для патчей с низкой надежностью, таких как KB5124008, KB5124012 и KB5123099, организациям следует избегать их прямого развертывания без предварительной проверки.
Функция управления патчами в TruRisk Eliminate поддерживает кольцевое развертывание, позволяя командам постепенно перемещать проверенные патчи через среды «Тестирование» → «Промежуточная среда» → «Производство».
Для этих обновлений мы рекомендуем начинать с низкорисковой среды и переходить к критически важной среде на основе таких критериев, как успешность развертывания патчей, работоспособность системы и поведение приложений, и только после этого переносить те же патчи в промежуточную, а затем и в производственную среду.
Например, теперь команды могут развертывать высоконадежные обновления безопасности Microsoft в производственной среде вскоре после «Вторника патчей». Для патчей с низкой надежностью они могут проверять их на различных этапах, а затем использовать те же протестированные патчи в последующих задачах для промежуточной и производственной сред.
Ознакомьтесь с надежностью патчей и доказательствами для KB5124008, KB5124012, KB5123099
Вы можете оценить надежность патча непосредственно из приложения TruRisk Eliminate. Перейдите в раздел Patches > Windows и используйте следующий запрос QQL для фильтрации соответствующих обновлений безопасности Windows:
Для обновления безопасности, которое вы хотите оценить, нажмите Patch Reliability: Low. Откроется окно оценки надежности патча, где оценка ИИ для патча с низкой надежностью будет отображаться как Negative.
Оценка также показывает известные проблемы, о которых сообщалось для данного патча. Нажмите Detailed Report, чтобы просмотреть основные проблемы и официальные источники, проанализированные Qualys, а также ссылки на соответствующие обсуждения в сообществе.
Для получения дополнительной информации о просмотре оценок надежности патчей см. документацию Qualys Patch Management.
Заключение
Управление патчами — это больше не только скорость. Это предсказуемость. Благодаря оценке надежности патчей на базе ИИ, Qualys помогает клиентам предвидеть нестабильность патчей до того, как она приведет к сбоям, приоритизировать усилия по тестированию там, где это наиболее необходимо, быстрее развертывать обновления при высокой уверенности и оставаться защищенными с помощью мер по снижению рисков, когда риск патча высок.
Поскольку сроки эксплуатации уязвимостей продолжают сокращаться, команды не могут позволить себе тратить столько времени на проверку каждого патча. Ускоряя развертывание высоконадежных патчей и фокусируя более глубокое тестирование на патчах, которые в этом нуждаются, организации могут сократить сроки устранения уязвимостей и помочь снизить MTTR без ущерба для операционной стабильности.
Меньше догадок. Меньше откатов. Лучшие результаты безопасности.
Знайте, какие патчи готовы к развертыванию, а какие требуют дополнительной проверки. Изучите надежность патчей в Qualys TruRisk Eliminate.
Авторы
- Амбика Сингх, евангелист продуктов, Qualys
