Microsoft закрыла рекордные 1411 уязвимостей за раз

Microsoft 13 октября выпустила ежемесячный пакет исправлений, который закрывает 1411 уязвимостей в Windows, Office, .NET, Azure и других продуктах. Это рекорд для так называемого Patch Tuesday. Одну из трёх уязвимостей нулевого дня злоумышленники уже используют в атаках, поэтому обновления стоит поставить как можно скорее.

Критическими компания признала 70 ошибок. Из них 57 позволяют удалённо запустить чужой код, 11 дают повышение прав в системе, ещё 2 связаны с подменой данных. В общий счёт не вошли 348 уязвимостей в Azure, Exchange Server и других сервисах, которые Microsoft исправила раньше в октябре.

Три уязвимости нулевого дня

Нулевым днём Microsoft называет ошибку, о которой стало известно или которую начали использовать до выхода исправления. Самая опасная в этом выпуске — CVE-2026-96951 в оболочке Windows. Через неё атакующие обходят защиту Mark of the Web, то есть метку, по которой система предупреждает о файлах из интернета. Уязвимость уже применяют в реальных атаках.

Две другие были раскрыты публично до выхода патча. CVE-2026-108398 в .NET Framework позволяет обойти Windows Defender Application Control и запустить неразрешённые программы. Её нашёл Джеймс Форшоу из команды Google Project Zero. Третья, CVE-2026-92707 в библиотеке MessagePack-CSharp, позволяет по сети вывести сервис из строя.

Среди критических ошибок есть удалённый запуск кода в Active Directory Domain Services, уязвимости подмены в AD FS, повышение прав в ядре Linux и проблемы в облачных сервисах Azure. Почти половина всех исправлений, 677, относится к повышению привилегий. Ещё 317 ошибок позволяют запустить код удалённо.

Почему так много

BleepingComputer связывает рекордный объём с тем, что Microsoft всё активнее ищет и исправляет уязвимости с помощью ИИ-инструментов. Чтобы администраторам было проще расставить приоритеты, компания впервые разбила ошибки на 15 «групп риска». Самые большие касаются файловых систем и резервного копирования Windows (136), документов Office и почтовых клиентов (135) и обработки графики и медиа (131). Сама Microsoft подчёркивает, что размер группы ещё не говорит об опасности.

Октябрьские исправления выпустили и другие разработчики. Adobe, Cisco, SAP, Fortinet, Citrix и Ivanti закрыли критические ошибки, а уязвимости в продуктах Citrix, Fortinet и Ivanti атаковали ещё до выхода патчей.

Для Windows 11 24H2 в редакциях Home и Pro и для Windows 10 Enterprise LTSB 2016 этот пакет стал последним. С ноября обновления безопасности перестанут получать Windows 11 23H2 Enterprise, Education и IoT Enterprise. Подробнее о том, когда заканчивается поддержка Windows 11, мы писали накануне.

Источники: BleepingComputer — октябрьский Patch Tuesday Microsoft