Microsoft закрыла 1413 уязвимостей, включая эксплуатируемый баг Windows Shell
Microsoft выпустила октябрьский пакет Patch Tuesday с исправлениями для рекордных 1413 уязвимостей. Компания подтвердила активную эксплуатацию CVE-2026-96951 в Windows Shell с оценкой CVSS 8,8; уязвимость позволяет обходить защиту Mark of the Web. Всего обновления затрагивают 1102 дефекта Windows, 134 — Office, 61 — инструменты разработки, 36 — SharePoint Server и 22 — SQL Server.
Активная атака на Windows Shell
CVE-2026-96951 представляет собой внедрение команд в Windows Shell. Неавторизованный атакующий может использовать её по сети для обхода механизма защиты. Microsoft указала, что успешная эксплуатация помогает обойти Mark of the Web — метку, которой Windows помечает файлы, полученные из интернета.
В сценарии с письмом или мгновенным сообщением злоумышленник может отправить специально подготовленный файл. Однако принудительно открыть контролируемое содержимое он не может: жертву необходимо склонить к действию, например переходу по ссылке или открытию вредоносного вложения. Microsoft отметила исследователей Riku Bamba и Yuya Chudo из Fujitsu, Benoit Sevens из Anthropic и автора под псевдонимом yhw среди тех, кто сообщил о проблеме.
Агентство CISA добавило CVE-2026-96951 в каталог Known Exploited Vulnerabilities. Федеральным ведомствам США предписано применить исправления до 16 октября 2026 года. При этом детали реальных атак, их организаторы и круг целей публично не раскрыты.
Другие важные исправления
Microsoft также устранила публично известную CVE-2026-108398 в .NET Framework с CVSS 8,8. Уязвимость связана с недоверенным путём поиска и допускает обход Windows Defender Application Control. Авторизованный атакующий может поместить специальную .NET-сборку на уязвимый компьютер и зарегистрировать её для загрузки защищённым процессом; взаимодействие пользователя для этого не требуется.
Компании также выпустила патч для CVE-2026-21413 в Raw Image Extension с оценкой CVSS 9,8. Переполнение буфера в куче может привести к удалённому выполнению кода. Атака возможна, если пользователь перейдёт в каталог со специально созданным RAW-файлом: достаточно генерации Windows миниатюры или предпросмотра, открывать сам файл не нужно.
Среди 1413 исправлений более 670 относятся к повышению привилегий, свыше 300 — к удалённому выполнению кода, около 250 — к раскрытию информации. Более 70 проблем получили критический уровень серьёзности. Microsoft одновременно представила группировку связанных CVE в «когорты риска», которые должны помочь заказчикам оценивать схожие случаи, но не заменяют проверку каждого бюллетеня.
Что проверить организациям
Для бизнеса первоочередной задачей остаётся установка обновлений для Windows Shell на системах, где пользователи получают файлы по почте и через мессенджеры. Далее следует оценить наличие .NET Framework, политик WDAC и Raw Image Extension, а приоритизацию строить по активной эксплуатации, вектору атаки, необходимости действий пользователя и рекомендациям Microsoft, а не только по общему числу CVE.