Microsoft закрыла 1414 уязвимостей, включая 0-day в Windows Shell

Microsoft выпустила 1414 исправлений в октябре

Microsoft выпустила октябрьское обновление продуктов, устранив 1414 уязвимостей. Это рекордное количество патчей, впервые представленное четырехзначным числом. Компания также внедрила новую систему группировки уязвимостей по «когортам риска». Эта система объединяет уязвимости, эксплуатируемые в одинаковых условиях и влияющие на одни и те же системы. Новая классификация дополняет индивидуальные оценки критичности и бюллетени для каждой CVE. Она помогает быстрее оценить степень подверженности инфраструктуры рискам для приоритизации установки обновлений.

Из общего числа уязвимостей 1102 затрагивают Windows, 134 — Microsoft Office, 36 — SharePoint Server, 22 — SQL Server и 7 — Exchange Server. Большинство уязвимостей (677) приводят к повышению привилегий, 317 — к выполнению произвольного кода (RCE), 40 — к обходу функций безопасности, 73 — к отказу в обслуживании (DoS). Среди 86 критических уязвимостей 68 приводят к RCE, 14 — к повышению привилегий, три — к спуфингу и одна — к утечке данных. Две уязвимости были разглашены до устранения, одна эксплуатируется в реальных атаках.

CVE-2026-96951 эксплуатируется в атаках

Единственная уязвимость нулевого дня в октябрьском обновлении, которую злоумышленники уже используют, — CVE-2026-96951 в Windows Shell. Ее степень опасности по CVSS составляет 8.8. Уязвимость позволяет инъецировать команды и обойти функцию безопасности при сетевом доступе. Microsoft благодарит за обнаружение уязвимости экспертов из Fujitsu и Anthropic. Вероятно, уязвимость была найдена с помощью нейросетей.

CVE-2026-108398 и CVE-2026-92707 раскрыты до выхода патчей

Информация о двух уязвимостях стала публичной до выхода октябрьского обновления. Это могло позволить злоумышленникам начать их эксплуатацию заранее. CVE-2026-108398 — уязвимость в .NET Framework, позволяющая обойти защиту WDAC. CVE-2026-92707 — уязвимость в компоненте MessagePack-CSharp, приводящая к отказу в обслуживании (DoS). Согласно бюллетеням, обе уязвимости пока не были замечены в реальных атаках.

Уязвимости в SQL Server, Exchange Server и AD domain services требуют внимания

Несколько уязвимостей в октябрьском обновлении сочетают потенциально серьезные последствия с относительно простой эксплуатацией. Особое внимание следует уделить трем дефектам, приводящим к исполнению произвольного кода: CVE-2026-65674 в SQL Server, CVE-2026-70571 в Exchange Server и CVE-2026-70229 в AD domain services.

Adobe и SAP также выпустили обновления безопасности

Adobe устранила 174 дефекта в своих продуктах, включая критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы часто доступны из внешней сети, что делает их привлекательными целями для атак. SAP выпустила бюллетень с 20 уязвимостями, среди которых CVE-2026-89111 — SSRF в Cloud SDK for Python. Эта уязвимость с оценкой CVSS 10 позволяет угнать токены OAuth.

Используйте автоматизированные платформы для управления уязвимостями

Количество выявляемых и закрываемых уязвимостей растет благодаря развитию нейросетей. Для эффективного управления патчами рекомендуется использовать автоматизированные платформы. Такие платформы помогают выявлять и устранять уязвимости, приоритизировать их с учетом рисков для бизнеса и автоматизировать процессы исправления.