Рекорден Patch Tuesday: 1411 дупки и 3 нулеви дни

На 13 октомври Microsoft пусна най-големия пакет кръпки в историята си: 1411 поправени уязвимости в един Patch Tuesday, от които 70 са с ниво „критично“, а три са нулеви дни. Един от трите вече се използва в реални атаки. Заедно с пакета излезе и KB5126657 — обновление за Windows 10 по програмата за разширена поддръжка, която върви вече цяла година след официалния край на живота на системата.

Нулевите дни: един в атака, два публично известни

Активно експлоатираната дупка е CVE-2026-96951 в Windows Shell. По описанието на Microsoft става дума за command injection, който позволява на неоторизиран нападател да заобиколи защитна функция по мрежата — на практика Mark of the Web, маркерът, с който Windows отбелязва свалени от интернет файлове и предупреждава, преди да ги отвори. CVSS оценката е 8.8, а засегнатият компонент е explorer.exe. Това е класическият сценарий за фишинг с прикачен файл: ако маркерът падне, падат и предупрежденията.

Вторият нулев ден, CVE-2026-108398, е в .NET Framework и е бил публично оповестен преди кръпката. Открил го е Джеймс Форшоу от Google Project Zero. Автентикиран нападател може да заобиколи ограниченията на Windows Defender Application Control и да изпълни код, който иначе не би минал през политиката за разрешени приложения.

Третият, CVE-2026-92707, е в open source библиотеката MessagePack-CSharp — неправилно контролирано последователно заделяне на памет в .NET, което води до отказ на услуга.

Какво има в останалите 1408

Разпределението по тип говори повече от общото число. Най-многобройни са повишаването на привилегии — 677 случая, следвани от 317 за отдалечено изпълнение на код, 254 за изтичане на информация, 73 за отказ на услуга, 40 за заобикаляне на защитни функции и 28 за spoofing. От 70-те критични уязвимости 57 са RCE, 11 са повишаване на привилегии и две са spoofing.

Според анализа на Rapid7 броят на уязвимостите в собствените продукти на Microsoft (без партньорските CVE-та) стига 1413, а 1102 от тях са в самия Windows. Отделно внимание заслужават пет уязвимости в Outlook (CVE-2026-70242, CVE-2026-97749, CVE-2026-97016, CVE-2026-88156 и CVE-2026-70291), които се задействат без потребителско действие — през панела за преглед. Кръпки получиха още Exchange Server, SQL Server и облачни услуги като Azure Arc, CycleCloud, DevOps и HDInsight.

Снимка: Microsoft

Защо числото скочи толкова

Microsoft обяснява рекорда със собственото си използване на AI платформи за откриване и отстраняване на уязвимости. Резултатът е толкова много CVE-та наведнъж, че компанията въведе и нов механизъм за подреждане по приоритет — така наречените risk cohorts, които групират сродни пропуски, за да не се налага администраторите да четат 1400 отделни бюлетина. Това е обратната страна на тенденцията, която вече наблюдавахме и при AI агентите, които горят токени за минимално подобрение: когато машината намира дупки по-бързо, отколкото хората могат да ги приоритизират, самото приоритизиране става проблем.

За сравнение, преди броени дни GitLab закърпи единична уязвимост с CVSS 10.0 — един пропуск, който струваше на екипите цял работен ден. Тук са 1411.

Windows 10 и KB5126657

Обновлението вдига Windows 10 до build 19045.7807, а Enterprise LTSC 2021 — до 19044.7807. То е достъпно за компютрите, записани в програмата за разширени ъпдейти за сигурност (ESU), и за LTSC изданията. Инсталира се по обичайния път: Settings → Windows Update → Check for Updates.

Освен кръпките за сигурност, KB5126657 носи и няколко функционални поправки: поддръжка на постоянното лятно часово време за Британска Колумбия и Алберта (в сила от ноември 2026), нова часова зона Manitoba Standard Time, одит и допълнителни политики за ReFS томове на външни носители, поправка за виртуални дискове в Storage Spaces Direct, които не се вдигаха след ъпдейт, и решение на грешката „Reconnect your drive“ при архивиране с File History. Продължава и разпространението на обновените сертификати за Secure Boot.

Край на пътя за няколко продукта

Този Patch Tuesday е последният за няколко продукта наведнъж. Windows 11 версия 24H2 в изданията Home и Pro изчерпа сервизния си цикъл, същото важи за Windows 10 Enterprise LTSB 2016. Третата година ESU за Windows Server 2012 и 2012 R2 изтича на 14 октомври, а Exchange Server 2016 и 2019 остават без разширена поддръжка от 15 октомври. Office 2021 и LTSC изданията също се пенсионират.

Заключение

Практическият извод е прост: кръпката за Windows Shell не търпи отлагане, защото уязвимостта вече се използва. За всичко останало ще ви трябва приоритизация — и, ако поддържате Exchange 2016/2019 или Office 2021, план за миграция, който вече е закъснял. Пълната разбивка по CVE е в обзора на BleepingComputer.