В рамках октябрьского «вторника обновлений» инженеры Microsoft исправили рекордные 1413 уязвимостей, включая три проблемы нулевого дня, одна из которых уже использовалась в реальных атаках. Также в компании представили новый подход к приоритизации патчей, призванный помочь администраторам разобраться с таким количеством исправлений.
Большинство исправлений этого месяца затрагивает непосредственно Windows — 1102 уязвимости. Еще 134 проблемы были закрыты в Office, 61 — в инструментах для разработчиков, 36 — в SharePoint Server и 22 — в SQL Server.
Более 670 багов оказались связаны с повышением привилегий, свыше 300 позволяли удаленно выполнять код, а еще 250 вели к раскрытию информации. В общей сложности около 70 уязвимостей получили статус критических.
Главной проблемой этого месяца стала 0-day-уязвимость CVE-2026-96951 (8,8 балла по шкале CVSS), связанная с обходом защиты в Windows Shell. Этот баг позволял обойти механизм Mark of the Web (MotW), который помечает файлы, скачанные из интернета, и активирует для них дополнительные проверки безопасности.
Для эксплуатации проблемы атакующему было достаточно убедить жертву открыть специально подготовленный файл или перейти по вредоносной ссылке.
В Microsoft сообщили, что CVE-2026-96951 уже применяется в атаках, однако подробности об этих инцидентах и информация о пострадавших пока не раскрываются.
Напомним, что Microsoft относит к разряду 0-day не только уязвимости, которые уже используются хакерами, но и проблемы, информация о которых была публично раскрыта до выхода официальных патчей. Два других исправленных в октябре 0-day-бага как раз относились к этой категории.
Первая публично раскрытая уязвимость нулевого дня, CVE-2026-108398 (8,8 балла по шкале CVSS), затрагивает .NET Framework и позволяет аутентифицированному атакующему обойти ограничения Windows Defender Application Control (WDAC), запустив неавторизованный код внутри защищенного процесса.
Вторая раскрытая 0-day-уязвимость, CVE-2026-92707 (5,3 балла по шкале CVSS), была связана с некорректным выделением памяти в MessagePack-CSharp и позволяла спровоцировать отказ в обслуживании (DoS).
Кроме того, в октябрьский набор исправлений вошел патч для критической уязвимости CVE-2026-21413 (9,8 балла по шкале CVSS), затрагивавшей Raw Image Extension. Проблема позволяла удаленно выполнить код при обработке специально подготовленного RAW-изображения. При этом для эксплуатации бага было достаточно, чтобы Windows сформировала миниатюру или превью файла, то есть открывать само изображение не требовалось.
Масштаб октябрьского «вторника обновлений» превзошел предыдущий рекорд, установленный в прошлом месяце, когда Microsoft устранила около 1000 уязвимостей в своих продуктах.
Напомним, что резкий рост числа патчей объясняется в том числе использованием ИИ. Так, еще летом 2026 года представители Microsoft предупреждали о том, что ежемесячных исправлений будет становиться только больше, и это связано с внедрением ИИ в процессы по поиску и анализу уязвимостей. Отметим, что в общей сложности за 2026 год специалисты Microsoft устранили уже более 4000 уязвимостей.
Чтобы упростить приоритизацию исправлений, количество которых только растет, в компании представили экспериментальную систему risk cohorts. Новый подход объединяет уязвимости по схожим группам рискам и условиям эксплуатации, чтобы в организациях лучше понимали, какие проблемы несут наибольший риск и какие из них следует устранять в первую очередь.
В октябре инженеры компании сформировали 15 таких групп:
- 136 уязвимостей в файловых системах Windows, подсистемах хранения данных и резервного копирования;
- 135 проблем, связанных с документами Office и почтовыми клиентами;
- 131 уязвимость в компонентах Windows для обработки графики, мультимедиа и другого контента;
- 109 проблем, связанных с разграничением привилегий в ядре и основных компонентах Windows;
- 103 уязвимости в службах установки, развертывания и обновления Windows.
При этом в Microsoft подчеркивают, что принадлежность бага к определенной группе сама по себе не говорит о его опасности. Реальный риск зависит от серьезности уязвимости, ее эксплуатации в атаках и особенностей инфраструктуры конкретной организации. Поэтому в компании отмечают, что новый подход не заменяет индивидуальную оценку CVE и существующие рекомендации по установке патчей.
