«До конца года осталось два месяца, а мы уже преодолели отметку в 4 000 CVE», — сообщил Брайану Кребсу Сатнам Наранг из Tenable.
За месяц Microsoft устранила более 1 400 уязвимостей — это крупнейший за всю историю компании выпуск обновлений во «Вторник обновлений». Обновления вышли 13 октября, сообщил Кребс на сайте Krebs on Security. Они превзошли сентябрьский рекорд — почти 1 000 уязвимостей, что и без того примерно в десять раз больше обычного месячного показателя Microsoft.
По словам Наранга, только за октябрь Microsoft устранила больше уязвимостей, чем за весь 2020 год — 1 261, что до этого было рекордом. Не менее 78 уязвимостей этого месяца получили критическую оценку. Большинство из них позволяют злоумышленнику выполнять на целевой системе произвольный код.
Уязвимость, которую уже используют в атаках
Злоумышленники уже использовали лишь одну из этих уязвимостей. CVE-2026-96951 находится в оболочке Windows. Она позволяет обойти механизм Mark of the Web — метку Windows, которая включает дополнительные проверки для файлов из интернета. Microsoft присвоила уязвимости уровень «Важная» и оценку CVSS 8,8.
Для проведения атаки требуется действие со стороны жертвы, говорится в бюллетене Microsoft. Злоумышленник должен отправить специально созданный файл по электронной почте или в мессенджере либо прислать ссылку на вредоносный сайт. Затем пользователь должен открыть файл или ссылку. Исправление выпущено для Windows 10, Windows 11, Windows Server и Outlook.com.
Microsoft поблагодарила за обнаружение уязвимости Рику Бамбу и Юю Тюдо из Fujitsu, а также исследователя под псевдонимом yhw. Компания также отметила Бенуа Севена, указав, что он работал «с использованием Claude от Anthropic». Microsoft не сообщила, кто использует уязвимость в атаках и кто становится их целью.
Ещё одна уязвимость — в .NET Framework — стала публично известна до выхода исправления. Как написал Кребс, это могло дать злоумышленникам дополнительное время, чтобы разобраться, как её использовать. Microsoft заявила, что пока не обнаружила признаков атак с её применением.
ИИ находит всё больше ошибок
Как сообщил Кребс, Microsoft связывает рост числа обнаруженных ошибок с большими языковыми моделями. В июле компания заявила, что ИИ обнаружил ошибки, благодаря которым тот месяц стал рекордным по числу выявленных уязвимостей.
На этой неделе гендиректор Bank of America заявил, что 1 000 подрядчиков устраняют уязвимости, выявленные ИИ.
Возросшая нагрузка на команды безопасности
Эксперты по безопасности предупреждают, что такие масштабные пакеты обновлений создают дополнительную нагрузку на корпоративные команды безопасности. Как написал Кребс, эти команды часто тестируют каждое обновление перед его установкой.
Тайлер Регули из Fortra сообщил Кребсу, что с начала года в каталог уязвимостей, используемых злоумышленниками, который ведёт правительство США, попали лишь 26 уязвимостей Microsoft. По его словам, командам следует в первую очередь установить исправления для этих 26 уязвимостей.
«Руководителям служб безопасности следует сосредоточиться на рисках, связанных с возможностью эксплуатации уязвимостей, и выяснить, достаточно ли у их команд ясности, ресурсов и поддержки, чтобы действовать», — сказал Регули.
Опубликовано 17 октября 2026 - 05:26 Наверх
