Пач-день в сентябре: 963 уязвимости, 2 эксплуатируемых бага и важное сообщение

В рамках ежемесячного цикла обновлений безопасности, запланированного Microsoft на сентябрь 2026 года, было выпущено самое масштабное обновление за год. В нем содержится 963 уязвимости (CVE), требующих внимания пользователей, из которых 106 имеют высокий уровень критичности. Уже известно, что две из этих уязвимостей (CVE-2026-81963 в Windows Update Stack и CVE-2026-85880 в Advanced Local Procedure Call) уже эксплуатируются злоумышленниками.

Microsoft не публиковала информацию об этих уязвимостях до момента выпуска обновления. Рекомендации касаются операционной системы Windows, пакета Office, SQL Server и инструментов разработки. Также, согласно рекомендациям, необходимо обновить Exchange. Команда безопасности опубликовала инфографику, в которой суммированы риски, связанные с установкой обновления для различных категорий продуктов.

В новой версии, выпущенной сегодня, исправлены три ранее обнаруженных проблемы:

• Проблема с запуском Microsoft Teams и нового Outlook на устройствах с процессорами ARM, например, Surface Pro 11 и Surface Laptop 7, устранена патчем KB5124008. Эта проблема возникла после обновления KB5121003 и, вероятно, наблюдалась на новых компьютерах, которые еще не устанавливали обновления из Microsoft Store.

• Также, патч KB5124008 решил проблему с возвратом обоев рабочего стола к черному цвету и сбросом настроек курсора мыши на версиях Windows, отличных от английской. Эти проблемы были выявлены в предварительной версии от 27 августа, KB5120998.

• Кроме того, Microsoft не устранила проблему с уведомлением о работе Microsoft Defender Antivirus, которая была подтверждена 28 августа. В этом случае устройства сообщают, что антивирус Defender выключен, хотя на самом деле он функционирует нормально.

В период, который оказался одним из самых спокойных за последние месяцы, одновременно с крупным обновлением, была опубликована важная информация о безопасности. В период между августовскими и сентябрьскими "Днями исправления" (Patch Tuesdays), с 12 по 7 сентября, руководство по безопасности MSRC охватило 324 уязвимости (CVE). Из них 307 – это стандартные обновления для Microsoft Edge и Chromium, которые не требуют каких-либо действий со стороны пользователей.

Осталось 17 записей, затрагивающих собственные продукты Microsoft, и только одна из них – это реальное исправление. Уязвимость CVE-2026-59133, связанная с повышением привилегий в области высокопроизводительных вычислений, была обновлена до версии 1.1. В заметке об обновлении указано, что это изменение носит исключительно информационный характер. В августовском периоде было 76 обновлений для собственных продуктов Microsoft, из которых 60 требовали от пользователей каких-либо действий.

Команда, занимающаяся подготовкой к обновлениям, проанализировала все 963 опубликованных обновления. Microsoft не предоставила никаких рекомендаций по смягчению последствий уязвимостей и никаких обходных путей в этом обновлении.

Microsoft не сообщила о новых датах выхода новых версий сервисов и обновлений на сентябрь. Общая стратегия поддержки претерпела изменения: в октябре ожидается ряд уведомлений о прекращении поддержки для ряда продуктов.

Полностью прекращается поддержка пакета Office 2021, включая приложения Access, Excel, Outlook, PowerPoint, Project, Publisher, Visio и Word.

Прекращение поддержки также распространяется на Office LTSC 2021, включая Skype for Business LTSC 2021.

Версии Windows 10 2016 LTSB и Windows 10 IoT Enterprise LTSB 2016 больше не будут получать обновления в расширенном режиме.

Версии Windows Server 2012 и 2012 R2 достигают конца третьего года предоставления обновлений безопасности. Это последний год предоставления расширенных обновлений для обеих версий, а не переход к четвертому.

Версии Windows 11 Home и Pro (версия 24H2) перестанут получать обновления.

Windows Server 2022 переходит из основной поддержки в расширенную, где останется до 14 октября 2031 года.

Вторая волна обновлений запланирована на 10 ноября 2026 года. Скорее всего, она затронет команды разработчиков, а не команды, отвечающие за инфраструктуру. Версии .NET 8 и PowerShell 7.4 прекращают поддержку в долгосрочном режиме. Версии Windows 11 Enterprise и Education (версия 23H2), а также Windows 11 IoT Enterprise (версия 23H2) больше не будут поддерживаться.

Тестовые рекомендации Microsoft для этой версии охватывают 466 различных компонентов Windows. Из них 55 отмечены как имеющие высокий уровень уязвимости, в отличие от 109 и четырех, выявленных в августе. Учитывая значительное количество обновлений, представленных в этом месяце (в общей сложности 963 уязвимости), команда, отвечающая за безопасность, рекомендует следующий порядок приоритетов при тестировании:

Печать. Поддержка печати из приложений, работающих в 32- и 64-битных режимах, как с физических, так и с виртуальных принтеров. Возможность работы с форматами XPS и PDF. Функция обмена принтером через сервер печати, а также печать с отдельных клиентских устройств. Возможность отмены задания в процессе печати, а также проверка того, чтобы очередь печати отражала все изменения статуса. Это один из 20 наиболее критичных аспектов, и, скорее всего, именно здесь чаще всего возникают заметные проблемы.

Шрифты, графика и работа с изображениями

Возможность использования различных шрифтов, размеров и стилей в различных программах: веб-браузерах, Microsoft Office, программах для просмотра PDF и текстовом редакторе Notepad. Важно убедиться, что предварительный просмотр печати соответствует фактическому результату при печати. Поддержка открытия изображений в форматах JPEG, TIFF, HEIF и RAW в приложениях Windows Explorer, Photos и Microsoft Office. Необходимо обращать внимание на возможные обрезки, искажения и отсутствие символов.

USB-устройства. Убедитесь, что USB-устройства, включая аудио-, видео- и устройства для хранения данных, подключаются и отключаются без проблем. Повторно подключайте и отключайте USB-устройства, включая подключение через USB-хаб, а также проверяйте корректную работу беспроводных устройств. Обратите внимание, что драйверы для USB-устройств содержат семь потенциально рискованных элементов, которые загружаются при подключении оборудования.

Удаленный рабочий стол. Проверьте возможность одновременного подключения нескольких сессий, включите перенаправление принтера, буфера обмена, аудио, дисков и смарт-карт. Повторно подключайте и отключайте эти устройства, чтобы убедиться в корректной работе перенаправления.

Хранение данных (ntfs.sys, spaceport.sys). Этот раздел является одним из наиболее активных с точки зрения обновлений в текущем месяце, однако риски при их установке минимальны. Рекомендуется протестировать изменения на оборудовании, с которым можно восстановить работоспособность, поскольку изменения в системе хранения данных могут повлиять на загрузку и привести к сбоям.

Каждый месяц мы группируем обновления по продуктам, как определено Microsoft, используя следующие категории.

Microsoft уже во второй месяц подряд не выпускает обновлений для своих браузерных продуктов. В сентябрьском отчете о безопасности не содержится конкретных данных об уязвимостях (CVE) для Edge, а 307 обновлений Chromium, появившихся за месяц, не требовали каких-либо действий со стороны пользователей. Девять уязвимостей, связанных с Edge, были обнаружены в середине месяца, 28 августа, и исправлены через собственный механизм обновлений браузера, а не в рамках этой конкретной версии.

В контексте управляемого канала обновления Edge, упоминание о нем служит лишь для подтверждения актуальности этого канала. Это, пожалуй, единственное спокойное место в довольно напряженном месяце.

В новой версии операционной системы Windows обнаружено 726 уязвимостей, из которых 77 – критические. Это составляет почти три четверти всех выявленных проблем. Наибольшее количество уязвимостей связано с возможностью повышения привилегий (406), за ними следуют возможности удаленного выполнения кода (156), раскрытие конфиденциальной информации (94) и отказом в обслуживании (47).

В этом месяце особое внимание уделяется биометрической аутентификации. Компонент Windows Biometric Service содержит 64 исправленных уязвимости – это наибольшее количество для одного компонента за весь год. Большинство проблем связаны с переполнением буфера, что позволяет злоумышленнику получить права SYSTEM. Также, в Windows Hello выявлено 9 критических уязвимостей. Рекомендуется оперативно установить обновления, если в вашей организации используется биометрическая аутентификация.

Сервер Windows DHCP – один из лидеров по количеству уязвимостей (36), причем большинство из них – это возможности удаленного выполнения кода с оценкой CVSS 9.8. Также, сервер Windows DNS содержит 10 уязвимостей, также с оценкой 9.8. Критические уязвимости также обнаружены в Message Queuing, RRAS, Services for NFS, HTTP Print Provider, Windows Shell, Netlogon, Internet Connection Sharing, SSTP и Failover Cluster, все с оценкой 9.8. Рекомендуется в первую очередь обновить серверы DHCP и DNS, а также контроллеры домена.

В этом году наиболее ресурсоемким этапом при обновлении Windows стало внесение изменений в систему хранения данных. Обновление файловой системы NTFS потребовало 29 исправлений, компонент Spaceport.sys, отвечающий за Storage Spaces, – 17, а Overlay Filter – 7. Также потребовались обновления драйверов Volume Manager, VHD miniport, iSCSI и Storage Port. Важно отметить, что все эти исправления необходимо применять на работоспособном оборудовании.

Помимо этого, наиболее часто требуются обновления следующих компонентов: Win32k (19), Microsoft Standard XPS (18), Windows Error Reporting (12), а также ядро Windows, Windows Search, служба Print Spooler и служба Device Association – по 11 исправлений в каждом.

Рекомендуется добавить эти обновления в ваш график, начиная с DHCP и DNS серверов, а затем – с компонентов, связанных с биометрической аутентификацией.

Microsoft обнаружила и устранила 137 уязвимостей в своих продуктах Office в течение этого месяца. Из них 24 имеют высокий уровень серьезности. Основной причиной возникновения большинства уязвимостей является возможность удаленного выполнения кода (remote code execution), которая присутствует в 69 случаях. Также, значительную роль сыграло раскрытие конфиденциальной информации – в 52 случаях.

В отличие от предыдущих месяцев, текущее обновление затронет не только продукты, использующие технологию Click-to-Run. Около 105 уязвимостей в Office применимы к этой технологии, что означает, что обновления будут доступны для Microsoft 365 Apps, Office 2019, LTSC 2021 и LTSC 2024, как на Windows, так и на Mac. Word получит 35 исправлений, Excel – 32, PowerPoint – 10, а Outlook – 7. Особое внимание стоит уделить уязвимостям CVE-2026-78510 в Word и CVE-2026-78509 в Outlook, обе с критическим уровнем (CVSS 9.8) и возможностью удаленного выполнения кода при предварительном просмотре или открытии документов.

SharePoint Server Subscription Edition получит 16 обновлений. Это единственный базовый продукт SharePoint, получивший обновление в этом месяце. Важно помнить, что обновления для Server не удаляются и требуют перезагрузки системы, поэтому рекомендуется устанавливать их в период обслуживания.

Skype for Business Server получит 10 обновлений, включая CVE-2026-66302, критическую уязвимость с возможностью удаленного выполнения кода (CVSS 9.8). Рекомендуется немедленно установить патч, учитывая, что поддержка для LTSC 2021 прекратится 13 октября 2026 года.

В этом месяце в Microsoft Office не обнаружено серьезных уязвимостей. Наибольшее количество критических проблем (24) связано с обновлениями, выпущенными в сентябре. Большинство из них, особенно те, которые доступны через функцию "Автоматическое обновление", требуют немедленной установки. Поэтому, согласно рекомендациям экспертов, обновления Office следует устанавливать в первую очередь.

Обновление Exchange Server проходит относительно гладко, в то время как для SQL Server требуется более тщательная подготовка. Это создает ситуацию, когда два продукта требуют внимания в разное время.

Exchange Server получил девять уязвимостей, затрагивающих версии 2016 (CU23), 2019 (CU14 и CU15) и редакцию с подпиской. Ни одна из уязвимостей не считается критической, и злоумышленники пока не используют их. Однако, наиболее серьезная уязвимость имеет рейтинг CVSS 9.3. В целом, уязвимости включают две возможности удаленного выполнения кода, два случая повышения привилегий, два случая подделки данных, а также по одной уязвимости, связанной с подменой данных, отказом в обслуживании и раскрытием информации. Для установки обновления необходимо использовать командную строку с повышенными правами. Важно помнить, что установка без достаточных прав может привести к частичной защищенности и некорректной работе сервисов Exchange. После установки необходимо проверить работоспособность почтового трафика, Autodiscover и любые гибридные подключения, прежде чем возвращать сервер в нормальный режим.

SQL Server получил 62 уязвимости, из которых четыре считаются критическими, затрагивая версии 2017, 2019, 2022 и 2025. В этом месяце отсутствует обновление для версии 2016. Наибольшее количество уязвимостей связано с возможностью удаленного выполнения кода (24 записи), за которыми следуют уязвимости, связанные с раскрытием информации (22 записи). Критические уязвимости – CVE-2026-67631 и CVE-2026-67643 с рейтингом CVSS 8.8, а также CVE-2026-67378 и CVE-2026-67636 с рейтингом 8.5.

Microsoft выпустила восемь пакетов обновлений для SQL Server, включающих как накопительные обновления (Cumulative Update, CU), так и обновления, готовые к производству (Release to Manufacturing, RTM) для каждой из четырех версий: SQL Server 2022 (KB5122769, KB5122770), SQL Server 2019 (KB5122772, KB5122773) и SQL Server 2017 (KB5122774, KB5122775). Компания подчеркивает, что перед установкой необходимо сначала установить базовую версию (RTM), а затем применить патч GDR. Рекомендуется провести тестирование установки и удаления обновлений на всех версиях, а также убедиться в работоспособности групп доступности Always On после обновления.

Обновления для Exchange помещены в раздел "Планируемые обновления", в то время как обновления для SQL Server – в раздел "Необходимо установить сейчас". Это необычное разделение связано с четырьмя критическими уязвимостями, связанными с возможностью выполнения удаленного кода в базе данных.

Microsoft обнаружила 24 уязвимости в своих инструментах для разработчиков в течение этого месяца. 23 из них имеют высокий уровень серьезности ("важно"), а одна – критический. Основная проблема связана с обходом механизмов безопасности. В списке находятся 8 уязвимостей, позволяющих выполнять произвольный код и раскрывать конфиденциальную информацию.

Единственная критическая уязвимость – CVE-2026-34182, получившая оценку CVSS 9.1. Она связана с ошибкой в обработке данных аутентификации в компоненте CMS AuthEnvelopedData, что позволяет принимать поддельные сообщения. Уязвимость затрагивает версии Visual Studio 2017–2022.

Наиболее значимая уязвимость в этой группе – CVE-2026-81376, связанная с обходом механизмов безопасности в Visual Studio Code. Она имеет оценку CVSS 9.6 и категорию "важно". Важно помнить, что метки серьезности и оценки CVSS отвечают на разные вопросы.

Редакторы Visual Studio Code и расширение Copilot содержат 10 уязвимостей, в основном связанных с обходом механизмов безопасности. Рекомендуется обновить редактор, внимательно проверять запросы на предоставление доступа к рабочей области, убедиться, что установка расширений и удаленные сеансы работают в соответствии с настройками.

.NET выпустила обновления для своего SDK, применимые ко всем поддерживаемым версиям: 8.0.131 и 8.0.425, 9.0.121 и 9.0.318, а также 10.0.112 и 10.0.401. Рекомендуется установить эти обновления, затем собрать и протестировать типовой проект, чтобы убедиться в отсутствии ошибок. Не забудьте, что 10 ноября запланирован выпуск .NET 8.

.NET Framework регулярно выпускает ежемесячные обновления для различных операционных систем: Windows Server 2012 (KB5126147), Server 2012 R2 (KB5126148), Windows 10 1809 (KB5126144), 21H2 (KB5126145), 22H2 (KB5126146) и Server 2022 (KB5126149). Важно отметить, что обновление 4.7.2 для Windows 10 1607 ожидается, но его выпуск состоится позднее. Поэтому системы, работающие на Windows 10 1607, не смогут завершить обновление .NET Framework в рамках этого цикла.

Рекомендуется добавить эти обновления в ваш стандартный график релизов, после приоритетных обновлений для Windows, Office и SQL Server за текущий месяц. Не забудьте, что 10 ноября запланирован выпуск .NET 8 и PowerShell 7.4. Эти обновления не будут доступны в этом месяце.

Сентябрь – самый загруженный месяц в году, и этот большой объем нововведений не всегда привлекает внимание. 963 уязвимости (CVE) – это лишь часть картины. Гораздо важнее 55 пунктов, которые Microsoft выделила как имеющие высокий уровень риска, и они касаются печати и шрифтов. Adobe выпустила две версии Acrobat, отличающиеся лишь одной цифрой, и только вторая из них – это обновление безопасности (причин для беспокойства здесь нет). Среди уязвимостей, которые Microsoft повторно опубликовала, 25 не относятся к продуктам Microsoft. Номер версии, к сожалению, не дает много информации о том, чего ожидать. Учитывая мои (очень ценные) знания о работе Microsoft летом, я могу предсказать, что октябрь не будет таким масштабным, как сентябрь. Но, как говорится, "подождите" – ноябрь обещает быть очень насыщенным. Сможем ли мы увеличить количество изменений (или нет)?