В рамках ежемесячных обновлений безопасности, запланированных на октябрь 2026 года, компания Microsoft представила самое масштабное обновление за год. В нем содержится 1408 уязвимостей (CVE), требующих внимания пользователей, из которых 72 имеют высокий уровень критичности. В сентябре, предыдущем рекордном месяце, было зафиксировано 963 уязвимости.
Одной из уязвимостей уже воспользовались злоумышленники: CVE-2026-96951 – это проблема в компоненте Windows Shell, позволяющая обойти систему защиты Mark of the Web. Две другие уязвимости были раскрыты публично до выхода обновления: в .NET Framework и библиотеке MessagePack-CSharp.
Кроме того, 25 сентября Microsoft сообщила об атаках, использующих уязвимость CVE-2026-65660 – проблему в SharePoint Server, исправленную в августе. Команда, отвечающая за безопасность (Readiness), рекомендует немедленно обновить Windows, Office, Exchange и инструменты разработки, а также придерживаться стандартного графика обновлений для SQL Server. Команда Readiness опубликовала инфографику, в которой суммированы риски, связанные с развертыванием, по различным семействам продуктов.
Известные проблемы в популярных инструментах разработки
Microsoft выпустила патч для Windows 11, устраняющий проблему с удаленным доступом
14 октября компания Microsoft внесла в текущие обновления Windows 11 (KB5127648 для версий 24H2, 25H2 и 26H2, и KB5127646 для 26H1) информацию о проблеме, с которой столкнулись пользователи. В частности, пользователи, не имеющие прав администратора, могут испытывать трудности с подключением к удаленному рабочему столу на устройствах, где включена защита администратора, и получать ошибку 0xC000000D. Проблема возникла после обновления, выпущенного в сентябре, и не связана с исправлениями безопасности.
В Windows 11, по умолчанию, включена защита администратора. Поэтому, перед массовым развертыванием, рекомендуется протестировать удаленный доступ к управляемым компьютерам. Решение от Microsoft заключается во временном отключении защиты администратора с помощью инструмента управления политиками. Ожидается, что исправление будет включено в следующей версии обновления.
Остаются нерешенными две ключевые задачи:
Некоторые устройства USB Audio Class 1.0 могут не включаться или не издавать звука. Обновление, выпущенное 14 сентября, частично устранило эту проблему. Тем не менее, для решения оставшихся вопросов, Microsoft рекомендует IT-специалистам обращаться в службу поддержки Microsoft для бизнеса.
В Windows Server Update Services пока не отображаются подробные сведения об ошибках синхронизации в версиях Server 2025 и Server 2022. Microsoft удалила эту функцию для устранения уязвимости CVE-2025-59287, и в настоящее время не существует способов обойти данную проблему.
Три сервиса прекратили свою деятельность.
Ошибки в уведомлениях о том, что "Microsoft Defender Antivirus выключен", которые еще присутствовали на момент публикации в сентябре, были устранены благодаря обновлению антивируса Microsoft Defender Antivirus версии 4.18.26080.4, выпущенному 17 сентября.
В Windows 11, обновление октября решает проблему, возникающую в многопользовательских системах, таких как Azure Virtual Desktop с использованием FSLogix: после входа в систему файловый менеджер Explorer не запускается, что приводит к появлению черного экрана.
В Windows 10, Windows 11 23H2, а также в Server 2016 и 2019, это обновление устраняет проблему с функцией File History, которая не могла выполнять резервное копирование или восстановление, и выдавала сообщение о необходимости "подключения диска".
Крупные обновления и меры по повышению безопасности
В период между сентябрьским и октябрьским выпусками, с 9 сентября по 12 октября, Microsoft выпустила 111 обновлений безопасности, затрагивающих собственные продукты компании. При этом, в число 111 включены не только новые уязвимости, но и повторные обновления для браузера Edge на базе Chromium. Из этих 111, 90 представляют собой фактические исправления, а не новые записи. В сентябре было опубликовано одно такое обновление.
17 сентября, Microsoft выпустила обновления для Office для Mac, устраняющие 84 уязвимости, обнаруженные в сентябре (CVE-2026-67378, CVE-2026-67631 и CVE-2026-67643). В каждом уведомлении пользователям, использующим уязвимые версии программ для Mac, сообщается: «Установите обновление, чтобы обеспечить безопасность».
16 сентября, Microsoft исправила уязвимости в SQL Server, позволяющие злоумышленникам удаленно выполнять код. Обнаруженные в сентябре уязвимости теперь классифицируются как не требующие никаких привилегий для эксплуатации. Microsoft называет это информационным изменением.
25 сентября компания Microsoft обновила информацию об уязвимости CVE-2026-65660 в SharePoint Server, которую уже устранили в августе. Теперь Microsoft заявляет, что располагает «надежными сведениями» о случаях использования этой уязвимости в реальных атаках. Агентство по кибербезопасности США (CISA) также включило эту уязвимость в свой список известных уязвимостей, которые активно эксплуатируются. Однако, в руководстве по обновлениям безопасности, уязвимость CVE-2026-65660 по-прежнему обозначена как «Не эксплуатируется». Поэтому, если на сервере SharePoint отсутствует августовское обновление, необходимо его установить немедленно.
Из 21 новой уязвимости, 18 представляют собой серьезные проблемы в облачной инфраструктуре Azure, Microsoft 365 Copilot, Dataverse и Fabric. Все эти уязвимости требуют немедленного вмешательства со стороны пользователей. Еще две – это проблемы в браузере Edge, а одна – CVE-2026-96940 в Exchange Server, опубликованная 2 октября, о которой будет рассказано ниже.
В октябрьской версии Microsoft не предоставила никаких рекомендаций по устранению уязвимостей и обходным путям.
Microsoft обновила политику поддержки Windows и ввела обязательные обновления
В рамках текущего цикла поддержки, 13 октября завершены ключевые этапы:
Продающие версии Office 2021 и Office LTSC 2021, включая Skype for Business LTSC 2021, перестали получать обновления.
Версии Windows 10 Enterprise 2016 LTSB и Windows 10 IoT Enterprise LTSB 2016 также утратили поддержку.
Обновления безопасности для Windows Server 2012 и 2012 R2, предназначенные для расширенной поддержки, завершены. Это был третий год поддержки, поэтому октябрьское обновление – последнее для обеих версий.
Версии Windows 11 Home и Pro 24H2 перестали получать обновления.
Windows Server 2022 перешел на режим расширенной поддержки, который продлится до 14 октября 2031 года.
Следующий этап поддержки запланирован на 10 ноября 2026 года, в день ежемесячного выпуска обновлений безопасности. Версии .NET 8 и .NET 9 также прекратят получать обновления, а также PowerShell 7.4 и 7.5. Версии Windows 11 Enterprise и Education 23H2, а также IoT Enterprise 23H2, также утратили поддержку. Microsoft сообщает, что обновление, запланированное на ноябрь, станет последним для этих версий.
В рамках текущего цикла Microsoft также вводит или ужесточает ряд мер, направленных на обеспечение соответствия требованиям.
В операционных системах Windows 11 (версии 24H2, 25H2 и 26H2), а также в Windows Server 2025, начиная с последних обновлений, Microsoft вводит ограничение на использование учетных данных, основанных на протоколе NTLMv1, для упрощенного входа. Компания предупреждает, что отключение защиты учетных данных (Credential Guard) может негативно сказаться на работе Wi-Fi, Ethernet и VPN-соединений, использующих протокол MS-CHAPv2. (KB5066470).
Контейнер, отвечающий за управление распределенными ключами в Active Directory Federation Services (AD FS), перешел в режим принудительного применения. Серверы, поддерживаемые Microsoft, автоматически исправляют эту ситуацию. Однако для серверов, работающих под управлением Windows Server 2012 и Windows Server 2012 R2, требуется ручная установка патча KB5121391.
Теперь можно проводить аудит объемов данных, хранящихся в формате ReFS на съемных носителях. С 1 января 2027 года, с установкой обновления KB5130741, по умолчанию включена блокировка для этих объемов.
Сертификат Windows Production PCA 2011 Secure Boot, используемый для подписи загрузчика Windows, истекает 19 октября. Устройства, не обновившиеся до сертификата Windows UEFI CA 2023, продолжают нормально загружаться и обновляться, однако перестают получать новые функции защиты при загрузке (KB5062710).
В Microsoft разработали руководство по тестированию для новой версии Windows. В нем содержится 496 пунктов, из которых 41 были отмечены как имеющие высокий приоритет. Это больше, чем в сентябре – тогда было 466 пунктов и 55 с пометкой "высокий риск". Основные области, требующие особого внимания: печать, сканирование и корректное отображение шрифтов. Команда, отвечающая за подготовку к релизу, рекомендует следующим приоритетам:
Печать. Возможность печати документов с различными шрифтами, созданных в приложениях как на 32-битных, так и на 64-битных платформах, на физические и виртуальные принтеры. Поддержка сетевых принтеров, добавление которых осуществляется автоматически или по IP-адресу, а также печать через общий сервер печати, USB-принтер и драйвер PostScript.
Обнаружена уязвимость в компоненте Shell, позволяющая обойти защиту Mark of the Web.
В результате анализа, проведенного специалистами, была выявлена уязвимость в компоненте Shell, которая позволяет обойти защиту Mark of the Web. Это означает, что файлы и ярлыки, скачанные из интернета, могут открываться, при этом отображаясь предупреждения SmartScreen и другие механизмы безопасности.
Проверка удаленного доступа: убедитесь, что функция "Дистанционный рабочий стол" работает корректно с учетной записью, не имеющей прав администратора, в сравнении с серверами, где включена защита для администраторов. Также проверьте стабильность соединения по Wi-Fi и VPN, использующих протокол MS-CHAPv2.
Установка и обновление программного обеспечения. Система позволяет устанавливать, исправлять и удалять стандартные пакеты MSI, включая те, которые содержат пользовательские скрипты. Согласно последним данным, Windows Installer внес 38 исправлений в течение месяца.
Обеспечение стабильной работы сетевых серверов: DNS-серверов (с исправлением 52 ошибок) и DHCP-серверов (18), а также контроль сроков действия, передача зонных данных и настройка перенаправлений – для поддержания нормальной работы сети.
Каждый месяц мы анализируем цикл обновлений, разделяя его по семействам продуктов, в соответствии с классификацией, разработанной Microsoft.
Браузеры: новые возможности и конкуренция
В течение третьего месяца подряд, в ежемесячном обновлении безопасности, которое Microsoft выпускает в рамках "Patch Tuesday", уязвимости в браузерах не упоминаются. Вместо этого, исправления для Edge выпускаются между основными обновлениями. В период с 9 сентября по 12 октября, Microsoft опубликовала 414 уязвимости (CVE) для Microsoft Edge в руководстве по обновлениям безопасности: 409 из них – это переизданные уязвимости, взятые из Chromium, а еще пять – специфичные для Edge. Ни одна из этих уязвимостей не была отмечена как активно эксплуатируемая, и ни одна из версий Edge, выпущенных в этот период, не сообщала о случаях её реальной эксплуатации.
Microsoft Windows: что нового в этой версии?
В этом месяце операционная система Windows обнаружила 1122 уязвимости, из которых 42 были признаны критическими. Наибольшее количество (617) уязвимостей связано с возможностью повышения привилегий, затем следует утечка информации (200) и возможность удаленного выполнения кода (179). Среди 42 критических уязвимостей, 31 представляют собой возможность удаленного выполнения кода, девять – повышение привилегий, а две – подделка идентификаторов.
Обнаружена уязвимость CVE-2026-96951 – это брешь в системе безопасности Windows Shell, позволяющая обойти защиту Mark of the Web. Злоумышленник должен заставить пользователя открыть специально подготовленный файл или перейти по ссылке. Агентство по кибербезопасности США (CISA) внесло эту уязвимость в свой список известных и активно используемых, объявив о необходимости исправления 13 октября, а дату исправления установило на 16 октября.
Протокол DHCP был обновлен 18 раз, шесть из которых являются критическими: пять изменений внесены в компонент DHCP Server, и одно – в компонент DHCP клиент. Сервер DNS получил 52 исправления, десять из которых представляют потенциальную угрозу выполнения вредоносного кода. Хотя ни одно из этих исправлений не классифицируется как критическое, они затрагивают Hyper-V, Message Queuing, Microsoft QUIC, Remote Desktop Gateway, Windows Deployment Services, Active Directory Domain Services, NDES и драйвер многоадресной передачи.
В сфере обработки файлов и изображений, расширение Raw Image Extension включает в себя три важных исправления, среди которых – уязвимость (CVE), обнаруженная компанией Cisco Talos. Также, драйвер PostScript для принтеров содержит три дополнительных исправления. В области обработки текста – два исправления, а библиотеки Media Foundation (включая кодеки, видеодекодер, GDI+), графический компонент и компонент Windows PDF – по одному исправлению.
Виртуализированная зона безопасности содержит восемь исправлений, пять из которых связаны с повышением уровня доступа.
Наибольшее количество исправлений затрагивают следующие компоненты: DNS Server (52), Win32k (48), ядро Windows (46) и Windows Installer (38).
Рекомендуется включить это обновление Windows в ваш график обновлений. Каждый пользователь должен установить исправление уязвимости в Shell, а серверы DHCP и хосты Hyper-V – критические исправления на стороне сервера.
Microsoft Office: новые возможности и интеграция с AI
В этом месяце Microsoft выпустила 180 исправлений для уязвимостей в пакете Office. Из них 26 – самые серьезные, причем 107 связаны с возможностью удаленного выполнения кода.
Обновления для клиентских приложений в Windows доступны только через технологию Click-to-Run. Обновления для пакетов Microsoft 365 Apps, Office LTSC 2021 и Office LTSC 2024 также поступили в этом месяце. Обновления для Office for Mac также стали доступны, и это произошло быстрее, чем в сентябре. Excel получил 69 исправлений, из которых 11 – критические. Word – 22, Access – 13, Outlook – 10 (с пятью критическими уязвимостями), PowerPoint – 9 (с четырьмя критическими уязвимостями), а Visio – 3 (все с критическими уязвимостями).
SharePoint Server Subscription Edition получило 34 уязвимости (CVE) в KB5002927, из которых две – самые критичные. SharePoint Server 2016 и 2019 получили продление срока поддержки до 14 июля 2026 года. Две уязвимости, обнаруженные в этом месяце, не были исправлены: CVE-2026-69943 для обеих версий и CVE-2026-97783 для версии 2019.
Office Online Server получил 43 уязвимости (CVE) в KB5002928. Skype for Business Server – три, в KB5132779 для версии 2015 CU13, KB5131693 для версии 2019 CU8 и KB5131692 для Subscription Edition CU1.
Рекомендуется установить эти обновления в ближайшее время, так как 25 из 26 критических уязвимостей затрагивают Excel, Outlook, PowerPoint, Visio и Word.
Microsoft прекращает поддержку Exchange и SQL Server
В этом месяце Microsoft обнаружила одну серьёзную уязвимость в своей системе, в то время как в SQL Server таких проблем не выявлено.
Сервер Exchange содержит семь уязвимостей, затрагивающих версии 2016 CU23, 2019 CU14 и CU15, а также редакцию по подписке. Среди них одна критическая, позволяющая удаленно выполнять произвольный код (CVE-2026-70571), пять уязвимостей, связанных с повышением привилегий, и одна, связанная с подделкой данных. Шесть из этих уязвимостей были устранены в обновлениях, выпущенных 13 октября: KB5128895 (для редакций по подписке), KB5128896 (для 2019 CU15), KB5128897 (для 2019 CU14) и KB5128898 (для 2016 CU23).
Седьмая уязвимость, CVE-2026-96940, была опубликована 2 октября. Microsoft указывает на неё в отдельном наборе обновлений, выпущенных в тот же день – KB5129955, KB5129956, KB5129957 и KB5129958 – и не относится к обновлениям, выпущенным 13 октября. Поэтому важно убедиться, что оба набора обновлений установлены. Microsoft оценивает обе уязвимости (CVE-2026-96940 и критическую уязвимость) как имеющие "высокую вероятность эксплуатации".
В SQL Server обнаружено 22 уязвимости, ни одна из которых не является критической: восемь связанных с удаленным выполнением кода, семь – с повышением привилегий, четыре – с раскрытием информации и три – с отказом в обслуживании. Каждая поддерживаемая версия получает накопительные обновления и GDR (General Delivery Release): 2025 (KB5126967, KB5128492), 2022 (KB5126934, KB5128493), 2019 (KB5128494, KB5128495) и 2017 (KB5128496, KB5128497).
Microsoft включила Microsoft Exchange в список обязательных обновлений. Также в этот список попал SQL Server, поскольку ни один из 22 пунктов, касающихся этой базы данных, не считается критичным. Если обновление для SQL Server, запланированное на сентябрь, еще не установлено, рекомендуется установить его в первую очередь.
Microsoft расширяет возможности разработчиков: новые инструменты от Google и OpenAI
В этом месяне Microsoft выпустила 66 обновлений для инструментов разработки, включая две критические, 63 важные и одно умеренное. Большинство (18) из них связаны с возможностью выполнения произвольного кода удаленно, а также 13 – с повышением привилегий.
Обе критические уязвимости также затрагивают операционную систему Windows. CVE-2026-105016 – это уязвимость в протоколе Microsoft QUIC, позволяющая выполнить код удаленно. Для эксплуатации этой уязвимости не требуется аутентификация или взаимодействие с пользователем. Она влияет на версии .NET 8, 9, 10 и 11 для Windows, а также на Visual Studio 2022 и 2026. CVE-2026-96222 – это уязвимость в процессе проверки сертификатов AD FS, которая, по мнению Microsoft, затрагивает .NET Framework и Windows Server.
Две уязвимости были опубликованы до релиза. CVE-2026-108398 в .NET Framework позволяет авторизованному злоумышленнику обойти систему защиты Windows Defender Application Control. CVE-2026-92707, уязвимость типа "отказ в обслуживании" в библиотеке MessagePack-CSharp, разработанной GitHub, влияет на Visual Studio и протокол ASP.NET Core SignalR MessagePack.
В Visual Studio Code реализовано 10 исправлений, из которых 5 связаны с обходом механизмов безопасности. А в PowerShell 7.4, 7.5 и 7.6 – 2 исправления.
Рекомендуем внести эти обновления в ваш план обновлений, начиная с исправлений для .NET, содержащих исправление для QUIC.
Adobe интегрирует обновления от Google и OpenAI в Copilot
Компания Adobe выпустила 11 обновлений безопасности 13 октября, которые закрывают 175 уязвимостей в различных продуктах, включая ColdFusion, Experience Manager, Commerce, Photoshop, Bridge, FrameMaker, Dimension, инструменты Substance 3D и SDK Content Credentials. Ни одно из этих обновлений не имеет оценки "критический", и у Adobe пока нет информации о том, как можно использовать эти уязвимости. Обновления для Acrobat и Reader в этом месяце не появились. Как я уже отмечал, в ближайшие месяцы ожидается увеличение частоты выпуска обновлений безопасности. По сравнению с 2003 годом (когда я начал работать в области управления патчами для Microsoft), когда компания выпускала всего 51 обновление, выпуск более 1000, а тем более 1400 уязвимостей, было бы совершенно нереально. Я не думаю, что мы достигли "максимального количества патчей", но надеюсь, что ситуация стабилизируется в ближайшее время.
