Microsoft за месяц закрыла более 1400 уязвимостей — абсолютный рекорд

Microsoft выпустила очередной пакет обновлений, устраняющий более 1400 уязвимостей в Windows и других продуктах компании. Нынешняя порция исправлений перекрывает сентябрьский рекорд почти в тысячу закрытых дыр — а тот, в свою очередь, примерно в десять раз превышал обычную для Редмонда месячную норму.

Лишь одна из закрытых на этой неделе брешей признана «уязвимостью нулевого дня», то есть уже использовавшейся в атаках. CVE-2026-96951 — это обход функции безопасности в оболочке Windows, затрагивающий системы Windows 10 и 11, а также ряд серверных версий.

Пользователи Windows 10 могут задаться вопросом, стоит ли ждать обновлений и дальше. Microsoft собиралась прекратить их выпуск ещё в октябре 2025 года, но под давлением добавила год бесплатной поддержки. Несколько месяцев назад компания тихо продлила её ещё на год — до октября 2027-го.

По меньшей мере 78 исправленных в этом месяце ошибок имеют статус «критических»: их можно использовать практически без участия жертвы, и большинство из них позволяют злоумышленнику выполнить на уязвимой системе произвольный код. Кроме того, обход функции безопасности в .NET Framework (CVE-2026-108398) был публично раскрыт до выхода патча — а значит, у атакующих было время разобраться, как его эксплуатировать, хотя признаков реальных атак пока нет.

Рекорд за рекордом

Сатнам Наранг из Tenable отмечает, что число исправлений этого месяца далеко превосходит прежний рекорд 2020 года, когда Microsoft закрыла 1261 CVE. «Мы уже перешагнули отметку в 4000 CVE, а впереди ещё два месяца», — говорит он.

Сама Microsoft приписывает столь высокий темп обнаружения ошибок большим языковым моделям; по всей видимости, искусственному интеллекту принадлежит заслуга и во многих выпущенных заплатах. При этом эксперты по безопасности предупреждают: непривычно крупные залпы обновлений ложатся дополнительной нагрузкой на корпоративные команды, которым нередко приходится тестировать каждое исправление перед развёртыванием в сети, чтобы патч не поломал другое ПО.

Тайлер Регьюли из Fortra советует расставлять приоритеты трезво: за весь год в каталог известных эксплуатируемых уязвимостей (KEV), который ведёт американское агентство CISA, попали лишь 26 брешей Microsoft — именно их и стоит закрывать в первую очередь. «Руководителям по безопасности следует сосредоточиться на реально эксплуатируемом риске и спросить себя, хватает ли у их команд ясности, ресурсов и поддержки, чтобы действовать», — говорит он.

Источник: Krebs on Security