CVE-2026-96951 — уязвимость внедрения команд (command injection) в компоненте Windows Shell, которую Microsoft отмечает как активно эксплуатируемую. Уязвимость позволяет неаутентифицированному злоумышленнику обойти механизмы безопасности по сети. По оценке Microsoft, серьёзность составляет 8.8 из 10 по CVSS 3.1 (HIGH). Уязвимость внесена в каталог CISA Known Exploited Vulnerabilities с крайним сроком устранения 16 октября 2026 года. Затронуты Windows 10, Windows 11, Windows Server от 2012 R2 до 2025, а также Outlook.com. Организациям необходимо немедленно применить обновления безопасности.
Технические детали уязвимости
Согласно записи CVE, уязвимость классифицируется как CWE-77 — некорректная нейтрализация специальных элементов, используемых в команде. Это означает, что злоумышленник способен внедрить произвольные команды через компонент Windows Shell, что приводит к обходу функций безопасности (Security Feature Bypass). Вектор атаки — сетевой, сложность эксплуатации низкая, привилегии не требуются, но необходимо взаимодействие пользователя (вектор CVSS: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
Метаданные Microsoft указывают, что уязвимость не была публично раскрыта до выпуска патча, однако эксплуатация уже зафиксирована, в том числе в последних версиях программного обеспечения. Запись CVE опубликована и обновлена 13 октября 2026 года.
Затронутые продукты и версии
Масштаб уязвимости выходит за рамки типичных проблем Windows Shell — затронуты не только настольные и серверные ОС, но и облачный сервис Outlook.com. Полный перечень уязвимых конфигураций, согласно записи CVE:
- Outlook.com — версии от 1.0.0 до 20260925.100
- Windows 10 Version 1607 (32-bit, x64) — от 10.0.14393.0 до 10.0.14393.9612
- Windows 10 Version 1809 — от 10.0.17763.0 до 10.0.17763.9376
- Windows 10 Version 21H2 — от 10.0.19044.0 до 10.0.19044.7807
- Windows 10 Version 22H2 — от 10.0.19045.0 до 10.0.19044.7807
- Windows 11 version 23H2 — от 10.0.22631.0 до 10.0.22631.7652
- Windows 11 Version 24H2 (ARM64, x64) — от 10.0.26100.0 до 10.0.26100.9711
- Windows 11 Version 25H2 (ARM64, x64) — от 10.0.26200.0 до 10.0.26200.9711
- Windows 11 version 26H1 — от 10.0.28000.0 до 10.0.28000.3231
- Windows 11 Version 26H2 — от 10.0.26300.0 до 10.0.26300.9711
- Windows Server 2012 R2 — от 6.3.9600.0 до 6.3.9600.23470
- Windows Server 2016 — от 10.0.14393.0 до 10.0.14393.9612
- Windows Server 2019 — от 10.0.17763.0 до 10.0.17763.9376
- Windows Server 2022 (x64) — от 10.0.20348.0 до 10.0.20348.5761
- Windows Server 2025 (x64) — от 10.0.26100.0 до 10.0.26100.33650
Присутствие Outlook.com в списке затронутых продуктов означает, что при сортировке инцидента необходимо проверять не только настольные и серверные развёртывания Windows, но и облачные сервисы. Это расширяет поверхность атаки за пределы традиционных рабочих станций.
Что неизвестно
На момент публикации Microsoft не раскрывает деталей о том, какие группировки или кампании стоят за эксплуатацией уязвимости. В доступных первичных источниках отсутствуют индикаторы компрометации (IOC), описание цепочки эксплуатации и маппинг на тактики MITRE ATT&CK. Информация об использовании уязвимости в кампаниях с применением программ-вымогателей также недоступна в текущих данных CISA KEV.
Оценка воздействия
Сочетание нескольких факторов делает эту уязвимость приоритетной для немедленного реагирования. Во-первых, подтверждённая активная эксплуатация — Microsoft прямо указывает статус «Exploited: Yes». Во-вторых, широкий охват: от устаревших Windows Server 2012 R2 до новейших Windows 11 26H2 и Windows Server 2025, включая облачный Outlook.com. В-третьих, низкий барьер входа для атакующего — не требуются привилегии, атака возможна по сети, а единственным условием является взаимодействие пользователя (например, открытие вредоносного файла или переход по ссылке).
Максимальное воздействие по всем трём параметрам CIA (конфиденциальность, целостность, доступность) оценивается как HIGH, что при успешной эксплуатации может привести к полной компрометации системы.
Рекомендации
- Немедленно установите обновления безопасности от Microsoft для всех затронутых продуктов. Крайний срок устранения по каталогу CISA KEV — 16 октября 2026 года, что составляет всего три дня с момента публикации.
- Проведите инвентаризацию всех систем на базе Windows — рабочих станций, серверов и облачных сервисов — для выявления уязвимых версий. Обратите внимание на серверные развёртывания, которые часто обновляются с задержкой.
- Проверьте версии сборок установленных систем и сопоставьте их с пороговыми значениями из списка затронутых продуктов. Системы с номерами сборок ниже указанных порогов уязвимы.
- Для организаций, подпадающих под действие директивы CISA BOD 22-01, устранение уязвимости обязательно в установленный срок.
Ранее мы освещали другие случаи активной эксплуатации уязвимостей в продуктах Microsoft — в частности, уязвимость повышения привилегий в AD FS, а также добавление уязвимостей SharePoint в каталог CISA KEV. Текущий случай подтверждает устойчивую тенденцию: компоненты Windows остаются приоритетной целью для атакующих.
Трёхдневное окно до крайнего срока CISA KEV и подтверждённая эксплуатация не оставляют пространства для откладывания патчинга. Приоритет — немедленное обновление всех систем Windows и проверка сборок Outlook.com до пороговой версии 20260925.100. Отсутствие публичных деталей эксплуатации не снижает риск — оно лишь означает, что защитники пока не могут полагаться на сигнатурное обнаружение и должны сосредоточиться на устранении уязвимости как единственной надёжной мере защиты.
