CVE-2026-96951 — вразливість впровадження команд (command injection) у компоненті Windows Shell, яку Microsoft позначає як таку, що активно експлуатується. Вразливість дає змогу неавтентифікованому зловмиснику обходити механізми безпеки по мережі. За оцінкою Microsoft, серйозність становить 8.8 з 10 за CVSS 3.1 (HIGH). Вразливість внесено до каталогу CISA Known Exploited Vulnerabilities з кінцевим терміном усунення 16 жовтня 2026 року. Під ударом Windows 10, Windows 11, Windows Server від 2012 R2 до 2025, а також Outlook.com. Організаціям необхідно негайно застосувати оновлення безпеки.
Технічні подробиці вразливості
Згідно із записом CVE, вразливість класифікується як CWE-77 — некоректна нейтралізація спеціальних елементів, які використовуються в команді. Це означає, що зловмисник здатний впровадити довільні команди через компонент Windows Shell, що призводить до обходу функцій безпеки (Security Feature Bypass). Вектор атаки — мережевий, складність експлуатації низька, привілеї не потрібні, але необхідна взаємодія користувача (вектор CVSS: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
Метадані Microsoft вказують, що вразливість не була публічно розкрита до виходу патча, однак її експлуатацію вже зафіксовано, зокрема й у останніх версіях програмного забезпечення. Запис CVE опубліковано та оновлено 13 жовтня 2026 року.
Зачеплені продукти й версії
Масштаб вразливості виходить за межі типових проблем Windows Shell — зачеплені не лише настільні та серверні ОС, а й хмарний сервіс Outlook.com. Повний перелік уразливих конфігурацій, згідно із записом CVE:
- Outlook.com — версії від 1.0.0 до 20260925.100
- Windows 10 Version 1607 (32-bit, x64) — від 10.0.14393.0 до 10.0.14393.9612
- Windows 10 Version 1809 — від 10.0.17763.0 до 10.0.17763.9376
- Windows 10 Version 21H2 — від 10.0.19044.0 до 10.0.19044.7807
- Windows 10 Version 22H2 — від 10.0.19045.0 до 10.0.19044.7807
- Windows 11 version 23H2 — від 10.0.22631.0 до 10.0.22631.7652
- Windows 11 Version 24H2 (ARM64, x64) — від 10.0.26100.0 до 10.0.26100.9711
- Windows 11 Version 25H2 (ARM64, x64) — від 10.0.26200.0 до 10.0.26200.9711
- Windows 11 version 26H1 — від 10.0.28000.0 до 10.0.28000.3231
- Windows 11 Version 26H2 — від 10.0.26300.0 до 10.0.26300.9711
- Windows Server 2012 R2 — від 6.3.9600.0 до 6.3.9600.23470
- Windows Server 2016 — від 10.0.14393.0 до 10.0.14393.9612
- Windows Server 2019 — від 10.0.17763.0 до 10.0.17763.9376
- Windows Server 2022 (x64) — від 10.0.20348.0 до 10.0.20348.5761
- Windows Server 2025 (x64) — від 10.0.26100.0 до 10.0.26100.33650
Присутність Outlook.com у списку зачеплених продуктів означає, що під час розбору інциденту необхідно перевіряти не лише настільні та серверні розгортання Windows, а й хмарні сервіси. Це розширює поверхню атаки за межі традиційних робочих станцій.
Що досі невідомо
На момент публікації Microsoft не розкриває деталей про те, які угруповання або кампанії стоять за експлуатацією вразливості. У доступних первинних джерелах відсутні індикатори компрометації (IOC), опис ланцюжка експлуатації та мапування на тактики MITRE ATT&CK. Інформація про використання вразливості в кампаніях із застосуванням програм-вимагачів також відсутня в поточних даних CISA KEV.
Оцінка впливу
Поєднання кількох факторів робить цю вразливість пріоритетною для негайного реагування. По-перше, підтверджена активна експлуатація — Microsoft прямо вказує статус «Exploited: Yes». По-друге, широкий охоплення: від застарілих Windows Server 2012 R2 до найновіших Windows 11 26H2 і Windows Server 2025, включно з хмарним Outlook.com. По-третє, низький поріг входу для зловмисника — не потрібні привілеї, атака можлива по мережі, а єдиною умовою є взаємодія користувача (наприклад, відкриття шкідливого файлу або перехід за посиланням).
Максимальний вплив за всіма трьома параметрами CIA (конфіденційність, цілісність, доступність) оцінюється як HIGH, що за успішної експлуатації може призвести до повної компрометації системи.
Рекомендації
- Негайно встановіть оновлення безпеки від Microsoft для всіх зачеплених продуктів. Кінцевий термін усунення за каталогом CISA KEV — 16 жовтня 2026 року, що становить лише три дні від моменту публікації.
- Проведіть інвентаризацію усіх систем на базі Windows — робочих станцій, серверів і хмарних сервісів — для виявлення уразливих версій. Зверніть увагу на серверні розгортання, які часто оновлюються із запізненням.
- Перевірте версії збірок установлених систем і співвіднесіть їх із пороговими значеннями зі списку зачеплених продуктів. Системи з номерами збірок нижчими за вказані пороги є уразливими.
- Для організацій, на які поширюється дія директиви CISA BOD 22-01, усунення вразливості є обов’язковим у встановлений термін.
Раніше ми висвітлювали інші випадки активної експлуатації вразливостей у продуктах Microsoft — зокрема, вразливість підвищення привілеїв в AD FS, а також додавання вразливостей SharePoint до каталогу CISA KEV. Поточний випадок підтверджує стійку тенденцію: компоненти Windows залишаються пріоритетною ціллю для зловмисників.
Триденне вікно до кінцевого терміну CISA KEV і підтверджена експлуатація не залишають простору для відкладання встановлення патчів. Пріоритет — негайне оновлення всіх систем Windows і перевірка збірок Outlook.com до порогової версії 20260925.100. Відсутність публічних подробиць експлуатації не знижує ризик — це лише означає, що захисники поки що не можуть покладатися на сигнатурне виявлення й мають зосередитись на усуненні вразливості як на єдиному надійному заході захисту.
