13 жовтня 2026 року Microsoft випустила рекордний за обсягом пакет оновлень безпеки Patch Tuesday. Точна кількість виправлених вразливостей відрізняється в джерелах — за даними Tenable, йдеться про 1407 CVE, тоді як у низці публікацій вказується 1413. Незалежно від точної цифри, це безпрецедентний масштаб: за даними Tenable, за 2026 рік Microsoft уже закрила понад 4000 CVE. Серед виправлених вразливостей — CVE-2026-96951, вразливість впровадження команд у Windows Shell з оцінкою CVSS 8.8, яка уже експлуатується в реальних атаках і внесена до каталогу CISA KEV з граничним строком усунення для федеральних агентств — 16 жовтня 2026 року. Усі організації, що використовують Windows, мають установити оновлення в пріоритетному порядку.
CVE-2026-96951: експлуатована вразливість Windows Shell
Вразливість CVE-2026-96951 — це впровадження команд (CWE-77) у компоненті Windows Shell з оцінкою CVSS 8.8. Згідно з записом CVE, вразливість дає змогу неавторизованому зловмиснику обійти механізми захисту по мережі. Успішна експлуатація дозволяє обійти захист Mark of the Web (MOTW) — механізм, який позначає файли, завантажені з інтернету, і попереджає користувача перед їх відкриттям.
Для експлуатації потрібна взаємодія користувача: зловмисник має переконати жертву перейти за посиланням або відкрити зловмисне вкладення, отримане електронною поштою або через месенджер. Примусово запустити експлуатацію без дій користувача неможливо.
Microsoft підтверджує, що вразливість експлуатувалася до виходу оновлення. Однак деталі атак — хто стоїть за експлуатацією, які організації стали цілями та які індикатори компрометації пов’язані з кампанією — не розкриті ні Microsoft, ні CISA. Виявлення вразливості Microsoft приписує дослідникам із Fujitsu та Anthropic, а також незалежному досліднику, однак незалежних підтверджень цієї атрибуції знайти не вдалося.
CVE-2026-108398: обхід WDAC через .NET Framework
Друга значуща вразливість — CVE-2026-108398 (CVSS 8.8) — зачіпає .NET Framework і була публічно розкрита до виходу патча. За даними Tenable і Rapid7, вразливість дає змогу зловмиснику, який уже має локальний доступ, зареєструвати зловмисну збірку .NET для завантаження захищеним процесом, тим самим обходячи обмеження Windows Defender Application Control (WDAC). Взаємодія користувача не потрібна.
Це робить CVE-2026-108398 особливо небезпечною як техніку постексплуатації: зловмисник, який уже закріпився в системі, може використати її для обходу політик контролю застосунків, виконання неавторизованого коду та послаблення захисту кінцевих точок. Оновлення .NET Framework від 13 жовтня 2026 року усуває цю вразливість. Виявлення приписується Джеймсу Форшоу з Google Project Zero.
Важливе уточнення: у низці публікацій ідентифікатори CVE-2026-108398 і CVE-2026-92707 переплутані місцями — посилання на MSRC ведуть до опису іншої вразливості. Незалежні джерела — Tenable, Rapid7 і GitHub Advisory — підтверджують, що CVE-2026-108398 стосується .NET Framework, а CVE-2026-92707 — MessagePack-CSharp.
CVE-2026-92707: відмова в обслуговуванні в MessagePack-CSharp
Вразливість CVE-2026-92707 (CVSS 5.3, CWE-1325) зачіпає бібліотеку MessagePack-CSharp і дає змогу спричинити відмову в обслуговуванні через неконтрольоване послідовне виділення пам’яті під час десеріалізації даних, контрольованих зловмисником. Згідно з офіційним бюлетенем безпеки проєкту, уразливі версії нижчі за 2.5.303 і версії від 3.0 до 3.1.9 (не включно). Виправлені версії — 2.5.303 і 3.1.9. Вразливість була публічно розкрита до виходу патча.
CVE-2026-21413: критичне переповнення буфера
Окремої уваги заслуговує CVE-2026-21413 (CVSS 9.8) — переповнення буфера на основі купи, що може призвести до віддаленого виконання коду. Експлуатація може бути викликана під час генерації мініатюри або попереднього перегляду спеціально сформованого RAW-зображення — користувачеві навіть не потрібно відкривати файл. Втім, існує розбіжність в атрибуції: вихідний матеріал вказує на компонент Raw Image Extension, тоді як запис NVD ідентифікує заторкнутий продукт як LibRaw із зазначенням Talos як CNA. До врегулювання цієї суперечності слід перевірити наявність оновлень для обох компонентів.
Масштаб релізу та новий підхід до пріоритизації
За даними Tenable, жовтневий реліз включає близько 69 критичних і понад 1300 важливих вразливостей, які зачіпають 301 продукт і компонент. Основна маса вразливостей пов’язана з підвищенням привілеїв і віддаленим виконанням коду. Такий обсяг — продовження тренду: минулого місяця Microsoft закрила близько 1000 вразливостей.
Одночасно з оновленнями Microsoft представила концепцію «когорт ризику» (risk cohorts) — групування CVE, які потребують схожої оцінки з боку клієнта. Microsoft підкреслює, що когорти — це відправна точка, а не заміна індивідуальному аналізу кожної CVE за критеріями експлуатації, вектора атаки та взаємодії з користувачем. Раніше ми вже писали про проблеми класифікації вразливостей Microsoft — новий інструмент покликаний частково розв’язати задачу пріоритизації за таких обсягів.
Рекомендації щодо пріоритизації
- CVE-2026-96951 — негайне встановлення патча. Вразливість експлуатується, внесена до CISA KEV, федеральний дедлайн — 16 жовтня 2026 року. Зачіпає всі системи Windows із компонентом Windows Shell.
- CVE-2026-108398 — пріоритет для організацій, що використовують WDAC і .NET Framework. Особливо критично в середовищах, де існує ризик компрометації локального доступу.
- CVE-2026-21413 — пріоритет для систем, які обробляють RAW-зображення. Оцінка CVSS 9.8 і можливість експлуатації без відкриття файлу роблять цю вразливість надзвичайно небезпечною.
- CVE-2026-92707 — оновлення MessagePack-CSharp до версії 2.5.303 або 3.1.9 для застосунків, що використовують цю бібліотеку.
Жовтневий Patch Tuesday встановлює нову планку за обсягом виправлень, але ключове питання — не кількість CVE, а швидкість реагування на підтверджені загрози. Перший пріоритет — CVE-2026-96951: патч має бути встановлений до 16 жовтня, оскільки експлуатація вже триває. Для CVE-2026-108398 критично важливо оцінити, чи розгорнуто WDAC у вашій інфраструктурі, — якщо так, оновлення .NET Framework не менш термінове. Організаціям, що працюють із великими обсягами оновлень, варто звернути увагу на концепцію когорт ризику від Microsoft як на додатковий інструмент сортування, але не як на заміну власній оцінці експлуатованості кожної вразливості.
