13 октября 2026 года Microsoft выпустила рекордный по объёму пакет обновлений безопасности Patch Tuesday. Точное число исправленных уязвимостей расходится в источниках — по данным Tenable, речь идёт о 1407 CVE, тогда как в ряде публикаций указывается 1413. Независимо от точной цифры, это беспрецедентный масштаб: по данным Tenable, за 2026 год Microsoft уже закрыла более 4000 CVE. Среди исправленных уязвимостей — CVE-2026-96951, уязвимость внедрения команд в Windows Shell с оценкой CVSS 8.8, которая уже эксплуатируется в реальных атаках и внесена в каталог CISA KEV с крайним сроком устранения для федеральных агентств — 16 октября 2026 года. Всем организациям, использующим Windows, необходимо установить обновления в приоритетном порядке.
CVE-2026-96951: эксплуатируемая уязвимость Windows Shell
Уязвимость CVE-2026-96951 — это внедрение команд (CWE-77) в компоненте Windows Shell с оценкой CVSS 8.8. Согласно записи CVE, уязвимость позволяет неавторизованному атакующему обойти защитные механизмы по сети. Успешная эксплуатация позволяет обойти защиту Mark of the Web (MOTW) — механизм, который маркирует файлы, загруженные из интернета, и предупреждает пользователя перед их открытием.
Для эксплуатации требуется взаимодействие пользователя: атакующий должен убедить жертву перейти по ссылке или открыть вредоносное вложение, полученное по электронной почте или через мессенджер. Принудительно запустить эксплуатацию без действий пользователя невозможно.
Microsoft подтверждает, что уязвимость эксплуатировалась до выпуска обновления. Однако детали атак — кто стоит за эксплуатацией, какие организации стали целями и какие индикаторы компрометации связаны с кампанией — не раскрыты ни Microsoft, ни CISA. Обнаружение уязвимости Microsoft приписывает исследователям из Fujitsu и Anthropic, а также независимому исследователю, однако независимых подтверждений этой атрибуции обнаружить не удалось.
CVE-2026-108398: обход WDAC через .NET Framework
Вторая значимая уязвимость — CVE-2026-108398 (CVSS 8.8) — затрагивает .NET Framework и была публично раскрыта до выхода патча. По данным Tenable и Rapid7, уязвимость позволяет атакующему с уже имеющимся локальным доступом зарегистрировать вредоносную сборку .NET для загрузки защищённым процессом, обходя тем самым ограничения Windows Defender Application Control (WDAC). Взаимодействие пользователя не требуется.
Это делает CVE-2026-108398 особенно опасной как технику постэксплуатации: атакующий, уже закрепившийся в системе, может использовать её для обхода политик контроля приложений, выполнения неавторизованного кода и ослабления защиты конечных точек. Обновление .NET Framework от 13 октября 2026 года устраняет эту уязвимость. Обнаружение приписывается Джеймсу Форшоу из Google Project Zero.
Важное уточнение: в ряде публикаций идентификаторы CVE-2026-108398 и CVE-2026-92707 перепутаны местами — ссылки на MSRC ведут на описание другой уязвимости. Независимые источники — Tenable, Rapid7 и GitHub Advisory — подтверждают, что CVE-2026-108398 относится к .NET Framework, а CVE-2026-92707 — к MessagePack-CSharp.
CVE-2026-92707: отказ в обслуживании в MessagePack-CSharp
Уязвимость CVE-2026-92707 (CVSS 5.3, CWE-1325) затрагивает библиотеку MessagePack-CSharp и позволяет вызвать отказ в обслуживании через неконтролируемое последовательное выделение памяти при десериализации данных, контролируемых атакующим. Согласно официальному advisory проекта, уязвимы версии ниже 2.5.303 и версии от 3.0 до 3.1.9 (не включительно). Исправленные версии — 2.5.303 и 3.1.9. Уязвимость была публично раскрыта до выхода патча.
CVE-2026-21413: критическое переполнение буфера
Отдельного внимания заслуживает CVE-2026-21413 (CVSS 9.8) — переполнение буфера на основе кучи, способное привести к удалённому выполнению кода. Эксплуатация может быть вызвана при генерации миниатюры или предпросмотра специально сформированного RAW-изображения — пользователю даже не нужно открывать файл. Однако существует расхождение в атрибуции: исходный материал указывает на компонент Raw Image Extension, тогда как запись NVD идентифицирует затронутый продукт как LibRaw с указанием Talos в качестве CNA. До разрешения этого противоречия следует проверить наличие обновлений для обоих компонентов.
Масштаб релиза и новый подход к приоритизации
По данным Tenable, октябрьский релиз включает около 69 критических и более 1300 важных уязвимостей, затрагивающих 301 продукт и компонент. Основная масса уязвимостей связана с повышением привилегий и удалённым выполнением кода. Такой объём — продолжение тренда: в прошлом месяце Microsoft закрыла около 1000 уязвимостей.
Одновременно с обновлениями Microsoft представила концепцию «когорт риска» (risk cohorts) — группировку CVE, требующих схожей оценки со стороны клиента. Microsoft подчёркивает, что когорты — это отправная точка, а не замена индивидуальному анализу каждой CVE по критериям эксплуатации, вектора атаки и взаимодействия с пользователем. Ранее мы уже писали о проблемах классификации уязвимостей Microsoft — новый инструмент призван частично решить задачу приоритизации при таких объёмах.
Рекомендации по приоритизации
- CVE-2026-96951 — немедленная установка патча. Уязвимость эксплуатируется, внесена в CISA KEV, федеральный дедлайн — 16 октября 2026 года. Затрагивает все системы Windows с компонентом Windows Shell.
- CVE-2026-108398 — приоритет для организаций, использующих WDAC и .NET Framework. Особенно критично в средах, где существует риск компрометации локального доступа.
- CVE-2026-21413 — приоритет для систем, обрабатывающих RAW-изображения. Оценка CVSS 9.8 и возможность эксплуатации без открытия файла делают эту уязвимость крайне опасной.
- CVE-2026-92707 — обновление MessagePack-CSharp до версии 2.5.303 или 3.1.9 для приложений, использующих эту библиотеку.
Октябрьский Patch Tuesday устанавливает новую планку по объёму исправлений, но ключевой вопрос — не количество CVE, а скорость реагирования на подтверждённые угрозы. Первый приоритет — CVE-2026-96951: патч должен быть установлен до 16 октября, поскольку эксплуатация уже идёт. Для CVE-2026-108398 критически важно оценить, развёрнут ли WDAC в вашей инфраструктуре, — если да, обновление .NET Framework не менее срочно. Организациям, работающим с большими объёмами обновлений, стоит обратить внимание на концепцию когорт риска от Microsoft как на дополнительный инструмент сортировки, но не как на замену собственной оценке эксплуатируемости каждой уязвимости.
