Microsoft опублікувала бюлетень безпеки щодо вразливості CVE-2026-85880 — переповнення купи (heap-based buffer overflow) у компоненті Windows Advanced Local Procedure Call (ALPC). Вразливість дає змогу авторизованому локальному зловмиснику підвищити привілеї в системі. Згідно з метаданими Microsoft, експлуатацію вразливості вже зафіксовано. ALPC — це внутрішній механізм міжпроцесної взаємодії ядра Windows, який використовують практично всі системні служби, що робить цю вразливість потенційно небезпечною для широкого спектра Windows-систем. Адміністраторам рекомендується перевірити наявність оновлень безпеки через Windows Update і встановити їх у пріоритетному порядку.
Технічні деталі
Вразливість класифіковано як CWE-122 (Heap-based Buffer Overflow) — переповнення буфера в області купи. За даними GitHub Advisory Database, рівень серйозності оцінено як High із базовим балом CVSS v3 7.8. Це означає високий рівень небезпеки, хоча й не критичний: для експлуатації потрібен локальний доступ і авторизація в системі.
ALPC (Advanced Local Procedure Call) — це високопродуктивний механізм міжпроцесної взаємодії (IPC), що працює на рівні ядра Windows. Його використовують для обміну повідомленнями між процесами, і він є основою для багатьох системних служб, зокрема RPC, COM і планувальника завдань. Переповнення купи в цьому компоненті дозволяє зловмиснику перезаписати критичні структури даних у пам’яті та досягти виконання коду з підвищеними привілеями.
Ключові параметри вразливості:
- Ідентифікатор: CVE-2026-85880
- Тип: підвищення привілеїв (Elevation of Privilege)
- Клас вразливості: CWE-122, переповнення буфера в купі
- CVSS v3: 7.8 (High)
- Вектор атаки: локальний, потрібна авторизація
- Статус експлуатації: Microsoft повідомляє про виявлену експлуатацію
- Публічне розкриття до патча: немає (за даними Microsoft)
Важливо зазначити: на момент публікації ані в бюлетені Microsoft, ані в записі GitHub Advisory Database не вказано конкретні заторкані версії Windows або ідентифікатори патчів. Це ускладнює точну оцінку масштабу проблеми. Запис у GitHub Advisory Database датований 8 вересня 2026 року.
Статус експлуатації та оцінка загрози
Метадані бюлетеня Microsoft містять позначку «Exploited: Yes» і статус «Exploitation Detected» для актуальних версій ПЗ. Водночас варто враховувати, що наразі незалежного підтвердження активної експлуатації з інших джерел отримати не вдалося — каталог CISA KEV на момент аналізу був недоступний для перевірки. Інформація про конкретні угруповання, кампанії або індикатори компрометації (IOC) в доступних джерелах відсутня.
Утім сам факт позначки Microsoft про експлуатацію — серйозний сигнал. Вразливості підвищення привілеїв у компонентах ядра Windows традиційно мають високу цінність для зловмисників: їх використовують на етапі постексплуатації для переходу від обмеженого доступу до повного контролю над системою. Раніше ми вже аналізували критичні вразливості в продуктах Microsoft — наприклад, вразливість віддаленого виконання коду в Microsoft Entra ID і обхід патча Microsoft Defender, що вказує на стійкий потік серйозних проблем безпеки в екосистемі Windows.
Оцінка впливу
ALPC — один із фундаментальних механізмів ядра Windows, задіяний у роботі практично кожного процесу. Вразливість зачіпає будь-яку організацію, що використовує Windows-системи, але найбільшому ризику піддаються:
- Серверні середовища — контролери домену, файлові сервери, сервери застосунків, де підвищення привілеїв може призвести до компрометації всієї інфраструктури Active Directory
- Робочі станції з багатокористувацьким доступом — термінальні сервери та середовища віртуальних робочих столів (VDI), де авторизований користувач з обмеженими правами може отримати контроль над системою
- Середовища, що допускають виконання коду непривілейованими користувачами — зокрема системи розробки та тестування
У разі успішної експлуатації зловмисник, який уже має обмежений доступ до системи, може отримати привілеї рівня SYSTEM, що відкриває можливості для встановлення зловмисного програмного забезпечення, викрадення облікових даних, бічного переміщення мережею та вимкнення засобів захисту.
Рекомендації
З огляду на повідомлення Microsoft про виявлену експлуатацію та оцінку CVSS 7.8, рекомендується такий порядок дій:
- Перевірити наявність оновлень безпеки через Windows Update, WSUS або SCCM. Оскільки конкретні ідентифікатори патчів поки що не опубліковано в доступних джерелах, слід відстежувати оновлення в Microsoft Security Update Guide
- Пріоритизувати патчинг критичних систем — контролерів домену, серверів із конфіденційними даними та систем, доступних широкому колу користувачів
- Обмежити локальний доступ до серверів і робочих станцій: мінімізувати кількість облікових записів із правом локального входу, переглянути членство в групах «Користувачі віддаленого робочого стола»
- Посилити моніторинг — відстежувати аномальні спроби підвищення привілеїв, створення процесів із рівнем SYSTEM із контексту звичайних користувачів, а також підозрілу активність, пов’язану з ALPC-портами
- Застосовувати принцип найменших привілеїв — переконатися, що облікові записи служб і користувачів не мають надмірних прав
CVE-2026-85880 потребує негайної уваги команд безпеки: поєднання експлуатації, про яку повідомляє Microsoft, високої оцінки CVSS і критичності затронутого компонента ядра робить цю вразливість пріоритетною для патчинга. До появи оновлення слід максимально обмежити локальний доступ до Windows-систем і посилити моніторинг подій підвищення привілеїв.
