Microsoft-ը ռեկորդային հոկտեմբերյան թարմացման մեջ ուղղել է 1400-ից ավելի թերություն

Microsoft-ը այսօր թողարկել է թարմացումներ, որոնք ուղղում են իր Windows օպերացիոն համակարգերում և այլ ծրագրերում 1400-ից ավելի անվտանգության թերություններ։ Այս խումբը շատով գերազանցում է մեկ ամիս առաջ հաստատված նախորդ ռեկորդը։

Ռեկորդային ծավալի թարմացումներ

Սեպտեմբերյան թարմացումը արդեն ռեկորդ է սահմանել գրեթե 1000 ուղղումով, ինչը մոտավորապես տասնական անգամ է ավելին, քան Microsoft-ի սովորական ամսեկան թարմացումներում։ Նոր խումբը շատով գերազանցում է այս ցուցանիշը։ Այս ամիս ուղղված խնդիրներից ամենաքիչը 78-ը գնահատվել է որպես կրիտիկական, ինչը նշանակում է, որ դրանց օգտագործումը հնարավոր է օգտատիրոջ մինիմալ կամ ընդհանրապես ոչ մի գործողության ռեժիմով։ Այս կրիտիկական խնդիրների մեծամասնությունը հնարավորություն է տալիս հարձակվողին գործարկել իր սեփական կոդը անպաշտպան համակարգում։

Tenable-ի Satnam Narang-ը հայտարարեց, որ այս ամիս ուղղված խնդիրների քանակը շատով գերազանցում է նախորդ ռեկորդը 2020 թվականին, երբ Microsoft-ը ուղղեց 1261 CVE։ «Այժմ մենք արդեն անցել ենք 4000 CVE-ի սահմանը, և մենք դեռ ունենք երկու ամիս», - ասաց նա։ Microsoft-ը խնդիրների այդպիսի բարձր հայտնաբերումը վերագրում է large language models-ին, և հավանաբար, AI-ն պատասխանատու է այն թարմացումների մեծ մասի համար, որոնցով եղած խնդիրները ուղղվում են։

Մեկ zero day և հրապարակված էջի շրջանցում

Այս շաբաթ ուղղված թերություններից միայն մեկը համարվում է zero day, այսինքն արդեն օգտագործվում է իրական միջավայրում։ CVE-2026-96951-ը ներկայացնում է անվտանգության ֆունկցիայի էջի շրջանցում Windows Shell-ում, որը վերաբերում է Windows 10-ին և 11-ին, ինչպես նաև Server-ի որոշ տարբերակներին։

Չնայած Microsoft-ի տեսակետին, որ դեռ ոչ ում կողմից դրա օգտագործման նշաններ չկան, .NET Framework-ում գտնվող անվտանգության ֆունկցիայի էջի շրջանցումը, CVE-2026-108398, մինչև այսօր արդեն հրապարակված էր, ինչը պոտենցիալ հարձակվողներին նախապես ժամանակ է տալիս պարզել, թե ինչպես օգտագործել այս խնդիրը։

Windows 10-ի աջակցությունը կրկին երկարաձգվեց

Windows 10-ի օգտատերերը կարող են հետաքրքրվել, թե արդյոք այս ամիսից հետո դեռ կարող են ակնկալել անվտանգության թարմացումների սպասում։ Microsoft-ը պետք է 2025 թվականի հոկտեմբերին դադարեցներ Windows 10 համակարգերի համար թարմացումների թողարկումը, բայց կարևոր հակասություններից հետո ավելացրեց ևս մեկ տարվան անվճար թարմացումներ։ Մի քանի ամիս առաջ Microsoft-ը լռելյայն երկարաձգեց այս աջակցությունը ևս մեկ տարով՝ մինչև 2027 թվականի հոկտեմբերը։

Բեռնում կորպորատիվ անվտանգության թիմերի վրա

Անվտանգության մասնագետները նախազգուշացնում են, որ Microsoft-ից այդպիսի անսովոր մեծ թարմացումների հոսքը լրացուցիչ բեռ է դնում կորպորատիվ անվտանգության թիմերի վրա, որոնք հաճախ պետք է առանձին թարմացումների փորձարկում կատարեն ցանցում տարածումից առաջ, որպեսզի համոզվեն, որ ուղղումները չեն ստեծնում նոր խնդիրներ այլ ծրագրերի համար։

Fortra-ում անվտանգության հետազոտության և զարգացման ասոցացված տնօրեն Tyler Reguly-ը նշում է, որ տարվա սկզբից մինչև այսօր ԱՄՆ-ի կիբերանվտանգության և ենթակառուցվածքի անվտանգության գործակալության կողմից պահվող հայտնի օգտագործված խոցելի վերջնակետերի կատալոգում Microsoft-ի միայն 26 խոցելի վերջնակետ է ընդգրկված։ Անվտանգության թիմերը լավ կընտրեին, եթե առաջին հերթին հենց այս 26 խոցելի վերջնակետի ուղղմանը տային առաջնահերթականություն։ «Անվտանգության ղեկավարները պետք է կենտրոնանան օգտագործման ռիսկի վրա և հարցնեն, թե արդյոք իրենց թիմերն ունեն պարզություն, հնարավորություններ և աջակցություն գործողության համար», - ասաց Reguly-ն։

Նյութերի աղբյուրները: Krebs on Security · Techmeme