Microsoft випустила рекордне овтобрське оновлення, виправивши понад 1400 вразливостей

Microsoft сьогодні випустила оновлення, які виправляють у її операційних системах Windows та інших програмах понад 1400 вразливостей безпеки. Ця партія значно перевершує попередній рекорд, встановлений ще раніше.

Рекордні обсяги оновлень

Оновлення за вересень вже встановили рекорд майже з 1000 виправлень, що приблизно в десять разів більше за звичайні щомісячні оновлення Microsoft. Нова партія значно перевершує цей показник. З усіх виправлених цього місяця принаймні 78 оцінено як критичні, що означає, що їх можна експлуатувати без будь-яких дій або з мінімальними діями користувача. Більшість цих критичних вразливостей дозволяє зловмиснику виконати власний код на уразливій системі.

Satnam Narang з Tenable заявив, що кількість виправлених цього місяця вразливостей значно перевершує попередній рекорд 2020 року, коли Microsoft виправила 1261 CVE. «Ми вже перетнули межу в 4000 CVE, і у нас ще є два місяці», — сказав він. Microsoft пов’язує такий високий рівень виявлення вразливостей з великими мовними моделями, і, ймовірно, AI слугує каталізатором для значної частини оновлень, якими виправляються ці вразливості.

Одна zero day і публічне розкриття обходу

Серед виправлених цього тижня вразливостей лише одна вважається zero day, тобто вже експлуатується в реальному середовищі. CVE-2026-96951 представляє собою обхід функції безпеки в Windows Shell, що стосується Windows 10 та 11, а також деяких версій Server.

Незважаючи на те, що, на думку Microsoft, поки що немає ознак її експлуатації, обхід функції безпеки в .NET Framework, CVE-2026-108398, вже був публічно розкритий, що потенційно дає зловмисним змогу заздалегідь з’ясувати, як використовувати цю вразливість.

Підтримка Windows 10 знову продовжена

Користувачам Windows 10 може бути цікаво, чи варто чекати подальших оновлень безпеки після цього місяця. Microsoft мала припинити випуск оновлень для систем Windows 10 у жовтні 2025 року, але після значного опору додала ще один рік безкоштовних оновлень. Кілька місяців тому Microsoft тихо продовжила цю підтримку ще на один рік, до жовтня 2027 року.

Навантаження на корпоративні команди безпеки

Експерти з безпеки попереджають, що такий надзвичайно великий потік оновлень від Microsoft створює додаткове навантаження на корпоративні команди безпеки, яким часто доводиться тестувати окремі оновлення в мережі перед поширенням, щоб переконатися, що виправлення не спричиняють проблем для інших програм.

Тайлер Регулі, асоційований директор з досліджень та розробки в галузі безпеки в Fortra, зазначає, що з початку року в каталозі відомих експлуатованих вразливостей, який веде Агентство кібербезпеки та безпеки інфраструктури США, потрапила лише 26 вразливостей Microsoft. Команди безпеки мусіло б зосередитися насамперед на виправленні саме цих 26 вразливостей. «Керівники з безпеки мають зосередитися на ризику експлуатації та запитати, чи мають їхні команди ясність, можливості та підтримку для дій», — сказав Регулі.

Джерела: Krebs on Security · Techmeme