Анализ обновлений Microsoft Patch Tuesday – Июль 2026

Краткое Резюме

Во вторник, 14.07.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 622 уязвимости в своих продуктах.

По уровню опасности:

• Critical - 62;
• Moderate - 6;
• Important - 553;
• Low - 1.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 3 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-56155 (CVSS 7.8; Important) - Active Directory Federation Services Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость вызвана недостаточной детализацией контроля доступа (CWE-1220) в службах федерации Active Directory (AD FS). Авторизованный злоумышленник с низкими правами в системе может использовать этот недостаток для локального обхода ограничений доступа и повышения своих привилегий до уровня администратора.
• CVE-2026-56164 (CVSS 5.3; Moderate) - Microsoft SharePoint Server Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость вызвана отсутствием проверки подлинности для критически важных функций (CWE-306) в Microsoft SharePoint Server. Удаленный неавторизованный злоумышленник может эксплуатировать ошибку по сети с низким уровнем сложности и без какого-либо взаимодействия с пользователем, что позволяет повысить привилегии в системе. Для защиты и обнаружения потенциальных атак рекомендуется активировать интеграцию с AMSI (Antimalware Scan Interface) и настроить полное сканирование тела POST-запросов для рабочих процессов IIS.
• CVE-2026-50661 (CVSS 6.1; Important) - Windows BitLocker Security Feature Bypass Vulnerability (Security Feature Bypass). Уязвимость связана со сбоем в механизме защиты Windows BitLocker (CWE-693). Злоумышленник, имеющий непосредственный физический доступ к целевому устройству, может использовать эту уязвимость для обхода функции шифрования дисков BitLocker Device Encryption, что позволяет получить несанкционированный доступ к защищенным и зашифрованным данным на накопителе системы.

Общие тенденции

Июльский Patch Tuesday 2026 года стал беспрецедентным событием в истории обновлений Microsoft. Компания выпустила исправления для рекордных 622 уязвимостей, среди которых 62 имеют статус «Critical». Такой колоссальный объем (фактически заменяющий три-четыре стандартных ежемесячных пакета) создает экстремальную нагрузку на службы системного администрирования и кибербезопасности. Ключевые тенденции этого сверхмасштабного релиза:

• Выпуск более 600 патчей за один раз указывает либо на обнаружение крупной системной проблемы в базовых библиотеках Windows, либо на накопление результатов длительных аудитов безопасности. В любом случае, это требует от организаций изменения подходов к приоритизации обновлений.
• Активные атаки на службы идентификации и совместной работы: Особое внимание необходимо обратить на две уязвимости, которые уже активно эксплуатируются злоумышленниками (Zero-Days). Первая — CVE-2026-56155 в AD FS (Active Directory Federation Services). Компрометация единой точки входа (SSO) позволяет атакующим получить доступ к десяткам связанных корпоративных сервисов. Вторая — очередная брешь в SharePoint Server (CVE-2026-56164), требующая для защиты не только патча, но и глубокой настройки сканирования POST-запросов через AMSI.
• Удар по облачным ИИ-платформам и виртуализации: Microsoft закрыла критические уязвимости повышения привилегий (CVSS 9.9) в Azure OpenAI (CVE-2026-45499) и службе каталогов Microsoft Entra (CVE-2026-57100). Также исправлена опасная брешь в виртуальном коммутаторе VMSwitch (CVE-2026-57092), потенциально позволяющая осуществить побег из виртуальной машины на хост-систему (Hyper-V escape).
• Инфраструктурные RCE-угрозы: Сектор сетевых служб продолжает оставаться крайне уязвимым. Исправлены критические RCE-ошибки (CVSS 9.8) в DHCP Server, FTP Service, драйвере сетевой карты Windows Server, а также в SQL Server и RDP.
• Физическая безопасность под вопросом: Публично раскрытая уязвимость обхода BitLocker (CVE-2026-50661) продолжает серию весенне-летних раскрытий методов обхода шифрования дисков. Это критично для защиты информации на мобильных устройствах сотрудников в случае их утери.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2026-26114 - Microsoft SharePoint Server Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость десериализации недоверенных данных, позволяющая авторизованному злоумышленнику с минимальными правами участника сайта (Site Member) выполнить произвольный код на сервере. Опубликованный PoC демонстрирует эксплуатацию полной цепочки (full-chain): использование SQL-инъекции в компоненте Taxonomy для внедрения специально сформированного объекта в системную таблицу, который затем автоматически десериализуется фоновой службой SharePoint (OWSTIMER). Уязвимость была исправлена в марте 2026 года.

• CVE-2026-33829 - Windows Snipping Tool Spoofing Vulnerability (Spoofing). Уязвимость в приложении «Ножницы» (Snipping Tool), позволяющая раскрыть Net-NTLM хэши пользователей. Проблема связана с недостаточной валидацией входных данных в зарегистрированном обработчике URI-схемы ms-screensketch. Злоумышленник может обманом заставить жертву перейти по специально подготовленной ссылке, параметр filePath в которой указывает на внешний SMB-ресурс. При переходе и подтверждении запуска приложения система автоматически пытается загрузить файл по сети, передавая NTLM-хэш пользователя на сервер атакующего. На GitHub опубликован детальный разбор для данной уязвимости. Она была исправлена в апреле 2026 года.

• CVE-2026-47291 — HTTP.sys Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость представляет собой целочисленное переполнение, приводящее к переполнению буфера в куче ядра Windows при обработке HTTP-запросов драйвером HTTP.sys. Проблема возникает из-за некорректного приведения типов при увеличении счетчика лимита заголовков, в результате чего под новый массив выделяется буфер недостаточного размера. Неаутентифицированный злоумышленник может направить специально созданный HTTP- или HTTP/2-запрос со множеством заголовков, что вызывает перезапись памяти ядра во время копирования данных и позволяет удаленно выполнить произвольный код с системными привилегиями. На GitHub доступен PoC, демонстрирующий механизм переполнения счетчика при отправке большого количества заголовков. Уязвимость была исправлена в июне 2026 года.

• CVE-2026-45504 — Microsoft Exchange Server Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа Server-Side Request Forgery (SSRF), связанная с некорректной валидацией путей при обработке внешних вложений (Reference Attachments). Авторизованный злоумышленник с низким уровнем привилегий и активным почтовым ящиком может создать сообщение со ссылкой на внешний контролируемый ресурс, который при обращении возвращает XML-ответ с локальным путем (например, к системным файлам). При вызове функции предварительного просмотра вложения в OWA (GetAttachmentPreview) сервер Exchange обрабатывает этот путь и возвращает содержимое локального файла пользователю, что позволяет обойти ограничения доступа и повысить привилегии в системе. На GitHub доступен PoC демонстрирующий данную уязвимость. Уязвимость была исправлена в июне 2026 года.

• CVE-2026-42980 — Windows NT OS Kernel Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость связана с целочисленным переполнением снизу (Integer Underflow) в подсистеме WMI ядра Windows (ntoskrnl.exe) при вызове функций WmipQueryAllDataMultiple (IOCTL 0x22812C) и WmipQuerySingleMultiple (IOCTL 0x228130). Из-за некорректного вычитания размера данных из беззнакового 32-битного счетчика оставшегося буфера переменная длины принимает критически большое значение. Это позволяет локальному пользователю спровоцировать переполнение буфера в куче ядра, перезаписать смежные структуры именованных каналов (NP_DATA_QUEUE_ENTRY) и повысить свои привилегии до уровня SYSTEM. На GitHub доступно подробное техническое описание и PoC для данной уязвимости. Уязвимость была исправлена в июне 2026 года.

Вывод

Июльский выпуск обновлений — это беспрецедентный вызов для ИТ-инфраструктуры любой организации. Обработать 622 уязвимости за стандартный цикл тестирования практически невозможно, поэтому критически важна приоритизация.

Рекомендуемый план действий на июль:

1. Срочное закрытие уязвимостей «нулевого дня» (Zero-Days):
   • Немедленно обновите серверы аутентификации AD FS (CVE-2026-56155), чтобы исключить компрометацию учетных записей.
   • Установите патчи на серверы SharePoint (CVE-2026-56164) и настройте интеграцию с AMSI для инспекции входящего веб-трафика.
2. Защита облачных систем и виртуализации: Обновите гипервизоры Hyper-V (для закрытия бреши в VMSwitch) и синхронизируйте политики безопасности для облачных платформ Entra и Azure OpenAI.
3. Защита сетевых служб (RCE): Накатите обновления на критически важные серверные роли — DHCP-серверы и серверы баз данных SQL Server.
4. Мобильные устройства: Установите накопительные обновления на корпоративные ноутбуки для закрытия публичной бреши в BitLocker (CVE-2026-50661).

Внимание на ретроспективный анализ: Ситуацию усложняет тот факт, что за прошедший месяц в публичном доступе (включая GitHub) появились детальные разборы и PoC-эксплойты для критических уязвимостей июня и весны. Среди них: опаснейший RCE в HTTP.sys (CVE-2026-47291), SSRF в Exchange Server (CVE-2026-45504) и логические обходы аутентификации SMB (CVE-2026-24294). Если вы не закрыли эти бреши ранее, ваша сеть подвергается огромному риску прямо сейчас, еще до начала анализа июльского сверхпакета обновлений. Ликвидация технического долга по патчам за прошлые месяцы должна идти параллельно с закрытием Zero-Day уязвимостей июля.