Анализ обновлений Microsoft Patch Tuesday – Август 2026

Краткое Резюме

Во вторник, 11.08.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 419 уязвимостей в своих продуктах.

По уровню опасности:

• Important - 356;
• Critical - 62;
• Moderate - 1.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 3 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-68820 (CVSS 7.0; Important) - Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability (Elevation of Privilege).
• CVE-2026-72971 (CVSS 5.5; Important) - Windows Container Isolation FS Filter Driver (unionfs.sys) Tampering Vulnerability (Tampering).
• CVE-2026-62832 (CVSS 7.8; Important) - Windows User Profile Service Elevation of Privilege Vulnerability (Elevation of Privilege).

Общие тенденции

Августовский Patch Tuesday 2026 года подтверждает, что аномальная нагрузка на ИТ-отделы, начавшаяся в июле, не была разовой акцией. Microsoft выпустила исправления для 419 уязвимостей, сохранив количество критических угроз на стабильно высоком уровне (62 Critical). Этот непрекращающийся «шторм обновлений» свидетельствует о глубокой переработке кодовой базы и требует от организаций максимальной выносливости в процессах патч-менеджмента. Ключевые тенденции августа:

• Активная эксплуатация ядра и публичные раскрытия: В этом месяце зафиксирована активная эксплуатация (Zero-Day) уязвимости повышения привилегий в драйвере AFD.sys (CVE-2026-68820). Этот драйвер (Ancillary Function Driver for WinSock) исторически является излюбленной мишенью хакеров для захвата системы после первичного проникновения. Кроме того, публично раскрыты детали уязвимостей в службе профилей пользователей и драйвере изоляции контейнеров, что делает появление эксплойтов для них вопросом ближайших дней.
• Максимальная угроза (CVSS 10.0) для облаков и коммуникаций: Август выделяется наличием сразу трех уязвимостей с максимально возможным рейтингом CVSS 10.0. Под ударом оказались Azure SQL Database, Microsoft Teams и Microsoft Planetary Computer Pro. В сочетании с критическими брешами (CVSS 9.9) в Azure Service Bus и Entra Provisioning Service, это указывает на то, что облачная и гибридная инфраструктура подвергается критическому риску полного захвата.
• Сетевой фундамент под массированным ударом (RCE): Закрыт целый пласт критических уязвимостей удаленного выполнения кода в базовых сетевых компонентах, без которых невозможна работа ни одной корпоративной сети. Исправления затронули Windows DNS Server, DHCP Server, SMBv3, RPC Runtime Library и Windows Deployment Services (WDS). Эксплуатация таких брешей классически используется для создания сетевых «червей» и массового заражения серверов без аутентификации.
• Непрекращающийся кризис Office и SharePoint: В списке исправлений вновь фигурируют десятки уязвимостей RCE для Microsoft Excel, Word, Office и SharePoint Server. Очевидно, что злоумышленники продолжают активно искать и находить способы обхода песочниц и защитных механизмов в документах, что делает фишинг самым актуальным вектором начального доступа.
• Массовое повышение привилегий (EoP): Более 200 исправлений направлены на устранение локального повышения привилегий. Уязвимы практически все уровни системы: Win32k, ядро, DWM, установщик Windows (Installer), службы телеметрии и виртуализации.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2026-50338 - Azure Spring Apps Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость некорректной аутентификации (CWE-287) в Azure Spring Apps, позволяющая аутентифицированному злоумышленнику с начальными привилегиями повысить свои права через сеть. Успешная эксплуатация приводит к изменению области безопасности, что позволяет атаковать ресурсы за пределами компонента Azure Spring Apps в облачной инфраструктуре. Атака отличается высокой сложностью и требует предварительной подготовки целевого окружения. Для уязвимости доступен PoC. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-49176 - Windows WalletService Elevation of Privilege Vulnerability (Elevation of Privilege). Локальная уязвимость повышения привилегий, связанная с некорректным управлением доступом и разрешением ссылок. Эксплуатация позволяет злоумышленнику с базовыми правами задействовать уязвимый WinRT-интерфейс WalletService и перенаправление путей (например, через подмену папки документов), чтобы выполнить код с системными привилегиями (NT AUTHORITY\SYSTEM). Уязвимость была исправлена в июле 2026 года.

• CVE-2026-58635 - Windows Narrator Braille Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость внедрения команд (Command Injection) в компоненте Windows Narrator Braille, позволяющая локальному злоумышленнику повысить свои привилегии до контекста системной учетной записи «NT AUTHORITY\Network Service». Проблема связана с некорректной нейтрализацией путей к файлам при их передаче в качестве параметров через библиотеку brlapi.dll. Для данной уязвимости существует подтвержденный PoC, демонстрирующий эксплуатацию через манипуляцию параметрами таблиц Брайля при установке соединения. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50343 - Microsoft Install Service Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость связана с некорректным управлением привилегиями (неправильные списки контроля доступа, ACL) в разделе реестра службы Microsoft Store Install Service. Локальный непривилегированный пользователь может записать путь к произвольной динамической библиотеке (DLL) в ключ реестра StaticPluginMap. При инициации проверки обновлений через WinRT API (AppInstallManager) системная служба подгружает эту библиотеку, что приводит к локальному повышению привилегий и выполнению произвольного кода с наивысшими правами NT AUTHORITY\SYSTEM. Для данной уязвимости существует PoC. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50454 — Windows User Interface Core Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость связана с выходом за пределы каталога (Relative Path Traversal) в подсистеме Windows User Interface Core, что позволяет локальному пользователю повысить свои привилегии до уровня SYSTEM. Доступный PoC демонстрирует перехват защищенной ассоциации протокола ms-settings через внутренний WinRT COM-интерфейс AppResolver с последующим запуском доверенного системного процесса fodhelper.exe для обхода UAC и выполнения произвольного кода с правами SYSTEM. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50402 — Windows NTFS Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость связана с ошибкой сравнения знаковых и беззнаковых целых чисел в функции NtfsIsBootSectorNtfs драйвера ntfs.sys при валидации номера кластера MFT. При открытии специально сформированного файла VHDX некорректная проверка позволяет обойти валидацию и вызвать чтение за пределами буфера, что приводит к отказу в обслуживании, а также позволяет модифицировать права доступа к файлам на уровне ядра путем манипуляций с журналом $LogFile, на GitHub находится подробное техническое описание уязвимости. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-58613 — Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа Use-After-Free (UAF) в драйвере мини-фильтра облачных файлов Windows (cldflt.sys), разбор которой опубликовали исследователи из Cisco Talos. Проблема связана с некорректной очисткой осиротевших запросов в глобальном таймере обратного отсчета при преждевременном завершении процесса поставщика синхронизации. Это приводит к обращению к освобожденному контексту потока (HSM_STREAM_CONTEXT) при выполнении функции CldiStreamCompleteRequest и позволяет локальному злоумышленнику повысить свои привилегии до уровня SYSTEM, подробное описание уязвимости представлено на сайте. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50475 — Windows Kernel Information Disclosure Vulnerability (Information Disclosure). Исследователи из Cisco Talos опубликовали подробный отчет с PoC-кодом, демонстрирующим уязвимость выхода за границы на единицу (off-by-one) в функции NsipGetAllInformationProviderParameters драйвера NETIO.sys. Отправка специально сформированного I/O-запроса (IRP) позволяет локальному аутентифицированному пользователю извлечь 16 байт данных из памяти ядра. Это раскрывает адреса функций tcpip.sys и позволяет вычислить базовый адрес драйвера, что приводит к полному обходу механизма защиты KASLR. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50416 — Win32k Information Disclosure Vulnerability (Information Disclosure). Уязвимость в подсистеме Win32k, связанная с утечкой необработанного указателя ядра по смещению 0x100 в пользовательской проекции кучи рабочего стола (desktop heap). Это позволяет локальным процессам с минимальными правами, включая изолированные песочницы (Low Integrity, AppContainer, LPAC), считывать адреса памяти ядра и вычислять точные виртуальные адреса объектов окон и меню, что приводит к полному обходу механизма защиты KASLR, на GitHub представлен PoC и описание уязвимости. Уязвимость была исправлена в июле 2026 года.

• CVE-2026-50656 — Microsoft Defender Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость в движке защиты от вредоносных программ Microsoft Malware Protection Engine (mpengine.dll), публично известная под названием "RoguePlanet". Проблема связана с некорректной обработкой символических ссылок перед доступом к файлам и возникновением условия гонки состояний при сканировании файлов движком Defender. Локальный аутентифицированный пользователь с низкими привилегиями может использовать манипуляции с символическими ссылками во время обработки файлов антивирусным процессом, что позволяет перенаправить файловые операции и повысить свои привилегии в системе. Для проверки доступен концептуальный PoC. Уязвимость была исправлена в июне 2026 года.

• CVE-2026-42978 — Windows Push Notifications Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа Use-After-Free и Race Condition в службе уведомлений Windows (WpnService / wpncore.dll), исполняющейся в контексте NT AUTHORITY\SYSTEM. Проблема связана с отсутствием синхронизации и проверок состояния завершения работы платформы в методах класса PresentationEndpointFacade: локальный авторизованный злоумышленник может вызвать состояние гонки при обращении к освобождаемому объекту NotificationPlatform для выполнения кода с привилегиями уровня SYSTEM. На GitHub доступно исследование уязвимости. Уязвимость была исправлена в июне 2026 года.

• CVE-2026-45659 - Microsoft SharePoint Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость небезопасной десериализации данных в Microsoft SharePoint, позволяющая аутентифицированному злоумышленнику с минимальными привилегиями выполнить произвольный код на сервере через сетевой запрос к REST API, на GitHub представлен PoC. Исправлена в мае 2026 года.

• CVE-2026-41091 - Microsoft Defender Elevation of Privilege Vulnerability (Elevation of Privilege). Локальная уязвимость в антивирусном движке Microsoft Malware Protection Engine (mpengine.dll), связанная с некорректной обработкой точек соединения и символических ссылок. Эксплуатация уязвимости позволяет авторизованному злоумышленнику использовать состояние гонки с помощью механизма блокировок Oplock и Cloud Filter API для перенаправления операций записи в защищенные системные каталоги и выполнения кода с привилегиями уровня SYSTEM, на GitHub представлен PoC. Уязвимость была исправлена в мае 2026 года.

Вывод

Августовское обновление 2026 года продолжает испытывать на прочность процессы кибербезопасности в компаниях. Усталость от июльского рекордного патча (622 уязвимости) не должна стать причиной промедления, так как августовский пакет содержит активно эксплуатируемую уязвимость и угрозы с максимальным рейтингом CVSS 10.0.

Рекомендуемый план действий на август:

1. Немедленное реагирование (Zero-Day и Public): В экстренном порядке обновите рабочие станции и серверы для закрытия уязвимости в драйвере AFD.sys (CVE-2026-68820), которая уже используется в реальных атаках. Также приоритетно закройте публично раскрытые бреши в службе профилей пользователей (CVE-2026-62832) и драйвере unionfs.sys (CVE-2026-72971).
2. Защита критической инфраструктуры (CVSS 10.0 / 9.9): Серверы баз данных (Azure SQL), корпоративные коммуникации (Microsoft Teams) и ключевые компоненты облака (Entra, Service Bus) должны быть пропатчены немедленно. Компрометация этих систем приведет к остановке бизнес-процессов.
3. Сетевой периметр и базовые службы: Накатите обновления на серверы, выполняющие роли DNS, DHCP, RPC и файловых шар (SMBv3). RCE в этих компонентах — прямой путь к потере всего домена Active Directory.
4. Конечные пользователи и веб-порталы: Обновите клиенты Microsoft Office и серверы SharePoint для блокировки фишинговых атак и кражи корпоративных данных.

Критическое предупреждение по ретроспективе: Раздел «Ретроспективный анализ уязвимостей» в этом месяце выглядит как каталог готового кибероружия. В открытом доступе (на GitHub и в блогах ИБ-исследователей) опубликованы высококачественные PoC-эксплойты для уязвимостей мая, июня и июля. Речь идет о повышении привилегий через Install Service, Defender, NTFS, Cloud Files, Win32k, а также RCE в SharePoint. Наличие этих скриптов означает, что любая система, не получившая обновления за лето 2026 года, может быть взломана даже низкоквалифицированным злоумышленником («скрипт-кидди») за считанные минуты. Закрытие технического долга по патчам за прошлые месяцы — абсолютный приоритет.