Анализ обновлений Microsoft Patch Tuesday – Сентябрь 2026

Краткое Резюме

Во вторник, 08.09.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 973 уязвимости в своих продуктах.

По уровню опасности:

• Important - 860;
• Critical - 113.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 2 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-81963 (CVSS 7.8; Important) - Windows Update Stack Elevation of Privilege Vulnerability (Elevation of Privilege). Локальная уязвимость в Стеке обновлений Windows, связанная с некорректной обработкой символических ссылок перед обращением к файлу (link following / CWE-59). Аутентифицированный злоумышленник с низкими привилегиями может использовать перенаправление файловых операций системного компонента для манипуляции защищенными объектами файловой системы, что позволяет повысить свои привилегии до уровня SYSTEM.
• CVE-2026-85880 (CVSS 7.8; Important) - Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость переполнения буфера в куче (heap-based buffer overflow) и использования неинициализированных ресурсов в механизме межпроцессного взаимодействия Windows ALPC. Проблема позволяет локальному злоумышленнику, выполняющему код с низкими привилегиями (например, внутри изолированного контейнера AppContainer), обойти ограничения песочницы (sandbox escape) и повысить свои права в системе до уровня SYSTEM без необходимости взаимодействия с пользователем.

Общие тенденции

Сентябрьский Patch Tuesday 2026 года по праву считается рекордным выпуском. Microsoft опубликовала исправления для 973 уязвимостей, среди которых 113 имеют статус «Critical». Этот объем превышает даже шокирующие показатели июля (622) и указывает на глобальную, фундаментальную переработку безопасности целых экосистем внутри Windows и Azure. Установить такое количество обновлений в рамках стандартных процедур практически невозможно. Ключевые тенденции этого релиза:

• Два активно эксплуатируемых «нулевых дня» (Zero-Days): В дикой природе уже используются две уязвимости повышения привилегий — в Стеке обновлений Windows (CVE-2026-81963) и механизме ALPC (CVE-2026-85880). Вторая особенно опасна, так как позволяет злоумышленникам вырваться из изолированных песочниц (AppContainer) и получить права SYSTEM. Это идеальные инструменты для закрепления в системе после удачного фишинга или эксплуатации веб-уязвимостей.
• Максимальная угроза (CVSS 10.0 и 9.9) для облака и ИИ: Сентябрь стал критическим месяцем для облачной инфраструктуры. Уязвимости с максимальными оценками угрожают фундаментальным службам идентификации и управления: Azure AD B2C, Entra ID Provisioning Service и Azure AI Language. Эксплуатация этих брешей означает полную компрометацию облачного периметра организации и баз данных пользователей.
• Сетевой апокалипсис (Массовые RCE CVSS 9.8): Выпуск содержит десятки критических уязвимостей удаленного выполнения кода в ключевых сетевых узлах. В зоне максимального риска оказались серверы DNS, DHCP, RRAS, службы Message Queuing (MSMQ) и Skype for Business. Эти уязвимости не требуют аутентификации и идеально подходят для создания сетевых червей, способных за минуты парализовать работу корпоративной сети.
• Нескончаемый поток клиентских угроз: Пакет Microsoft Office (особенно Excel и Word), а также компоненты обработки медиа (Media Foundation, GDI+, XPS) получили сотни (!) исправлений RCE. Это означает, что злоумышленникам по-прежнему доступен колоссальный арсенал для создания вредоносных файлов, обходящих защитные механизмы ОС.
• Фундаментальные проблемы файловых систем: В глаза бросается огромное количество исправлений RCE и EoP для драйверов файловых систем (NTFS, ReFS). Ошибки на таком низком уровне крайне опасны, так как они обрабатываются ядром ОС еще до того, как в дело вступают высокоуровневые антивирусные сканеры.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.