Анализ обновлений Microsoft Patch Tuesday – Июнь 2026

Краткое Резюме

Во вторник, 09.06.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 204 уязвимости в своих продуктах.

По уровню опасности:

• Critical - 38;
• Important - 166.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 3 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-45586 (CVSS 7.8; Important) - Windows Collaborative Translation Framework (CTFMON) Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа «некорректное разрешение ссылок перед доступом к файлу» (CWE-59) в платформе совместного перевода Windows (CTFMON). Локальный авторизованный злоумышленник с низкими привилегиями может использовать эту проблему для манипулирования файловыми операциями службы CTF. Путем создания символических ссылок или точек соединения (NTFS junctions) в контролируемых пользователем директориях злоумышленник может перенаправить запросы на запись или удаление файлов со стороны высокопривилегированного процесса на защищенные системные ресурсы, что позволяет повысить привилегии в системе до уровня SYSTEM.
• CVE-2026-49160 (CVSS 7.5; Important) - HTTP.sys Denial of Service Vulnerability (Denial of Service). Уязвимость неконтролируемого потребления ресурсов (CWE-400) в реализации поддержки HTTP/2 (и HTTP/3), обрабатываемой драйвером HTTP.sys. Удаленный неавторизованный злоумышленник может вызвать состояние отказа в обслуживании (DoS) веб-сервера через отправку специально сформированных сетевых запросов с аномально большим количеством заголовков. Для устранения уязвимости и превентивной защиты Microsoft представила новое обновление безопасности, включающее параметр реестра MaxHeadersCount (описанный в KB5102602) для жесткого ограничения числа заголовков в запросах.
• CVE-2026-50507 (CVSS 6.8; Important) - Windows BitLocker Security Feature Bypass Vulnerability (Security Feature Bypass). Уязвимость связана с отсутствием аутентификации для выполнения критической функции (CWE-306) в механизме защиты Windows BitLocker. Злоумышленник, обладающий физическим доступом к целевому устройству, может использовать этот недостаток для обхода шифрования диска (BitLocker Device Encryption) и получения несанкционированного доступа к зашифрованным конфиденциальным данным на системном накопителе.

Общие тенденции

Июньский Patch Tuesday 2026 года войдет в историю как один из самых масштабных и тяжелых выпусков за последние несколько лет. Microsoft выпустила исправления для 204 уязвимостей, среди которых 38 имеют статус «Critical». Такой объем обновлений указывает на масштабный аудит безопасности кодовой базы ОС и облачных платформ. Ключевые тенденции июня:

• Рекордный объем и критичность: Преодоление отметки в 200 уязвимостей делает этот месяц экстремальным испытанием для процессов управления патчами в любой организации. Наличие почти 40 критических уязвимостей (в основном RCE) означает, что векторы атак стали шире, чем когда-либо.
• Угроза публичного раскрытия: Хотя на момент выхода патчей активной эксплуатации «в дикой природе» не зафиксировано, сразу 3 уязвимости были раскрыты публично. Это дает хакерам огромную фору. Особую тревогу вызывает HTTP.sys (DoS), так как публичное знание методов атаки на встроенный веб-сервер Windows грозит массовыми отключениями инфраструктуры. Раскрытие обхода BitLocker ставит под угрозу данные на корпоративных ноутбуках при их утере.
• Сетевой периметр под массированным ударом: Июнь стал катастрофическим месяцем для сетевых служб. Исправлены критические RCE-уязвимости (CVSS 9.8) в DHCP Client, HTTP.sys, а также целая россыпь RCE в Remote Desktop Client (RDP) и RRAS. Уязвимости в таких базовых протоколах несут риск создания «червей» (самораспространяющегося ВПО), способных заражать машины без участия пользователя.
• Облачные платформы на грани: В этом месяце закрыта уязвимость с максимально возможным рейтингом CVSS 10.0 в Azure HorizonDB, а также критические RCE в Azure Kubernetes Service (AKS) и Azure Stack Edge. Это подтверждает, что облачная инфраструктура Microsoft подвергается глубокому реверс-инжинирингу со стороны исследователей и злоумышленников.
• Непрекращающийся поток EoP и Office: Традиционно более 70 исправлений закрывают бреши локального повышения привилегий (особо выделяется публично раскрытая уязвимость в CTFMON). Параллельно Microsoft закрывает десятки RCE в Microsoft Office, Word и Exchange, что поддерживает высокий уровень угрозы со стороны фишинговых кампаний.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2026-24294 — Windows SMB Server Elevation of Privilege Vulnerability (Elevation of Privilege). Данная уязвимость является логическим байпасом исправлений для CVE-2025-33073 и позволяет локальному злоумышленнику повысить свои привилегии до уровня SYSTEM. Исследователь Гийом Андре продемонстрировал, что использование новой функции Windows (выбор произвольного TCP-порта для SMB-подключений) позволяет принудить привилегированную службу (например, LSASS) аутентифицироваться на подконтрольном локальном порту. Это дает возможность реализовать атаку типа NTLM-отражения (reflection), пересылая аутентификационный токен обратно легитимному SMB-серверу системы. Уязвимость была исправлена в марте 2026 года.

• CVE-2026-41089 — Windows Netlogon Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость представляет собой переполнение буфера на основе стека в службе Netlogon. Неаутентифицированный злоумышленник может удаленно отправить специально созданный CLDAP-запрос (UDP-порт 389) к контроллеру домена с избыточно длинным именем пользователя. Из-за некорректной обработки размера Unicode-строк в функции NetpLogonPutUnicodeString происходит выход за границы выделенного стекового буфера. Это приводит к аварийному завершению процесса LSASS и принудительной перезагрузке контроллера домена (отказ в обслуживании), а также потенциально позволяет добиться выполнения произвольного кода. Для данной уязвимости доступен PoC. Уязвимость была исправлена в мае 2026 года.

• CVE-2026-41096 — Windows DNS Client Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость представляет собой переполнение буфера в куче (heap-based buffer overflow) в клиенте Windows DNS, возникающее при обработке некорректных DNS-ответов. Ошибка происходит в библиотеке dnsapi.dll (в функции DnsRawTruncateMessageForUdp()) при разборе структуры входящего пакета, полученного через интерфейс DnsQueryRaw(). Злоумышленник может вызвать сбой или выполнить произвольный код без аутентификации, отправив специально сформированный ответ (например, содержащий нулевое количество запросов QDCOUNT и запись OPT большого размера). Для проверки уязвимости доступен клиентский PoC, фиксирующий аварийное завершение процесса в случае отсутствия исправлений. Уязвимость была исправлена в мае 2026 года.

• CVE-2026-40369 — Windows Kernel Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа «разыменование непроверенного указателя» (CWE-822) в системном вызове NtQuerySystemInformation (класс 253), возникающая из-за некорректной обработки буфера нулевой длины. Локальный злоумышленник может использовать этот дефект для получения примитива аддитивной записи 12 байт в пространстве ядра. С помощью данного примитива возможно временно отключить механизм защиты Feature_RestrictKernelAddressLeaks для раскрытия адресов объектов ядра (KASLR-bypass), после чего модифицировать состояние токена процесса и повысить привилегии до уровня SYSTEM. На GitHub доступен публичный PoC. Уязвимость была исправлена в мае 2026 года.

Вывод

Июньское обновление 2026 года — это событие, требующее объявления режима повышенной готовности для ИТ- и ИБ-подразделений. Огромное количество патчей, 38 из которых критические, требует максимально быстрого развертывания, так как окно возможностей для злоумышленников сейчас невероятно широко.

Приоритет установки обновлений в июне:

1. Нейтрализация публично раскрытых угроз: В первую очередь необходимо закрыть уязвимости, о которых уже знает весь мир. Установите патчи на веб-серверы для защиты HTTP.sys от атак на отказ в обслуживании (CVE-2026-49160), обновите рабочие станции для закрытия бреши в CTFMON (CVE-2026-45586) и предотвращения обхода BitLocker (CVE-2026-50507).
2. Защита сетевых коммуникаций (RCE): Критические уязвимости в DHCP Client, HTTP.sys (в этом месяце есть и RCE для него), RDP Client и Exchange требуют немедленного реагирования. Эти компоненты смотрят в сеть, и их эксплуатация приведет к мгновенной компрометации систем.
3. Облака и базы данных: Владельцам гибридных и облачных инфраструктур необходимо убедиться в применении патчей для Azure HorizonDB (CVSS 10.0) и AKS.
4. Конечные точки: Учитывая обилие RCE в Microsoft Office, рабочие станции пользователей должны быть обновлены в кратчайшие сроки, чтобы предотвратить взлом через вредоносные вложения.

Особое внимание на ретроспективу: В разделе «Ретроспективный анализ уязвимостей» зафиксировано появление публичных и легкодоступных эксплойтов (PoC) для критических уязвимостей мая: Windows Netlogon, Windows DNS Client и Windows Kernel. Если ваша инфраструктура не была обновлена в прошлом месяце, она сейчас абсолютно беззащитна перед автоматизированными скриптами взлома, которые уже лежат на GitHub. Устранение технического долга за май в сочетании с установкой июньских патчей является вопросом выживания корпоративной сети.