Анализ обновлений Microsoft Patch Tuesday – Январь 2026

Краткое Резюме

Во вторник, 13.01.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 112 уязвимостей в своих продуктах.

По уровню опасности:

• Remote Code Execution - 22;
• Elevation of Privilege - 55;
• Tampering - 3;
• Information Disclosure - 22;
• Security Feature Bypass - 3;
• Spoofing - 5;
• Denial of Service - 2.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 2 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-20805 (CVSS 5.5; Information Disclosure) - Desktop Window Manager Information Disclosure Vulnerability (Information Disclosure). Уязвимость в диспетчере окон рабочего стола (DWM), позволяющая авторизованному локальному злоумышленнику получить доступ к содержимому памяти пользовательского режима. Эксплуатация приводит к раскрытию адреса секции удаленного порта ALPC (Advanced Local Procedure Call).
• CVE-2026-21265 (CVSS 6.4; Security Feature Bypass) - Secure Boot Certificate Expiration Security Feature Bypass Vulnerability (Security Feature Bypass).Уязвимость обхода защиты Secure Boot, связанная с предстоящим истечением срока действия корневых сертификатов Microsoft (KEK и DB), хранящихся в UEFI. Проблема вызвана тем, что механизм обновления этих сертификатов опирается на компоненты прошивки, которые могут работать некорректно, нарушая цепочку доверия. Успешная эксплуатация позволяет злоумышленнику с высокими привилегиями обойти процесс безопасной загрузки.

Общий обзор и тенденции

Январский Patch Tuesday 2026 знаменует собой резкий старт года: Microsoft выпустила исправления для 112 уязвимостей, что практически вдвое превышает объем обновлений декабря (57) и ноября (63). Этот выпуск задает высокий темп для специалистов по информационной безопасности. Ключевые тенденции этого месяца:

• Атаки на графическую подсистему и процесс загрузки: В центре внимания находятся две критические уязвимости. Уязвимость в Desktop Window Manager (DWM) уже эксплуатируется злоумышленниками для чтения памяти ядра, что часто является первым этапом в цепочке эксплойтов. Параллельно с этим, публично раскрытая уязвимость Secure Boot, связанная с истечением срока действия сертификатов, ставит под угрозу фундаментальное доверие к процессу загрузки ОС, требуя внимательного обновления UEFI.
• Доминирование повышения привилегий (EoP): Половина всех исправлений (55 из 112) приходится на уязвимости типа Elevation of Privilege. Это продолжает тренд конца 2025 года. Затронуты практически все ключевые компоненты системы: от ядра и драйверов (Common Log File System, Cloud Files) до служб управления (Windows Management Services). Это свидетельствует о том, что локальное повышение прав остается основным вектором для закрепления атакующих в системе.
• Критические RCE в корпоративном ПО: Значительный блок обновлений (22 RCE) направлен на устранение уязвимостей удаленного выполнения кода в Microsoft SharePoint и Office. Учитывая популярность SharePoint как корпоративного хранилища данных, наличие нескольких RCE делает эти серверы приоритетной целью для атак программ-вымогателей и шпионажа.
• Внимание к периферии и драйверам: Большое количество исправлений затрагивает драйверы вспомогательных функций (Ancillary Function Driver for WinSock), графические компоненты и службы подключенных устройств. Ошибки в этих низкоуровневых компонентах часто используются для обхода песочниц и защитных механизмов ОС.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2025-62454 — Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость переполнения буфера в куче (Heap-based Buffer Overflow) в драйвере cldflt.sys, который отвечает за работу с облачными файлами (например, OneDrive). Проблема возникает в функции memcpy из-за некорректной валидации размера входных данных при обработке специального управляющего кода (FSCTL 0x903bc), связанного со свойствами HSM. Успешная эксплуатация позволяет локальному злоумышленнику выполнить произвольный код в режиме ядра и повысить привилегии до уровня SYSTEM. Доступен PoC, демонстрирующий вызов аварийной остановки системы (BSOD) через манипуляции с атрибутами синхронизации файлов. Уязвимость была исправлена в декабре 2025 года.
• CVE-2025-62470 - Windows Common Log File System Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость переполнения буфера в куче (Heap-based Buffer Overflow) в драйвере CLFS.sys, позволяющая локальному злоумышленнику повысить свои привилегии до уровня SYSTEM. Ошибка возникает в функции ClfsEncodeBlock из-за недостаточной проверки полей TotalSectorCount и ValidSectorCount в структуре заголовка CLFS_LOG_BLOCK_HEADER. Доступный PoC демонстрирует возможность инициации сбоя системы (BSOD) через отправку специально сформированного IOCTL-запроса, что подтверждает некорректный доступ к памяти. Уязвимость была исправлена в декабре 2025 года.
• CVE-2025-64669 — Windows Admin Center Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость локального повышения привилегий, обнаруженная исследователями Cymulate Research Lab. Корневая причина кроется в небезопасных правах доступа к директории C:\ProgramData\WindowsAdminCenter`, которая доступна для записи стандартным пользователям. Это позволяет злоумышленнику повысить права до уровня SYSTEM, используя подмену DLL в процессе обновления (Updater DLL Hijacking) или манипуляцию с PowerShell-скриптами при удалении расширений. Детальный технический разбор методов эксплуатации опубликован исследователями. Уязвимость была исправлена в декабре 2025 года.

Вывод

Январское обновление 2026 года является масштабным и критически важным. Резкий рост количества уязвимостей в сочетании с наличием активно эксплуатируемой уязвимости требует немедленного обновления со стороны ИТ-департаментов. Приоритет должен быть отдан установке обновлений для следующих уязвимостей:

• Активно эксплуатируемая CVE-2026-20805 (DWM, Information Disclosure), чтобы предотвратить использование этой уязвимости в связке с другими эксплойтами.
• Публично раскрытая CVE-2026-21265 (Secure Boot, Security Feature Bypass), так как истечение сроков сертификатов создает предсказуемое окно возможностей для злоумышленников, желающих обойти проверку загрузчика.
• Критические RCE-уязвимости в SharePoint (CVE-2026-20947, CVE-2026-20963) и Office, представляющие максимальную угрозу для целостности корпоративных данных. Также важно обратить внимание на раздел "Ретроспективный анализ уязвимостей". Публикация PoC-эксплойтов для уязвимостей в драйверах Cloud Files и Common Log File System, а также для Windows Admin Center, исправленных в декабре, делает их тривиальными для эксплуатации. Если декабрьские обновления еще не установлены, риск компрометации системы через эти векторы становится неприемлемо высоким.