Анализ обновлений Microsoft Patch Tuesday – Апрель 2026

Краткое Резюме

Во вторник, 14.04.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 165 уязвимостей в своих продуктах.

По уровню опасности:

• Important - 154;
• Critical - 8;
• Low - 1;
• Moderate - 2.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 2 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2026-32201 (CVSS 6.5; Important) - Microsoft SharePoint Server Spoofing Vulnerability (Spoofing). Уязвимость в Microsoft SharePoint Server, вызванная некорректной проверкой входных данных (CWE-20). Она позволяет удаленному неавторизованному злоумышленнику выполнить атаку подмены (spoofing) по сети без необходимости взаимодействия с пользователем. Успешная эксплуатация позволяет злоумышленнику получить доступ к конфиденциальной информации и вносить в нее изменения, при этом не нарушая общую доступность сервера.
• CVE-2026-33825 (CVSS 7.8; Important) - Microsoft Defender Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость в платформе Microsoft Defender Antimalware Platform, обусловленная недостаточной детализацией управления доступом (CWE-1220). Локальный авторизованный злоумышленник с низкими привилегиями может эксплуатировать некорректные ограничения прав в компонентах платформы (включая пользовательский процесс MsMpEng.exe и сопутствующие драйверы ядра) для захвата полного контроля над системой с правами уровня SYSTEM.

Общие тенденции

Апрельский Patch Tuesday 2026 года стал по-настоящему рекордным и тяжелым для ИТ-администраторов: Microsoft выпустила исправления для колоссальных 165 уязвимостей. Этот масштабный выпуск более чем в два раза превышает показатели предыдущего месяца и возвращает нас к пиковым значениям, характерным для осени прошлого года. Столь огромный объем обновлений свидетельствует о глобальной чистке кодовой базы накануне весенних релизов ОС. Ключевые тенденции апреля:

• Атаки на системы защиты и доверия: Особую тревогу вызывает публично раскрытая уязвимость в самом Microsoft Defender (CVE-2026-33825). Использование антивирусной платформы для повышения привилегий — это классический пример того, как инструменты защиты становятся вектором атаки. В совокупности с массовыми исправлениями обходов функций безопасности (Security Feature Bypass) для Windows Hello, BitLocker, Secure Boot, Boot Manager и Windows Shell, это указывает на то, что злоумышленники целенаправленно ищут способы отключения или обхода базовых защитных механизмов Windows.
• Активная эксплуатация корпоративных порталов: Подтверждена активная эксплуатация уязвимости спуфинга в Microsoft SharePoint Server (CVE-2026-32201). Несмотря на средний рейтинг CVSS (6.5), факт ее применения в реальных атаках делает ее критически опасной для корпоративного сектора, так как она позволяет скрытно манипулировать данными и обходить механизмы аутентификации.
• Фундаментальные сетевые угрозы (RCE): В этом месяце закрыт целый ряд критических уязвимостей удаленного выполнения кода (RCE) в базовых сетевых компонентах ОС. Исправления затрагивают стек TCP/IP, службу IKE (IPsec), Active Directory, SQL Server и Remote Desktop Client. Ошибки в таких низкоуровневых и сетевых протоколах традиционно открывают двери для самораспространяющихся угроз (червей) и массовых компрометаций инфраструктуры.
• Тотальное доминирование повышения привилегий (EoP): Из 165 исправлений львиная доля направлена на латание дыр локального повышения привилегий. Под ударом оказались десятки компонентов: от драйверов AFD, UPnP, Projected File System до DWM и Win32k. Это подчеркивает, что после преодоления первичного периметра злоумышленники имеют огромный арсенал средств для получения полных прав (SYSTEM) на непропатченных машинах.
• Продолжающийся кризис Office: Пакет Microsoft Office (включая Word и Excel) получил очередную порцию исправлений RCE. Это подтверждает, что вредоносные документы остаются одним из главных инструментов доставки полезной нагрузки в фишинговых кампаниях.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2026-20820 — Windows Common Log File System Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость переполнения буфера в куче (Heap-based Buffer Overflow) в драйвере файловой системы CLFS, позволяющая локальному злоумышленнику повысить свои привилегии до уровня SYSTEM. Эксплуатация осуществляется путем создания лог-контейнера и отправки специально сформированного IOCTL-запроса с буфером, нарушающим границы выделенной памяти (Out-of-Bounds write). Для данной уязвимости существует общедоступный PoC, демонстрирующий механизм переполнения. Уязвимость была исправлена в январе 2026 года.

• CVE-2026-21509 — Microsoft Office Security Feature Bypass Vulnerability (Security Feature Bypass). Уязвимость связана с некорректным доверием к входным данным при принятии решений о безопасности (CWE-807). Злоумышленник может создать специально сформированный документ DOCX с внедренным OLE-объектом, в котором модифицирован идентификатор класса (CLSID). Это позволяет локально обойти функции защиты Office, заставив приложение инициализировать потенциально опасные компоненты (например, Shell.Explorer) без надлежащей проверки. Для данной уязвимости доступен PoC на Python, который автоматизирует создание вредоносного документа путем патчинга заголовков OLE-файла. Исправлена в январе 2026 года.

• CVE-2026-20929 — Windows HTTP.sys Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость в драйвере HTTP.sys и компонентах аутентификации Kerberos, позволяющая реализовать технику CNAME Abuse для проведения атак типа Kerberos Relay. Проблема заключается в некорректной проверке прав доступа и поведении Kerberos-клиента: при получении DNS-записи типа CNAME клиент Windows доверяет алиасу и формирует запрос TGS, используя имя хоста из CNAME в качестве SPN. Это позволяет злоумышленнику в позиции DNS MITM (например, через IPv6/DHCPv6) принудительно заставить любого пользователя домена запросить билет Kerberos для выбранного атакующим сервиса и перенаправить его на узлы, где не настроена принудительная проверка Channel Binding (CBT) или подписи. На GitHub доступен PoC, расширенный функциями отравления CNAME-записей, позволяющий получить привилегии уровня SYSTEM. Уязвимость была исправлена в январе 2026 года.

• CVE-2026-24289 — Windows Kernel Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа Use-After-Free (UAF) в ядре Windows (ntoskrnl.exe), возникающая из-за состояния гонки (race condition) при обработке портов завершения ввода-вывода (IOCP). Проблема заключается в том, что функция IopCompleteRequest считывает контекст завершения из объекта файла без захвата необходимой спин-блокировки, что позволяет локальному злоумышленнику через параллельный вызов NtSetInformationFile освободить или заменить этот контекст прямо во время его использования. Успешная эксплуатация позволяет повысить привилегии в системе до уровня SYSTEM. Опубликованный PoC демонстрирует механизм гонки, приводящий к фатальному сбою системы (BSOD) с кодом 0x18 (REFERENCE_BY_POINTER) на уязвимых сборках. Уязвимость была исправлена в марте 2026 года.

• CVE-2026-24291 — Windows Accessibility Infrastructure (ATBroker.exe) Elevation of Privilege Vulnerability (Elevation of Privilege). Логическая уязвимость, получившая название «RegPwn», связана с некорректным назначением прав доступа к ключам реестра (CWE-732), используемым процессом ATBroker.exe. При переходе системы в режим «Безопасного рабочего стола» (например, при блокировке экрана или вызове окна UAC) системный процесс копирует конфигурационные данные из веток реестра, доступных обычному пользователю на запись. Используя символьные ссылки реестра и механизм opportunistic locks (oplocks) на файл oskmenu.xml, локальный злоумышленник может перенаправить операцию записи для изменения критических параметров системы (например, ImagePath службы), что позволяет выполнить произвольный код с привилегиями SYSTEM. Уязвимость была исправлена в марте 2026 года.

• CVE-2026-23671 — Windows Bluetooth RFCOMM Protocol Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа «состояние гонки» (race condition) в драйвере протокола Bluetooth RFCOMM (bthport.sys), позволяющая локальному злоумышленнику повысить свои привилегии до уровня SYSTEM. Ошибка заключается в некорректной синхронизации доступа к объектам каналов (TOCTOU), что дает возможность подменить дескриптор канала в коротком окне между проверкой прав доступа и выполнением операции. Существует общедоступный PoC-модуль BlueSploit от исследователя v33ru, демонстрирующий атаку через метод SABM-флуда для захвата системного контекста безопасности. Уязвимость была исправлена в марте 2026 года.

Вывод

Апрельское обновление 2026 года — это критическое событие, требующее от ИТ-отделов максимальной концентрации и немедленных действий. Огромное количество патчей (165) потребует тщательного планирования развертывания и тестирования, однако откладывать процесс нельзя из-за наличия активно эксплуатируемых брешей и фундаментальных сетевых угроз.

Приоритет установки обновлений в апреле:

1. Немедленное реагирование (Zero-Days): Накатите обновления на серверы SharePoint для блокировки активно эксплуатируемой CVE-2026-32201. Также в экстренном порядке обновите платформу Microsoft Defender (CVE-2026-33825), чтобы предотвратить использование антивируса против самой системы.
2. Защита сетевого периметра и инфраструктуры: Критические RCE в службах IKE, TCP/IP и Active Directory — это сценарий «кошмара» для сетевых администраторов. Серверы, обращенные в интернет (особенно VPN и IPsec шлюзы), а также Контроллеры Домена должны быть обновлены в первую же ночь.
3. Защита конечных точек: Установите патчи для компонентов, отвечающих за обход защиты (Windows Shell, SmartScreen, BitLocker), а также обновите пакеты Microsoft Office, чтобы нейтрализовать векторы атак через фишинг и вредоносные ссылки.

Также настоятельно рекомендуется внимательно изучить раздел «Ретроспективный анализ уязвимостей». Появление мощных публичных эксплойтов для мартовских и февральских уязвимостей (таких как Kerberos CNAME Abuse, RegPwn для ATBroker и переполнения в ядре) означает, что злоумышленники уже автоматизировали атаки на системы, которые не были обновлены в первом квартале 2026 года. Своевременное устранение технического долга по патчам сейчас жизненно необходимо.