Анализ обновлений Microsoft Patch Tuesday – Май 2026

Краткое Резюме

Во вторник, 12.05.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 137 уязвимостей в своих продуктах.

По уровню опасности:

• Important - 103;
• Critical - 30;
• Moderate - 3;
• Low - 1.

Общие тенденции

Майский Patch Tuesday 2026 года принес ИТ-сообществу 137 исправлений. И хотя общий объем немного снизился по сравнению с рекордным апрелем (165), структура этого обновления делает его одним из самых опасных в этом году. Главная аномалия месяца — беспрецедентное количество уязвимостей со статусом «Critical». Ключевые тенденции мая:

• Аномальный всплеск критических уязвимостей: В этом месяце исправлено колоссальное количество уязвимостей критического уровня — 30 (для сравнения: в апреле их было 8, в марте — 0). Это свидетельствует об обнаружении целого пласта фундаментальных архитектурных ошибок в продуктах Microsoft.
• Отсутствие Zero-Days: В майском выпуске официально нет ни одной активно эксплуатируемой или публично раскрытой уязвимости (на момент релиза). Однако наличие десятков уязвимостей с CVSS выше 9.0 гарантирует, что злоумышленники уже начали реверс-инжиниринг патчей для создания эксплойтов.
• Угрозы базовой инфраструктуре (CVSS 9.8 - 10.0): Под ударом оказались самые критичные компоненты корпоративных сетей. Исправлены уязвимости удаленного выполнения кода в Windows Netlogon (CVE-2026-41089) и Windows DNS Client (CVE-2026-41096). Ошибки в этих компонентах традиционно открывают путь для создания самораспространяющихся червей и мгновенного захвата контроллеров домена. Кроме того, зафиксирована редчайшая уязвимость с максимальной оценкой CVSS 10.0 в Azure DevOps, грозящая тотальной компрометацией цепочек поставок ПО (Supply Chain Attacks).
• Массированная атака на SharePoint и Office: Продолжается масштабная чистка кода в приложениях для совместной работы. Серверы SharePoint получили очередную огромную порцию исправлений RCE (более 6 критических и важных CVE). Параллельно закрыт гигантский кластер RCE-уязвимостей в десктопных клиентах Microsoft Word, Excel и Office (более 15 CVE), что подтверждает непрекращающийся фокус атакующих на фишинговые рассылки с вредоносными документами.
• Уязвимости в облачных Data-сервисах: Значительное внимание уделено безопасности данных в облаке. Критические исправления (CVSS 9.9) затронули Azure Managed Instance for Apache Cassandra, Azure Logic Apps и Dynamics 365.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Ретроспективный анализ уязвимостей

• CVE-2026-21250 — Windows HTTP.sys Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость связана с разыменованием недоверенного указателя (Untrusted Pointer Dereference) в системном драйвере ядра http.sys. Злоумышленник может отправить специально сформированный HTTP-пакет, содержащий бинарный payload в заголовках (например, в X-Trigger-Ptr), что при некорректной обработке драйвером позволяет локально повысить привилегии до уровня SYSTEM. Для успешной эксплуатации и обхода механизмов защиты (ASLR) могут применяться техники Heap Spraying и манипуляция состояниями соединений Keep-Alive. На Github опубликован PoC для данной уязвимости. Уязвимость была исправлена в феврале 2026 года.

• CVE-2026-23671 — Windows Bluetooth RFCOMM Protocol Driver Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость в драйвере протокола Bluetooth RFCOMM, вызванная некорректной синхронизацией при доступе к разделяемым ресурсам (состояние гонки — race condition). Это приводит к ошибке типа Use-After-Free (использование памяти после освобождения), позволяя локальному авторизованному злоумышленнику выполнить произвольный код в режиме ядра. Успешная эксплуатация позволяет повысить привилегии до уровня SYSTEM, однако атака характеризуется высокой сложностью, так как требует точного соблюдения таймингов для «победы» в состоянии гонки. На Github опубликован PoC для данной уязвимости. Исправлена в марте 2026 года.

• CVE-2026-24294 — Windows SMB Server Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость позволяет локальному пользователю повысить свои привилегии до уровня SYSTEM, используя механизм NTLM-отражения (reflection) и новую функцию подключения SMB на произвольных TCP-портах, представленную в Windows Server 2025 и Windows 11 24H2. Атака заключается в принуждении привилегированной службы (LSASS) к аутентификации на подконтрольном злоумышленнику SMB-сервере через нестандартный порт, что позволяет обойти классические механизмы защиты от Local NTLM Reflection и ретранслировать (relay) полученный токен на настоящий SMB-сервис (порт 445). Опубликованный PoC демонстрирует эксплуатацию с помощью модифицированных инструментов PetitPotam и Impacket. Уязвимость была исправлена в марте 2026 года.

• CVE-2026-26128 — Windows SMB Server Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость позволяет локальному авторизованному злоумышленнику повысить свои привилегии до уровня SYSTEM через атаку Kerberos Reflection. Эксплуатация возможна благодаря обходу нормализации Unicode-символов при разрешении имен сервисов (SPN): из-за различий в функциях обработки строк в службе DNS-кэша и на контроллере домена злоумышленник может зарегистрировать поддельную DNS-запись и перенаправить трафик аутентификации на свой хост. На GitHub доступен PoC, позволяющий проводить атаку на службы AD CS и MSSQL. Уязвимость была исправлена в марте 2026 года.

• CVE-2026-26168 — Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа «состояние гонки» (Race Condition) в драйвере ядра afd.sys, возникающая из-за некорректной синхронизации доступа к объектам соединений. В функции AfdAddConnectedReferenc` спин-блокировка освобождается до завершения инкремента счетчика ссылок объекта, что создает окно уязвимости для использования памяти после ее освобождения (Use-After-Free). Локальный злоумышленник, в том числе имеющий низкие привилегии в AppContainer, может эксплуатировать эту ошибку для повышения своих прав до уровня SYSTEM. Опубликованный PoC на языке Python демонстрирует механизм атаки через конкурентный вызов функций connect() и closesocket(), что приводит к повреждению пула памяти ядра и краху системы. Уязвимость была исправлена в апреле 2026 года.

• CVE-2026-33101 — Windows Print Spooler Elevation of Privilege Vulnerability (Elevation of Privilege). Уязвимость типа Use After Free (UAF) в функции OpenPrinterExW, возникающая при обработке структуры _SPLCLIENT_CONTAINER (Level 2). Из-за логической ошибки в случае сбоя функции RouterOpenPrinter` память контейнера освобождается, однако система безусловно выполняет запись дескриптора в освобожденный слот памяти. Это позволяет локальному злоумышленнику через манипуляции с кучей процесса spoolsv.exe получить права уровня SYSTEM. Согласно техническому анализу и доступному PoC, уязвимости подвержены системы Windows 11 24H2 до сборки 26100.8246. Уязвимость была исправлена в апреле 2026 года.

• CVE-2026-32202 — Windows Shell Spoofing Vulnerability (Spoofing). Уязвимость заключается в сбое механизма защиты (CWE-693) при обработке структуры _IDCONTROLW внутри цепочки IDList в файлах-ярлыках (.LNK). Исследователи из Akamai реконструировали логику работы shell32.dll и представили PoC, который позволяет внедрить UNC-путь в поле ModulePath объекта Панели управления. При попытке Проводника (explorer.exe) отрисовать иконку такого ярлыка происходит автоматическое обращение к удаленному SMB-ресурсу, что приводит к раскрытию NTLM-хэша пользователя. Уязвимость тесно связана с CVE-2026-21510 и была исправлена в апреле 2026 года.

Вывод

Майское обновление 2026 года — это классический пример ситуации, когда отсутствие уже эксплуатируемых «нулевых дней» не должно создавать ложного чувства безопасности. Наличие 30 критических уязвимостей, включая бреши в Netlogon, DNS и Azure DevOps с максимальными рейтингами CVSS, делает этот месяц крайне напряженным для администраторов.

Приоритет установки обновлений в мае:

1. Инфраструктура уровня Tier 0: Абсолютным приоритетом является установка обновлений на Контроллеры Домена (для закрытия RCE в Netlogon) и DNS-серверы/клиенты. Эксплуатация этих уязвимостей приведет к мгновенному падению всей корпоративной сети.
2. Облачные платформы разработки: Владельцам инфраструктуры Azure DevOps необходимо в экстренном порядке убедиться в применении патчей (CVE-2026-42826, CVSS 10.0), так как утечка данных из сред разработки может скомпрометировать все исходные коды и токены компании.
3. Серверы совместной работы: SharePoint Server остается излюбленной целью программ-вымогателей. Наличие такого количества RCE требует немедленного обновления веб-ферм, обращенных во внутреннюю и внешнюю сеть.
4. Конечные точки пользователей: Обновление пакета Microsoft Office должно быть развернуто на рабочих станциях как можно быстрее для предотвращения проникновения злоумышленников через документы, присланные по электронной почте.

Важное дополнение: Особое внимание уделите разделу «Ретроспективный анализ уязвимостей». В мае на GitHub произошел массовый «слив» рабочих PoC-эксплойтов для уязвимостей, исправленных в феврале, марте и апреле (SMB Server, AFD.sys, Print Spooler, HTTP.sys). Это означает, что если ваша организация отстает от графика обновлений хотя бы на месяц, вы находитесь под прицелом автоматизированных инструментов взлома, доступных даже низкоквалифицированным злоумышленникам. Ликвидация технического долга по патчам сейчас критически важна.