Microsoft выпустила обновления безопасности за октябрь 2026 года для устранения 1 411 уязвимостей — это самый большой ежемесячный показатель, объявленный компанией, согласно отчёту BleepingComputer. Пакет включает 70 уязвимостей, классифицированных как «критические», среди которых 57 уязвимостей удалённого выполнения кода, 11 уязвимостей повышения привилегий и две уязвимости обхода механизмов защиты.
Уязвимости, устранённые в рамках обновлений вторника исправлений, включают 677 уязвимостей повышения привилегий, 317 уязвимостей удалённого выполнения кода, 254 уязвимости раскрытия информации, 73 уязвимости отказа в обслуживании, 40 уязвимостей обхода функций безопасности и ещё 28 уязвимостей спуфинга.
Три уязвимости нулевого дня
Пакет включает три уязвимости, которые Microsoft классифицировала как уязвимости нулевого дня. Уязвимость CVE-2026-96951 в Windows Shell фактически эксплуатировалась и позволяет обходить функцию Mark of the Web с помощью внедрения команд. Microsoft не опубликовала подробностей о группах, эксплуатировавших её, или о способе проведения атак.
Уязвимость CVE-2026-108398 в .NET Framework была общедоступной и позволяет аутентифицированному злоумышленнику обходить ограничения Windows Defender Application Control и выполнять код внутри защищённого процесса без необходимости взаимодействия с пользователем. Уязвимость обнаружил James Forshaw из Google Project Zero.
Microsoft также устраняет уязвимость CVE-2026-92707 в MessagePack-CSharp — общедоступную уязвимость отказа в обслуживании, которую можно эксплуатировать через сеть.
Окончание поддержки некоторых выпусков Windows
В тот же день Microsoft объявила об окончании поддержки Windows 11 версии 24H2 для редакций Home и Pro, а также Windows 10 Enterprise LTSB 2016. Октябрьское обновление 2026 года является последним обновлением безопасности для этих выпусков, поэтому переход на поддерживаемые версии становится непосредственным вопросом безопасности для затронутых организаций и пользователей.
Ранее компания сообщала, что выпуски Windows 11 23H2 Enterprise, Education и IoT Enterprise перестанут получать обновления безопасности начиная со следующего месяца.
Что это практически меняет для команд безопасности?
Вместе с этой партией обновлений Microsoft представила экспериментальный способ определения приоритетов исправлений, объединяя похожие уязвимости в «группы рисков». Компания опубликовала 15 групп за октябрь, включая 136 уязвимостей, связанных с файловыми системами Windows, хранилищами и резервным копированием; 135 уязвимостей, относящихся к документам Office и почтовым клиентам; 131 уязвимость в графике, мультимедиа и обработке содержимого; 109 уязвимостей, затрагивающих границы привилегий в ядре Windows; и 103 уязвимости, связанные с установкой, развёртыванием и службами обновлений.
Microsoft поясняет, что эти группы не означают автоматически, что содержащиеся в них уязвимости являются наиболее опасными: фактический риск зависит от эксплуатации в атаках, степени серьёзности и способа использования продукта организацией. Поэтому механизм остаётся экспериментальным и дополняет текущие рекомендации по исправлениям, а не заменяет их.
Охват числовых показателей
Показатель 1 411 относится только к уязвимостям, для которых Microsoft выпустила исправления в тот же вторник. Он не включает ещё 348 уязвимостей, устранённых компанией ранее в октябре в таких продуктах и службах, как Azure API Center, Azure App Service, Azure Event Grid, Microsoft Exchange Server и Microsoft Partner Center.
Рост числа уязвимостей не отменяет необходимости расставлять приоритеты: уязвимость, которая фактически эксплуатируется, а также уязвимости, затрагивающие открытые системы или системы с повышенными привилегиями, требуют срочной обработки до попытки разобраться со всем огромным списком одновременно. При этом материал не содержит полных сведений обо всех затронутых продуктах или внутренних графиках развёртывания, поэтому перед определением порядка выполнения необходимо обратиться к бюллетеням Microsoft и оценить среду каждой организации.