Пакет исправлений Microsoft Office от 15 октября 2026 года закрывает 29 уязвимостей. Французский государственный центр реагирования на компьютерные инциденты CERT-FR (структура, публикующая уведомления об уязвимостях для организаций Франции) перечисляет три последствия: удалённое выполнение кода, нарушение конфиденциальности данных и обход политик безопасности. Затронуты подписочные приложения Microsoft 365 Apps для Enterprise, выпуски Office LTSC 2021 и 2024 с длительным сроком поддержки, сборки Office для macOS и серверный продукт Office Online Server. Уведомление появилось 16 октября, на следующий день после бюллетеней Microsoft.
Уязвимости в Microsoft Office и версии с исправлениями
Три класса угроз
Самый тяжёлый сценарий из трёх - удалённое выполнение кода. Уязвимость этого класса позволяет злоумышленнику запустить на чужой машине собственный код. Нарушение конфиденциальности данных оборачивается утечкой: содержимое документов и доступные приложению сведения попадают к посторонним. Обход политик безопасности означает, что защитные механизмы, которые ограничивают работу с документами и надстройками, не срабатывают.
При этом CERT-FR не приводит ни рейтингов CVSS, ни распределения 29 уязвимостей по классам. Из уведомления нельзя понять и то, какие компоненты Office задеты - текстовый редактор, таблицы, механизм надстроек или серверная часть. Поэтому каждую запись придётся сверять по бюллетеням Microsoft, где у уязвимости есть собственный идентификатор CVE. В списке присутствуют, например, CVE-2026-108426 и CVE-2026-108455.
Затронутые продукты и платформы
Перечень затронутых сборок включает десять пунктов. Это Microsoft 365 Apps для Enterprise для 32- и 64-битных систем, Office LTSC 2021 и 2024 для Windows, Office 365 для macOS, Office LTSC для macOS 2021 и 2024, а также Office Online Server. Пороговые версии указаны для всех продуктов, кроме подписочных сборок Microsoft 365 Apps для Enterprise.
Office стоит почти на каждом рабочем месте, поэтому обновлять приходится и клиентские машины, и серверную часть. Компаниям с парком macOS нужно отдельно проверить пользовательские установки Office: обновления для них приходят иначе, чем для версий под Windows. В организациях с несколькими офисами и территориально распределёнными площадками разница в сроках установки оказывается заметной.
Версии с исправлениями
Пороговые версии распределились так. Для Office для macOS исправление - сборка 16.114.26101123, она же закрывает Office LTSC для macOS 2021 и 2024. Office LTSC 2021 для Windows обновляется до 16.0.14334.20974, Office LTSC 2024 - до 16.0.17932.21056. Для Office Online Server порог - 16.0.10417.20228. Любая сборка ниже этих значений остаётся уязвимой.
Для Microsoft 365 Apps для Enterprise номера версии в уведомлении нет. Подписочные сборки получают исправления через каналы обслуживания, и итоговый номер зависит от выбранного канала: полугодового, ежемесячного или промежуточного. Проверить текущую сборку можно в самом приложении.
Что делать с обновлениями
Обходных мер в уведомлении нет - только ссылки на бюллетени Microsoft и записи CVE. Значит, закрыть 29 уязвимостей можно лишь установкой исправлений.
Администраторам нужно сверить сборки Office на рабочих станциях и серверах с пороговыми значениями. На машинах с Office LTSC 2021 и 2024 устанавливают пакет обновления Windows, для macOS Office обновляют до указанной сборки. Подписочные сборки Microsoft 365 Apps для Enterprise обновляются сами, однако приостановленный канал придётся запустить вручную. Серверную часть обновляют отдельно, вне цикла обновлений Windows.
Office попадает в ежемесячный цикл обновлений Microsoft, и такие сводки выходят регулярно. Часть уязвимостей из этого списка даёт удалённое выполнение кода на машине пользователя, поэтому растягивать установку исправлений на месяцы рискованно.
Ссылки
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108426
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108427
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108428
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108429
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108430
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108431
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108432
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108433
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108434
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108435
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108436
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108437
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108438
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108439
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108440
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108441
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108442
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108443
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108444
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108445
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108446
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108447
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108448
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108449
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108450
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108451
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108453
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108454
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108455
