Уязвимость CVE-2026-88131 в Microsoft Dataverse позволяет удалённому злоумышленнику выполнить произвольный код. Платформа управляет данными бизнес-приложений, поэтому риск затрагивает организации, которые хранят в ней рабочие сведения. Оценка по CVSS 3.1 достигает 9,8, по CVSS 2.0 - 10. Запись BDU:2026-16749 опубликована в Банке данных угроз безопасности информации. Microsoft подтвердила проблему и указала, что исправление доступно. Сведения об эксплуатации в реальных атаках пока уточняются.
Уязвимость CVE-2026-88131 в Microsoft Dataverse
Ошибка связана с десериализацией. Так называют обратное преобразование сохранённых данных в программные объекты. Если проверка неполная, злоумышленник подменяет структуры данных. BDU описывает тип ошибки как восстановление в памяти недостоверных данных, CWE-502. Способ эксплуатации - манипулирование структурами данных. В результате удалённый атакующий может выполнить код в среде Dataverse. Ему не нужен доступ к учётной записи.
Вектор CVSS 3.1 указывает на сетевую атаку. Сложность низкая, учётные данные не требуются, действие пользователя не нужно. Оценки конфиденциальности, целостности и доступности высокие. Успешная эксплуатация может привести к раскрытию информации, изменению данных и нарушению работы сервиса. Для компаний это означает риск для клиентских записей, заявок и справочников. Чем больше процессов зависит от Dataverse, тем шире последствия. При этом сведений о готовом эксплойте (вредоносном коде, использующем уязвимость) нет.
Уязвимость относится к классу архитектурных. В карточке BDU указано прикладное ПО информационных систем. Дата выявления - 8 октября 2026 года. Статус - подтверждена производителем. Наличие эксплойта в открытых источниках не подтверждено. Эти детали важны для оценки приоритета. Высокий рейтинг требует быстрой проверки, но не доказательства атаки. Одна запись в BDU не говорит об атаке. Однако откладывать обновление при таком векторе рискованно.
Исправление Microsoft доступно. В рекомендации MSRC указана запись CVE-2026-88131. Конкретные версии Dataverse в исходных данных не раскрыты. Администраторам нужно открыть Microsoft Update Guide. Затем сверить свой выпуск платформы с опубликованными сведениями. Если для используемой сборки есть обновление, его нужно установить. После установки стоит проверить журналы на подозрительные обращения. Это поможет заметить попытки эксплуатации до обновления.
Десериализация остаётся частым источником уязвимостей в корпоративных системах. Ошибка в разборе данных превращает обычный запрос в способ выполнения кода. Для Dataverse это особенно чувствительно. Платформа собирает сведения из разных приложений и служит общим хранилищем. Компрометация такой среды затрагивает сразу несколько команд. Поэтому проверка обновлений важна не только для ИТ-службы. Владельцам бизнес-приложений тоже нужно знать, какие среды работают на уязвимой версии. Без такой инвентаризации легко пропустить систему, которая осталась без исправления.
Microsoft уже исправила проблему. Это главный практический факт. Остаётся вопрос, все ли развёрнутые среды получили нужное обновление. Ответ зависит от конкретной конфигурации. Проверка версии и установка исправления остаются основной мерой. Для компаний с высокими требованиями к доступности данных подойдёт плановый, но быстрый цикл обновления. Публичных сообщений об атаках пока нет, и это оставляет время на проверку.
Ссылки
- https://bdu.fstec.ru/vul/2026-16749
- https://www.cve.org/CVERecord?id=CVE-2026-88131
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-88131
