Обновления закрывают уязвимости в компонентах Windows. Эксплуатация части из них даёт обход защитных механизмов, повышение привилегий, выполнение произвольного кода или доступ к чувствительным данным. Затронуты клиентские Windows 10 и 11 и серверы от Windows Server 2012 до Windows Server 2025, включая установки Server Core. Ошибки нашлись и в службах, которые отвечают на сетевые запросы без участия человека, и в библиотеках, обрабатывающих файлы на рабочей станции.
Первыми обновляют сетевые службы
Тринадцать самых опасных уязвимостей Microsoft оценила в 9,0 балла и выше по шкале CVSS. Это компоненты, к которым обращаются по сети: DNS, LDAP, Kerberos, DHCP, iSCSI, DirectMusic, Color Management, Media Foundation, Virtual Filtering Platform и служба Xbox Live Networking Service. Учётные данные не нужны, участие пользователя не требуется. Сложность атаки низкая у всех, кроме Virtual Filtering Platform - там Microsoft указывает высокую.
В записях, куда агентство CISA добавило свою оценку, отмечено: атаку можно автоматизировать, воздействие на конфиденциальность, целостность и доступность полное. Эксплуатации в реальных атаках там не зафиксировано.
Kerberos и LDAP
Kerberos выдаёт билеты для входа в домен. В нём нашлась уязвимость CVE-2026-85844 - обход аутентификации через альтернативный путь или канал. Атакующий по сети получает повышенные права, не имея учётной записи. Среди затронутых систем есть Windows Server 2012 и 2012 R2: исправленные сборки для них - 6.2.9200.26434 и 6.3.9600.23470.
LDAP - протокол доступа к каталогу, обычно к контроллеру домена. Уязвимость CVE-2026-119958 - запись за границами буфера (out-of-bounds write). Она позволяет выполнить код удалённо.
DNS, DHCP, iSCSI и Xbox Live
В DNS - двойное освобождение памяти (double free), CVE-2026-88218. В DHCP Server - чтение за границами буфера, CVE-2026-88243; уязвимы только серверные редакции. В iSCSI - освобождение недействительного указателя, CVE-2026-88234; затрагивает Windows Server 2016 и новее.
Служба Xbox Live Networking Service получила переполнение буфера в куче, CVE-2026-112967. Здесь в список попадают и клиентские Windows 10 и 11.
Клиентские компоненты
В DirectMusic две уязвимости: переполнение буфера в стеке (CVE-2026-95882) и double free (CVE-2026-95901). В Color Management тоже две - целочисленное переполнение (CVE-2026-96067) и переполнение кучи (CVE-2026-96078). В Media Foundation - переполнение кучи (CVE-2026-96157). Вектор у всех сетевой, участие пользователя не требуется, хотя компоненты считаются клиентскими.
Обновления и порог сборки
Microsoft выпустила обновления. Обходные меры в записях не приведены: за ними и за деталями по каждой уязвимости компания отсылает к порталу MSRC. Ставить патчи удобнее через Windows Update или каталог обновлений Microsoft.
Порог сборки у каждой ветки свой, и по нему удобно сверять парк. Для Windows 11 Version 24H2 исправленная сборка - 10.0.26100.9974. Windows Server 2025 опирается на ту же базовую сборку 10.0.26100, но обновляется до 10.0.26100.33822. Если номер сборки ниже порога, уязвимость на машине осталась.
Остальные уязвимости этого выпуска получили уровень от среднего до высокого. Разбирать каждую в уведомлении Microsoft не стала. Приоритет стоит отдать узлам, которые смотрят в сеть: контроллерам домена, DNS- и DHCP-серверам, серверам с iSCSI. Рабочие станции обновляются в общем порядке.
Ссылки
