Microsoft подтвердила активную эксплуатацию двух локальных уязвимостей повышения привилегий в Windows: CVE-2026-81963 в Windows Update Stack и CVE-2026-85880 в ALPC. Обе получили CVSS 7.8 и входят в набор исправлений из 666 ошибок, 32 из которых критичны. Факт эксплуатации зафиксирован в обновлении бюллетеня NCSC-2026-0353 до версии 1.0.3 от 10 ноября 2026 года.
Условия атаки
Обе уязвимости требуют присутствия в системе. Атакующему нужна учётная запись с низкими правами, участие пользователя не требуется, сложность атаки низкая. В обоих случаях успешная эксплуатация даёт права SYSTEM.
CVE-2026-81963 затрагивает стек обновления Windows, который обслуживает установку патчей. CVE-2026-85880 находится в ALPC, механизме локального межпроцессного взаимодействия. Практический результат одинаков: полный контроль над узлом, возможность отключить защиту, забрать учётные данные и закрепиться. Цепочка «скомпрометированный сервис, затем локальное повышение привилегий» типична для шифровальщиков.
Деталей эксплуатации Microsoft не раскрыла. Нет ни описания цепочек, ни индикаторов, ни имён групп. Оценка 7.8 на фоне критических 9.8 выглядит умеренной, но подтверждённая эксплуатация важнее балла. С 8 сентября 2026 года обе записи находятся в каталоге CISA KEV. Попадание в KEV означает подтверждённую эксплуатацию в реальных атаках, а не теоретическую возможность; для федеральных агентств США это ещё и обязательный срок установки обновлений.
Где именно ошибка
CVE-2026-81963 относится к CWE-59, некорректное разрешение ссылок перед доступом к файлу. Проще говоря, привилегированный процесс открывает файл по пути, который атакующий может подменить ссылкой. Служба обновления работает от SYSTEM, поэтому подставленная символическая ссылка уводит операцию записи в защищённый каталог. В записи указан и CWE-284, недостаточный контроль доступа. Такие ошибки обычно ведут к перезаписи системных файлов или подмене содержимого каталога обновлений.
CVE-2026-85880 - переполнение буфера в куче (CWE-122) вместе с использованием неинициализированного ресурса (CWE-908). Ввод передаётся через локальный порт ALPC, разбор сообщения в привилегированном процессе выходит за границы выделенной памяти. Атакующий подбирает размер и содержимое сообщения и получает управление над потоком выполнения. Локальный вектор здесь не означает безопасности: любой пользователь, попавший на хост, может дойти до SYSTEM.
Критические ошибки в сетевых компонентах
Большинство из 32 критических уязвимостей - удалённое выполнение кода без аутентификации и без участия пользователя. Это самый опасный класс в наборе: эксплуатировать их можно по сети, а конфигурация по умолчанию не всегда закрывает поверхность атаки.
Серверные роли стоит проверить первыми. В DHCP Server закрыты переполнение кучи CVE-2026-69845 и use-after-free CVE-2026-72979. В DNS исправлена use-after-free CVE-2026-69730. Netlogon получил защиту от переполнения стека CVE-2026-72982. Также исправлены RRAS (CVE-2026-69590), RPC Runtime (CVE-2026-69819), Message Queuing (CVE-2026-69579), Hyper-V (CVE-2026-69910), SSTP (CVE-2026-73009) и Failover Cluster (CVE-2026-73010). В драйвере NFS ONCRPC закрыты две use-after-free ошибки, CVE-2026-69595 и CVE-2026-78445.
Отдельно стоит CVE-2026-73025 в iSCSI. Это не выполнение кода, а обход механизма аутентификации (CWE-1390) с CVSS 9.8. Слабая проверка подлинности позволяет неаутентифицированному клиенту подключиться к цели, которую он видеть не должен. Для сетей хранения последствия не меньше, чем у RCE: доступ к дискам означает доступ к данным.
Клиентские компоненты тоже дают 9.8. Критичны UxTheme (CVE-2026-69276), Imaging (CVE-2026-70296), XPS (CVE-2026-69824), Shell (CVE-2026-69829), Compressed Folder (CVE-2026-69496), Direct Show (CVE-2026-69715), Telnet Client (CVE-2026-69431) и Graphics Component (CVE-2026-77493). Ядро (CVE-2026-69669) и URL Moniker (CVE-2026-69434) получили 8.8: здесь нужно, чтобы пользователь открыл подготовленный файл или ссылку.
В таблице NCSC есть неточности. Запись CVE-2026-68839 указана дважды, второй раз с пометкой Remote Desktop Services, хотя в записи CVE она относится к драйверу USB Mass Storage. Для RDS отдельная запись - CVE-2026-69525. Сверять список лучше по порталу MSRC: там же указаны исправленные сборки.
CVE-2026-69639 в libarchive выбивается из общего ряда. Исправление вышло позже и с другими номерами сборок. Если сверять систему только по сентябрьским порогам, эта ошибка останется незакрытой.
Затронутые версии
Затронуты Windows 10 версий 1607, 1809, 21H2 и 22H2, Windows 11 версий 23H2, 24H2, 25H2 и 26H1, а также Windows Server 2012, 2012 R2, 2016, 2019, 2022 и 2025, включая установки Server Core. Пороги сборок для CVE-2026-85880: 10.0.14393.9512, 10.0.17763.9245, 10.0.19044.7725, 10.0.19045.7725, 6.2.9200.26349, 6.3.9600.23398 и 10.0.20348.5622.
CVE-2026-81963 распределена иначе. Она затрагивает только Windows 11 23H2 и новее (10.0.22631.7582, 10.0.26100.9445, 10.0.26200.9445, 10.0.28000.2954) и Windows Server 2025 (10.0.26100.33438). Для остальных критических ошибок действуют те же пороги, что и для сентябрьского набора обновлений.
Если обновиться нельзя
Готовых обходных мер в записях CVE нет, поэтому приоритет - установка обновлений. Сначала закрывайте узлы, где возможна локальная работа недоверенных пользователей: терминальные серверы, хосты с несколькими учётными записями, системы администрирования. Именно там реализуются обе ошибки из каталога KEV.
Далее ограничьте поверхность сетевых атак. Если DHCP, DNS, RRAS, NFS или iSCSI не используются, соответствующие роли и клиенты стоит отключить. Для используемых ролей поможет фильтрация трафика: обращения к службам должны идти только из доверенных сегментов. DHCP-серверы и контроллеры домена не должны быть доступны из пользовательских сетей.
Проверьте, что на хостах нет лишних привилегированных сессий. Ограничение локального входа и запрет на запуск недоверенных исполняемых файлов снижают шансы на эксплуатацию, но не заменяют патч. Также имеет смысл включить журналирование установки обновлений и отслеживать подозрительные записи в каталоге обновлений и системных каталогах.
После установки обновлений проверьте номера сборок, а не дату установки. Для libarchive это особенно важно: пороги отличаются от основного набора, и часть систем останется уязвимой при формально «свежем» патче.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-81963
- https://www.cve.org/CVERecord?id=CVE-2026-85880
- https://www.cve.org/CVERecord?id=CVE-2026-69276
- https://www.cve.org/CVERecord?id=CVE-2026-73025
- https://portal.msrc.microsoft.com/en-us/security-guidance
