Microsoft закрыла более 60 уязвимостей в инструментах для разработчиков. В список попали .NET, ASP.NET Core, Visual Studio Code и .NET Framework. Сюда же вошли несколько системных компонентов Windows для установки приложений. Часть проблем открывает путь к запуску произвольного кода, часть - к повышению прав и обходу защитных проверок. Под удар попадают рабочие станции программистов, сборочные серверы и тестовые стенды. Продукты используют повсеместно, поэтому обновление затрагивает широкий круг команд - от небольших студий до крупных корпораций.
Исправления в .NET, ASP.NET Core и Visual Studio Code
Уязвимости .NET и .NET Framework
Самый крупный блок приходится на платформу .NET, где закрыто более двадцати уязвимостей. Часть из них с рейтингом 8.8 даёт возможность выполнить произвольный код; пример - CVE-2026-70174. Другие, с рейтингом 7.3-7.8, повышают права в системе. Отдельная группа ведёт к отказу в обслуживании: приложение перестаёт отвечать на запросы. Есть и уязвимости, через которые раскрывается чувствительная информация.
В .NET Framework закрыто пять уязвимостей. Две из них с рейтингом 8.8 позволяют выполнить произвольный код, ещё одна повышает права, а оставшиеся обходят защитные механизмы. Затронуты версии 3.5, 4.8 и 4.8.1 на разных редакциях Windows. Проблема касается и старых сборок, которые давно не обновляли.
Уязвимости ASP.NET Core
В ASP.NET Core исправлено тринадцать уязвимостей. Здесь выделяется CVE-2026-88092 с рейтингом 9.4: проблема связана с подменой данных, из-за которой приложение принимает изменённый запрос за подлинный. Уязвимость CVE-2026-70188 с рейтингом 9.1 позволяет обойти защитную проверку. Несколько проблем с рейтингом 8.8 и 8.1 ведут к выполнению кода и повышению прав. Остальные вызывают отказ в обслуживании.
Уязвимости Visual Studio Code
Редактор Visual Studio Code получил одиннадцать исправлений. Наивысший рейтинг - 9.6 - у CVE-2026-102238: она позволяет выполнить произвольный код. Рядом стоят CVE-2026-69370 и CVE-2026-70098 с рейтингом 8.8, они дают тот же результат. Часть проблем связана с обходом защитных механизмов, часть - с доступом к чувствительным данным. Редактор часто ставят на машины, где лежат исходники и ключи. Поэтому такие уязвимости открывают путь к компрометации всей цепочки разработки.
Уязвимости компонентов Windows
Отдельно Microsoft исправила компоненты Windows AppX Deployment Service и Deployment Extensions. Они отвечают за установку и развёртывание приложений. Шесть уязвимостей в службе и одна в расширениях связаны с повышением прав и обходом защитных механизмов. Рейтинг колеблется от 4.7 до 8.8. Низкие значения не делают проблемы безобидными: даже средний рейтинг позволяет злоумышленнику закрепиться в системе.
Ещё две уязвимости с рейтингом 8.8 приходятся на Visual Studio. Одна из них проявляется в связке с .NET, вторая - в инструментах Visual Studio Tools для приложений и в SQL Server Management Studio. Первая повышает права, вторая открывает путь к выполнению кода.
Обновления Microsoft
Microsoft подготовила обновления, которые закрывают все перечисленные уязвимости. Установить их нужно как можно скорее, поскольку многие из проблем открывают путь к запуску произвольного кода. Пользователям .NET, ASP.NET Core и .NET Framework нужно перейти на актуальные сборки веток 8, 9, 10 и 11. Для Visual Studio Code достаточно поставить свежую версию редактора. Администраторам сборочных серверов нужно проверить, что обновления применены и там, а не только на рабочих машинах. Сведения о конкретных версиях и обходных мерах собраны на портале Microsoft Security Guidance: https://portal.msrc.microsoft.com/en-us/security-guidance
Большое число исправлений говорит о том, что средства разработки остаются удобной целью. Компромисс одной рабочей станции программиста открывает доступ к исходному коду, ключам подписи и сборочным конвейерам. Поэтому обновление инструментов здесь важнее, чем кажется на первый взгляд.
Ссылки
![[GS-030] RedLine Stealer IOCs](https://1275.ru/wp-content/uploads/2026/09/2dbb17c41a0b30bd4c158a4e4c95fdd9.webp)
