Уязвимость CVE-2026-96951 в Windows Shell даёт злоумышленнику обойти Mark of the Web (MOTW) - отметку, которой Windows помечает файлы, загруженные из интернета, как потенциально небезопасные. Обход снимает предупреждения, на которые полагаются пользователи и защитные механизмы, а Microsoft подтверждает эксплуатацию в реальных атаках. Рейтинг CVSS 3.1 составляет 8,8, уровень опасности по классификации вендора - Important. Исправления затрагивают Windows 10, Windows 11, серверные выпуски Windows Server и почтовый сервис Outlook.
CVE-2026-96951 в Windows Shell обходит Mark of the Web
Как работает обход отметки
Mark of the Web - служебная запись о происхождении файла. На томах NTFS такая отметка хранится в дополнительном потоке данных Zone.Identifier. По ней Windows и прикладные программы определяют, что файл пришёл из недоверенного источника, и обращаются с ним иначе, чем с обычным локальным файлом. Office открывает такой документ в защищённом режиме просмотра, а SmartScreen предупреждает перед запуском скачанного исполняемого файла. Пока отметка на месте, запуск скачанного файла сопровождается предупреждением, а документ открывается не сразу.
Уязвимость относится к классу обхода защитной функции. Связана она с CWE-77 - некорректной нейтрализацией специальных элементов, используемых в команде, то есть с внедрением команд. По описанию Microsoft, злоумышленник без прав в системе обходит защитную функцию Windows Shell по сети. Точный механизм при этом не раскрыт: ни структура файла, ни синтаксис команд в публичных отчётах не описаны.
Обход Mark of the Web сам по себе не запускает код и не даёт контроля над системой. Для эксплуатации нужно, чтобы человек открыл специально подготовленный файл. В сценарии из бюллетеня Microsoft это письмо или мгновенное сообщение с вложением, адресованное конкретному пользователю. Заставить открыть файл злоумышленник не может, поэтому рассчитывает на уговоры и спешку адресата. Аналитики Tenable указывают на те же каналы доставки: электронную почту и мессенджеры.
Эксплуатация и охват систем
Microsoft отмечает эксплуатацию как обнаруженную, а Center for Internet Security подтверждает сообщения вендора о продолжающихся атаках. Кто именно их ведёт, из публичных данных неясно: ни группировки, ни пострадавшие организации, ни инфраструктура кампаний не названы. Приписывать атаки конкретной группе рано, а описания полезной нагрузки без доказательств не годятся на роль индикаторов.
Вектор CVSS описывает атаку как сетевую, с низкой сложностью и без требуемых привилегий. Взаимодействие пользователя при этом обязательно. Влияние на конфиденциальность, целостность и доступность оценивают как высокое, но эти метрики отражают возможный ущерб, а не гарантию того, что каждая попытка эксплуатации обернётся утечкой, порчей данных и простоем сразу.
Под обновление попали Windows 10 и Windows 11 всех поддерживаемых веток, серверные выпуски, включая 2012 R2, 2016, 2019, 2022 и 2025, а также Outlook.com. Поскольку отметка о происхождении применяется и к вложениям, загруженным через почтовый сервис, веб-версия почты тоже вошла в перечень исправлений.
Обновления и защита до установки
Исправление вошло в плановый пакет обновлений Microsoft от 13 октября 2026 года. Администраторам нужно сверить развёртывание с перечнем затронутых продуктов и убедиться, что обновление дошло до устаревших серверных веток, которые часто обновляют в последнюю очередь. Отдельного внимания требуют машины, где почтовые вложения обрабатывают регулярно.
Пока исправление не установлено, риск снижают несколько мер: ограничить открытие вложений из внешних источников; изолировать рабочие места, куда попадают такие файлы; усилить фильтрацию почты и сообщений. Многоуровневая защита вокруг скачанного контента сохраняет смысл, потому что сценарий атаки опирается на действие человека. Пользователей разумно предупредить о письмах и сообщениях с неожиданными вложениями. Правило простое: не открывать то, чего не ждали.
Обходы Mark of the Web остаются востребованным приёмом, поскольку позволяют довести вредоносный файл до пользователя мимо встроенных предупреждений. Октябрьское обновление закрывает конкретный способ обхода, но сам класс уязвимостей не исчезает. Пока одни механизмы помечают файлы как подозрительные, находятся способы снять такие отметки, поэтому своевременная установка исправлений и осторожность с внешними вложениями работают только вместе.
Ссылки
