Почти 180 уязвимостей в продуктах Microsoft Office получили исправления. Проблемы затрагивают Word, Excel, Outlook, PowerPoint, Access, Visio, OneNote и SharePoint. В тот же список попали оболочка Windows, облачное хранилище Azure Key Vault, механизм установки Click-to-Run, Skype for Business и Azure DevOps. Последствия разнятся: выполнение произвольного кода, повышение прав, раскрытие конфиденциальных сведений, отказ в обслуживании. Чтобы атака сработала, злоумышленнику нужно убедить человека открыть подготовленный файл или перейти по ссылке. Об одной уязвимости, CVE-2026-96951, Microsoft пишет, что её уже применяют ограниченно и целенаправленно.
Исправления в Office, SharePoint и Azure Key Vault
Офисные приложения и запуск кода
Больше всего проблем сосредоточено в приложениях, с которыми люди работают каждый день. В Outlook закрыто пять уязвимостей с рейтингом CVSS 9,8, и каждая допускает выполнение произвольного кода. Такой же максимум встречается в Word, PowerPoint и в элементе управления Rich Text Edit для Windows, который отвечает за вывод форматированного текста.
Большинство уязвимостей дают о себе знать при разборе файла. Переполнение буфера, обращение к уже освобождённой памяти, выход за границы массива, ошибки в подсчёте целых чисел - всё это приводит к тому, что содержимое документа начинает исполняться как код. Атакующему достаточно, чтобы жертва открыла вложение с подготовленными данными.
Часть исправлений закрывает уязвимости другого типа. В списке встречаются обход ограничений на пути к файлам за пределами разрешённого каталога и внедрение команд. Есть десериализация недоверенных данных, ошибки при проверке криптографической подписи, состояние гонки и слабая аутентификация. Такие уязвимости чаще ведут к раскрытию данных или к повышению прав, а не к запуску кода.
Excel, Access, Visio и OneNote тоже получили исправления. В Excel десятки уязвимостей допускают и выполнение кода, и доступ к конфиденциальным сведениям. Ошибки в Access связаны преимущественно с запуском кода. В Visio и OneNote уязвимостей меньше, и почти все они позволяют выполнить произвольный код.
SharePoint и повышение прав
SharePoint получил самую длинную часть бюллетеня - свыше тридцати уязвимостей. Преобладают повышение прав и подмена пользователя: злоумышленник выдаёт себя за другого сотрудника и получает доступ к документам, спискам и настройкам сайта. Часть проблем связана с внедрением SQL-кода (SQL-инъекцией) и межсайтовым скриптингом, то есть подстановкой чужого сценария в страницу. Ещё один сценарий - подделка серверных запросов: сервер по указанию атакующего обращается к внутренним ресурсам сети, которые обычно недоступны снаружи. Несколько уязвимостей здесь имеют рейтинг 8,8.
Оболочка Windows и уже используемая уязвимость
Единственная уязвимость, о применении которой Microsoft знает, - CVE-2026-96951 в оболочке Windows. Она позволяет обойти защитные механизмы и имеет рейтинг 8,8. По словам компании, атаки носят ограниченный и целенаправленный характер. Публичного эксплойта (вредоносного кода, эксплуатирующего уязвимость) нет, а для успеха нужна социальная инженерия. Такой набор признаков встречается в точечных кампаниях против конкретных организаций, а не в массовом вредоносном ПО.
Azure Key Vault и корпоративные сервисы
За пределами офисных приложений исправления касаются Azure Key Vault, облачного хранилища секретов и ключей шифрования. Три уязвимости в нём допускают обход защитных механизмов, повышение прав и доступ к конфиденциальным данным. В Skype for Business и Microsoft Lync уязвимости позволяют выполнять код и повышать права. В Azure DevOps одна уязвимость открывает доступ к чувствительной информации. Механизм установки Click-to-Run получил два исправления, и оба связаны с повышением прав.
Установка обновлений
Обновления Microsoft распространяет через Microsoft Update, каталог обновлений и корпоративные системы управления исправлениями. Администраторам имеет смысл сверить сборки Office с теми, что перечислены в бюллетене, и в первую очередь обновить рабочие места, куда попадают файлы извне. Обходных мер компания не приводит. Сведения об установке и возможных обходных мерах собраны на портале MSRC (Microsoft Security Response Center, подразделение Microsoft по реагированию на проблемы безопасности) по адресу https://portal.msrc.microsoft.com/en-us/security-guidance.
Бюллетени Office выходят каждый месяц, и объём этого набора не выделяется на фоне предыдущих. Выделяется он другим: одна из уязвимостей уже используется в атаках, а исправления затрагивают не только сами приложения, но и оболочку системы, хранилище ключей и серверные сервисы. Пока обновления не установлены, уровень риска для организации определяет то, насколько свободно её сотрудники открывают вложения и внешние ссылки.
Ссылки
