Уязвимость в библиотеке архивирования libarchive, которая входит в состав Windows, связана с переполнением буфера в динамической памяти. Удалённый злоумышленник может выполнить на целевой системе произвольный код. Затронуты ветки Windows 10, Windows 11 и Windows Server, включая установки Server Core (минимальный вариант серверной системы без графической оболочки). Библиотека читает и записывает архивы, поэтому подготовленный файл обрабатывается штатными средствами системы, без отдельного архиватора.
Переполнение памяти при разборе архивов и условия атаки
Переполнение буфера в динамической памяти означает запись данных за границы заранее выделенного участка. Подготовленный архив заставляет библиотеку выйти за пределы такого участка при распаковке. Запись в соседние области позволяет подменить служебные данные и направить исполнение в чужой код. Способом эксплуатации в уведомлении названо манипулирование структурами данных. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется - достаточно, чтобы система обработала архив.
Банк данных угроз безопасности информации (BDU) относит уязвимость к критическому уровню. Оценка по CVSS (отраслевая шкала опасности уязвимостей) - 9,8 из 10. Ошибку классифицировали как переполнение буфера в динамической памяти, тип CWE-122, класс - уязвимость кода.
Microsoft подтвердила уязвимость в перечисленных продуктах. Сведений об эксплуатации в реальных атаках пока нет: наличие эксплойта (готового кода, использующего уязвимость) в записи отмечено как "данные уточняются". Публичное раскрытие деталей состоялось 13 октября 2026 года, однако раскрытие деталей не равно применению в атаках.
Исправление выпущено, способ устранения - обновление программного обеспечения. Для каждой ветки в уведомлении указана сборка, ниже которой версия попадает в список уязвимых. Для Windows 10 1809 и Windows Server 2019 это 10.0.17763.9376, для Windows 10 22H2 - 10.0.19045.7807, для Windows 11 23H2 - 10.0.22631.7652. Для Windows 11 24H2 граница проходит по 10.0.26100.9711, для Windows Server 2022 - по 10.0.20348.5761, для Windows 11 26H1 - по 10.0.28000.3231. Остальные номера сборок приведены в уведомлении, там же - ссылка на руководство Microsoft по обновлению для CVE-2026-69639.
Обходных мер в записи нет, поэтому остаётся обновление до названных сборок и отслеживание новых редакций уведомления. Проверить нужно парк рабочих станций и серверов: в списках есть сборки для 32-битных, 64-битных систем и ARM64. Атака не требует учётных данных и участия пользователя, а результат - выполнение произвольного кода, поэтому обновление имеет смысл ставить вне общего графика.
Подтверждённых случаев эксплуатации нет, но уязвимость затрагивает большинство поддерживаемых веток Windows, включая серверные редакции.
Ссылки
- https://bdu.fstec.ru/vul/2026-17305
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69639
