Три уязвимости в продуктах Microsoft имеют одинаковую базовую оценку 9,8 по CVSS 3.1. Это критический уровень опасности. Две проблемы связаны с переполнением буфера в динамической памяти Windows, третья - с отсутствием проверки подлинности в облачной платформе Azure App Service for Linux. В каждом случае злоумышленник, работающий по сети, получает возможность выполнить произвольный код. Ни учётные данные, ни действия пользователя для этого не требуются.
Три уязвимости Microsoft с оценкой 9,8
Записи BDU:2026-16735, BDU:2026-16744 и BDU:2026-16747 попали в Банк данных угроз безопасности информации (BDU) с разницей в несколько дней. Все три подтверждены производителем. Пометки об эксплуатации в реальных атаках в карточках нет: статус наличия эксплойта обозначен как "данные уточняются". Первые две проблемы выявили 13 октября 2026 года, третью - 8 октября.
Переполнение буфера при формировании текста
CVE-2026-97814 - переполнение буфера в динамической памяти, которое возникает при обработке текста. Вектор атаки сетевой, привилегии не нужны, участие пользователя тоже не требуется. Достаточно отправить на машину специально сформированные данные. Код выйдет за границы выделенной области памяти и выполнится в обход обычных ограничений. Механизм эксплуатации в описании сводится к манипулированию структурами данных.
Список затронутых систем широкий. Это Windows 10 от ветки 1607 до 22H2 включительно, Windows 11 с 23H2 по 26H2, а также серверные редакции от Windows Server 2012 и 2012 R2 до Windows Server 2025. Отдельно отмечены установки Server Core. Затронуты платформы x64 и ARM64, на части сборок - ещё и 32-битная. Под риск попадают и домашние компьютеры с давно не обновлявшейся системой, и корпоративные серверы, которые годами не выводят из эксплуатации.
Ошибка в реализации QUIC задевает .NET и Visual Studio
Вторая проблема, CVE-2026-105016, тоже связана с переполнением буфера в динамической памяти, но уже в реализации протокола QUIC. Это транспортный протокол поверх UDP, на котором работает HTTP/3. Он ускоряет установку соединения и часто встречается в веб-сервисах и клиентских приложениях. Ошибка в разборе входящих пакетов позволяет удалённому злоумышленнику выйти за пределы буфера и выполнить свой код.
Затронуты не только операционные системы: Windows 11 веток 23H2-26H2 и Windows Server 2022, 2025, но и среда выполнения .NET в версиях 8.0, 9.0, 10.0 и 11.0, а также Visual Studio 2022 и Visual Studio 2026. Периметр получается шире, чем кажется. Библиотеки .NET живут в веб-приложениях, службах и настольных программах. Среда разработки стоит на рабочих станциях инженеров, у которых обычно больше прав и доступов, чем у рядового сотрудника.
Azure App Service for Linux без проверки подлинности
Третья уязвимость, CVE-2026-77900, относится к классу "отсутствие аутентификации для критичной функции". Речь о платформе Azure App Service for Linux, которая разворачивает и администрирует веб-приложения в облаке Microsoft. Критичная функция платформы открыта без проверки подлинности. Любой, кто может достучаться до неё по сети, способен выполнить произвольный код. Конкретные версии в описании не указаны: платформа облачная, её компоненты обновляются на стороне провайдера.
Для владельцев приложений часть ответственности лежит вне их инфраструктуры. Проверить, какая сборка платформы обслуживает конкретную подписку, изнутри нельзя. Остаётся следить за уведомлениями Microsoft и за тем, какие сетевые пути ведут к приложению. Если сервис не должен быть доступен из интернета, его ограничивают частной сетью или списком разрешённых адресов.
Обновления и обходные меры
Для двух уязвимостей Windows исправления доступны. Microsoft публикует их в руководстве по обновлениям вместе с точными номерами сборок для каждой ветки. Администраторам полезно сверяться не с датой патча, а с версией сборки. Текущую сборку проверяют штатными средствами системы, а в домене - через службы централизованного управления обновлениями.
Для .NET актуальные версии - 8.0.32, 9.0.21 и 10.0.14; ветка 11.0 пока существует в статусе кандидата на выпуск. Visual Studio 2022 обновляют до 17.14.42, Visual Studio 2026 - до 18.10.4. Отдельно проверьте контейнеры и серверы сборки. Там среды выполнения часто зафиксированы в образе и не обновляются вместе с хостом.
Все три уязвимости объединяет одно: для атаки не нужны ни пароль, ни клик пользователя, только сетевой доступ. Поэтому оценки и оказались на верхней границе шкалы. Сообщений об эксплуатации пока нет, но переполнение буфера в сетевом стеке и функция платформы, доступная без пароля, относятся к тем ошибкам, которые злоумышленники находят быстро. Пока патчи не установлены, работает только одна мера - сократить число точек, откуда такие системы видны по сети.
Ссылки
- https://bdu.fstec.ru/vul/2026-16735
- https://bdu.fstec.ru/vul/2026-16744
- https://bdu.fstec.ru/vul/2026-16747
- https://www.cve.org/CVERecord?id=CVE-2026-97814
- https://www.cve.org/CVERecord?id=CVE-2026-105016
- https://www.cve.org/CVERecord?id=CVE-2026-77900
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-97814
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-105016
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-77900
