Уязвимость в стеке TCP/IP Windows угрожает миллионам устройств: переполнение буфера позволяет захватить контроль удалённо

В Банк данных угроз безопасности информации (BDU) была внесена запись о новой критической уязвимости в операционных системах Microsoft, получившей идентификаторы BDU:2026-08213 и CVE-2026-42904. Проблема кроется в реализации протокола TCP/IP, который является фундаментом для любого сетевого взаимодействия в Windows. Иными словами, эта уязвимость затрагивает практически все версии системы, выпущенные за последние четырнадцать лет.

Детали уязвимости

Почему эта новость важна для каждого, кто использует Windows? Дело в том, что уязвимость позволяет удалённому нарушителю повысить свои привилегии на атакуемом устройстве. В терминах безопасности это означает, что злоумышленник, не имея пароля или доступа к учётной записи, может получить полный контроль над компьютером или сервером. Он сможет выполнять произвольный код, устанавливать вредоносное ПО, украсть данные или использовать систему как плацдарм для атаки на другие устройства внутри сети. Учитывая, что протокол TCP/IP используется для любого сетевого обмена - от отправки электронной почты до подключения к интернет-сайтам, - вектор атаки крайне широк.

Какие именно версии попали в зону риска? Список внушительный: Windows 11 начиная с версии 23H2 и заканчивая предварительной сборкой 26H1, Windows 10 от версии 1607 до 22H2, а также серверные редакции: Windows Server 2012, 2012 R2, 2016, 2019, 2022 и 2025. Важно отметить, что среди уязвимых продуктов присутствуют установки Server Core - урезанные варианты серверной ОС без графического интерфейса, которые часто используются для ресурсоёмких задач. Это значит, что под удар попадают и критически важные инфраструктурные компоненты. Другими словами, атаке подвержены не только пользовательские ноутбуки, но и контроллеры доменов, файловые хранилища и облачные узлы.

В чём техническая суть проблемы? Уязвимость относится к типу CWE-122, то есть переполнение буфера в динамической памяти. Говоря простым языком, при обработке определённых пакетов данных программа пытается записать в выделенную область памяти больше информации, чем она может вместить. Это приводит к повреждению соседних участков памяти, где могут храниться служебные данные системы. Искусно манипулируя такими пакетами, злоумышленник может перехватить поток выполнения кода и заставить систему выполнить его собственные инструкции. Причём для этого не требуются никакие учётные данные - атака может быть проведена без аутентификации.

Базовый вектор уязвимости по шкале CVSS третьей версии составляет 9,6 балла из десяти возможных. Это критический уровень опасности. Для сравнения: большинство уязвимостей, которые закрывают в ежемесячных обновлениях Microsoft, получают оценку от 7 до 8,9. Оценка 9,6 означает, что атака не требует сложных условий, а её последствия максимальны. Вектор показывает, что для эксплуатации достаточно доступа к сети, к которой подключено целевое устройство (AV:A - Attack Vector Adjacent Network). То есть злоумышленник должен находиться в той же локальной сети (например, подключиться к корпоративному Wi-Fi). Однако при наличии дополнительных техник, таких как обман маршрутизации или использование публичных точек доступа, граница сети может быть расширена.

Почему же оценка столь высока? Потому что CVSS 3.1 учитывает влияние на конфиденциальность, целостность и доступность данных. Все три параметра в данном случае оценены как высокие. Это значит, что успешная атака ведёт к полной компрометации системы: злоумышленник может читать, изменять и удалять любые файлы, а также делать устройство недоступным для легитимных пользователей. Кроме того, вектор указывает на распространение ущерба (Scope Changed) - атака может затронуть ресурсы, выходящие за пределы первоначальной жертвы. Например, через скомпрометированный сервер можно проникнуть в другие системы в той же сети.

Какие последствия могут наступить для организаций? Самое очевидное - утечка конфиденциальных данных. Если атакующий получит контроль над сервером, он сможет скопировать базы данных, файлы проектной документации, финансовые отчёты. Не менее опасен сценарий, при котором злоумышленник использует сервер для установки программ-шифровальщиков (ransomware). В таком случае компания может столкнуться с длительным простоем и выкупом. Учитывая, что атака не требует аутентификации, защититься от неё только паролями и настройками доступа невозможно. Требуется именно обновление программного обеспечения.

Производитель уже подтвердил статус уязвимости и выпустил исправления. Согласно информации, опубликованной в бюллетене Microsoft, уязвимость устранена. Специалистам по информационной безопасности следует немедленно установить соответствующие обновления на все уязвимые системы. Приоритет стоит отдать серверам, которые обрабатывают внешние сетевые подключения, а также устройствам, подключённым к общедоступным Wi-Fi-сетям. Особое внимание нужно уделить системам с установленной ролью Server Core, так как на них обновления часто устанавливаются с задержкой.

Наличие эксплойта на данный момент остаётся под вопросом - в карточке BDU указано "данные уточняются". Однако высокая оценка опасности и широкая распространённость Windows делают эту уязвимость привлекательной мишенью для создателей вредоносного ПО. Даже если публичного эксплойта ещё нет, злоумышленники могут разрабатывать его на основе анализа патча. Поэтому промедление с установкой обновлений крайне рискованно.

Подводя итог: любая организация, использующая Windows в корпоративной сети, должна провести инвентаризацию версий системы и в кратчайшие сроки применить патчи от Microsoft. Домашним пользователям также стоит обновить свои устройства через Центр обновлений Windows. Учитывая, что уязвимость затрагивает версии системы, начиная с Windows Server 2012 (который уже вышел из официальной поддержки), владельцам устаревших систем следует рассмотреть возможность апгрейда или приобретения платных расширенных обновлений безопасности. Игнорирование этой угрозы может привести к серьёзным финансовым и репутационным потерям.

Детали уязвимости

Ссылки