Три уязвимости в продуктах Microsoft дают злоумышленнику, действующему по сети, возможность выполнить произвольный код. Каждой присвоен критический уровень опасности: 9,8 по CVSS 3.1 и 10 по устаревшей CVSS 2.0. Под удар попадают рабочие станции и серверы с Windows, корпоративные системы обмена сообщениями и почтовый клиент Outlook. Исправления уже вышли, эксплойтов в открытом доступе на момент публикации бюллетеня не зафиксировано.
Три уязвимости Windows и Office с удалённым выполнением кода
Все три проблемы объединяет один признак: по вектору эксплуатации не нужны ни учётная запись, ни действия пользователя. Достаточно доставить на уязвимую систему специально подготовленные данные. Атакующему не требуется находиться в той же сети, что и цель.
Реализация QUIC в Windows допускает выполнение кода
Первая проблема, BDU:2026-16569 (CVE-2026-100219), затрагивает реализацию протокола QUIC в Windows. Это транспортный протокол, который лежит в основе HTTP/3 и применяется для ускорения соединений в браузерах, клиентах и серверных службах. Ошибка относится к классу "использование памяти после освобождения": программа продолжает работать с участком памяти, который уже освобождён, и злоумышленник может подставить туда собственные данные.
Последствие - выполнение произвольного кода с правами уязвимого процесса. Дальнейшее развитие атаки зависит от того, под какой учётной записью работает служба. Список затронутых систем включает Windows 11 версий 23H2, 24H2, 25H2, 26H1 и 26H2 на процессорах x64 и ARM64, а также Windows Server 2022 и Windows Server 2025, в том числе в варианте Server Core.
Уязвимость в очереди сообщений MSMQ затрагивает широкий парк систем
Вторая уязвимость, BDU:2026-16571 (CVE-2026-100202), находится в компоненте Queue Manager службы очереди сообщений Microsoft Message Queuing. Эта служба передаёт сообщения между приложениями и серверами в корпоративных системах, поэтому её часто включают в промышленные и биллинговые контуры. Тип ошибки тот же - использование памяти после освобождения, и результат тоже одинаков: удалённое выполнение кода.
Охват у этой уязвимости шире. Кроме Windows 11 всех актуальных веток и серверных выпусков от Windows Server 2012 до Windows Server 2025, в перечень входят Windows 10 версий 1607, 1809, 21H2 и 22H2, включая 32-битные сборки, а также Windows Server 2016 и 2019. Старые платформы давно не получают новых возможностей, но обновления безопасности для них выходят, и это единственный способ закрыть проблему.
Почтовый клиент Outlook уязвим к повторному освобождению памяти
Третья проблема, BDU:2026-16577 (CVE-2026-97749), связана с почтовым клиентом Microsoft Outlook в составе пакетов Office. Здесь ошибка другого рода - повторное освобождение памяти. Программа дважды освобождает один и тот же участок, и в образовавшуюся брешь можно записать вредоносные данные. Обработка специально сформированного содержимого приводит к выполнению кода.
Затронуты Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024 в 32- и 64-битных редакциях. Поскольку вектор не требует взаимодействия с пользователем, риск повышается для почтовых шлюзов и систем, которые автоматически разбирают вложения и предварительно просматривают письма.
Обновления и порядок действий
Производитель подтвердил все три уязвимости и закрыл их обновлениями. Для Windows 11 24H2 исправленная сборка - 10.0.26100.9711, для Windows 11 23H2 - 10.0.22631.7652, для Windows Server 2022 - 10.0.20348.5761, для Windows Server 2025 - 10.0.26100.33650. Ветки 25H2, 26H1 и 26H2 получают сборки 10.0.26200.9711, 10.0.28000.3231 и 10.0.26300.9711 соответственно. Системы на Windows 10 22H2 и 21H2 нужно поднять до 10.0.19044.7807, на Windows 10 1809 и Server 2019 - до 10.0.17763.9376.
Для Office LTSC 2021 целевая версия - 16.0.14334.20974, для Office LTSC 2024 - 16.0.17932.21056. Подписчикам Microsoft 365 Apps for Enterprise обновление приходит по обычным каналам, но установку лучше проверить вручную: автоматический цикл иногда растягивается на несколько дней.
Если обновление нельзя поставить сразу, ограничьте доступ к службе очереди сообщений на периметре сети и отключите её там, где она не используется. Для QUIC разумно временно запретить входящие соединения по этому протоколу на пограничных узлах. Почтовым шлюзам стоит усилить проверку вложений и отложить автоматический разбор писем от неизвестных отправителей.
Общая картина показывает, насколько closely связаны сетевые компоненты Windows. Одна ошибка в обработке памяти превращает штатную службу в точку входа, а отсутствие требования к учётным данным делает атаку дистанционной и массовой.
Ссылки
- https://bdu.fstec.ru/vul/2026-16569
- https://bdu.fstec.ru/vul/2026-16571
- https://bdu.fstec.ru/vul/2026-16577
- https://www.cve.org/CVERecord?id=CVE-2026-100219
- https://www.cve.org/CVERecord?id=CVE-2026-100202
- https://www.cve.org/CVERecord?id=CVE-2026-97749
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-100219
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-100202
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-97749
