Четыре уязвимости в продуктах Microsoft, о которых стало известно 15 октября 2026 года, позволяют выполнять код на сервере SharePoint, останавливать веб-сервисы на платформе .NET, получать учётные данные приложений и пользоваться чужими токенами доступа. Самая высокая оценка - 8.8 балла по шкале CVSS (общая система оценки уязвимостей) - у проблемы в SharePoint Server Subscription Edition. Три остальные классифицированы вендором как Important, то есть средняя или высокая степень опасности в зависимости от условий. Сведений о том, что эти уязвимости уже применяют в реальных атаках, нет.
Четыре уязвимости в наборе исправлений Microsoft
Все четыре проблемы перечислены в бюллетене безопасности Microsoft от 15 октября, исправления вышли в тот же день. Две уязвимости затрагивают сетевые сервисы и библиотеки, ещё две связаны с механизмами аутентификации. Публичного кода для эксплуатации на момент публикации не существует, а вероятность практического использования Microsoft оценивает как низкую для каждого случая. При этом продукты затронуты массовые: SharePoint, Visual Studio и пакеты .NET работают в корпоративных сетях и на машинах разработчиков.
SharePoint допускает выполнение кода через обход каталога
Проблема с идентификатором CVE-2026-108452 связана с обходом пути (path traversal), то есть с неправильной проверкой пути к каталогу. Приложение не ограничивает должным образом, к каким каталогам обращается пользователь, поэтому авторизованный атакующий может выйти за отведённые границы и запустить свой код на сервере. Оценка 8.8 отражает высокие последствия по всем трём параметрам: конфиденциальности, целостности и доступности данных.
Затронуты все сборки SharePoint Server Subscription Edition младше 16.0.20326.20190. Учётная запись в системе атакующему всё же нужна, поэтому внешний злоумышленник сам по себе до сервера не дотянется. Однако SharePoint обычно развёрнут внутри корпоративной сети, и доступ к нему есть у сотен сотрудников. Любой обладатель даже минимальных прав, включая скомпрометированную учётную запись, получает возможность закрепиться на сервере, где лежат корпоративные документы, и развивать атаку дальше внутрь инфраструктуры.
Visual Studio и .NET уязвимы к откату в обслуживании
Вторая проблема, CVE-2026-109468, связана с ASP.NET Core и выделением ресурсов без ограничений и без управления частотой запросов. Атакующему не нужны ни учётная запись, ни действия со стороны пользователя: он отправляет поток запросов, память и вычислительные ресурсы заканчиваются, и сервис перестаёт отвечать. Оценка 7.5. Затронуты Visual Studio 2022 версии 17.14 младше 17.14.42 и Visual Studio 2026 версии 18.10 младше 18.10.4.
Тот же дефект присутствует в пакете System.Formats.Cbor, который отвечает за разбор компактного формата данных и работает на .NET 8, 9 и 10. Исправленные сборки - 8.0.1, 9.0.21 и 10.0.13. Библиотеку применяют не только в среде разработки, но и в серверных приложениях, поэтому последствия шире, чем остановка редактора кода. Атака на сервис, собранный на этой платформе, приводит к недоступности сайта или внутренней системы - а без ограничения частоты запросов злоумышленнику даже не нужно угадывать пароли или подбирать уязвимость заново.
Библиотеки аутентификации отдают учётные данные и токены
Две уязвимости касаются средств аутентификации, и обе получили статус Important. В Microsoft Authentication Library для Node.js (Microsoft Identity Client for NodeJS) до версии 7.1.0 обнаружена ошибка проверки источника, из-за которой приложение может раскрыть учётные данные. Оценка 5.9. Условий для успеха два: приложение должно использовать определённый шаблон обработки входа и полагаться на автоматический поиск центра авторизации вместо заранее заданных метаданных. Если оба совпали, атакующему не нужны ни учётная запись, ни действия пользователя.
В библиотеке microsoft-identity-web до версии 3.16.0 нашлась другая ошибка - CVE-2026-80092. Здесь приложение доверяет данным, которые считает неизменяемыми, и на этом основании пропускает проверку подлинности. Злоумышленнику требуется доступ к приложению и низкие права, зато при успехе он забирает токен доступа другого пользователя из общего кэша и работает от его имени: читает почту, открывает файлы, обращается к внутренним интерфейсам в пределах чужих разрешений. Оценка 5.3, тип угрозы - повышение привилегий. То есть права атакующего формально не растут, но возможности становятся такими же, как у законного владельца токена.
Что сделать администраторам и разработчикам
Обходных мер Microsoft не предложила, доступны официальные исправления. SharePoint Server Subscription Edition обновляют до 16.0.20326.20190; Visual Studio 2022 - до 17.14.42, Visual Studio 2026 - до 18.10.4. Пакеты System.Formats.Cbor поднимают до 8.0.1, 9.0.21 и 10.0.13 в зависимости от ветки .NET. Microsoft Identity Client for NodeJS обновляют до 7.1.0, microsoft-identity-web - до 3.16.0. Тем, кто не может обновиться сразу, имеет смысл проверить, где именно применяются уязвимые библиотеки: зависимость могла прийти транзитивно, вместе с другим пакетом, и остаться незамеченной. В приложениях на Node.js стоит также задавать метаданные центра авторизации явно, а не полагаться на автоматическое обнаружение.
Ситуация характерна для осенних наборов исправлений Microsoft: серьёзные по последствиям уязвимости требуют от атакующего либо действующей учётной записи, либо совпадения конфигурации. Быстрой массовой кампании на их основе не получится. Основная работа ложится на администраторов и разработчиков, а без обновления серверов и библиотек уязвимости остаются в рабочей среде и ждут своего момента.
Ссылки
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108452
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-109468
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-109461
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-80092
- https://www.cve.org/CVERecord?id=CVE-2026-108452
- https://www.cve.org/CVERecord?id=CVE-2026-109468
