Две уязвимости в продуктах Microsoft дают возможность поднять права в системе, ещё одна раскрывает содержимое защищённых файлов. Проблемы затрагивают серверную часть Configuration Manager, Windows Defender и Defender for Endpoint для Linux. Обновления доступны для Configuration Manager версий 2503, 2509 и 2603, а также для обеих веток Defender. Следов эксплуатации в реальных атаках нет, публичных средств эксплуатации тоже.
Три уязвимости в Configuration Manager и Defender
Все три проблемы объединяет одно условие: атакующему нужны хотя бы минимальные права в системе. Анонимно их не эксплуатируют, готовых эксплойтов (средств автоматической эксплуатации) в открытом доступе не появилось. Microsoft оценивает вероятность эксплуатации как невысокую, а метка NCSC у всех трёх - WHITE, то есть без признаков активности злоумышленников.
Внедрение SQL-кода в Configuration Manager
Наибольшую оценку получила CVE-2026-88075 - 8,8 балла по шкале CVSS, высокая степень опасности. Речь о внедрении SQL-кода (SQL-инъекция): продукт подставляет в запрос к базе данные, не проверяя служебные символы. Злоумышленник добавляет в такой запрос собственные конструкции, и база выполняет чужие команды вместо ожидаемых.
Атака идёт по сети, но только от того, кто уже прошёл проверку подлинности. Под это описание подходит и рядовой сотрудник с доменной учётной записью, и служебный аккаунт, который достался атакующему. Успех даёт повышенные права, а вектор CVSS показывает высокий ущерб по всем трём составляющим: конфиденциальности, целостности и доступности.
Configuration Manager доставляет обновления, политики и приложения сразу на весь парк машин. Права, добытые на его сервере, распространяются дальше по сети, поэтому ошибка в серверной части весит больше, чем следует из одной лишь оценки. Впрочем, нидерландский центр по кибербезопасности NCSC поставил ей скромные 5,8 балла.
Повышение прав в Defender for Endpoint для Linux
У CVE-2026-102204 оценка 7,8. Здесь работает подмена ссылок: продукт открывает файл, не проверяя, куда ведёт указанный путь. Если ссылку подменить, служба защиты обратится к чужому объекту, и локальный пользователь с обычными правами получит контроль над действиями, которые ему недоступны.
Получается, что средство защиты само помогает выйти за рамки своих прав. Для Linux-серверов это неприятный сценарий: такие машины часто стоят в узлах сборки, базах данных и системах управления. Сотрудник с учётной записью и доступом к серверу способен развить атаку дальше и закрепиться на соседних узлах.
Windows Defender и раскрытие данных
Третья уязвимость оценивается в 5,5 балла и опирается на ту же механику с подменой ссылок. Отличие в результате: права не растут, зато раскрывается содержимое файлов, которые пользователю видеть не положено. Проблема локальная, сначала нужно получить доступ к машине, поэтому практический риск ниже, чем у двух предыдущих, и относится скорее к средней категории.
Что делать администраторам
Исправления доступны для скачивания. Для Configuration Manager они вышли для версий 2503, 2509 и 2603, для Windows Defender в материалах Microsoft указана сборка 1.1.26090.9, ветка Defender for Endpoint для Linux тоже получила исправленный пакет. Ссылки на пакеты собраны в Microsoft Security Update Guide на портале portal.msrc.microsoft.com.
Если установка откладывается, сократите число учётных записей с доступом к серверу Configuration Manager и снимите лишние права со служебных аккаунтов. На Linux-серверах и рабочих станциях с Windows Defender ограничьте локальный доступ: уязвимости этого типа срабатывают только из-под уже авторизованного пользователя.
Инструменты управления парком машин притягивают внимание не случайно. Ошибка в серверной части Configuration Manager открывает путь сразу к тысячам узлов, а службы защиты конечных точек работают с максимальными правами, поэтому подмена ссылки в них даёт несоразмерный эффект. Две уязвимости из трёх оцениваются выше семи баллов, и установка обновлений остаётся самым коротким способом закрыть тему.
Ссылки
