Исправления для Windows устраняют 1159 уязвимостей, и 53 из них получили рейтинг CVSS 9.0 и выше. Это критический уровень по этой шкале. Предварительный вход в систему для эксплуатации большинства проблем не нужен. Часть уязвимостей срабатывает удалённо и без действий пользователя. Под угрозой настольные и серверные редакции: Windows 10, Windows 11 и линейка Windows Server с 2012 по 2025 год. Последствия разные - выполнение произвольного кода, повышение прав, подмена другого пользователя, обход защитных механизмов, подмена данных.
Уязвимости Windows с рейтингом CVSS 9.0 и выше
Типы ошибок в компонентах Windows
Причины разные, но почти все они укладываются в несколько групп. Первая связана с работой памяти. Сюда попали переполнение буфера в стеке и в куче, запись за границами буфера, двойное освобождение и обращение к памяти после её освобождения. Там же целочисленное переполнение, потеря значимости и нарушения при проверке индекса массива. Вторая группа касается доверия к внешним данным. В неё входят неверная проверка криптографической подписи и разыменование указателя, значение которого контролирует злоумышленник. Третья группа связана с сетевым обменом. Из-за несогласованной обработки запросов HTTP появляется возможность сдвигать границы между сообщениями и передавать одни запросы внутри других. Замыкает перечень обход авторизации через ключ, которым управляет пользователь. Такая ошибка и провалы в проверке подписи объясняют главное: для атаки вход в учётную запись не требуется.
Ошибки разбросаны по разным подсистемам Windows, поэтому единого набора условий для всех 53 уязвимостей нет. Самый высокий балл в списке - 9.9 у CVE-2026-94510, она ведёт к повышению прав. Рядом стоит CVE-2026-88092 с оценкой 9.4 и подменой данных. Остальные исправления закрывают уязвимости с меньшими баллами. Использовать их сложнее, однако установку патчей это не отменяет: часть проблем такого уровня применяют в связках, где одна ошибка расширяет возможности другой.
Затронутые версии и риск для серверов
Список продуктов широк. В него попали Windows 10 начиная с версии 1607, Windows 11 от 23H2 до 26H1, а также серверные выпуски с 2012 по 2025 год. Сборки для процессоров x64 и ARM64 затронуты одинаково, установки Server Core тоже в списке. Сильнее всего рискуют системы, открытые в публичные сети: именно к ним применимы удалённые сценарии без участия пользователя. Внутренние рабочие станции уязвимы меньше, но повышение прав и на них расширяет возможности злоумышленника. О случаях реальной эксплуатации в описании не сообщается. Срочность из-за этого не падает: исправления доступны и закрывают весь перечень.
Установка исправлений и изоляция систем
Обновления распространяются через Windows Update и портал Microsoft Security Response Center по адресу https://portal.msrc.microsoft.com/en-us/security-guidance. Там же собраны сведения о каждой уязвимости, порядке установки и временных обходах. Обновить нужно все перечисленные редакции, включая серверные сборки. Если установку на узле приходится откладывать, уберите его из публичного доступа, отключите ненужные сетевые службы и примените обходные меры с портала Microsoft. Для систем, которые нельзя останавливать даже на время перезагрузки, изоляция в отдельном сегменте сети заметно сокращает шансы успешной атаки.
Объём выпуска - 1159 уязвимостей за один цикл. Ошибки затрагивают память, проверку данных и сетевой стек, поэтому одной меры защиты не хватит. Отсутствие обязательной аутентификации при эксплуатации делает установку исправлений основным способом снизить риск.
Ссылки
