SecAtor

Microsoft выпустила PatchTuesday за сентябрь 2026 года, в рамках которого выпущены обновления безопасности для рекордного количества уязвимостей - 966, включая две активно используемые 0-day (странно, что только две при учете общего количества исправленных ошибок). В целом устранено 105 критических уязвимостей, 81 из которых представляют собой RCE, 20 - EoP, 2 - раскрытие информации и 1 - обход функций безопасности. Если по категориям, то 438 связаны с повышением привилегий, 19 - обходом функции безопасности, 258 - RCE, 173 - раскрытием информации, 56 - DoS, 16 - подменой данных. И все это без учета 204 уязвимостей, исправленных ранее в этом месяце, в том числе в Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, Microsoft Edge (на основе Chromium), Microsoft Fabric и Power Automate. Сентябрьский PatchTuesday стал самым масштабным за всю историю Microsoft, значительно превзойдя по этому показателю другие крупные релизы, включая 570 уязвимостей в июле и 400 - в августе. Все это стало возможным благодаря системе обнаружения уязвимостей на основе ИИ. В рамках PatchTuesday за сентябрь 2026 года были устранены следующие активно используемые нули: - CVE-2026-81963: уязвимость повышения привилегий, активно используемую злоумышленниками, которая позволяла получить системные привилегии в стеке обновлений Windows. Некорректное разрешение ссылок перед доступом к файлу («переход по ссылке») в стеке обновлений Windows позволяет авторизованному злоумышленнику повысить привилегии локально. Обнаружение приписывается Ромену Деперну и Microsoft MSTIC. Подробности о том, как именно эта уязвимость была использована в атаках, не разглашаются. - CVE-2026-85880: уязвимость в протоколе Windows Advanced Local Procedure Call (ALPC), которая использовалась в атаках для получения привилегий SYSTEM. Переполнение буфера в куче в Windows ALPC позволяет авторизованному злоумышленнику повысить привилегии локально. Компания Microsoft не предоставила никаких подробностей о том, как эта уязвимость была использована в атаках. Уязвимость была обнаружена Volexity, а также Марком Келли, Дэвидом Галазином и Джереми Хеджесом из Proofpoint. Полное описание каждой уязвимости и затронутых ею систем - здесь.