Microsoft представила PatchTuesday за октябрь c исправленbtv рекордных 1411 уязвимостей, включая одну активно используемую и две публично раскрытые 0-day. В обновлении устранено 70 критических уязвимостей, 57 из которых связаны с RCE, 11 - с EoP и 2 - с подменой данных, а в части категорий расклад следующий: 677 - EoP, 40 - обход функций безопасности, 317 - RCE, 254 - раскрытие информации, 73 - DoS и 28 - подмена данных. При этом в их число не включено 348 уязвимостей, исправленных ранее в этом месяце в Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server и Microsoft Partner Center. Кроме того, Microsoft объявила о прекращении поддержки Windows 11 (версии 24H2 Home и Pro) и Windows 10 Enterprise LTSB 2016. Ежемесячное обновление безопасности за октябрь 2026 года является последним доступным обновлением для этих версий. Ранее в этом месяце Microsoft также предупредила, что всем использующим Windows 11 23H2 Enterprise, Education и IoT Enterprise, следует обновиться до более новых версий, поскольку начиная со следующего месяца обновления поступать не будут. Текущий PatchTuesday закрывает следующие активно используемые 0-day: - CVE-2026-96951: уязвимость обхода функцию защиты Mark of the Web в Windows. Неправильная нейтрализация специальных элементов, используемых в команде («внедрение команд») в оболочке Windows позволяет неавторизованному злоумышленнику обойти функцию безопасности по сети. Никаких подробностей о том, как злоумышленники использовали уязвимость и кто её раскрыл, Microsoft не сообщает. - CVE-2026-108398: уязвимость обхода функций безопасности .NET Framework, позволяющая обходить защиту и запускать несанкционированные приложения. Microsoft заявляет, что ненадежный путь поиска в .NET Framework позволяет авторизованному злоумышленнику бойти ограничения контроля приложений Windows Defender и выполнить код внутри защищаемого процесса. Взаимодействие с пользователем не требуется. Аутентифицированный злоумышленник может разместить специально созданную сборку .NET в уязвимой системе и зарегистрировать её для загрузки защищённым процессом. Джеймс Форшоу из проекта Google Project Zero обнаружил проблему. - CVE-2026-92707: уязвимость типа DoS в MessagePack-CSharp. Неправильно контролируемое последовательное выделение памяти в .NET позволяет неавторизованному злоумышленнику блокировать доступ к сервису по сети. Microsoft не упоминает, кто раскрыл информацию об уязвимости. В связи с рекордным количеством обнаруженных уязвимостей, Microsoft также представила новый метод, позволяющий пользователям расставлять приоритеты в ходе обновлений, группируя взаимосвязанные уязвимости в так называемые «группы риска». В рамках текущего PatchTuesday Microsoft опубликовала данные по 15 группам рисков (PDF), в том числе: - Выявлено 136 уязвимостей, затрагивающих файловые системы, хранилище и резервное копирование Windows. - 135 уязвимостей, связанных с Office и почтовыми клиентами. - 131 уязвимость, затрагивающая графику, мультимедиа и обработку контента в Windows. - 109 уязвимостей, затрагивающих границы привилегий ядра и ядра Windows. - 103 уязвимости, затрагивающие службы установки, развертывания и обновления Windows. Microsoft отмечает, что эти группы не обязательно указывают на то, какие уязвимости являются наиболее опасными, поскольку реальный риск зависит от того, используются ли они в атаках, от их серьезности и от того, как организация использует затронутое ПО. Полное описание каждой уязвимости и затронутых ею систем - здесь.