Microsoft выпустила обновления, устраняющие более 1400 уязвимостей в операционных системах Windows и других программах компании. Это значительно больше предыдущего рекорда — почти 1000 исправлений. Тогда этот объём уже примерно в десять раз превышал обычное количество ежемесячных обновлений безопасности Microsoft.
Среди устранённых проблем одна считается уязвимостью нулевого дня — то есть её уже использовали в реальных атаках. CVE-2026-96951 позволяет обходить механизмы безопасности Windows Shell и затрагивает Windows 10 и 11, а также некоторые версии Windows Server.
Пользователи Windows 10 могут рассчитывать на получение обновлений безопасности. Microsoft планировала прекратить выпуск обновлений для этой системы, но после критики продлила бесплатную поддержку на год. Позже компания добавила ещё один год поддержки.
Как минимум 78 исправленных уязвимостей имеют критический уровень опасности: их можно использовать, приложив мало усилий или вовсе без участия пользователя. Большинство критических уязвимостей позволяют злоумышленнику запускать произвольный код на уязвимой системе.
Microsoft сообщила, что пока не обнаружила признаков эксплуатации другой уязвимости — CVE-2026-108398, позволяющей обходить механизмы безопасности .NET Framework. Однако о ней стало известно публично до выхода обновлений, поэтому у злоумышленников могло быть время изучить способ атаки.
Сатнам Наранг из Tenable отметил, что число исправленных уязвимостей намного превышает прежний рекорд: в 2020 году Microsoft устранила 1261 уязвимость CVE.
«Мы уже перешли отметку в 4000 CVE», — сказал Наранг.
Microsoft связывает большое количество обнаруженных ошибок с развитием больших языковых моделей. Вероятно, инструменты искусственного интеллекта помогли найти многие из уязвимостей, для устранения которых выпущены исправления.
Эксперты по безопасности предупреждают, что необычно крупные пакеты обновлений создают дополнительную нагрузку на корпоративные команды безопасности. Перед развёртыванием обновлений в сети им часто приходится проверять их по отдельности, чтобы убедиться, что исправления не нарушат работу других программ.
Тайлер Регули, заместитель директора по исследованиям и разработке в области безопасности компании Fortra, отметил: в каталоге известных эксплуатируемых уязвимостей KEV, который ведёт Агентство кибербезопасности и защиты инфраструктуры США (CISA), числятся 26 уязвимостей Microsoft. По его мнению, командам безопасности стоит в первую очередь установить исправления для них.
«Руководителям служб безопасности следует сосредоточиться на рисках, связанных с возможностью эксплуатации уязвимостей, и оценить, достаточно ли у их команд ясности, ресурсов и поддержки для действий», — сказал Регули.
Для оценки других уязвимостей, требующих особого внимания, Cisco Talos подготовила обзор наиболее значимых проблем, устранённых Microsoft. Центр интернет-безопасности SANS также публикует обзор с сортировкой уязвимостей по уровню опасности, номеру CVE и затронутому программному обеспечению.