Microsoft закрыла свыше 1400 уязвимостей в октябре: обход Mark of the Web в Windows Shell уже используют в атаках

Коротко о главном

13 октября 2026 года Microsoft выпустила октябрьский Patch Tuesday — свыше 1400 уязвимостей, второй месяц подряд это крупнейший релиз в истории программы. Обход Mark of the Web в Windows Shell (CVE-2026-96951, CVSS 8.8) уже эксплуатируется в атаках. Его стоит закрыть в первые 24–48 часов, остальное — волнами через тестовый контур.

Месяц назад рекордом считались 973 исправления из сентябрьского Patch Tuesday, теперь планка поднялась почти в полтора раза. Для команд эксплуатации это уже не «ещё одно обновление», а нагрузка, которую без выстроенного процесса информационной безопасности и приоритизации по эксплуатируемости не переварить за одно окно обслуживания.

Вторая важная часть октябрьского цикла — сроки поддержки. В эти же дни заканчиваются обновления для Windows 11 24H2 Home и Pro, третий год платных ESU для Windows Server 2012/2012 R2 и поддержка Exchange Server 2016/2019. Если такие системы остаются в парке, их стоит включить в план поддержки и модернизации уже сейчас — следующих патчей для них не будет.

Сколько уязвимостей закрыто и почему цифры расходятся

Точное число зависит от методики подсчёта: BleepingComputer насчитал 1411 уязвимостей (без 348 исправлений, вышедших ранее в октябре), Tenable — 1407 CVE, Rapid7 — 1413 уязвимостей в продуктах Microsoft, из них 1102 только в Windows. Расхождение в несколько единиц обычно связано с тем, учитываются ли сторонние компоненты и переизданные CVE, — для планирования это несущественно.

По разбивке BleepingComputer, больше всего исправлений в классе повышения привилегий (677), затем удалённое выполнение кода (317) и раскрытие информации (254). Критическими помечены около 70 уязвимостей: по данным BleepingComputer — 70, из них 57 RCE; Tenable насчитывает 69 критических. По оценке Tenable, повышение привилегий составляет 47,9% релиза, RCE — 22,3%.

Zero-day этого месяца: Windows Shell и .NET Framework

CVE-2026-96951 — Windows Shell, эксплуатируется в атаках. Уязвимость обхода защитной функции с CVSS 8.8 позволяет обойти метку Mark of the Web: Windows не показывает предупреждение о файле из интернета. По данным Rapid7, для атаки нужно, чтобы пользователь открыл специально подготовленный файл или зашёл на сайт злоумышленника. Такие баги — типичное звено фишинговых цепочек: сам по себе обход MotW не даёт контроля над машиной, но снимает барьер, который должен был остановить запуск вредоносного вложения.

CVE-2026-108398 — .NET Framework, раскрыта публично. Обход защиты с CVSS 8.8, найденный Джеймсом Форшоу из Google Project Zero. Rapid7 уточняет, что атакующему уже нужен плацдарм в системе: регистрация вредоносной .NET-сборки позволяет обойти Windows Defender Application Control (WDAC). Для компаний, которые полагаются на WDAC как на основной барьер против запуска неразрешённого кода, патч обязателен.

BleepingComputer также относит к публично раскрытым отказ в обслуживании в библиотеке MessagePack-CSharp (CVE-2026-92707) — актуально для .NET-сервисов, которые десериализуют MessagePack из недоверенных источников.

Критичные RCE: Active Directory и Exchange

Из массы критических исправлений Tenable и Rapid7 выделяют две уязвимости с оценкой «эксплуатация более вероятна». CVE-2026-70229 — удалённое выполнение кода в доменных службах Active Directory (CVSS 8.1). CVE-2026-70571 — RCE в Exchange Server (CVSS 8.1). Контроллеры домена и почтовые серверы — самые ценные цели в корпоративной сети, поэтому эти два патча идут сразу после zero-day.

Какие сроки поддержки истекают в октябре

Этот блок легко пропустить за цифрами CVE, хотя для части компаний он важнее самих патчей. По данным Rapid7 и BleepingComputer:

• Windows 11 версии 24H2 в редакциях Home и Pro больше не получает обновлений;
• третий, последний год Extended Security Updates для Windows Server 2012 и 2012 R2 истекает 14 октября;
• Office 2021 и Office LTSC 2021 выводятся из поддержки 14 октября;
• Exchange Server 2016 и 2019 теряют поддержку 15 октября, ESU для них нет;
• Windows 10 Enterprise LTSB 2016 уже вне поддержки, а Windows 11 23H2 Enterprise перестанет получать обновления безопасности со следующего месяца.

Особенно чувствителен Exchange: CVE-2026-70571 закрыта сейчас, но следующая подобная уязвимость в Exchange 2016/2019 уже не получит патча.

Что делать командам эксплуатации

Первое — экстренный трек для CVE-2026-96951 на рабочих станциях: 24–48 часов с ускоренной проверкой на пилотной группе. Пока патч не раскатан, усильте фильтрацию вложений и загрузок на почтовом шлюзе и прокси.

Второе — контроллеры домена (CVE-2026-70229) и Exchange (CVE-2026-70571), затем .NET Framework на узлах, где WDAC — часть модели защиты.

Третье — остальной массив волнами через тест и пилот, с планом отката на каждую волну. На объёме 1400+ изменений регрессии вероятнее обычного.

Четвёртое — инвентаризация систем, у которых закончилась поддержка, и план миграции. Регулярный IT-аудит инфраструктуры показывает такие узлы до того, как их найдёт атакующий.

Часто задаваемые вопросы

Сколько уязвимостей закрыл октябрьский Patch Tuesday 2026? Свыше 1400: от 1407 до 1413 в зависимости от методики подсчёта (Tenable, BleepingComputer, Rapid7). Это рекорд, превзошедший сентябрьский релиз.

Какая уязвимость эксплуатируется в атаках? CVE-2026-96951 в Windows Shell — обход Mark of the Web с CVSS 8.8. Для атаки пользователь должен открыть вредоносный файл или зайти на подготовленный сайт.

Что ещё закрыть в первую очередь? RCE в Active Directory (CVE-2026-70229) и Exchange Server (CVE-2026-70571), а также обход WDAC в .NET Framework (CVE-2026-108398).

Что делать, если в парке есть Exchange 2016/2019? Поставить октябрьские обновления и планировать миграцию: по данным Rapid7, поддержка заканчивается 15 октября, ESU нет.

Источники

BleepingComputer — Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days, 13 октября 2026 года.

Tenable — Microsoft's October 2026 Patch Tuesday addresses 1,407 CVEs, 13 октября 2026 года.

Rapid7 — Patch Tuesday, October 2026, 13 октября 2026 года.