Октябрьские обновления безопасности Microsoft Patch Tuesday 2026 года установили рекорд по числу исправленных уязвимостей. По данным PCWorld, было устранено 1 416 уязвимостей, в то время как Infosecurity Magazine, BleepingComputer и ITdaily сообщают о 1 411. Как отмечает PCWorld, это первый месяц, когда Microsoft преодолел отметку в тысячу исправлений, а также больше, чем за весь 2025 год (чуть более 1 100).
Мнения изданий расходятся и по числу критических уязвимостей. PCWorld насчитал 85, из них 67 связаны с удалённым выполнением кода (RCE). Infosecurity Magazine и ITdaily сообщают о 70 критических уязвимостях и 57 RCE среди них соответственно.
Что принёс Microsoft Patch Tuesday в октябре 2026 года
Исправления затронули Windows, Office, Exchange Server, SQL Server, Hyper-V, Skype for Business, Microsoft Defender,.NET Framework, Visual Studio и облачные сервисы Microsoft. По данным PCWorld, в Windows было отмечено 42 критические уязвимости, из них 30 - RCE. В продуктах Office исправлено 194 уязвимости, включая 25 критических RCE, в Exchange Server - семь, среди которых критическая RCE CVE-2026-70571. Критическая уязвимость повышения привилегий CVE-2026-102866 обнаружена и в SharePoint, и, по данным PCWorld, её можно эксплуатировать без аутентификации пользователя.
Infosecurity Magazine обратил внимание на RCE-уязвимость CVE-2026-70242 в панели предварительного просмотра Outlook с оценкой CVSS 9.8. Сервис Automox пояснил: «Тщательно подготовленное письмо вызывает переполнение буфера в куче при отображении в панели предварительного просмотра Outlook. Получателю не нужно открывать сообщение или совершать какие-либо действия. Никакой аутентификации, никакого взаимодействия с пользователем».
По данным Infosecurity Magazine, рост числа уязвимостей связан с внедрением искусственного интеллекта, в частности технологии MDASH для многократного сканирования. Обновление Microsoft Edge 155.0.4283.45 от 8 октября устраняет 247 уязвимостей в Chromium, которые не учитываются в общем числе.
Эксплуатируемая уязвимость CVE-2026-96951
Одна из исправленных уязвимостей уже активно используется злоумышленниками. Уязвимость CVE-2026-96951 в Windows Shell позволяет обойти защиту Mark of the Web и замаскировать происхождение исполняемого файла из интернета. По данным Infosecurity Magazine, её оценка CVSS составляет 8.8, сложность атаки низкая, а для эксплуатации не требуется аутентификация или предварительные привилегии. Джек Бицер, директор по исследованию уязвимостей компании Action1, отметил: «Злоумышленники могут распространять специально подготовленные файлы через фишинговые письма, мгновенные сообщения или вредоносные сайты, причём для эксплуатации достаточно лишь взаимодействия пользователя».
До выпуска обновлений были известны ещё две уязвимости: CVE-2026-108398 (обход защитных функций.NET Framework) и CVE-2026-92707 (отказ в обслуживании в MessagePack-CSharp).
Окончание поддержки Windows 11 24H2
По данным ITdaily, Windows 11 24H2 Home и Pro получили последнее обновление безопасности, дальнейших обновлений не будет. PCWorld рекомендует перейти на Windows 11 25H2 или 26H2. Последнее обновление получил также Windows Enterprise LTSB 2016, а поддержка Windows 11 23H2 Enterprise и Education завершится после следующего месяца. Обновление для Windows 11 имеет номер KB5127646.
PCWorld сообщает, что программа расширенной поддержки Windows 10 была продлена до 12 октября 2027 года, а по данным ITdaily, частные пользователи могут использовать Windows 10 без оплаты за обновления безопасности до октября 2027 года.
Согласно исследованию компании Socura, 22% британских директоров по информационной безопасности (CISO) брали больничный или отпуск, чтобы избежать Patch Tuesday. Следующий Patch Tuesday запланирован на 10 ноября 2026 года.