Коротко о главном
Вчера 13 октября 2026 года Microsoft выпустила самый крупный Patch Tuesday в своей истории. В один день компания закрыла 1411 уязвимостей, включая:
- Одну активно эксплуатируемую zero-day CVE-2026-96951.
- Две публично раскрытые zero-day CVE-2026-108398 и CVE-2026-92707.
- 70 критических уязвимостей, из которых 57 удалённое выполнение кода (RCE).
Предыдущий рекорд был установлен всего месяцем ранее в сентябре 2026 года Microsoft исправила 974 уязвимости. Октябрьский показатель превысил его более чем на 400. По оценке Talos, рост связан с тем, что Microsoft всё активнее использует искусственный интеллект для поиска уязвимостей в своих продуктах.
Для администраторов это означает одно: объём патчей небывалый, и планировать раскатку нужно особенно тщательно. В этой статье разберём, что именно исправлено, какие угрозы наиболее серьёзны, какие риски регрессий уже известны и как выстроить приоритеты.
Активно эксплуатируемая zero-day: CVE-2026-96951
Самая опасная уязвимость месяца CVE-2026-96951 затрагивает Windows Shell и уже используется злоумышленниками в реальных атаках. Это обход функции безопасности (Security Feature Bypass), связанный с неправильной обработкой специальных символов в командах.
В чём суть
Уязвимость позволяет обойти Mark of the Web (MotW) механизм Windows, который помечает файлы, скачанные из интернета, как потенциально небезопасные и применяет к ним дополнительные ограничения. Многие последующие средства защиты зависят от того, что этот флаг установлен корректно.
Атакующий может использовать социальную инженерию через электронную почту или сообщения чтобы убедить жертву открыть специально созданный файл. После этого MotW обходится, и вредоносный код может запуститься с меньшим количеством предупреждений.
CVSS-оценка: 8.8 из 10.
Важно: это уже третий случай эксплуатации Windows Shell в 2026 году. Аналогичные уязвимости (CVE-2026-21510 и CVE-2026-32202) были закрыты в феврале и апреле 2026 года.
Что делать
Обновление KB5127648 для Windows 11 (24H2, 25H2, 26H2) и KB5126657 для Windows 10 закрывают эту уязвимость. Для администраторов это приоритет номер один патч нужно раскатать вне очереди, не дожидаясь планового цикла.
Две публично раскрытые zero-day
Помимо активно эксплуатируемой уязвимости, Microsoft закрыла ещё две zero-day, которые были публично раскрыты до выхода патча, но не имели подтверждённой эксплуатации.
CVE-2026-108398: обход WDAC в .NET Framework
Затрагивает: .NET Framework.
CVSS-оценка: 8.8.
Суть: аутентифицированный атакующий может обойти Windows Defender Application Control (WDAC) механизм, ограничивающий запуск неподписанного кода. Для эксплуатации нужно разместить специально созданную сборку .NET на уязвимой системе и загрузить её через защищённый процесс. Взаимодействие с пользователем не требуется.
Почему это важно: WDAC используется в корпоративных средах для блокировки неавторизованного ПО. Обход этой защиты открывает путь для запуска вредоносного кода на системах, которые считались защищёнными.
CVE-2026-92707: отказ в обслуживании через MessagePack-CSharp
Затрагивает: библиотеку MessagePack-CSharp.
Суть: удалённый атакующий может вызвать отказ в обслуживании (DoS) через неконтролируемое последовательное распределение памяти. Уязвимость позволяет «уронить» сервис или приложение, использующее MessagePack-CSharp.
Что нужно знать: если вы используете MessagePack-CSharp в своих приложениях или сервисах обновление обязательно.
Масштаб: 1411 уязвимостей по категориям
Общее число исправленных уязвимостей 1411. Из них:
| Категория | Количество |
|---|---|
| Повышение привилегий (EoP) | 677 |
| Удалённое выполнение кода (RCE) | 317 |
| Раскрытие информации | 254 |
| Отказ в обслуживании (DoS) | 73 |
| Обход функций безопасности | 40 |
| Подмена (Spoofing) | 28 |
| Критические | 70 |
Важно: 1411 это только то, что вышло в сам Patch Tuesday. Если учесть уязвимости, исправленные ранее в октябре (в Azure, Exchange Server, Microsoft Bookings и других продуктах), общее число превысит 1750.
Почему так много
Microsoft продолжает использовать искусственный интеллект для обнаружения уязвимостей. В 2026 году компания уже не раз заявляла, что ИИ помогает находить больше проблем быстрее, чем традиционные методы аудита. Это объясняет, почему рекорды Patch Tuesday обновляются почти каждый месяц: сентябрь 974, октябрь 1411.
Затронутые продукты: что патчить в первую очередь
Октябрьские обновления затрагивают 301 продукт и компонент. Вот основные категории и наиболее уязвимые продукты по количеству CVE:
| Продукт | Количество CVE |
|---|---|
| Microsoft Office Excel | 69 |
| Роль: DNS Server | 52 |
| Windows Kernel | 46 |
| Windows Installer | 38 |
| Windows Win32 Kernel Subsystem | 36 |
| Microsoft Office SharePoint | 34 |
| Microsoft Windows Search Component | 29 |
| Windows NTFS | 26 |
| .NET | 25 |
| Microsoft Office Word | 22 |
| SQL Server | 22 |
| Windows Error Reporting | 22 |
Также затронуты: Exchange Server, Skype for Business / Lync, Dynamics, Azure-сервисы, Defender, инструменты разработки (.NET, Visual Studio) и сам Linux Kernel (в рамках WSL).
Что это значит для приоритизации
Excel с 69 уязвимостями самый уязвимый продукт месяца. Если в вашей организации активно используются макросы или обработка внешних таблиц, это приоритет. DNS Server с 52 уязвимостями критично для инфраструктурных команд. Windows Kernel и Win32 Subsystem базовая система, патчи обязательны для всех.
Новый механизм приоритизации: risk cohorts
Учитывая рекордный объём, Microsoft впервые представила риск-когорты (risk cohorts) новый способ группировки уязвимостей для более быстрой приоритизации.
Что это такое
Вместо группировки по типу уязвимости или оценке CVSS, Microsoft сгруппировала 1118 уязвимостей в 15 когорт на основе общих вопросов оценки среды. Идея в том, что администратор отвечает на несколько вопросов о своей инфраструктуре и сразу понимает, какие группы патчей для него критичны, а какие можно отложить.
Важные оговорки
- Когорты это предварительный инструмент, а не новая классификационная система.
- Они не появятся в Security Update Guide в ближайшее время.
- Для администраторов с ограниченными ресурсами это способ быстрее отделить критичное от второстепенного.
Рекомендация: даже с когортами CVE-2026-96951 должна оставаться выше любых групповых оценок это активно эксплуатируемая zero-day.
Известные проблемы и риски регрессий
Рекордный Patch Tuesday это не только польза, но и риск. Уже есть подтверждённые проблемы.
802.1X аутентификация (WPA2-Enterprise и проводной PEAP)
Обновление KB5127648 ломает 802.1X аутентификацию в корпоративных сетях.
Симптомы:
- Wi-Fi WPA2-Enterprise (PEAP): аутентификация начинается, но не завершается (Event 12014: OneX Held State timeout). WPA2-Personal работает нормально.
- Проводной 802.1X (PEAP): клиент сообщает о внутренней ошибке аутентификации (0x80070285), запрос не доходит до RADIUS-сервера.
Временное решение: удаление KB5127648 немедленно восстанавливает подключение. Microsoft пока не документировала эту проблему официально.
Важно: проблема воспроизводится на разных производителях оборудования и чипсетах. Если в вашей среде используется 802.1X с PEAP, рассмотрите отложенную раскатку до выхода исправления.
USB Audio Class 1.0 (код 10)
Проблема с USB-аудио (ошибка код 10) остаётся нерешённой после KB5127648. Microsoft исправила часть симптомов экстренным обновлением в сентябре, но не все.
Как планировать раскатку: практический план
Учитывая объём и известные проблемы, вот рекомендуемый подход.
Шаг 1. Немедленно закройте CVE-2026-96951
Это активно эксплуатируемая zero-day. Обновите все Windows-системы (рабочие станции и серверы) вне очереди. Для Windows 11 это KB5127648, для Windows 10 KB5126657.
Шаг 2. Проверьте, затрагивает ли вас проблема с 802.1X
Если в вашей среде используется WPA2-Enterprise (PEAP) или проводной 802.1X (PEAP):
- Не раскатывайте KB5127648 на эти системы до выхода исправления.
- Настройте тестовую группу для проверки.
- Если обновление уже установлено и аутентификация сломана удалите KB5127648.
Для систем без 802.1X риска нет.
Шаг 3. Приоритизируйте по когортам
Используйте 15 риск-когорт Microsoft, чтобы быстро определить, какие группы уязвимостей критичны для вашей инфраструктуры. Начните с:
- Exchange Server если используется on-premises.
- SharePoint Server если используется on-premises.
- Office и Excel если активно используются макросы или внешние таблицы.
- DNS Server если у вас есть DNS-роли.
Шаг 4. Запланируйте поэтапную раскатку
Учитывая 1411 патчей, не пытайтесь установить всё сразу. Разделите на волны:
- Волна 1 (немедленно): CVE-2026-96951 и критические RCE.
- Волна 2 (48 часов): Остальные критические уязвимости.
- Волна 3 (1–2 недели): Важные уязвимости, не затронутые эксплойтами.
- Волна 4 (по мере необходимости): Остальное.
Шаг 5. Проверьте системы, которые теряют поддержку
13 октября 2026 года Windows 11 24H2 Home и Pro и Windows 10 Enterprise LTSB 2016 достигли конца поддержки. Октябрьский Patch Tuesday последнее обновление для этих редакций. Если в вашем парке есть такие машины, их нужно срочно обновить до 25H2 или 26H2 (для 24H2) либо перевести на ESU (для Windows 10 LTSB 2016).
Что это значит для разных категорий организаций
Крупные предприятия
Для вас ключевое приоритизация. 1411 патчей невозможно протестировать и раскатать за один цикл. Используйте риск-когорты Microsoft, начните с активно эксплуатируемой zero-day, затем переходите к критическим RCE в продуктах, которые у вас реально используются.
Средний и малый бизнес
Если у вас нет выделенной команды безопасности, сосредоточьтесь на CVE-2026-96951 и критических RCE. Автоматические обновления Windows уже установят большинство патчей убедитесь, что они включены и работают.
Организации с 802.1X
Особый случай: не раскатывайте KB5127648 до выхода исправления, если у вас используется PEAP. Это единственный подтверждённый серьёзный регресс месяца.
Часто задаваемые вопросы
Это самый крупный Patch Tuesday в истории?
Да, 1411 уязвимостей рекорд. Предыдущий максимум был в сентябре 2026 года 974 уязвимости.
CVE-2026-96951 насколько это опасно?
Очень опасно. Это активно эксплуатируемая zero-day, которая обходит Mark of the Web. Патч нужно установить немедленно.
Какие обновления нужно ставить в первую очередь?
KB5127648 (Windows 11 24H2/25H2/26H2), KB5126657 (Windows 10) они закрывают CVE-2026-96951.
Почему KB5127648 ломает 802.1X?
Проблема в обновлённых бинарниках 802.1X (dot3svc.dll, onex.dll и другие), которые заменяются на версию 10.0.26100.9711. Клиентская часть аутентификации перестаёт корректно работать.
Что делать, если обновление уже установлено и Wi-Fi не работает?
Удалите KB5127648 через «Параметры» → «Центр обновления Windows» → «Журнал обновлений» → «Удалить обновления».
Будет ли исправление для 802.1X?
Microsoft пока не документировала проблему. Ожидается, что исправление выйдет в одном из ближайших накопительных обновлений.
Что такое риск-когорты и как их использовать?
Это 15 групп уязвимостей, сгруппированных по общим вопросам оценки среды. Они помогают быстро определить, какие патчи критичны для вашей инфраструктуры. Пока это предварительный инструмент.
Что в итоге
Октябрьский Patch Tuesday 2026 стал рекордным: 1411 уязвимостей, три zero-day (одна активно эксплуатируется), 70 критических. Microsoft впервые применила риск-когорты для приоритизации. Для администраторов главное срочно закрыть CVE-2026-96951, проверить наличие 802.1X в инфраструктуре и воздержаться от раскатки KB5127648 на такие системы до выхода исправления. Всё остальное по приоритетам, с учётом когорт и реальных рисков для вашей среды.
