«Вторник Патчей», 11 ноября 2025 года: Обновления безопасности для Windows 11, первые ESU-обновления для Windows 10

Октябрьский «Вторник Патчей» 2025 года стал по-настоящему рекордным во многих отношениях. Microsoft сделала серьезный рывок, чтобы исправить как можно больше известных уязвимостей в продуктах, срок поддержки которых подходил к концу (EOL).

В частности, было устранено 116 уязвимостей в Windows 10 и колоссальные 134 уязвимости в Windows 11. При этом не стоит забывать, что выпуски Windows 11, версия 22H2 Enterprise и Education достигли конца жизненного цикла.

Microsoft также прекратила выпуск обновлений безопасности для ряда приложений, включая старые версии Office и Exchange Server. Однако, судя по новостям, устаревшие локальные версии Exchange Server пока никуда не исчезнут.

Windows 11, версия 23H2 редакции Pro достигает окончания поддержки

На этой неделе выходит последнее обновление безопасности для Windows 11, версия 23H2 редакций Professional и Домашняя. Поддержка версий Education и Enterprise продлится до 10 ноября 2026 года. Ранее Microsoft опубликовала рекомендации по переходу с устаревших версий Office 2016 и 2019, Exchange Server 2016 и 2019, а также Windows 10.

Первые расширенные обновления безопасности (ESU) для Windows 10, версия 22H2 появятся уже в этом месяце для тех, кто оформил подписку. Не все версии достигли конца жизненного цикла: Windows 10 Enterprise LTSC 2021 и Windows 10 IoT Enterprise LTSC 2021 будут поддерживаться еще несколько лет. Появились сообщения, что после установки октябрьских обновлений некоторые системы ошибочно показывают предупреждение о завершении поддержки, однако Microsoft заявила, что это не проблема и ноябрьские обновления будут установлены в штатном режиме.

CISA и NSA опубликовали совместные рекомендации по защите устаревших серверов Exchange

Объявления о завершении поддержки версий Exchange Server были сделаны задолго до выхода последних обновлений безопасности в прошлом месяце, однако для крупных организаций процесс перехода с локальных или гибридных почтовых серверов на полноценную облачную инфраструктуру Microsoft 365 часто оказывается медленным, болезненным и дорогостоящим.

Новости изобилуют статьями о количестве уязвимых серверов, остающихся в сети, и связанных с ними атаках. В ответ на это несколько агентств по кибербезопасности, включая CISA, NSA, Австралийское управление сигналов (Australian Signals Directorate) и другие, объединили усилия и выпустили документ под названием Microsoft Exchange Server Security Best Practices. В нем приводятся рекомендации и меры по усилению безопасности локальных и часто уже устаревших систем Exchange Server в то время, когда идет их миграция в облако или на новые версии.

Этот перечень рекомендаций не является исчерпывающим, однако служит отличным справочником для тех, кто находится в процессе перехода.

Активная эксплуатация критической уязвимости WSUS

Во время октябрьского «Вторника патчей» Microsoft выпустила исправление уязвимости CVE-2025-59287 в семи пакетах обновлений для Windows Server 2012–2025. Уязвимость в службе WSUS допускала удаленное выполнение кода и получила оценку CVSS 9.8 (Критическая). Патч вызвал проблемы с «горячим» патчингом (hot patching) в Windows Server 2025, поэтому Microsoft выпустила внеплановое обновление KB5070881.

Сообщается, что в исправление могли быть внесены дополнительные изменения. Уязвимость и обновления требуют внимания по двум причинам. В KB все еще перечислены пять известных проблем — от сбоев в Active Directory до ошибок при хот-патчинге, поэтому важно проверить корректность установки обновления.

Кроме того, CISA и другие источники сообщили о фактах активной эксплуатации этой уязвимости, а также о наличии опубликованного кода концепции. Если вы еще не установили данное обновление отдельно, обязательно включите его в свой ноябрьский цикл патчей.

На этой неделе Microsoft планирует выпустить исправление для Windows 11, версия 24H2, устраняющее сбой установки накопительного обновления при конфликте языковых пакетов. Обновление уже тестировалось в предварительной версии и теперь будет доступно в составе основных ноябрьских патчей.

Прогноз на «Вторник Патчей», ноябрь 2025:

• Установите привычные обновления для поддерживаемых ОС Windows (включая Windows 11, Windows 10 Enterprise LTSC 2021, Windows 10 Enterprise LTSC 2019, Windows Server 2025 (LTSC), Windows Server, версия 24H2, Windows Server, версия 23H2, Windows Server 2022 (LTSC), Windows Server 2019 (LTSC), Windows Server 2016 (LTSC)). Количество исправленных уязвимостей (CVE) в ноябре должно заметно сократиться. Обновлений для .NET Framework и Exchange Server не ожидается. Возможен выход обновления для Windows SQL Server. Также стоит рассчитывать на привычные патчи для ОС, Office и SharePoint, хотя теперь, с уменьшением числа поддерживаемых версий, количество бинарных файлов будет меньше.
• Adobe, как правило, чередует обновления своих приложений Creative Cloud, поэтому в этом месяце стоит ожидать новые версии InDesign и Photoshop. Adobe Acrobat и Reader обновились в сентябре, но компания, вероятно, захочет убедиться, что они полностью актуальны к праздничному сезону — возможен релиз уже на следующей неделе.
• Apple выпустила крупные обновления безопасности для всех своих операционных систем и браузера Safari 3 ноября. Обязательно включите эти обновления в ноябрьский цикл патчей.
• На прошлой неделе Google выпустил бета-версию Chrome 143.0.7499.17 для Windows, macOS и Linux, поэтому стоит ожидать появления этой версии на стабильном канале во вторник.
• Mozilla выпустила обновление безопасности для Firefox 144 30 октября. Можно ожидать еще один релиз для всех продуктов компании, включая Firefox ESR, на этой неделе, скорее всего во «Вторник Патчей».