«Вторник Патчей», март 2026: Microsoft исправила 79 проблем безопасности, включая две публично раскрытые уязвимости «нулевого дня»

Также исправлены три уязвимости с уровнем опасности «Критический»: две связаны с удаленным выполнением кода и одна — с раскрытием информации.

Классификация уязвимостей по типу:

• 46 уязвимостей повышения привилегий
• 2 уязвимости обхода функций безопасности
• 18 уязвимостей удаленного выполнения кода
• 10 уязвимостей раскрытия информации
• 4 уязвимости отказа в обслуживании
• 4 уязвимости спуфинга

В это число не входят девять уязвимостей Microsoft Edge, а также уязвимости Mariner, Payment Orchestrator Service, Azure и Microsoft Devices Pricing Program, исправленные ранее в этом месяце.

Обновления безопасности Windows, март 2026

Для установки доступны следующие обновления:

Windows

Windows LTSC

• Обновление KB5078734 (OS Build 25398.2207) для Windows 11 LTSC 2024
• Обновление KB5078885 (OS Build 19044.7058) для Windows 10 LTSC 2021
• Обновление KB5078752 (OS Build 17763.8511) для Windows 10 LTSC 2019 (1809)

Windows Server

• Обновление KB5078740 (OS Build 26100.32522) для Windows Server 2025
• Обновление KB5078740 (OS Build 26100.32522) для Windows Server, версия 24H2
• Обновление KB5078734 (OS Build 25398.2207) для Windows Server, версия 23H2
• Обновление KB5075906 (OS Build 20348.4773) для Windows Server 2022
• Обновление KB5078752 (OS Build 17763.8511) для Windows Server 2019
• Обновление KB5078938 (OS Build 14393.8957) для Windows Server 2016

Две уязвимости «нулевого дня» и исправления RCE в Microsoft Office

В этот «Вторник Патчей» Microsoft устранила две публично раскрытые уязвимости «нулевого дня». Данных об их эксплуатации не приводится.

Microsoft классифицирует уязвимость как нулевого дня, если она публично раскрыта или активно эксплуатируется без доступного исправления.

• CVE-2026-21262 — уязвимость повышения привилегий в SQL Server

Microsoft исправила уязвимость в SQL Server, которая позволяла авторизованному атакующему получить привилегии SQLAdmin.

В бюллетене безопасности Microsoft поясняет:

Неправильный контроль доступа в SQL Server позволяет авторизованному атакующему повысить свои привилегии по сети.

Обнаружение уязвимости приписывается исследователю Erland Sommarskog.

• CVE-2026-26127 — уязвимость отказа в обслуживании в .NET

Уязвимость приводила к отказу в обслуживании из-за чтения данных за пределами допустимой области памяти.

Компания сообщает:

Чтение за пределами границ массива в .NET позволяет неавторизованному атакующему вызвать отказ в обслуживании по сети.

Обнаружение приписано анонимному исследователю.

Критические исправления для Microsoft Office

Microsoft также исправила две уязвимости удаленного выполнения кода — CVE-2026-26110 и CVE-2026-26113 — обе в компонентах Microsoft Office.

Они могут эксплуатироваться через окно предварительного просмотра, поэтому Microsoft рекомендует пользователям обновить Office в приоритетном порядке.

Особый интерес представляет уязвимость раскрытия информации в Microsoft Excel (CVE-2026-26144), поскольку она может использоваться для утечки данных через Microsoft Copilot.

Microsoft поясняет:

Злоумышленник, успешно эксплуатирующий уязвимость, может спровоцировать утечку данных через Copilot Agent Mode посредством непреднамеренной сетевой активности, что создает сценарий нулевого клика для раскрытия информации.

Обновления от других компаний

• Adobe выпустила обновления безопасности для Commerce, Illustrator, Substance 3D Painter, Acrobat Reader, Premiere Pro и других продуктов. Эксплуатируемых уязвимостей не выявлено.
• Cisco представила обновления безопасности для ряда продуктов.
• Fortinet выпустила обновления для FortiOS, FortiPAM и FortiProxy.
• Google выпустила мартовские обновления безопасности Android (2026-03-01 и 2026-03-05), закрыв 129 уязвимостей, в том числе CVE-2026-21385 — уязвимость «нулевого дня» в графическом компоненте Qualcomm, которая использовалась в целевых атаках. Исправления доступны для Android 14, Android 15 и Android 16.
• Samsung раскрыла подробности ежемесячного обновления безопасности за март 2026 года. Патч устраняет 65 уязвимостей (включая 8 критических) в Android и фирменных компонентах Galaxy. Распространение начнётся в ближайшие недели на поддерживаемых смарфтонах и планшетах.
• HPE устранила несколько уязвимостей в HPE Aruba Networking AOS-CX.
• SAP выпустила мартовские обновления безопасности для нескольких продуктов, включая исправления двух критических уязвимостей.