MicrosoftВо «Вторник Патчей» (Patch Tuesday), 13 октября 2026 года, компания Microsoft выпустила обновления безопасности, устраняющие рекордные 1411 уязвимостей, включая одну активно эксплуатируемую и две публично раскрытые уязвимости «нулевого дня».
Также исправлено 70 уязвимостей с уровнем опасности «Критический»: 57 из них связаны с удаленным выполнением кода, 11 – с повышением привилегий и две – со спуфингом.
Классификация уязвимостей по типу:
- 677 уязвимостей повышения привилегий
- 40 уязвимостей обхода функций безопасности
- 317 уязвимостей удаленного выполнения кода
- 254 уязвимости раскрытия информации
- 73 уязвимости отказа в обслуживании
- 28 уязвимостей спуфинга
В это число не входят 348 уязвимостей, исправленных Microsoft ранее в этом месяце, включая проблемы безопасности в Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server и Microsoft Partner Center.
Октябрьский «Вторник Патчей» стал рекордным по количеству исправлений: в сентябре Microsoft исправила 966 уязвимостей. Компания продолжает использовать системы на основе искусственного интеллекта для обнаружения и устранения уязвимостей в своих программных продуктах.
Кроме того, Microsoft объявила о завершении поддержки Windows 11, версия 24H2 в редакциях «Домашняя» и Pro, а также Windows 10 Enterprise LTSB 2016.
В компании сообщили:
Сегодня, 13 октября 2026 года, завершился выпуск обновлений для Windows 11, версии 24H2 в редакциях «Домашняя» и Pro, а также для Windows 10 Enterprise LTSB 2016. Ежемесячное обновление безопасности за октябрь 2026 года – последнее доступное обновление для этих редакций.
Ранее в этом месяце Microsoft также предупредила организации, использующие Windows 11, версия 23H2 в редакциях Enterprise, Education и IoT Enterprise, о необходимости перехода на более новые версии системы. Начиная со следующего месяца эти редакции перестанут получать обновления безопасности.
Подробнее о некритических обновлениях можно узнать в отдельных материалах, посвященных обновлениям Windows.
Обновления безопасности Windows, октябрь 2026
Для установки доступны следующие обновления:
Windows
| ОС Windows | Сборка | Версия | Канал | Обновление | ISO-образы | Доступно |
|---|---|---|---|---|---|---|
| Windows 11 | 28000.3231 | 26H1 | Stable | KB5127646 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26300.9711 | 26H2 | Stable | KB5127648 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26200.9711 | 25H2 | Stable | KB5127648 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26100.9711 | 24H2 | Stable | KB5127648 | – | 2026-10-13 |
| Windows 11 | 22631.7652 | 23H2 | Stable | KB5126653 | ISO (UUP) | 2026-10-13 |
| Windows 10 | 19045.7807 | 22H2 (ESU) | Stable | KB5126657 | ISO (UUP) | 2026-10-13 |
Windows LTSC
- Обновление KB5127648 (OS Build 26100.9711) для Windows 11 LTSC 2024 (24H2)
- Обновление KB5126657 (OS Build 19044.7807) для Windows 10 LTSC 2021 (21H2)
- Обновление KB5126651 (OS Build 17763.9376) для Windows 10 LTSC 2019 (1809)
Windows Server
Исправлены три уязвимости «нулевого дня»
В рамках октябрьского «Вторника Патчей» Microsoft устранила три уязвимости «нулевого дня»: одну активно эксплуатируемую и две публично раскрытые.
Microsoft классифицирует уязвимость как нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.
Активно эксплуатируемая уязвимость
- CVE-2026-96951 – уязвимость обхода функций безопасности в Windows Shell
Microsoft исправила активно эксплуатируемую уязвимость нулевого дня в Windows Shell, позволяющую злоумышленникам обходить механизм безопасности Mark of the Web (MotW).
В бюллетене безопасности Microsoft поясняет:
Некорректная обработка специальных элементов в командах (внедрение команд) в Windows Shell позволяет неавторизованному злоумышленнику обходить функции безопасности по сети.
Microsoft не раскрывает подробностей о том, каким образом уязвимость использовалась в атаках и кто сообщил о ее обнаружении.
Публично раскрытые уязвимости
- CVE-2026-108398 – уязвимость обхода функций безопасности в .NET Framework
Microsoft исправила уязвимость обхода функций безопасности в .NET Framework, позволяющую злоумышленникам запускать неавторизованные приложения.
В бюллетене безопасности компания поясняет:
Использование недоверенного пути поиска в .NET Framework позволяет авторизованному злоумышленнику локально обходить функции безопасности.
По данным Microsoft, уязвимость позволяет обходить ограничения Windows Defender Application Control (WDAC) и запускать приложения, выполнение которых запрещено политиками безопасности.
Компания уточняет:
Аутентифицированный злоумышленник может разместить специально сформированную сборку .NET в уязвимой системе и зарегистрировать ее для загрузки защищенным процессом.
Успешная эксплуатация уязвимости позволяет обойти ограничения Windows Defender Application Control и выполнить код в контексте защищенного процесса. Взаимодействие с пользователем не требуется.
Уязвимость обнаружил Джеймс Форшоу (James Forshaw) из Google Project Zero.
- CVE-2026-92707 – уязвимость отказа в обслуживании в MessagePack-CSharp
Microsoft исправила уязвимость отказа в обслуживании в библиотеке MessagePack-CSharp.
В бюллетене безопасности Microsoft поясняет:
Некорректное управление последовательным выделением памяти в .NET позволяет неавторизованному злоумышленнику вызвать отказ в обслуживании по сети.
Microsoft не раскрывает информацию об исследователе, обнаружившем уязвимость.
Обновления от других компаний
- Adobe выпустила обновления безопасности для ряда продуктов, включая Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension и Framework.
- Atlassian выпустила обновления безопасности для критической уязвимости CVE-2026-21589, затрагивающей несколько серверных продуктов Data Center, включая Confluence, Jira и Bitbucket. Вскоре после публикации демонстрационного эксплойта (PoC) злоумышленники начали использовать уязвимость в атаках.
- Cisco выпустила обновления безопасности для ряда продуктов, включая критические уязвимости в сетевой операционной системе NX-OS. Они позволяют злоумышленникам выполнять произвольный код с привилегиями root на коммутаторах Nexus.
- Citrix выпустила обновления безопасности для NetScaler ADC и NetScaler Gateway. Уязвимость CVE-2026-88779 эксплуатировалась в атаках нулевого дня до выхода исправления.
- Dell выпустила обновления безопасности для критических уязвимостей в инструменте развертывания Dell System Update (DSU) с интерфейсом командной строки и Container Storage Modules (CSM).
- Docker исправила критическую уязвимость в Docker Hub, позволяющую злоумышленникам выдавать себя за других пользователей и загружать образы в чужие репозитории.
- Fortinet выпустила обновления безопасности для ряда продуктов, включая критическую уязвимость CVE-2026-104286 в FortiMail, которая уже использовалась в атаках нулевого дня.
- GitLab выпустила обновления безопасности для критических уязвимостей в AI Gateway и компиляторе регулярных выражений CI/CD Regular Expression Compiler.
- Google выпустил октябрьский бюллетень безопасности Android с уровнем исправлений 2026-10-01. Обновления получили Android 14, Android 15, Android 16 и Android 17.
- Ivanti выпустила обновление безопасности для активно эксплуатируемой уязвимости нулевого дня в шлюзе удаленного доступа Ivanti Connect Secure (ICS).
- Kiteworks выпустила обновления безопасности, устраняющие 126 уязвимостей, включая уязвимость максимального уровня опасности в решении Email Protection Gateway (EPG).
- Progress Software выпустила обновления безопасности для критических уязвимостей и уязвимостей высокого уровня опасности в MarkLogic Server.
- Samsung выпустила октябрьский бюллетень безопасности SMR-OCT-2026, закрывающий 76 уязвимостей: 45 исправлений Google для Android, 27 собственных для One UI и 4 для чипов Exynos. Критических 9, все они относятся к платформе Android.
- SAP выпустила октябрьские обновления безопасности, устраняющие 20 уязвимостей, включая уязвимость подделки серверных запросов (SSRF) максимального уровня опасности в OAuth2-компоненте Cloud SDK for Python.
- SonicWall выпустила обновления безопасности для критической уязвимости подделки серверных запросов (SSRF) в шлюзах SMA1000. Злоумышленники начали эксплуатировать ее в течение двух дней после публикации информации.
Полный список исправленных уязвимостей октябрьского «Вторника Патчей» доступен в отчете BleepingComputer.