В рамках октябрьского «Вторника обновлений» (Patch Tuesday) Microsoft исправила рекордные 1407 уникальных уязвимостей CVE. Плановый пакет вышел почти на два с половиной часа позже обычного. Следующий выпуск обновлений состоится уже на следующей неделе.
Как и в предыдущие месяцы, немедленного внимания требовала лишь часть уязвимостей. В октябре подтвердилась эксплуатация уязвимости нулевого дня CVE-2026-96951, позволяющей обойти защитные механизмы оболочки Windows. Она затрагивает Windows 10, Windows 11 и Windows Server. Кроме того, были публично раскрыты сведения о CVE-2026-10839 – уязвимости обхода защитных механизмов .NET Framework. Всего критический уровень опасности получили 78 уязвимостей – небольшая доля от общего числа.
PHP2Shell
Одной из главных тем месяца стали уязвимости CVE-2026-109618 и CVE-2026-109619, которые исследователи назвали PHP2Shell. PHP – скриптовый язык общего назначения, первоначально выпущенный в 1994 году для веб-разработки. Он работает на сервере и обеспечивает промежуточную обработку запросов между веб-сервером и браузером.
21 октября разработчики PHP опубликовали бюллетень безопасности с описанием уязвимостей и перечнем исправленных версий. Атаки начались за несколько дней до выхода исправлений, и их масштабы продолжают расти. Порядок установки обновления зависит от ОС и включает несколько этапов: необходимо заменить среду выполнения PHP, остановить веб-сервер, а затем запустить все заново. Без перезапуска старый код остается в памяти.
Эксплуатация уязвимости открывает злоумышленнику доступ ко всем ресурсам, доступным оболочке PHP. Это следует учитывать при проверке систем на компрометацию и определении очередности установки обновлений.
Экстренные исправления
В прошлом месяце Microsoft выпустила несколько внеплановых обновлений, а ближе к его концу – обычный предварительный пакет. Оба типа выпусков содержат изменения, связанные с безопасностью.
25 октября компания выпустила экстренное исправление для CVE-2026-111497, также известной как Broccoli2Shell, Node2Shell или HTTP2Shell. Эти названия связаны с ошибкой в исполняемых файлах или библиотеках Brotli, которые обрабатывают данные, сжатые этим алгоритмом. Исправления затрагивают библиотеки в .NET 8, 9 и 10, а также Release Candidate 3 для .NET 11. Обновления рекомендуется установить как можно скорее. Демонстрационный эксплойт уже опубликован, но о реальных атаках на момент публикации не сообщалось.
26 октября Microsoft выпустила обновление, которое удаляет из списка доверенных сертификатов Windows семь сертификатов: шесть корневых eMudhra G3 и один перекрестно подписанный сертификат AAA Certificate Services. Связанные с ними ключи были скомпрометированы. Компания также подтвердила, что предварительные обновления исправляют сбои подключения Always On VPN, появившиеся после сентябрьского «вторника обновлений». Кроме того, они устраняют неисправность Smart App Control, вызванную октябрьским обновлением Windows.
После установки октябрьского обновления переключатель «Интеллектуальное управление приложениями» (Smart App Control) на затронутых устройствах с Windows 11, версия 24H2 и новее, становился неактивным. Все перечисленные исправления безопасности войдут в ноябрьское накопительное обновление.
Предварительные обновления Windows (октябрь 2026)
| Сборка | Версия | Канал | Обновление | ISO-образы | Доступно |
|---|---|---|---|---|---|
| 26300.9818 | 26H2 | Preview | KB5127936 | ISO (UUP) | 2026-10-28 |
| 28000.3365 | 26H1 | Preview | KB5127653 | ISO (UUP) | 2026-10-28 |
| 26200.9818 | 25H2 | Preview | KB5127936 | ISO (UUP) | 2026-10-28 |
Устаревшее ПО
Программы с завершенной поддержкой часто остаются в инфраструктуре даже после установки последних доступных исправлений: их удаление откладывают, а затем забывают о нем или не находят времени.
В одной из публикаций описывалось заброшенное приложение 2014 года, которое продолжало работать и пыталось обновляться на 2,5 млн устройств с Windows и 300 тыс. компьютеров Mac. Несколько доменов, к которым оно обращалось за обновлениями, были доступны для регистрации. Злоумышленники могли зарегистрировать их и разместить вредоносный пакет обновления, чтобы скомпрометировать миллионы устройств. Проблему обнаружили, а ПО удалили до того, как это произошло, однако приложение оставалось активным долгое время.
Этот случай показывает, насколько важно понимать назначение каждой работающей службы, особенно если у нее есть доступ к сети. ИИ может помочь выявлять подобные риски в работающих системах. При этом поиск и удаление устаревшего ПО должны проводиться постоянно.
Обновления Apple
26 октября Apple выпустила крупные обновления безопасности для всех поддерживаемых операционных систем. Например, обновление для актуальной macOS Golden Gate 27 устранило 183 уникальные уязвимости CVE. В списке также есть обновления iOS 18.7.11 и iPadOS 18.7.11. Apple перенесла в эти версии исправление CVE-2026-86950, эксплуатация которой уже подтверждена.
Компания сообщила:
Apple известно о сообщении, согласно которому эта проблема могла использоваться в чрезвычайно сложной атаке на конкретных лиц в версиях iOS до iOS 27.
Уязвимость в CoreGraphics может привести к выполнению произвольного кода. Пользователям этих старых версий ОС рекомендуется установить редкое для них обновление безопасности.
Прогноз на «Вторник Патчей», ноябрь 2026 года
- После масштабного октябрьского выпуска можно ожидать, что Microsoft продолжит обновлять широкий круг продуктов, исправляя большое число CVE в каждом из них.
- Судя по прежнему графику, Adobe может выпустить обновления для Acrobat/Reader, InCopy, InDesign и Premiere.
- Apple обновила все свои операционные системы 26 октября, поэтому новых выпусков на следующей неделе не ожидается.
- Google уже выпустил раннюю стабильную версию Chrome 158 для компьютеров. На следующей неделе ожидается ее распространение в стабильном канале.
- Mozilla должна выпустить Firefox и Thunderbird 160. Вместе с основными версиями обычно выходят обновления веток ESR с исправлениями отдельных CVE.
