Microsoft поправи рекордни 1.413 безбедносни пропусти, вклучувајќи и ранливост во Windows Shell што веќе се искористува во напади

Microsoft во вторникот го надмина сопствениот рекорд за Patch Tuesday, објавувајќи исправки за неверојатни 1.413 безбедносни ранливости, вклучувајќи и една за која компанијата потврди дека веќе активно се искористува во напади.

Од нив, 1.102 ранливости се однесуваат на Windows, 134 на Office, 61 на алатките за развој, 36 на SharePoint Server и 22 на SQL Server.

Повеќе од 670 ранливости овозможуваат зголемување на привилегиите, по што следуваат над 300 пропусти што овозможуваат далечинско извршување на код и 250 пропусти што можат да доведат до откривање информации. Повеќе од 70 ранливости се оценети како критични.

„Некогаш стотици CVE-ранливости во едно издание беа исклучок; сега тоа е нормата“, изјави Дастин Чајлдс, раководител за подигање на свеста за закани во Zero Day Initiative (ZDI), во својата анализа.

„Дали вештачката интелигенција е виновна? Делумно. Таа го забрзува откривањето грешки на двете страни, па производителите откриваат и поправаат повеќе пропусти, а истражувачите ги пронаоѓаат побрзо.“

„Но, вештачката интелигенција не ги создава овие грешки од ништо; таа само го скратува времето помеѓу појавувањето на ранливоста и моментот кога некој ќе ја забележи. Количината повеќе не е главната приказна. Важно е тоа што откривањето се зголемува побрзо од искористувањето на ранливостите. Затоа, тимовите што ги одредуваат приоритетите само според бројот на CVE-ознаки, наместо според можноста за нивно искористување, губат време на погрешните пропусти. Поправете ги ранливостите за кои е докажано дека се искористуваат, кои имаат приоритет и кои се јавно познати, а сè друго прифатете го како нова нормалност за овој месец.“

Подолу се наведени три особено значајни ранливости:

• CVE-2026-96951 (CVSS-оцена: 8,8) — Ранливост од типот вметнување команди (command injection) во Windows Shell, која му овозможува на неовластен напаѓач да заобиколи безбедносна функција преку мрежа.
• CVE-2026-108398 (CVSS-оцена: 8,8) — Ранливост поврзана со недоверлива патека за пребарување во .NET Framework, која му овозможува на овластен напаѓач локално да заобиколи безбедносна функција.
• CVE-2026-92707 (CVSS-оцена: 5,3) — Ранливост предизвикана од неправилно контролирано последователно распределување меморија во MessagePack-CSharp, која му овозможува на неовластен напаѓач да предизвика одбивање на услугата преку мрежа.

Microsoft им се заблагодари на Рику Бамба и Јуја Чудо од Fujitsu, како и на Беноа Севенс од Anthropic и истражувачот со псевдоним yhw, за пријавувањето на CVE-2026-96951. Компанијата потврди дека ранливоста веќе била искористувана во реални напади.

„Напаѓачот што успешно ќе ја искористи ранливоста може да ги заобиколи заштитите Mark of the Web (MOTW)“, соопшти Microsoft.

„При напад преку е-пошта или инстант-пораки, напаѓачот може да му испрати на целниот корисник специјално изработена датотека дизајнирана да ја искористи ранливоста.“

„Во секој случај, напаѓачот не може директно да го принуди корисникот да прегледа содржина што ја контролира напаѓачот. Наместо тоа, мора да го убеди корисникот да преземе одредена активност. На пример, може да го наведе да кликне на врска што води до веб-страница на напаѓачот или да му испрати злонамерен прилог.“

Не е познато како точно се искористува ранливоста во реалните напади, кој стои зад нив и кои корисници или организации биле цел.

Американската Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) ја додаде ранливоста во својот каталог на познати искористувани ранливости (KEV). Со тоа, федералните агенции добија обврска да ги применат исправките најдоцна до 16 октомври 2026 година.

Ранливоста CVE-2026-108398 била јавно позната во моментот кога биле објавени исправките. Microsoft наведува дека безбедносниот пропуст може да се искористи за заобиколување на механизмот за спроведување на Windows Defender Application Control (WDAC) и за извршување неовластени апликации на целните системи.

„Автентициран напаѓач може да постави специјално изработена .NET-склопка (assembly) на засегнатиот систем и да ја регистрира за вчитување од заштитен процес“, соопшти Microsoft.

„Успешното искористување на ранливоста може да ги заобиколи ограничувањата на Windows Defender Application Control и да му овозможи на напаѓачот да извршува код во рамките на заштитениот процес. Не е потребна интеракција од корисникот.“

„Оваа ранливост е особено опасна како техника што се користи откако напаѓачот веќе го компромитирал системот, бидејќи им овозможува на напаѓачите со постоечки локален пристап да ги заобиколат безбедносните ограничувања без интеракција од корисникот“, изјави Мајк Волтерс, претседател и коосновач на Action1, во својата анализа.

„Успешното искористување може да го наруши интегритетот на системот, да изложи чувствителни деловни информации, да ги ослаби заштитите на крајните уреди и да ги попречи критичните операции.“

Microsoft му го припиша откривањето на ранливоста на Џејмс Форшо од Google Project Zero, додека за пријавувањето на CVE-2026-92707 му се заблагодари на анонимен истражувач. Овој безбедносен пропуст е вториот што е означен како јавно објавен.

Исправки биле објавени и за ранливост што не е специфична за Microsoft — CVE-2026-21413, со CVSS-оцена 9,8. Станува збор за прелевање на бафер во heap-меморијата, кое ја засега екстензијата Raw Image Extension и може да доведе до далечинско извршување на код.

„Напаѓачот може да ја искористи оваа ранливост така што ќе го убеди корисникот да отвори папка што содржи специјално изработена RAW-слика“, соопшти Microsoft.

„Ранливоста може да се активира кога Windows генерира сликичка или преглед на датотеката; корисникот не мора да ја отвори самата датотека.“

Овој развој се случува во период кога сè повеќе се користат методи со помош на вештачка интелигенција за откривање и отстранување безбедносни ранливости.

Минатиот месец Microsoft поправи речиси 1.000 ранливости.

Според Сатнам Наранг, виш истражувачки инженер во Tenable, само оваа година Microsoft поправил повеќе од 4.000 CVE-ранливости.

„Огромниот број ранливости во неодамнешните изданија на Patch Tuesday лесно може да вклучува неколку особено загрижувачки пропусти, од кои секој поединечно би бил многу позначаен кога бројот на ранливости би бил помал“, изјави Адам Барнет, водечки софтверски инженер во Rapid7.

Заедно со овомесечните ажурирања, Microsoft воведе и нов метод што им помага на организациите да одредуваат приоритети за безбедносните ажурирања, групирајќи сродни пропусти во категории што ги нарекува „ризични групи“ (risk cohorts).

„Ризична група е множество CVE-ранливости за кои е потребна слична процена од страна на корисниците“, соопшти Microsoft.

„Ризичните групи се почетна точка, а не конечна одлука. Корисниците треба да продолжат да ја проверуваат секоја CVE-ранливост во однос на тоа дали активно се искористува, нејзината сериозност, начинот на напад, потребата од интеракција со корисникот и упатствата специфични за производот.“

Извори:

• The Hacker News – Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug The Hacker News