Microsoft закрыла почти тысячу уязвимостей, включая два эксплуатируемых 0-day
Сентябрьский пакет обновлений устраняет уязвимости в Windows, Office, SQL Server и других продуктах. Две ошибки повышения привилегий в Windows уже использовались в атаках.
Microsoft выпустила сентябрьские обновления безопасности, устраняющие рекордное количество уязвимостей в её продуктах. Точная оценка числа исправлений различается: The Hacker News насчитал 974 уязвимости Microsoft, тогда как Ars Technica — 972. Оба издания называют этот выпуск рекордным.
В пакете есть две уязвимости нулевого дня, которые, по данным Microsoft, уже эксплуатировались в реальных атаках: CVE-2026-85880 и CVE-2026-81963. Обе получили оценку CVSS 7,8 и позволяют локальному авторизованному атакующему повысить привилегии до уровня SYSTEM.
CVE-2026-85880 связана с переполнением буфера в компоненте Windows Advanced Local Procedure Call (ALPC). Microsoft сообщила, что код, запущенный в низкопривилегированном контейнере AppContainer, может использовать эту ошибку для выхода из песочницы; взаимодействие с пользователем для этого не требуется. CVE-2026-81963 затрагивает стек обновления Windows и возникает из-за некорректной обработки ссылок.
Агентство CISA добавило обе уязвимости в каталог Known Exploited Vulnerabilities. Для федеральных гражданских ведомств США установлен срок установки исправлений — до 22 сентября 2026 года.
По подсчётам The Hacker News, 723 исправления относятся к Windows, 111 — к Office и Office 2016, 62 — к SQL, ещё 22 — к инструментам разработки. Более 110 уязвимостей получили критический уровень серьёзности. Ars Technica приводит оценку в 112 критических уязвимостей и отмечает, что подсчёт исправлений в ежемесячных релизах Microsoft не всегда однозначен: часть бюллетеней может касаться ранее устранённых проблем или компонентов сторонних продуктов.
Среди наиболее опасных исправленных ошибок — CVE-2026-69525 в службах удалённых рабочих столов Windows, CVE-2026-69595 в драйвере Windows Services for NFS ONCRPC XDR и CVE-2026-69730 в DNS-сервере Windows. Все три получили CVSS 9,8 и при определённых условиях позволяют удалённо выполнить код. Ещё одна критическая проблема, CVE-2026-65669 с оценкой 9,6, затрагивает SQL Server и может дать неавторизованному атакующему возможность повысить привилегии по сети.