Microsoft усунула 1411 вразливостей і три загрози нульового дня

Microsoft у жовтневий Patch Tuesday випустила оновлення безпеки для рекордних 1411 вразливостей, серед яких є одна активно експлуатована та дві публічно розкриті вразливості нульового дня. Про це повідомляє BBC News.

Компанія класифікувала 70 виправлених проблем як критичні. Із них 57 можуть призводити до віддаленого виконання коду, 11 — до підвищення привілеїв, ще дві пов’язані зі спуфінгом.

Три вразливості нульового дня

Одна з активно експлуатованих уразливостей давала змогу обходити механізм Mark of the Web у Windows Shell. За описом Microsoft, некоректна нейтралізація спеціальних елементів у команді дозволяє неавторизованому зловмиснику обійти захисну функцію через мережу.

Також корпорація усунула проблему обходу функцій безпеки у .NET Framework. Вона може дозволити авторизованому зловмиснику розмістити спеціально підготовлену збірку .NET на вразливій системі та зареєструвати її для завантаження захищеним процесом. Це дає змогу обійти обмеження Windows Defender Application Control і запускати неавторизований код без взаємодії з користувачем. Уразливість виявив Джеймс Форшо з Google Project Zero.

Третя проблема нульового дня стосується MessagePack-CSharp і може бути використана для відмови в обслуговуванні через мережу внаслідок неконтрольованого послідовного виділення пам’яті.

Завершення підтримки окремих версій Windows

Microsoft також оголосила про завершення підтримки Windows 11 версії 24H2 у редакціях Home і Pro, а також Windows 10 Enterprise LTSB 2016. Щомісячне оновлення безпеки за жовтень 2026 року стане для них останнім доступним оновленням.

Раніше компанія повідомляла, що організаціям із Windows 11 версії 23H2 у редакціях Enterprise, Education та IoT Enterprise слід перейти на новіші версії: від наступного місяця ці випуски більше не отримуватимуть оновлень безпеки.

Новий спосіб пріоритизації оновлень

На тлі великої кількості виправлень Microsoft запровадила експериментальний підхід «когорт ризику». Він об’єднує схожі вразливості в групи, щоб допомогти організаціям визначати пріоритети встановлення оновлень. Компанія наголосила, що такі групи самі собою не визначають рівень небезпеки: ризик залежить, зокрема, від фактичної експлуатації в атаках, критичності проблеми та способу використання програмного забезпечення.