Microsoft във вторник подобри рекордите за Patch Tuesday, като отстрани впечатляващите 974 уязвимости в целия си софтуерен портфейл, включително два недостатъка, които според компанията вече са били активно експлоатирани.

Те включват 723 уязвимости в Windows, 111 в Office и Office 2016, 62 в SQL и 22 в Инструментите за разработка (Developer Tools). От тях над 110 пропуска са с критична степен на сериозност. Три основни типа уязвимости — а именно ескалация на привилегии, отдалечено изпълнение на код и разкриване на информация — представляват близо 90% от коригираните този месец уязвимости. Заедно с корекциите на Microsoft за 25 CVE от външни разработчици, актуализацията увеличава общия брой разрешени уязвимости до 999.

Рекордните актуализации за сигурност през септември идват, след като Microsoft отстрани 457 уязвимости през август, 663 през юли, 220 през юни и 161 през май.

„При такъв мащаб предизвикателството не е просто да се премине през списъка с корекции за сигурност, а да се знае на какво трябва да се обърне внимание първо“, заявява Джак Бичер, директор по изследване на уязвимостите в Action1. „Когато пристигат стотици обновления наведнъж, ИТ екипите и екипите по сигурност трябва бързо да отделят уязвимостите, изискващи незабавни действия, от тези, които могат да следват нормалния цикъл на внедряване.“

Двете уязвимости, подложени на активна експлоатация, са посочени по-долу:

  • CVE-2026-85880 (оценка по CVSS: 7.8) - Уязвимост от тип препълване на буфера в хипа в Windows Advanced Local Procedure Call (ALPC), която позволява на оторизиран атакуващ локално да ескалира привилегии и да придобие SYSTEM права.
  • CVE-2026-81963 (оценка по CVSS: 7.8) - Уязвимост от тип неправилно разрешаване на връзки в Windows Update Stack, която позволява на оторизиран атакуващ локално да ескалира привилегии и да придобие SYSTEM права.

„Атакуващ, който може да изпълни код в AppContainer с ниски привилегии, би могъл да експлоатира тази уязвимост локално, за да излезе от изолираната среда и да ескалира привилегии в засегнатата система“, посочва Microsoft в бюлетина за сигурност за CVE-2026-85880. „Не се изисква допълнително взаимодействие от страна на потребителя.“

Адам Барнет, главен софтуерен инженер в Rapid7, заявява, че всички поддържани версии на Windows получават корекция за сигурност за CVE-2026-81963 — стъпка, която „вероятно затяга контролите, за да предотврати възможността Windows Update Stack да последва злонамерена връзка и да пренапише системен компонент с фалшив такъв, контролиран от атакуващия.“

За съобщаването за CVE-2026-85880 е благодарено на компаниите за киберсигурност Volexity и Proofpoint, докато за втория пропуск заслугата е на Ромен Деперн, изследовател по офанзивна сигурност в Airbus Helicopters, и Microsoft Threat Intelligence Center (MSTIC).

Разработчикът на Windows заяви, че е открил опити за zero-day експлоатация, насочени към тези уязвимости, но не разкрива подробности за това кой стои зад тях, мащаба им или дали тези атаки успешно са компрометирали жертви.

Според платформата за управление на експозицията и оценка на уязвимости Tenable е имало седем уязвимости за ескалация на привилегии в Windows Update Stack от 2022 г. насам. Въпреки това, CVE-2026-81963 е първият нулев ден, както и първата, експлоатирана в реална среда. Що се отнася до CVE-2026-85880, тя е втората, използвана като оръжие чрез zero-day експлойт след CVE-2023-21674, отстранена през януари 2023 г.

Това развитие подтикна Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) да добави и двете уязвимости в своя каталог с известни експлоатирани уязвимости (KEV), изисквайки от гражданските федерални агенции (FCEB) да инсталират корекциите за сигурност до 22 септември 2026 г.

Някои от другите по-значими уязвимости, коригирани от Microsoft, са следните:

  • CVE-2026-55007 (оценка по CVSS: 8.1) - Уязвимост от тип double free в Microsoft Exchange Server, която позволява на неоторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-80097 (оценка по CVSS: 8.6) - Уязвимост от тип неправилна автентификация в Microsoft Authenticator, която позволява на неоторизиран атакуващ да ескалира привилегии локално.
  • CVE-2026-69465 (оценка по CVSS: 8.8) - Уязвимост от тип липсваща оторизация в Microsoft Office SharePoint, която позволява на оторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-65669 (оценка по CVSS: 9.6) - Инжекционна уязвимост в SQL Server, която позволява на неоторизиран атакуващ да ескалира привилегии по мрежата.
  • CVE-2026-69525 (оценка по CVSS: 9.8) - Уязвимост от тип use-after-free в Windows Remote Desktop Services, която позволява на неоторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-69595 (оценка по CVSS: 9.8) - Уязвимост от тип use-after-free в Windows Services for NFS ONCRPC XDR Driver, която позволява на неоторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-69730 (оценка по CVSS: 9.8) - Уязвимост от тип use-after-free в Windows DNS server, която позволява на неоторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-69829 (оценка по CVSS: 9.8) - Уязвимост от тип препълване на буфера в хипа в Windows Shell, която позволява на неоторизиран атакуващ да изпълни код по мрежата.
  • CVE-2026-72979 (оценка по CVSS: 9.8) - Уязвимост от тип use-after-free в Windows DHCP Server, която позволява на неоторизиран атакуващ да изпълни код по мрежата.

Според Zero Day Initiative (ZDI) на TrendAI, Microsoft е отстранила общо 2760 уязвимости в сигурността само през тази година, което показва, че откриването на уязвимости с помощта на изкуствен интелект (AI) едва ли ще се забави скоро.

„Издаването на Patch Tuesday за септември отбелязва пореден повратна точка в историята на Patch Tuesday, тъй като този месец бяха отстранени близо 1000 CVE (964) — нов рекорд, поставен през 2026 г.“, заявява Сатнам Наранг, старши изследователски инженер в Tenable, в изявление, споделено с The Hacker News.

„За да го поставим в контекст, тазмесечният Patch Tuesday е с близо 70% увеличение спрямо предишния рекорд (569) през юли и тласка общия брой за тази година до над 2600, което вече е над два пъти повече от предишната рекордна година през 2020 г. (1245), а остават още три месеца.“

Въпреки огромния пакет от корекции, броят на уязвимостите, за които се очаква да засегнат повечето организации, остава сравнително нисък, да не говорим за липсата на съответстващ скок в активните експлоатации до момента. Наранг добавя, че е от съществено значение организациите да разберат кои уязвимости действително се отнасят за тях, дали представляват заплаха чрез достъпност и възможност за експлоатация през интернет, и да приоритезират отстраняването им въз основа на този контекст на риска.

„Мисля, че е безопасно да се каже, че докато Microsoft се опитва да навакса с коригирането на уязвимости, числата са загубили всякакво значение“, казва Тайлър Регули, заместник-директор по научноразвойна дейност в областта на сигурността във Fortra.

„Това не е проблем, специфичен само за Microsoft. Виждаме същия проблем с Oracle и други големи вендори, които действат проактивно. Трябва да помним, що се отнася до тези високи бройки на CVE, че това е хубаво нещо, тъй като намаляваме повърхността за атака, преди киберпрестъпниците да получат възможност да открият и използват уязвимостите. В крайна сметка всички тези дългогодишни и трудни за откриване уязвимости ще бъдат отстранени и Patch Tuesday ще се върне към обичайния си ритъм.“