Уязвимост в Windows Remote Desktop Client позволява на атакуващи да изпълняват отдалечен код

Microsoft пусна корекции за сигурност за CVE-2026-69485 — уязвимост за отдалечено изпълнение на код с рейтинг „Важна“ (Important), засягаща Windows Remote Desktop Client.

Уязвимостта би могла да позволи на автентифициран атакуващ с ниски привилегии да изпълни код върху засегнат сървър чрез изпращане на специално конфигурирана мрежова заявка.

Уязвимостта беше разкрита на 8 септември 2026 г. и се проследява като CVE-2026-69485. Microsoft ѝ определи основна CVSS 3.1 оценка от 8.8, докато временната оценка е 7.7.

Проблемът има мрежов вектор на атака, ниска сложност на атаката, изисква ниски привилегии и не изисква потребителско взаимодействие. От Microsoft заявиха, че уязвимостта произтича от използването на неинициализиран ресурс от страна на Remote Desktop Client.

Неинициализираните ресурси могат да накарат софтуера да използва памет, дескриптори (handles) или други системни обекти, преди те да са правилно подготвени. В този случай атакуващ може да предизвика дефектното състояние чрез модифицирана мрежова заявка и да получи възможност за стартиране на код.

Windows Remote Desktop Client Vulnerability

Уязвимостите за отдалечено изпълнение на код са изключително съществени, тъй като могат да дадат на атакуващите контрол върху уязвимите системи. Успешното експлоатиране би могло да засегне поверителността, целостта и наличността на целевото устройство.

В зависимост от правата, налични за компрометирания акаунт, атакуващ би могъл да достъпи чувствителни данни, да промени файлове или системни настройки, да инсталира допълнителни инструменти или да прекъсне услуги.

Според бюлетина за сигурност на Microsoft, експлоатацията изисква атакуващият първо да се автентифицира с достъп от ниско ниво до засегнатия сървър. След това киберпрестъпникът би могъл да изпрати специално конфигурирана заявка за изпълнение на код на този сървър.

Атаката не изисква потребителят да кликва върху връзка, да отваря файл или да потвърждава подкана, което намалява възможностите на защитниците да я спрат само чрез контроли за осведоменост на потребителите.

Първоначалната оценка на Microsoft сочи, че уязвимостта не е била публично оповестена преди пускането на корекцията за сигурност и не е била засечена при активни атаки.

Компанията определя вероятността за експлоатация като „Exploitation Less Likely“ (малко вероятна експлоатация) към момента на публикуване. Въпреки това организациите трябва да третират констатацията с приоритет, тъй като публичното пускане на корекции за сигурност може да помогне на авторите на заплахи да проучат уязвимостта и да разработят работещи техники за експлоатация.

Засегнатите продукти включват Windows Server 2016, Windows Server 2019, Windows Server 2022 и Windows Server 2025, включително инсталациите Server Core.

Microsoft изброява и няколко клиентски издания на Windows, включително Windows 10 версии 1607, 1809, 21H2 и 22H2, както и Windows 11 версии 23H2, 24H2, 25H2 и 26H1 за поддържаните x64 и ARM64 системи.

Администраторите трябва да инсталират септемврийските корекции за сигурност от Microsoft възможно най-скоро.

Екипите по сигурност трябва също така да прегледат излагането на Remote Desktop в мрежата, да ограничат RDP достъпа до доверени мрежи, да прилагат принципа на минималните привилегии и да наблюдават логовете за автентификация и Remote Desktop за необичайна активност. Microsoft изказва благодарност на изследователите по сигурността yhw и txz за съобщаването за уязвимостта чрез координирано разкриване.