Patch Tuesday за септември 2026 г. е тук, като Microsoft предоставя нов рекорден брой корекции за сигурност, включително за две уязвимости, които са били експлоатирани като zero-day.
Друго „ново нормално“ е анонимният изследовател по сигурността Nightmare Eclipse, който публикува концептуален злонамерен код (proof-of-concept) за zero-day уязвимост, насочен към софтуер на Microsoft, само броени часове след като Microsoft пуска своите корекции в Patch Tuesday.
Този път става дума за ShieldCrash, който привидно заобикаля корекцията за CVE-2026-69414 (известна още като ShieldBreak) — грешка за ескалация на привилегии в Microsoft Defender (т.е. Microsoft Malware Protection Engine).
Пролуките, експлоатирани при zero-day атаки
CVE-2026-81963, в Windows Update Stack (компонентът, използван за инсталиране на актуализации на Windows), засяга различни версии на Windows 11 и Windows Server 2025. Причинена от неправилно разрешаване на връзки преди достъп до файлове и неправилен контрол на достъпа, уязвимостта позволява на удостоверени атакуващи (с ниски привилегии) да получат SYSTEM привилегии на засегната система.
Сатнам Наранг, старши изследователски инженер в Tenable, отбеляза, че е имало седем грешки за ескалация на привилегии в Windows Update Stack от 2022 г. насам, но това е първата zero-day уязвимост и първата, която бива активно експлоатирана.
За пролуката е съобщено от Центъра за разузнаване на заплахи на Microsoft (MSTIC), но подробностите за атаките, в които е била използвана, все още не са публични.
Дъстин Чайлдс, ръководител по осведомеността за заплахи в Zero Day Initiative на TrendAI, заявява, че се съмнява самият процес на автоматично обновяване да е компрометиран и е по-вероятно CVE-2026-81963 да се комбинира с грешка за изпълнение на код с цел разпространение на зловреден софтуер или криптовирус (ransomware).
CVE-2026-85880 е друга грешка за ескалация на привилегии (до SYSTEM) в Windows Advanced Local Procedure Call. Тя засяга Windows 10 и по-стари версии на Windows Server (2012, 2016, 2019 и 2022).
За нея е докладвано от изследователи на заплахи в Proofpoint, но отново не се знае колко широко е била експлоатирана. Все пак, тъй като и двете грешки се използват от киберпрестъпници, внедряването на тези корекции трябва да бъде приоритет за всички организации.
„Този клас уязвимости исторически се появява в инструменти, използвани след компрометиране както при масов зловреден софтуер, така и от автори на целеви атаки като надеждна последна стъпка за преминаване от потребителски режим към контрол на ниво ядро (kernel-mode)“, отбелязват от CrowdStrike.
Други важни уязвимости
Според Чайлдс организациите трябва също така да приоритетизират отстраняването на група от 20 грешки, които засягат повечето поддържани версии на Windows и биха могли да се класифицират като червеоподобни (wormable).
„Във всеки от тези случаи отдалечен, неудостоверен атакуващ би могъл да постигне произволно изпълнение на код на засегнатите системи без необходимост от взаимодействие с потребителя“, посочи той.
„Не сме виждали глобален червей от години, но с уязвимост в DNS [CVE-2026-69730], действаща като духовен наследник на SigRed, тази реалност може да се промени бързо.“
CVE-2026-69676, уязвимост за заобикаляне на автентикацията в Kerberos, която може да доведе до отдалечено изпълнение на код, е класифицирана като „По-вероятна за експлоатация“.
„Удостоверен атакуващ с достъп на ниско ниво изпраща специално изработена заявка и изпълнява код на сървъра, без взаимодействие с потребителя“, обяснява Чайлдс.
„„Сървърът“ тук означава домейн контролер, а всеки удостоверен атакуващ означава всеки потребител в домейна. Така че реалистичният сценарий е: един компрометиран фишинг акаунт на работна станция, една изработена заявка и изпълнение на код на домейн контролера. Това е примитив за компрометиране на целия домейн и Microsoft очаква да види експлоатацията му.“
Накрая, сред по-вероятните за експлоатация уязвимости е и CVE-2026-80093 — уязвимост за ескалация на привилегии в Windows Cloud Files Mini Filter Driver. Въпреки че успешното експлоатиране на тази уязвимост изисква атакуващият да спечели състезание за ресурси (race condition), техническите подробности са вече публични.
Добрата новина е, че корекциите за сигурност за всички тези и горепосочените активно експлоатирани уязвимости са включени в кумулативните актуализации за сигурност и месечните пакети за различните версии на Windows, така че прилагането им ги отстранява наведнъж.
Като оставим настрана актуализациите за Windows, Чайлдс съветва също така да се приоритетизира обновяването на:
- Microsoft Exchange Server, за да се отстрани RCE уязвимост, която може да бъде задействана, когато Exchange Server обработи имейл със злонамерен прикачен файл във формат Visio (CVE-2026-55007)
- Microsoft SharePoint Server, за да се коригират редица уязвимости
Защо приоритетизирането е по-важно от броя на корекциите
„Едно от най-важните неща, които трябва да се отбележат при скорошното нарастване на изданията на Patch Tuesday, е че докато броят на коригираните уязвимости нараства, броят на уязвимостите, които могат да засегнат и действително засягат повечето организации, остава сравнително нисък“, каза Наранг пред Help Net Security.
„Откриването на уязвимости с помощта на изкуствен интелект през 2026 г. създава по-големи копачи с сено, но не намира повече игли. От изключителна важност е организациите да разберат кои уязвимости действително се отнасят за тях, дали представляват заплаха чрез своята достъпност и възможност за експлоатация, и да подредят по приоритет отстраняването им въз основа на този рисков контекст.“
Тайлър Регули, асоцииран директор за научноизследователска и развойна дейност в областта на сигурността във Fortra, казва, че огромният брой уязвимости, коригирани от Microsoft, просто показва, че компанията действа проактивно.
„Трябва да помним, че тези големи броеве CVE са нещо хубаво, тъй като намаляваме повърхността за атака, преди киберпрестъпниците да имат възможност да открият и използват уязвимостите. В крайна сметка всички тези дългогодишни и трудни за откриване уязвимости ще бъдат коригирани и Patch Tuesday ще се върне към обичайния си ритъм. Дотогава приоритетизирането е от ключово значение, а ваучерите за допълнително кафе за вашите администратори вероятно ще бъдат високо оценени“, отбеляза той.
Все пак броят на единичните корекции за сигурност също се е увеличил и той съветва организациите да преценят дали техните процеси са проектирани да се справят с големи промени и потенциални затруднения при инсталирането на обновления.
„В момента, ако отговаряте за екипи, управляващи корекциите за сигурност, вероятно се борите с въпроса какво да предприемете. Подкрепяйте екипа си, бъдете наясно с трудностите, пред които са изправени, и ги попитайте как нещата могат да се подобрят“, коментира той.
„Ако все още приоритетизирате въз основа на CVSS, вие вредите на вашата организация и служителите си. Ако постоянно променяте посоката при промяна на указанията, излагате организацията си на риск и застрашавате удовлетворението на служителите. Вие реално управлявате кораб през бурни води и имате нужда от твърда ръка, за да постигнете това. Ако държите кораба в курс, вашият екип ще успее да свърши останалото.“
- 0-day
- CISO
- CrowdStrike
- CSO
- Fortra
- Microsoft
- Microsoft Exchange
- Patch Tuesday
- patching
- Proofpoint
- SharePoint
- Tenable
- Trend Micro
- Windows
- Windows Defender
- Windows Server