Октомврийският Patch Tuesday на Microsoft за 2026 г. отстранява рекордните 1411 уязвимости, включително 3 от тип нулев ден

Днес е октомврийският вторник на корекциите (Patch Tuesday) за 2026 г. на Microsoft, като обновленията за сигурност отстраняват рекордните 1411 уязвимости, включително една активно експлоатирана и две публично оповестени уязвимости от тип нулев ден.

Този Patch Tuesday коригира 70 уязвимости от критично ниво (Critical), 57 от които позволяват отдалечено изпълнение на код, 11 – ескалация на привилегии, а 2 са свързани с подправяне на самоличност (spoofing).

Приблизителният брой грешки във всяка категория уязвимости е посочен по-долу:

• 677 уязвимости, позволяващи ескалация на привилегии (Elevation of Privilege)
• 40 уязвимости за заобикаляне на защитни функции (Security Feature Bypass)
• 317 уязвимости, позволяващи отдалечено изпълнение на код (Remote Code Execution)
• 254 уязвимости, водещи до разкриване на информация (Information Disclosure)
• 73 уязвимости за отказ на услуга (Denial of Service)
• 28 уязвимости за подправяне на идентичност (Spoofing)

Когато BleepingComputer съобщава за актуализациите за сигурност от Patch Tuesday, отчитаме само уязвимостите, публикувани от Microsoft на самия Patch Tuesday.

Поради това днешният общ брой не включва 348 слабости, отстранени по-рано този месец, сред които уязвимости в Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server и Microsoft Partner Center.

Това е рекорден Patch Tuesday за Microsoft, тъй като компанията продължава да използва платформи с изкуствен интелект за откриване и отстраняване на уязвимости в сигурността в своите продукти.

Microsoft обяви днес, че Windows 11, версия 24H2 Home и Pro, както и Windows 10 Enterprise LTSB 2016 са достигнали края на жизнения си цикъл на поддръжка.

„Днес, 13 октомври 2026 г., Windows 11, версия 24H2 Home и Pro, и Windows 10 Enterprise LTSB 2016 достигнаха края на получаването на обновления. Месечното обновление за сигурност от октомври 2026 г. е последната налична актуализация за тези издания“, заявиха от Microsoft.

По-рано този месец от Microsoft също така посочиха, че организациите, използващи изданията Windows 11 23H2 Enterprise, Education и IoT Enterprise, трябва да преминат към по-нови версии, тъй като от следващия месец вече няма да получават корекции за сигурност.

За да научите повече за обновленията, които не са свързани със сигурността и са пуснати днес, можете да прегледате нашите специализирани статии за кумулативните актуализации KB5127648 и KB5126653 за Windows 11, както и разширената актуализация за сигурност KB5126657 за Windows 10.

Microsoft коригира 2 уязвимости от тип нулев ден

Този месец Patch Tuesday отстранява една активно експлоатирана и две публично оповестени zero-day уязвимости.

Microsoft класифицира уязвимост от тип нулев ден като публично оповестена или активно експлоатирана, когато за нея няма официално налично решение.

Активно експлоатираните zero-day уязвимости, разгледани по време на този Patch Tuesday от октомври 2026 г., са:

CVE-2026-96951 - Уязвимост за заобикаляне на защитни функции в Windows Shell

Microsoft коригира активно експлоатирана zero-day уязвимост за заобикаляне на сигурността, която позволяваше на атакуващи да заобиколят защитната функция Mark of the Web.

„Неправилната неутрализация на специални елементи, използвани в команда ('внедряване на команди' / command injection) в Windows Shell, позволява на неоторизиран атакуващ да заобиколи функция за сигурност през мрежата“, предупреждава Microsoft.

Не се споделят подробности за това как нападателите са експлоатирали уязвимостта или кой я е разкрил.

Двете уязвимости от тип нулев ден, които бяха публично оповестени, са:

CVE-2026-108398 - Уязвимост за заобикаляне на защитни функции в .NET Framework

Microsoft отстрани проблем със заобикаляне на функция за сигурност в .NET Framework, който може да бъде експлоатиран за стартиране на неоторизирани приложения.

„Ненадежден път за търсене в .NET Framework позволява на оторизиран атакуващ да заобиколи функция за сигурност локално“, обяснява Microsoft.

От Microsoft посочват, че тази уязвимост може да позволи на киберпрестъпници да заобиколят прилагането на политиките на Windows Defender Application Control (WDAC) и да стартират неоторизирани приложения.

„Удостоверен атакуващ би могъл да постави специално конструирано .NET събрание (assembly) в засегнатата система и да го регистрира за зареждане от защитен процес“, посочва Microsoft.

„Успешната експлоатация би могла да заобиколи ограниченията на Windows Defender Application Control и да позволи на атакуващия да изпълни код в рамките на защитения процес. Не се изисква взаимодействие от страна на потребителя.“

Джеймс Форшоу от Google Project Zero е открил уязвимостта.

CVE-2026-92707 - Уязвимост за отказ на услуга в MessagePack-CSharp

Microsoft отстрани уязвимост, водеща до отказ на услуга, в MessagePack-CSharp.

„Неправилно контролираното последователно заделяне на памет в .NET позволява на неоторизиран атакуващ да предизвика отказ на услуга през мрежата“, пояснява Microsoft.

Microsoft не съобщава кой е докладвал уязвимостта.

Скорошни обновления от други компании

Други доставчици, които издадоха обновления или бюлетини за сигурност през октомври 2026 г., включват:

• Adobe пусна обновления за сигурност за множество продукти, включително Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension и Framework.
• Atlassian издаде обновления за сигурност за критична уязвимост (CVE-2026-21589) в редица самостоятелно хоствани продукти от серията Data Center, включително Confluence, Jira и Bitbucket. Атакуващи бързо започнаха да експлоатират слабостта, след като беше публикуван демонстрационен зловреден код (PoC).
• Cisco пусна корекции за сигурност за множество продукти, включително критични уязвимости в своята мрежова операционна система за центрове за данни NX-OS, които могат да позволят на атакуващи да изпълнят произволен код с root привилегии върху комутатори Nexus.
• Citrix пусна актуализации за сигурност за дефекти в NetScaler ADC и NetScaler Gateway, като CVE-2026-88779 беше експлоатирана в атаки от тип нулев ден, преди да бъде коригирана.
• Dell издаде обновления за сигурност за критични уязвимости в инструмента за внедряване с интерфейс от командния ред (CLI) System Update (DSU) и Container Storage Modules (CSM).
• Docker отстрани критична слабост в DockerHub, която позволява на атакуващи да се представят за други потребители и да качват изображения в чужди хранилища.
• Fortinet издаде обновления за сигурност за множество продукти, включително критична уязвимост във FortiMail (CVE-2026-104286), експлоатирана от киберпрестъпници в атаки от тип нулев ден.
• GitLab пусна обновления за сигурност за критични слабости в AI Gateway и CI/CD Regular Expression Compiler.
• Ivanti пусна корекции за сигурност за активно експлоатирана zero-day уязвимост в шлюза за отдалечен достъп Ivanti Connect Secure (ICS).
• Kiteworks издаде обновления за сигурност за 126 уязвимости, включително дефект с максимално ниво на опасност, засягащ решението им за защита Email Protection Gateway (EPG).
• Progress Software предостави обновления за сигурност за критични и високорискови уязвимости в сигурността на MarkLogic Server.
• SAP пусна октомврийските обновления за сигурност, отстраняващи 20 слабости, включително OAuth2 SSRF уязвимост с максимална степен на критичност в Cloud SDK for Python.
• SonicWall пусна корекции за сигурност за критична уязвимост от тип фалшифициране на заявки от страна на сървъра (SSRF) в SMA1000, която атакуващите експлоатираха в рамките на два дни.

Нови кохорти за оценка на риска помагат за приоритизирането на обновленията за сигурност

С тазмесечния рекорден брой уязвимости Microsoft въведе и нов метод за организациите за приоритизиране на актуализациите за сигурност чрез групиране на свързани пропуски в т.нар. „кохорти на риска“.

Новият подход групира сходни уязвимости заедно, за да помогне на организациите да разберат по-добре кои слабости в сигурността представляват най-голям риск за техните системи и следва да бъдат приоритизирани за инсталиране на корекции за сигурност.

За октомври 2026 г. Microsoft публикува 15 кохорти на риска, включително:

• 136 уязвимости, засягащи файлови системи, съхранение и архивиране в Windows.
• 135 уязвимости, свързани с документи на Office и пощенски клиенти.
• 131 уязвимости, засягащи графичната обработка, мултимедията и обработката на съдържание в Windows.
• 109 уязвимости, свързани с границите на привилегиите в ядрото и базовите компоненти на Windows.
• 103 уязвимости, засягащи услугите за инсталиране, внедряване и обновяване на Windows.

От Microsoft подчертаха, че тези групи не показват непременно кои пропуски са най-опасни, тъй като действителният риск зависи от това дали те се експлоатират при атаки, от тяхната степен на сериозност и от начина, по който дадена организация използва засегнатия софтуер.

От Microsoft посочват, че новият подход все още е експериментален и има за цел да помогне на организациите да приоритизират актуализациите за сигурност, а не да замени съществуващите препоръки за прилагане на корекции.

Microsoft публикува PDF документ, съпоставящ уязвимостите от октомври 2026 г. със съответните им кохорти на риска.

Актуализации за сигурност от Patch Tuesday за октомври 2026 г.

По-долу е пълният списък с отстранените уязвимости в актуализациите за октомври 2026 г. Обърнете внимание, че този доклад включва и пропуските, коригирани по-рано този месец.

За достъп до пълното описание на всяка уязвимост и системите, които засяга, можете да прегледате пълния доклад тук.

Присъединете се към Мико Хюпьонен и лидери по сигурността от NFL, CHANEL и Atlassian за двучасова дигитална конференция, посветена на това какво променят атаките със скоростта на AI, какво трябва да спрат да правят защитниците и как да валидират, вземат решения, отстраняват уязвимости и повторно да валидират с машинна скорост.