Zero-day уязвимост в Microsoft Windows Shell се експлоатира активно при атаки

Microsoft отстрани активно експлоатирана zero-day уязвимост в Windows Shell, която позволява на атакуващите да заобикалят защитите на Mark of the Web. Проследявана под идентификатор CVE-2026-96951, уязвимостта беше коригирана в пакета с обновления от октомври 2026 г. (Patch Tuesday). Тя има CVSS оценка 8.8 и е класифицирана от Microsoft като „Важна“ (Important).

Уязвимостта не е била публично оповестена преди актуализацията, но Microsoft потвърди, че вече е била извършена злонамерена експлоатация. Оценката „Exploitation Detected“ сигнализира за потвърдена атака, а не за потенциална бъдеща заплаха. Индексът за експлоатируемост на Microsoft съветва потребителите да дадат най-висок приоритет на съответните обновления в тази категория.

Експлоатирана zero-day уязвимост в Windows Shell

Дефектът е свързан с инжектиране на команди, при което Windows Shell не обработва правилно специални елементи, използвани в дадена команда. Microsoft описва резултата като заобикаляне на функция за сигурност, достъпно за неоторизиран атакуващ през мрежата. Успешната експлоатация позволява на нападателя да избегне защитните механизми на Mark of the Web.

Mark of the Web идентифицира файлове, свалени от интернет, и помага на Windows да прилага предупреждения или други защитни проверки. Заобикалянето на тази защита може да премахне важна преграда между изтеглен файл и потребител, отварящ опасно съдържание. Въпреки това отчетеният ефект е заобикаляне на сигурността, а не самостоятелна уязвимост за отдалечено изпълнение на код.

Атакуващите могат да доставят специално създаден файл чрез имейл или съобщения и да използват социално инженерство, за да убедят мишената да го отвори. Експлоатацията изисква действие от страна на потребителя. Това означава, че уязвимостта не трябва да се третира като атака без кликване (zero-click), независимо от разпространението ѝ по мрежови път.

Предишни доклади за атаки от тип Windows LNK Stomping описваха друг начин, по който нападателите заобикаляха Mark of the Web чрез преки пътища (shortcuts) в Windows. Отделно, уязвимост в WinZip, свързана с Mark of the Web, показа как при разархивиране могат да се загубят маркерите за произход от интернет. Това са отделни уязвимости, а не потвърдени техники, използвани в текущите атаки.

В предоставения бюлетин на Microsoft се изказва признание на Рику Бамба (Riku Bamba) и Юя Чудо (Yuya Chudo) от Fujitsu Limited, Беноа Севенс (Benoit Sevens), използващ Claude с Anthropic, и изследователя yhw. В него не се посочват атакуващите, техните цели, форматът на зловредния файл или мащабът на експлоатацията. Тези липсващи подробности ограничават възможността за изводи относно кампанията и нейния обхват.

Екипите по сигурност трябва да приоритизират съответните обновления за Windows и да проверят ръководството за актуализации на защитата на Microsoft за засегнатите продукти. Бързото тестване и внедряване на корекцията за сигурност е особено важно, тъй като експлоатацията е потвърдена. Потребителите трябва да останат бдителни към неочаквани прикачени файлове, тъй като атаката разчита на убеждаване на жертвата да взаимодейства с контролирано от нападателя съдържание.