В поредния рекорден вторник на корекциите (Patch Tuesday) Microsoft отстрани над 1400 грешки в сигурността, включително уязвимост за заобикаляне на защитата Mark of the Web (CVE-2026-96951), експлоатирана от атакуващи в реални условия.
CVE-2026-96951 е уязвимост за инжектиране на команди в Windows Shell, която може да бъде задействана от отдалечени атакуващи чрез файл, проектиран да експлоатира уязвимостта.
Такъв файл може да бъде изпратен на потребителя по имейл, чрез незабавно съобщение или през платформи за съвместна работа като Teams и Slack. Като алтернатива потребителите могат да бъдат подмамени да го изтеглят сами от злонамерен уебсайт.
Следователно е необходимо потребителско взаимодействие, но след като това препятствие бъде преодоляно, отварянето на такъв файл заобикаля защитите на Mark of the Web, които обикновено биха:
- Предупредили потребителя за потенциалната опасност от отварянето му
- Отворили файла в режим само за четене „Protected View“ или
- Блокирали отварянето му.
„Това е третият дефект в Windows Shell, който е експлоатиран в реални условия през тази година“, отбеляза Сатнам Наранг, старши изследователски инженер в Tenable.
„Другите два бяха CVE-2026-21510, който е свързан с групата за усъвършенствани постоянни заплахи APT28 (известна още като Fancy Bear), и CVE-2026-32202, който беше корекция на непълно обновяване за CVE-2026-21510. Експлоатацията на CVE-2026-32202 все още не е приписана официално и не е ясно дали CVE-2026-96951 е създаден, за да коригира друго непълно решение, или експлоатацията му е свързана с APT28.“
Във всеки случай тестването и инсталирането на тази корекция за сигурност трябва да бъде приоритет, тъй като уязвимостта се експлоатира активно от атакуващи.
Отвъд уязвимостта от тип нулев ден: SharePoint, саморазпространяващи се RCE уязвимости
Дъстин Чайлдс, ръководител на отдела за информираност относно заплахите в инициативата Zero Day Initiative на TrendAI, посочи CVE-2026-102866 като важен проблем, който трябва да бъде отстранен бързо.
Това е критичен дефект, свързан с неправилна проверка на криптографски подпис в Microsoft Office SharePoint, който позволява на неудостоверени атакуващи да превземат целеви потребителски профили.
„Атакуващ, който получи валиден токен за доказателство за целеви потребител, би могъл да го модифицира, да го изпрати към сървъра и да се удостовери като този потребител. Единственото ограничение е, че атакуващият първо трябва да се сдобие с този токен, но има множество методи, чрез които това може да бъде постигнато“, заяви той.
Microsoft определи уязвимостта като по-малко вероятна за експлоатация, вероятно защото може да бъде задействана само при наличие на специфични условия, като конкретни протоколни настройки или конфигурации.
Чайлдс отбеляза също, че Microsoft е отстранила 55 саморазпространяващи се дефекта – неудостоверени RCE уязвимости без необходимост от кликване (zero-click) – в критична инфраструктура като DHCP Server, Remote Desktop Gateway и Network Policy Server, и посъветва организациите да инсталират тези корекции за сигурност своевременно.
Той посочи, че изкуственият интелект ускорява откриването на дефекти от доставчиците и външните изследователи, но не създава тези слабости от нищото – той просто съкращава времето между появата на дадена уязвимост и нейното забелязване.
„Обемът вече не е същината на проблема. Важното е, че темпът на откриване нараства по-бързо от този на експлоатация, така че екипите, които приоритизират само по броя на CVE, вместо по възможността за експлоатация, губят ценно време с неподходящите дефекти. Инсталирайте корекции за това, което е доказано, приоритизирано и публично известно, и третирайте всичко останало като новото нормално за този месец“, посъветва той.
- уязвимост от тип нулев ден (0-day)
- CVE
- обновяване за сигурност
- SharePoint
- Tenable
- Trend Micro
- Windows
- Windows Server