Microsoft обновила рекорд Patch Tuesday: закрыто почти 200 уязвимостей за месяц

9 июня Microsoft выпустила очередной пакет исправлений Patch Tuesday, который стал самым масштабным в истории компании.

Всего было устранено 198 уязвимостей (CVE — Common Vulnerabilities and Exposures), среди которых 32 получили статус критических, а 166 — важных. Предыдущий максимум был зафиксирован в октябре 2025 года, когда компания закрыла 167 уязвимостей.

Такой рост объема обновлений уже сам по себе привлекает внимание специалистов по кибербезопасности, но главным фактором риска в этом месяце стали три уязвимости нулевого дня, информация о которых стала публичной до выхода патчей.

Уязвимости нулевого дня: ключевой источник риска

Особую тревогу вызвали три zero-day уязвимости, каждая из которых затрагивает разные компоненты Windows и потенциально может быть использована в реальных атаках.

• CVE-2026-50507 — связана с обходом защиты BitLocker. При наличии физического или локального доступа злоумышленник может обойти шифрование диска, что особенно опасно для корпоративных ноутбуков и украденных устройств.
• CVE-2026-49160 — затрагивает HTTP.sys и HTTP/2. Уязвимость позволяет вызвать отказ в обслуживании веб-серверов без аутентификации, просто отправив специально сформированные запросы.
• CVE-2026-45586 — касается повышения привилегий через компонент CTFMON. После первоначального проникновения атакующий может получить права уровня SYSTEM.

RDP и виртуализация под ударом

Среди 54 исправлений, связанных с удаленным выполнением кода (RCE), особенно выделяется группа уязвимостей в Remote Desktop Client. Здесь устранено 11 проблем, включая критические сценарии, при которых открытие вредоносного RDP-файла или подключение к зараженному серверу может привести к выполнению произвольного кода.

Отдельное внимание вызывает подсистема виртуализации Hyper-V. В ней закрыты три критические RCE-уязвимости: CVE-2026-47652, CVE-2026-45641 и CVE-2026-45607. Их эксплуатация теоретически позволяет выполнить так называемый VM escape — выйти из гостевой виртуальной машины и получить доступ к хост-системе. Для облачных инфраструктур и серверных сред это один из наиболее опасных сценариев.

Что еще исправили в обновлении

Помимо ключевых рисков, патч затронул широкий спектр компонентов Windows и сервисов Microsoft. Исправления получили:

• Windows File Explorer и NTFS
• драйверы Bluetooth
• Boot Manager
• Microsoft Copilot
• Exchange Server
• Microsoft Office

По распределению типов уязвимостей картина выглядит следующим образом: около 31,8% связаны с повышением привилегий, а 27,3% — с удаленным выполнением кода.

Теги:

Источник