Microsoft във вторник пусна актуализации за сигурност за рекордните 1411 уязвимости, включително една активно използвана и две публично разкрити zero-day уязвимости, съобщава BBC News.

Компанията класифицира 70 отстранени проблема като критични. От тях 57 могат да доведат до дистанционно изпълнение на код, 11 до повишаване на привилегиите, а други два са свързани със спуфинг-а.

Три уязвимости от типа „нулев ден“

Една от активно експлоатираните уязвимости е позволила заобикаляне на механизма Mark of the Web в Windows Shell. Според Microsoft, неправилното неутрализиране на специалните елементи в командата позволява на неоторизиран нападател да заобиколи защитната функция през мрежата.

Компанията също така поправи уязвимост за заобикаляне на сигурността в .NET Framework. Тя може да позволи на удостоверен хакер да постави специално създаден .NET асемблър на уязвима система и да го регистрира за зареждане от защитен процес. Това може да позволи на хакера да заобиколи ограниченията на Windows Defender Application Control и да изпълни произволен код без намеса на потребителя. Уязвимостта е открита от Джеймс Форшоу от Google Project Zero.

Третият проблем от типа нулев ден се отнася до MessagePack-CSharp и може да бъде използван за причиняване на отказ на услуга по мрежата поради неконтролирано последователно разпределение на паметта.

Край на поддръжката за отделни версии на Windows

Microsoft също така обяви края на поддръжката на Windows 11 във версия 24H2 в изданията Home и Pro, както и за Windows 10 Enterprise LTSB 2016. Месечната актуализация на защитата от октомври 2026 г. ще бъде последния наличен ъпдейт за тях.

Компанията обяви преди това, че организациите, използващи Windows 11 версия 23H2 в изданията Enterprise, Education и IoT Enterprise, трябва да надстроят до по-нови версии: от следващия месец тези издания вече няма да получават актуализации за сигурност.

Нов начин за приоритизиране на актуализациите

На фона на големия брой кръпки, Microsoft въведе експериментален подход, наречен „кохорти на риска“. Той групира подобни уязвимости в групи, за да помогне на организациите да приоритизират актуализациите. Компанията подчертава, че такива групи сами по себе си не определят нивото на риск: рискът зависи отчасти от действителната експлоатация при атаки, сериозността на проблема и начина, по който се използва софтуерът.