Microsoft устранила более тысячи уязвимостей в очередном вторничном пакете обновлений

1094 дыры за один вторник. Одна из них — zero-day, которую уже успели применить до того, как Microsoft вообще признала проблему. Outlook CVE-2026-124194 тянет всего на 6,5 баллов, но это не мешает хакерам вытаскивать NTLMv2-хеши без каких-либо предупреждений о загрузке внешнего контента — пользователь просто открывает файл, и Outlook сам подключается к ресурсу злоумышленника. Хеш уже у них, а они уже аутентифицируются в системе от имени жертвы. Microsoft, по традиции, не уточнила ни дату начала атак, ни конкретных исполнителей, ни дальнейших действий после получения доступа — теперь, когда патч вышел, другие группы начнут сканировать сети в поисках неотпатченных версий и изучать исправление в поисках собственных векторов. Векторов, кстати, в этом пакете хватило бы на отдельный отчёт: две zero-click уязвимости с оценкой 9,8 — CVE-2026-116928 в Windows Search и CVE-2026-119958 в LDAP — обе позволяют выполнять код удалённо без участия пользователя, причём первая эксплуатируется через специально подготовленное вложение в Exchange, которое автоматически индексируется, а вторая компрометирует контроллеры домена через LDAP-запрос. Домена, точнее их контроллеры, теперь под прицелом наравне с тридцатью «червеподобными» уязвимостями, не требующими ни действий пользователя, ни сетевого взаимодействия, и критической брешью CVE-2026-112967 в Windows Xbox Live Networking Service с теми же 9,8 баллами — для эксплуатации не нужна ни аутентификация, ни действия со стороны пользователя. Пользователя, вернее его систему, Microsoft в этом году уже научилась «чинить» внепланово: следом за ноябрьским кошмаром компания развернула экстренное обновление для Windows 11 версий 26H1, 25H2 и 24H2, устраняющее проблемы сентябрьского пакета, который сломал общие папки в Linux-виртуалках на Hyper-V, сеансы RDS и некоторые USB-аудиоустройства. Устройства и не только — в январе потребовалось четыре внеплановых обновления, в марте ещё два (проблемы со сбоями установки и входом в учётную запись Microsoft), в июле чинили драйвер Intel, который жрал батарею и ронял производительность. Внеплановые патчи из редкости превратились в рутину. Рутину, которую теперь приходится разгребать ещё до того, как админы успеют протестировать основной пакет.