Microsoft закрыла больше 1400 дыр за один вторник

13 октября Microsoft выпустила исправления больше чем на 1400 уязвимостей Windows и другого ПО. Сентябрьский пакет — почти тысяча — уже был примерно в десять раз больше обычного месяца. Об этом пишет Krebs on Security. Нулевой день в этом выпуске один: CVE-2026-96951, обход защитной функции в Windows Shell, затрагивает Windows 10, 11 и часть Server.

Что в пакете важно, а что только шумит

Не меньше 78 дыр помечены как критические: мало или нет действий пользователя, чаще всего произвольный код. Отдельно Krebs отмечает CVE-2026-108398 в .NET Framework: публично раскрыта до вторника, эксплуатации Microsoft пока не видит, но время на подготовку у атакующего уже было. Сатнам Наранг из Tenable сравнивает месяц с рекордом 2020 года (1261 CVE) и говорит, что счётчик года уже перевалил за 4000 при двух оставшихся месяцах.

Microsoft связывает объём находок с языковыми моделями. Эксперты, которых цитирует Krebs, предупреждают: большие пакеты давят на тестирование. Тайлер Регули из Fortra напоминает простую развилку: в каталоге KEV CISA за год по Microsoft пока 26 записей — их и ставьте первыми. В комментариях к записи резонно уточняют: число CVE в одном накопительном обновлении само по себе не умножает число пакетов, зато увеличивает шанс, что обновление что-то сломает. Боль и не «приоритизация 1400 строк», а наблюдение после установки.

Windows 10: поддержку бесплатных обновлений Microsoft сначала продлила на год после октября 2025, затем тихо ещё на год — до октября 2027. Это не повод держать «десятку» в проде без плана замены, но и не повод бросить патч «потому что срок вышел».

Где это в модели зрелости

Очередь патча — уязвимости. Если пакет ломает цех, смотрите и изменения. Карта — /zrelost.

Как проверить

Не открывайте таблицу на 1400 строк как план на неделю. Выпишите: есть ли Windows и .NET в KEV, что смотрит в интернет, где стоит Windows 10. Сначала эти три списка, потом остальной накопительный пакет. Обзор более заметных дыр этого вторника Krebs отсылает к сводкам Cisco Talos и SANS Internet Storm Center — сверяйте номера там, не по чужому слайду. Нулевой день CVE-2026-96951 в Windows Shell — в первую очередь на рабочих станциях, не только на серверах.

На тестовой группе засеките не «установилось», а какие приложения отвалились за сутки. Не откладывайте весь пакет «пока не прочитаем 1400 строк»: накопительное обновление ставится одним кругом, а чтение бюллетеня не заменяет наблюдение после установки.

Процесс закрытия — от скана до закрытия. Как не потерять патч безопасности в общей куче обновлений Debian — отдельный разбор.

Источники

• Krebs on Security. Microsoft Patches More Than 1,400 Security Flaws. URL: https://krebsonsecurity.com/2026/10/microsoft-patches-more-than-1400-security-flaws/.