Microsoft выпустила рекордный пакет исправлений в рамках Patch Tuesday, закрыв 974 уязвимости в различных продуктах — это новый месячный максимум. Из них 113 получили критическую оценку с риском удалённого выполнения кода без участия пользователя.
Самая опасная уязвимость — CVE-2026-69730 (9,8 балла по CVSS), ошибка use-after-free в службе DNS-сервера Windows. Затрагивает Windows Server 2012 и новее, а также некоторые версии Windows 10. Позволяет неаутентифицированному злоумышленнику удалённо выполнить код через специальный сетевой пакет.
Также устранены два уже эксплуатируемых нулевых дня: CVE-2026-81963 в стеке обновлений Windows и CVE-2026-85880 в механизме Advanced Local Procedure Call. Обе дают злоумышленнику, уже выполняющему код на устройстве, возможность повысить привилегии до уровня System.
Ещё одна критическая ошибка — CVE-2026-69829 с оценкой 9,8, переполнение буфера в оболочке Windows. Она допускает удалённое выполнение кода без аутентификации и низкой сложности атаки.
Эксперты связывают рост числа находок с применением искусственного интеллекта, который ускоряет поиск ошибок как для защитников, так и для потенциальных атакующих. Демонстрационные примеры ИИ-эксплойтов уже существуют, но массового роста атак пока не зафиксировано.
С начала 2026 года Microsoft закрыла свыше 2600 уязвимостей — более чем вдвое больше прежнего годового рекорда 2020 года (около 1250). Июльский пик составлял 570 исправлений, в августе показатель снизился до 415.
Администраторам рекомендуется тщательно проверять совместимость обновлений перед развёртыванием, а домашним пользователям — установить патчи как можно скорее.