Ядро Windows, Office, CoPilot и WSL. Microsoft закрыла 63 «дыры» во всех своих продуктах

В ноябрьском Patch Tuesday компания Microsoft устранила 63 уязвимости, включая одну критическую брешь нулевого дня, которая уже использовалась в атаках. На этот раз исправления затронули широкий спектр компонентов Windows и продуктов Microsoft, от ядра операционной системы до пакета Office и облачных решений.

По данным самой компании, наиболее опасная проблема затрагивала ядро Windows и позволяла получить системные привилегии путём гонки процессов — уязвимости был присвоен идентификатор CVE-2025-62215. Ошибка позволяла локально повысить уровень доступа, используя некорректную синхронизацию при совместном использовании ресурсов. Источником данных об её эксплуатации стала внутренняя команда Microsoft по киберугрозам.

Среди остальных уязвимостей 29 связаны с повышением привилегий, 16 позволяют удалённо выполнить код, 11 открывают доступ к чувствительной информации, 3 вызывают сбой в работе систем, 2 обходят защитные механизмы, и ещё 2 касаются подделки данных. При этом 4 из обнаруженных уязвимостей получили статус «критических», в том числе из-за возможности удалённого выполнения произвольного кода.

Обновления затронули как современные версии Windows, так и устаревшие системы. Впервые в рамках расширенной поддержки обновления получила Windows 10 — для пользователей этой ОС Microsoft также выпустила внеплановое исправление ошибки, мешающей регистрации в программе ESU. Помимо исправлений уязвимостей, корпорация также выпустила обновления KB5066835 и KB5066793 для Windows 11, а для Windows 10 — сборку KB5068781.

Параллельно с Microsoft обновления выпустили и другие вендоры. Adobe закрыла уязвимости в продуктах InDesign, Illustrator, Photoshop и других. Cisco устранила ошибки в ряде решений, включая ASA и системы идентификации пользователей, а также предупредила о новой волне атак, использующих старые уязвимости.

В библиотеке expr-eval для JavaScript был ликвидирован критический баг с удалённым выполнением кода. Fortinet выпустила обновление для FortiOS, устраняющее проблему с повышением привилегий. В Android ноябрьский бюллетень Google закрыл две уязвимости. Кроме того, Ivanti, SAP, Samsung и QNAP синхронно с Microsoft выпустили свои ежемесячные обновления. В частности, QNAP устранила сразу семь уязвимостей нулевого дня, продемонстрированных на хакерском конкурсе Pwn2Own Ireland 2025.

Особого внимания в этом месяце заслуживают уязвимости в продуктах Microsoft Office, в том числе Excel и Word, где исправлены как ошибки раскрытия информации, так и баги, позволяющие запуск вредоносного кода при открытии документов. Уязвимости также выявлены в Windows Kerberos, компонентах DirectX, драйверах Bluetooth и Wi-Fi, Remote Desktop и подсистеме Windows Subsystem for Linux GUI. Некоторые проблемы затронули Visual Studio и расширения CoPilot, что подчёркивает уязвимость инструментов разработчиков.

Полный перечень исправленных уязвимостей доступен в официальной документации Microsoft. Учитывая активную эксплуатацию ряда из них, обновление систем до актуального состояния рекомендуется не откладывать.