Первый Patch Tuesday 2026: больше сотни уязвимостей в Windows, 3 zero-day, 8 критических — обновляйтесь немедленно

Microsoft выпустила первый в 2026-м регулярный Patch Tuesday — пакет обязательных исправлений безопасности для Windows, Office, серверных и сопутствующих продуктов. В этом обновлении компания закрыла более сотни уязвимостей, среди которых есть как те, что могли позволить злоумышленникам выполнить произвольный код, так и баги, о которых уже известно злоумышленникам.

Январский список исправлений включает более 110 CVE-идентификаторов, среди которых три 0-day. Помимо этого, восемь уязвимостей компания оценила как высоко подверженные риску эксплуатации. Большая часть других багов относилась к повышению привилегий и раскрытию информации, а также к возможности удалённого выполнения кода.

Самый обсуждаемый из исправленных багов - CVE-2026-20805, затрагивающий компонент Desktop Window Manager. Эта уязвимость относится к категории раскрытия информации и, по данным Microsoft, активно использовалась злоумышленниками для получения доступа к части памяти, что может облегчить цепочку дальнейших атак.

Кроме неё в январское обновление вошли ещё два 0-day: один связан с механизмом Secure Boot Certificate и касается истечения срока действия сертификатов, что может привести к проблемам с загрузкой системы в середине года, а другой — с повышением привилегий в Windows Digital Media. Оба не эксплуатировались массово, но Microsoft оценила их как «важные».

Помимо них в обновлении обнаружились и другие серьёзные баги, которые стоит выделить:

• CVE-2026-20854 — удалённое выполнение кода в подсистеме локальной безопасности (LSASS), что теоретически позволяет злоумышленнику взять под контроль систему при удачной атаке.
• CVE-2026-20952, CVE-2026-20953 — критические уязвимости в Microsoft Office, которые позволяют выполнить произвольный код через специально сформированный документ.
• CVE-2026-20822 — ошибка в компоненте графики Windows, связанная с повышением привилегий.
• CVE-2026-20876 — сбой в механизме виртуализации VBS Enclave, который теоретически даёт злоумышленнику возможность поднять свои права внутри изолированной среды.

Это лишь часть заметных CVE, которые вошли в январский пакет. Как и раньше, исправления затрагивают самые разные продукты: поддерживаемые версии Windows 11 и Windows 10, серверные редакции, компоненты Office и .NET, средства удалённого администрирования и утилиты для совместной работы. Итоги Patch Tuesday показывают, что борьба с уязвимостями не заканчивается никогда, даже в праздники важно быть начеку.

Пакет уже доступен через стандартные механизмы обновления Windows Update, а также через каталоги загрузок и корпоративные инструменты управления патчами. Эксперты и администраторы настоятельно рекомендуют установить его как можно быстрее, особенно на устройствах, подключённых к сети, чтобы снизить риск успешных атак на незащищённые системы.