Октябрьский Patch Tuesday превратился в новый рекорд Microsoft. BleepingComputer насчитал 1411 исправленных уязвимостей, среди которых 70 получили критический рейтинг. Предыдущий сентябрьский рекорд в 966 проблем продержался всего месяц.
Основную массу составили ошибки повышения привилегий, удалённого выполнения кода и раскрытия информации. В выпуск вошли 677 проблем повышения привилегий, 317 RCE, 254 утечки данных, 73 отказа в обслуживании, 40 обходов защиты и 28 проблем подмены. Ещё 348 уязвимостей Microsoft исправила ранее в октябре и в общий счёт Patch Tuesday их не включили.
Главный риск связан с CVE-2026-96951 с оценкой 8,8 по CVSS 3.1. Уязвимость Windows Shell позволяет обходить Mark of the Web, который предупреждает систему о файлах из недоверенных источников. Microsoft подтвердила эксплуатацию в реальных атаках, а CISA добавила проблему в каталог известных эксплуатируемых уязвимостей KEV.
Ещё одна публично раскрытая проблема, CVE-2026-108398 с оценкой 8,8 по CVSS 3.1, затрагивает .NET Framework. Авторизованный локальный пользователь может подложить специально подготовленную сборку .NET и добиться её загрузки защищённым процессом. Успешная атака обходит Windows Defender Application Control и запускает код без участия пользователя.
CVE-2026-92707 получила 5,3 балла по CVSS 3.1 и затрагивает MessagePack-CSharp. Ошибка позволяет удалённому неавторизованному атакующему вызвать отказ в обслуживании через неконтролируемое выделение памяти. BleepingComputer относит проблему к публично раскрытым zero-day, хотя разные подсчёты октябрьского выпуска расходятся по числу CVE и критических ошибок.
Microsoft столкнулась не только с рекордным объёмом патчей, но и с проблемой их приоритизации. Компания разбила октябрьские CVE на 15 экспериментальных групп риска. Самые крупные охватывают файловые системы и хранилища, Office, графику и медиакомпоненты, ядро Windows, а также службы установки и обновления. Такой подход не заменяет разбор каждой CVE, но сокращает повторяющуюся работу администраторов.
Рост числа исправлений Microsoft ранее связывала в том числе с более активным поиском багов при помощи искусственного интеллекта. Масштаб октябрьского выпуска подтверждает тренд, хотя методики подсчёта различаются. Tenable насчитала 1407 CVE и 69 критических проблем. Разница не меняет статуса выпуска как крупнейшего за историю Patch Tuesday.
13 октября также стало последним днём регулярной поддержки Windows 11 24H2 Home и Pro и Windows 10 Enterprise LTSB 2016. Октябрьские пакеты стали для них последними ежемесячными обновлениями безопасности. Для поддерживаемых систем Microsoft рекомендует устанавливать актуальные исправления как можно быстрее, а приоритет отдавать уже эксплуатируемым и наиболее опасным уязвимостям.