Календарь Microsoft
Эта неделя в сфере безопасности: рекордный Patch Tuesday, тяжёлые времена для PHP, самая старая уязвимость, армии AI и многое другое. Microsoft закрыла более 1 400 уязвимостей за один раз. Предыдущий рекорд был установлен в сентябре. Около 1 000 уязвимостей в сентябре, что примерно в десять раз превышает обычный среднемесячный показатель, стали предыдущим рекордом, а по данным Tenable, за два месяца до конца года Microsoft превысила отметку в 4 000 CVE.
Из этих уязвимостей в настоящее время эксплуатируется только одна — уязвимость обхода функции безопасности Windows Shell CVE-2026-96951, затрагивающая Windows 10, 11 и некоторые версии Server.
Слова о Windows
Информация о CVE-2026-108398 была обнародована ранее. Не менее 78 уязвимостей оцениваются как «критические», и большинство из них позволяет удалённо выполнить код без взаимодействия с пользователем. Большинство из них допускает удалённое выполнение кода. Microsoft негласно продлила бесплатные обновления для Windows 10 до октября 2027 года. Компания связывает это с LLM.
Пояснения по TLS
Согласно анализу Fortra, в этом году только 26 уязвимостей Microsoft попали в каталог CISA KEV, и администраторам рекомендуется использовать этот каталог для расстановки приоритетов.
Между тем выяснилось, что закрытые ключи восьми промежуточных сертификатов — шести TLS и двух для подписи кода — индийского удостоверяющего центра eMudhra (emSign) оказались скомпрометированы. Сертификаты были привязаны к emSign ECC Root CA – G3, которому доверяют Chrome, Apple и Mozilla. Исследователь по имени «Wayne» доказал это, подписав сообщения с помощью этих ключей. Как сообщил Flüpke в Mastodon, секретное значение ключа «EM OV TLS CA – G3C» составляло всего 4; остальные также были вскрыты в короткие сроки:
Опубликованный Flüpke в Mastodon список, показывающий секретные значения ключей, содержал следующие шесть записей в том же порядке и формате.
Хронология ключей
Список состоял из шести значений. – 56 – 230 – 237 – 115 – 155 – 156 – 66
Отмечалось, что ключи можно было получить из общедоступных сертификатов с момента их создания в апреле 2025 года. Блокировка последовала быстро. По данным The Hacker News, Chrome выпустила блокировку в течение двух часов, а Mozilla менее чем за три часа заблокировала сертификаты, удалила корневой сертификат из NSS и выпустила обновление Firefox (CVE-2026-113470).