Сентябрьский Patch Tuesday Microsoft: почти тысяча исправлений и два уязвимых нулевого дня

8 сентября 2026 года Microsoft выпустила один из самых объёмных пакетов исправлений в истории программы Patch Tuesday — по разным подсчётам исследовательских команд, от 964 до 974 уязвимостей в одном релизе. Расхождение в цифрах объясняется тем, что разные компании по-разному учитывают повторяющиеся записи для одной и той же уязвимости в разных версиях Windows, но порядок величины бесспорен: это рекордный для сентября объём за всю историю программы. Куда важнее числа то, что среди исправленного оказались две уязвимости, которые злоумышленники уже эксплуатировали до выхода патча, и ещё одна — с максимально возможной практической опасностью, хоть и без подтверждённых атак.

Рекордный объём и что в нём тонет

Большой набор исправлений — это не просто статистика для отчётов ИБ-отделов. Чем больше уязвимостей закрывается одновременно, тем выше риск, что администраторы физически не успеют приоритизировать патчи по степени критичности и отложат установку части из них до планового окна обслуживания. Именно поэтому специализированные площадки вроде CrowdStrike и Tenable в своих разборах релиза в первую очередь выделяют не общее число, а конкретные CVE, которые нельзя откладывать.

Критическая брешь в протоколе SSTP

Самая опасная по формальной оценке уязвимость этого релиза — CVE-2026-73009, ошибка типа use-after-free в службе Secure Socket Tunneling Protocol (SSTP), встроенном VPN-протоколе Windows Server. Оценка по шкале CVSS составляет 9,8 из 10: атака не требует ни аутентификации, ни действий пользователя — достаточно отправить специально сформированный пакет на прослушивающий SSTP-сервис, чтобы выполнить произвольный код на сервере. Проблема усугубляется тем, как именно SSTP обычно разворачивают: организации, использующие встроенный в Windows Server VPN для удалённого доступа через Routing and Remote Access Service (RRAS), как правило, открывают порт TCP/443 напрямую в интернет. Это значит, что уязвимый сервис доступен любому желающему без предварительного получения доступа к внутренней сети или кражи учётных данных. На момент выхода патча Microsoft не зафиксировала случаев эксплуатации CVE-2026-73009 в реальных атаках, но эксперты сходятся в том, что публикация деталей патча резко ускоряет появление рабочих эксплойтов.

Два нулевых дня, которые уже использовались

В отличие от бреши в SSTP, две другие уязвимости этого релиза злоумышленники применяли ещё до выхода исправлений — то есть формально это классические zero-day. Первая, CVE-2026-81963, относится к компоненту Windows Update Stack и позволяет локальному атакующему с низкими привилегиями повысить их до уровня SYSTEM через технику подмены символических ссылок (link following). Вторая, CVE-2026-85880, — это переполнение буфера в куче в подсистеме Advanced Local Procedure Call (ALPC), механизме межпроцессного взаимодействия ядра Windows; она позволяет коду, выполняющемуся в изолированном AppContainer с урезанными правами, вырваться из песочницы. Об уязвимости в ALPC сообщили исследователи Proofpoint, а сама она примечательна тем, что подобные бреши в ALPC Microsoft не закрывала почти четыре года — с января 2023 года. Обе уязвимости получили оценку CVSS 7,8 и требуют, чтобы атакующий уже имел первоначальный доступ к системе — то есть они предназначены не для проникновения в сеть, а для закрепления и повышения привилегий после того, как злоумышленник уже оказался внутри.

Почему это важно не только ИБ-специалистам

Связка из уязвимости первоначального доступа (как в случае с SSTP) и уязвимостей повышения привилегий (как обе найденные в реальных атаках) — это типичный сценарий современных целевых атак и атак шифровальщиков: сначала пробить периметр, затем закрепиться и получить полный контроль над системой. CISA, американское агентство по кибербезопасности, добавило CVE-2026-81963 в каталог известных эксплуатируемых уязвимостей (KEV) в день выхода патча и установило federal civilian агентствам США срок на устранение до 22 сентября — жёсткий десятидневный дедлайн, который обычно сигнализирует об активной эксплуатации за пределами единичных инцидентов.

Что это значит на практике

Для организаций, использующих SSTP-VPN на Windows Server, патч для CVE-2026-73009 стоит устанавливать в приоритетном порядке, не дожидаясь планового окна — сама природа уязвимости (доступность из интернета, отсутствие требований к аутентификации) делает её крайне привлекательной целью для массового сканирования, как только исследователи безопасности опубликуют технические детали. Для остальных пользователей Windows практический вывод проще: обновления безопасности сентября стоит установить как обычно, без специальных мер, но откладывать их дольше пары дней в этом месяце особенно не стоит — сочетание рекордного объёма патчей и двух уже эксплуатируемых уязвимостей редко совпадает в одном релизе.