Zero-day в Windows Shell обошёл Mark of the Web и попал в каталог CISA
Microsoft закрыла в октябрьском «вторнике патчей» 2026 года уязвимость CVE-2026-96951 — брешь в компоненте Windows Shell, которую злоумышленники уже активно использовали до выхода исправления. Особенность этой дыры в том, что она позволяет обойти Mark of the Web (MOTW) — встроенный механизм Windows, который помечает файлы, скачанные из интернета, и заставляет систему показывать предупреждения перед их запуском. Именно на такие маркеры опираются защитные механизмы вроде Protected View в Office и блокировки макросов, так что брешь напрямую бьёт по одной из базовых линий защиты от фишинга.
Что именно произошло
CVE-2026-96951 классифицирована как уязвимость типа CWE-77 — некорректная нейтрализация специальных элементов команды, то есть разновидность command injection. Специально сформированный файл заставляет Windows Shell выполнить встроенную в него команду, минуя проверку источника файла. Уязвимости присвоен балл 8.8 по шкале CVSS — это высокий уровень серьёзности, хотя и не максимальный. Для эксплуатации атакующему не нужны существующие привилегии в системе, но требуется, чтобы пользователь сам открыл заражённый файл — то есть брешь закрывает не весь путь атаки, а только техническую защиту, которая должна была предупредить о риске.
Как распространялась атака
По данным исследователей, вредоносный файл, эксплуатирующий CVE-2026-96951, мог приходить через электронную почту, мессенджеры или корпоративные инструменты для совместной работы вроде Teams и Slack, а также распространяться через ссылки на скачивание с заражённых сайтов. При обычных условиях такой файл получил бы отметку Mark of the Web и система показала бы предупреждение или заблокировала потенциально опасное содержимое. Уязвимость в Windows Shell убирала это предупреждение, и файл открывался так, будто он изначально находился на локальном диске, а не был загружен из сети. Публичного кода эксплойта (proof-of-concept) на момент патча исследователи не зафиксировали — это означает, что атака до раскрытия велась целенаправленно и скрытно, а не массово.
Масштаб октябрьского обновления
CVE-2026-96951 вышла не изолированно, а в составе одного из крупнейших релизов Patch Tuesday за историю наблюдений: по разным подсчётам изданий, Microsoft закрыла в октябре от 1411 до 1415 уязвимостей — источники расходятся в точной цифре из-за разной методологии подсчёта, но согласны в том, что это заметно больше, чем в предыдущие месяцы (в сентябре речь шла о порядка 974 исправлениях). Среди них — порядка 80 уязвимостей критического уровня. В этом же релизе было публично раскрыто ещё несколько проблем нулевого дня, включая обход защиты Windows Defender Application Control (WDAC) через .NET Framework, хотя для них активной эксплуатации в моменте не зафиксировано.
Попадание в каталог CISA и что это значит
Американское агентство по кибербезопасности и защите инфраструктуры CISA добавило CVE-2026-96951 в каталог Known Exploited Vulnerabilities (KEV) — список уязвимостей, которые уже используются в реальных атаках. Для федеральных гражданских агентств США это означает обязательный срок устранения: по требованиям директивы BOD 22-01 дедлайн был установлен на 16 октября 2026 года. Формально эта обязанность распространяется только на госструктуры США, но на практике каталог KEV давно стал ориентиром для приоритизации патчей и в коммерческом секторе — попадание туда обычно сигнализирует индустрии, что риск реальный, а не теоретический.
Неподтверждённая связь с APT28
Отдельный вопрос, который пока остаётся открытым, — связь новой уязвимости с группировкой APT28 (также известной как Fancy Bear), которую ранее в 2026 году Microsoft и Google публично связывали с эксплуатацией другой бреши — CVE-2026-21513 в движке MSHTML. Аналитик Tenable Сатнам Наранг отметил, что CVE-2026-96951 может быть как попыткой закрыть неполностью исправленную в феврале 2026 года CVE-2026-21510 (тоже обход защитного механизма с баллом CVSS 8.8), так и отдельной историей, вообще не связанной с APT28. На момент публикации ни Microsoft, ни независимые исследователи не подтвердили, кто именно стоит за наблюдаемой эксплуатацией.
Что это значит на практике
Для обычных организаций главный практический вывод простой: установка октябрьского обновления Windows закрывает конкретный и уже эксплуатируемый путь атаки, а не абстрактную теоретическую угрозу. При этом сама история показывает ограничение защит, завязанных на метаданные файла, — механизм Mark of the Web удобен и дешёв, но, как показывает CVE-2026-96951, сам становится целью атак, если на него слишком сильно полагаться как на единственный барьер. Для специалистов по безопасности это лишний повод напомнить сотрудникам о базовой гигиене — не открывать файлы из непроверенных писем и мессенджеров даже тогда, когда система формально не показывает предупреждения, поскольку именно это допущение и было использовано в атаке.