Microsoft випустила червневе оновлення у рамках Patch Tuesday June 2026

Microsoft випустила червневе оновлення в рамках Patch Tuesday («Вівторок патчів»), усунувши 200 вразливостей, включаючи три публічно розкриті нульові дні (zero-day)

Серед виправлених помилок 33 набули статусу критичних. Більшість із них (28 випадків) пов'язані з можливістю віддаленого виконання коду, що становить особливу небезпеку для інфраструктури організацій. Інші критичні вразливості стосуються підвищення привілеїв та розкриття конфіденційної інформації. Загальна статистика показує переважання проблем, пов'язаних із підвищенням прав доступу, – 65 випадків, а також уразливостей віддаленого виконання коду – 55 випадків.

Окрема увага була приділена вразливості із кодом CVE-2026-50507, що дозволяє обійти захист технології шифрування BitLocker. Ця проблема, відома як YellowKey, була виявлена ​​дослідником Nightmare Eclipse і дозволяє зловмисникам отримати доступ до зашифрованих даних при фізичному доступі до пристрою. Атака експлуатує середовище відновлення Windows (WinRE) на системах, захищених лише модулем TPM. Для запобігання подібним інцидентам Microsoft рекомендує включити додаткову аутентифікацію за допомогою PIN-коду. 

Ще одна важлива проблема стосується компонента HTTP.sys і отримала назву HTTP/2 Bomb. Вразливість дозволяє викликати відмову в обслуговуванні сервера шляхом надсилання спеціально сформованих запитів, які призводять до неконтрольованого споживання оперативної пам'яті. Для мінімізації ризиків Microsoft запровадила новий параметр реєстру MaxHeadersCount, що обмежує кількість заголовків у запитах HTTP/2 та HTTP/3. Це має запобігти вичерпанню ресурсів сервера.

Третя усунена вразливість нульового дня пов'язана з фреймворком Collaborative Translation Framework (CTFMON). Помилка дозволяла локальному авторизованому користувачеві підвищувати свої привілеї до рівня SYSTEM через некоректну обробку посилань перед доступом до файлів. Деталі розкриття цієї вразливості не розголошуються, проте її наявність, як зазначається у матеріалі BleepingComputer, підкреслює важливість своєчасної установки патчів навіть для компонентів, які безпосередньо не взаємодіють із зовнішньою мережею.

3 уразливості нульового дня виправлені.

CVE-2026-50507 – це вразливість, що дозволяє обійти функцію безпеки BitLocker у Windows, що має високий рейтинг . Успішний обхід цієї вразливості може дозволити зловмиснику з фізичним або локальним доступом обійти захист BitLocker, що забезпечує повне шифрування диска, що підірве контроль, який багато організацій розглядають як останню лінію захисту від втрачених або вкрадених пристроїв.

CVE-2026-49160 — це вразливість типу «відмова в обслуговуванні» (DoS) в HTTP.sys, що стосується HTTP/2, також має рейтинг «Важлива» . Оскільки HTTP.sys знаходиться під IIS та іншими мережевими службами Windows, спеціально сформований потік запитів може вивести з ладу доступні веб-сервери, що робить цю вразливість пріоритетною для інфраструктури, зверненої до Інтернету.

Третя вразливість нульового дня, CVE-2026-45586 завершує тріо вразливостей, про які Microsoft підтвердила, що вони були відомі зловмисникам ще до виходу патчу. Разом ці три вразливості підкреслюють тему, що повторюється: обхід шифрування, порушення роботи сервісів і порушення цілісності шляху завантаження залишаються улюбленими цілями.

Усунено критичні вразливості RCE.

Крім уразливостей нульового дня, цей цикл містить 54 вразливості віддаленого виконання коду (RCE), значна частина яких має критичний рівень небезпеки.

У версії Remote Desktop Client було виявлено найбільшу кількість оновлень для RCE, що включають 11 уразливостей CVE, у тому числі критичні   CVE-2026-44801 ,   CVE-2026-44799 ,   CVE-2026-42992 та   CVE-2026-42 .

Windows Hyper-V також значною мірою постраждала від критичних уразливостей віддаленого виконання коду (RCE)   CVE-2026-47652 ,   CVE-2026-45641 і   CVE-2026-45607 , кожна з яких здатна дозволити віртуальній машині вийти за межі віртуальної машини.

До інших важливих моментів, що стосуються RCE, належать:

• CVE-2026-47291   – Видалене виконання коду HTTP.sys
• CVE-2026-47288   – Вразливість віддаленого виконання (RCE) у Windows Kerberos KDC (критична для інфраструктури Active Directory)
• CVE-2026-45648   – Віддалене виконання служб домену Active Directory
• CVE-2026-32193   – Вразливість віддаленого виконання (RCE) в Azure Kubernetes Service (AKS)
• CVE-2026-26142   – Nuance PowerScribe RCE (середовища охорони здоров'я)

До складу Microsoft Office також входить кілька критичних патчів для віддаленого виконання коду (RCE), вразливостей   CVE-2026-45458   і   CVE-2026-45456   (Outlook і Word),   CVE-2026-45474 і   CVE-2026-45472 , які можуть бути доставлені для документів.

У цьому циклі оновлень переважають уразливості, пов'язані з підвищенням привілеїв, включаючи 63 вразливості, які стосуються категорії EoP. До зачеплених компонентів відносяться: бібліотека ядра Windows DWM (11 вразливостей EoP), драйвер допоміжних функцій Windows для WinSock (7 вразливостей), push-сповіщення Windows (4 вразливості) і ядро ​​Windows ( CVE-2026-484563 , 6 )   .

Крім червневого пакета виправлень Microsoft, власні оновлення безпеки випустив низку інших великих компаній. Google закрила 124 вразливості в Android і одну помилку, що активно експлуатується, в браузері Chrome. Компанії Cisco, Check Point та Veeam також опублікували патчі для критичних помилок, деякі з яких вже використовувалися в реальних атаках із застосуванням програм-вимагачів.

Інші новини