Microsoft выпустила июньское обновление в рамках Patch Tuesday June 2026

Microsoft выпустила июньское обновление в рамках Patch Tuesday («Вторник патчей»), устранив 200 уязвимостей, включая три публично раскрытые нулевого дня (zero-day)

Среди исправленных ошибок 33 получили статус критических. Большинство из них (28 случаев) связаны с возможностью удалённого выполнения кода, что представляет особую опасность для инфраструктуры организаций. Остальные критические уязвимости касаются повышения привилегий и раскрытия конфиденциальной информации. Общая статистика показывает преобладание проблем, связанных с повышением прав доступа, — 65 случаев, а также уязвимостей удалённого выполнения кода — 55 случаев.

Отдельное внимание было уделено уязвимости с кодом CVE-2026-50507, позволяющей обойти защиту технологии шифрования BitLocker. Эта проблема, известная как YellowKey, была обнаружена исследователем Nightmare Eclipse и позволяет злоумышленникам получить доступ к зашифрованным данным при физическом доступе к устройству. Атака эксплуатирует среду восстановления Windows (WinRE) на системах, защищённых только модулем TPM. Для предотвращения подобных инцидентов Microsoft рекомендует включить дополнительную аутентификацию с помощью PIN-кода. 

Ещё одна значимая проблема касается компонента HTTP.sys и получила название HTTP/2 Bomb. Уязвимость позволяет вызвать отказ в обслуживании сервера путём отправки специально сформированных запросов, которые приводят к неконтролируемому потреблению оперативной памяти. Для минимизации рисков Microsoft внедрила новый параметр реестра MaxHeadersCount, ограничивающий количество заголовков в запросах HTTP/2 и HTTP/3. Это должно предотвратить исчерпание ресурсов сервера.

Третья устранённая уязвимость нулевого дня связана с фреймворком Collaborative Translation Framework (CTFMON). Ошибка позволяла локальному авторизованному пользователю повышать свои привилегии до уровня SYSTEM из-за некорректной обработки ссылок перед доступом к файлам. Детали раскрытия этой уязвимости не разглашаются, однако её наличие, как отмечается в материале BleepingComputer, подчёркивает важность своевременной установки патчей даже для компонентов, не взаимодействующих напрямую с внешней сетью.

3 уязвимости нулевого дня исправлены.

CVE-2026-50507 — это уязвимость, позволяющая обойти функцию безопасности BitLocker в Windows, имеющая высокий рейтинг . Успешный обход этой уязвимости может позволить злоумышленнику с физическим или локальным доступом обойти защиту BitLocker, обеспечивающую полное шифрование диска, что подорвет контроль, который многие организации рассматривают как последнюю линию защиты от потерянных или украденных устройств.

CVE-2026-49160 — это уязвимость типа «отказ в обслуживании» (DoS) в HTTP.sys, затрагивающая стек HTTP/2, также имеющая рейтинг «Важная» . Поскольку HTTP.sys находится под IIS и другими сетевыми службами Windows, специально сформированный поток запросов может вывести из строя доступные веб-серверы, что делает эту уязвимость приоритетной для инфраструктуры, обращенной к интернету.

Третья уязвимость нулевого дня, CVE-2026-45586, завершает трио уязвимостей, о которых Microsoft подтвердила, что они были известны злоумышленникам еще до выхода патча. Вместе эти три уязвимости подчеркивают повторяющуюся тему: обход шифрования, нарушение работы сервисов и нарушение целостности пути загрузки остаются излюбленными целями.

Устранены критические уязвимости RCE.

Помимо уязвимостей нулевого дня, этот цикл содержит 54 уязвимости удаленного выполнения кода (RCE), значительная часть которых имеет критический уровень опасности.

В версии Remote Desktop Client было обнаружено наибольшее количество обновлений для RCE, включающих 11 уязвимостей CVE, в том числе критические  CVE-2026-44801 ,  CVE-2026-44799 ,  CVE-2026-42992 и  CVE-2026-42985 .

Windows Hyper-V также в значительной степени пострадала от критических уязвимостей удаленного выполнения кода (RCE)  CVE-2026-47652 ,  CVE-2026-45641 и  CVE-2026-45607 ,  каждая из которых способна позволить виртуальной машине выйти за пределы виртуальной машины и выполнить код на хосте.

К другим важным моментам, касающимся RCE, относятся:

• CVE-2026-47291  – Удаленное выполнение кода HTTP.sys
• CVE-2026-47288  – Уязвимость удаленного выполнения (RCE) в Windows Kerberos KDC (критическая для инфраструктуры Active Directory)
• CVE-2026-45648  – Удалённое выполнение служб домена Active Directory
• CVE-2026-32193  – Уязвимость удаленного выполнения (RCE) в Azure Kubernetes Service (AKS)
• CVE-2026-26142  – Nuance PowerScribe RCE (среды здравоохранения)

В состав Microsoft Office также входит несколько критических патчей для удаленного выполнения кода (RCE), уязвимостей  CVE-2026-45458  и  CVE-2026-45456  (Outlook и Word),  CVE-2026-45474 и  CVE-2026-45472 ,  которые могут быть использованы для взлома путем доставки вредоносных документов.

В этом цикле обновлений преобладают уязвимости, связанные с повышением привилегий, включая 63 уязвимости, относящиеся к категории EoP. К числу затронутых компонентов относятся: библиотека ядра Windows DWM (11 уязвимостей EoP), драйвер вспомогательных функций Windows для WinSock (7 уязвимостей), push-уведомления Windows (4 уязвимости) и ядро ​​Windows ( CVE-2026-48583 ,  CVE-2026-45653 ).

Помимо июньского пакета исправлений Microsoft, собственные обновления безопасности выпустил ряд других крупных компаний. Google закрыла 124 уязвимости в Android и одну активно эксплуатируемую ошибку в браузере Chrome. Компании Cisco, Check Point и Veeam также опубликовали патчи для критических ошибок, некоторые из которых уже использовались в реальных атаках с применением программ-вымогателей.

Другие новости