Microsoft выпустила обновления безопасности для своих операционных систем Windows, а также программного обеспечения Office — в общей сложности устранено 80 уязвимостей. Компания классифицировала восемь уязвимостей в Windows и Office как критические, но ни одна из них пока не была использована для реальных атак.
Источник изображения: Microsoft
Большинство уязвимостей (58) относятся к различным версиям Windows, для которых Microsoft всё ещё предлагает обновления безопасности: Windows 10, Windows 11 и Windows Server. Компания классифицировала семь уязвимостей безопасности в Windows как критические, включая четыре уязвимости удалённого выполнения кода (RCE). Пять из этих критических уязвимостей связаны с графическими компонентами. Для выполнения вредоносного кода достаточно открыть заражённый файл изображения, например, загруженный с веб-сайта. Уязвимость утечки данных CVE-2025-53799 выделяется тем, что её эксплуатация может раскрыть лишь небольшую часть рабочей памяти.
Microsoft также исправила пять уязвимостей безопасности в Hyper-V (платформа для аппаратной виртуализации, — прим. ред.), одна из которых (CVE-2025-55224) классифицируется как критическая. Остальные уязвимости связаны с повышением привилегий (EOP). Ещё одна критическая уязвимость (CVE-2025-54918), связанная с повышением привилегий, была обнаружена в NT LAN Manager. С её помощью злоумышленник с правами пользователя может получить системную авторизацию через сеть чтобы использовать её в рамках целевой атаки.
Наивысший рейтинг получила уязвимость CVE-2025-55232, обнаруженная в Microsoft High Performance Compute (HPC) Pack. Злоумышленник может удалённо внедрить код без учётной записи пользователя и выполнить его самостоятельно. Уязвимость затрагивает только кластеры высокопроизводительных компьютеров. В качестве одной из мер Microsoft рекомендует блокировать TCP-порт 5999.
В этом месяце Microsoft также устранила 10 уязвимостей в службе маршрутизации и удалённого доступа (RRAS). Две уязвимости относятся к RCE (Remote Code Execution) и позволяют злоумышленнику удалённо выполнять произвольный код. Остальные связаны с утечками данных. Все относятся к категории высокого риска. В службе брандмауэра Windows были устранены шесть уязвимостей EOP с высокой степенью риска. Злоумышленник с правами пользователя может использовать их для получения авторизации локальной системной учётной записи и выполнения вредоносного кода.
Также Microsoft устранила 16 уязвимостей в семействе программных продуктов Office — 12 из них связаны с удалённым выполнением кода (RCE). Одна (CVE-2025-54910) отмечена как критическая, поскольку вектором атаки служит окно предварительного просмотра. Это означает, что атака может быть осуществлена просто путём отображения заражённого файла в окне предварительного просмотра, даже без его открытия. Microsoft относит остальные уязвимости Office к категории высокого риска. В этом случае для активации кода эксплойта пользователю необходимо открыть заражённый файл. В Excel компания устранила восемь уязвимостей RCE.
Следующий крупный выпуск обновлений безопасности запланирован на 14 октября. В этот же день прекратится официальная поддержка операционной системы Windows 10.
