Microsoft выпустила октябрьские обновления безопасности: закрыта 1411 уязвимость, в том числе одна, которую уже эксплуатировали, и ещё две ранее раскрытые публично. Одновременно закончилась поддержка отдельных редакций Windows 11 и Windows 10. Для администратора это две разные задачи: быстро поставить исправления там, где обновления ещё доступны, и составить план перехода для машин, получивших последнее обновление. Цифры и сведения об уязвимостях приводит BleepingComputer со ссылкой на источник.

Что изменилось по сравнению с прошлым месяцем

Октябрьский Patch Tuesday оказался рекордным по числу исправленных уязвимостей. Для масштаба: в сентябрьском выпуске Microsoft исправила 966 уязвимостей и две уязвимости нулевого дня. В октябрьском — 1411 и три соответственно. Но закупать новые ПК или перестраивать график обновлений из-за одного большого числа не нужно. Сначала смотрим, затрагивает ли проблема ваш парк и есть ли признаки эксплуатации.

Среди октябрьских исправлений 70 относятся к категории Critical: 57 связаны с удалённым выполнением кода, 11 — с повышением привилегий, две — с подменой. Эти числа описывают типы уязвимостей, а не очередность работ для конкретной организации. В отчёте также упомянуты 348 ошибок, исправленных ранее в октябре: они не входят в число 1411. Складывать разные подборки при подготовке отчёта для руководства стоит только после проверки того, что именно каждая из них учитывает.

Три уязвимости нулевого дня: что поставить в начало очереди

Самый срочный пункт для рабочих станций — CVE-2026-96951 в Windows Shell. Ошибка позволяла обходить защитный механизм Mark of the Web — метку, по которой Windows распознаёт полученные извне файлы и применяет дополнительные проверки. Microsoft сообщает, что уязвимость уже эксплуатировалась. Для офисного парка это достаточная причина не откладывать установку исправления до привычного большого окна обслуживания.

Остальные две уязвимости были публично раскрыты, но в сообщении об октябрьском выпуске они не названы эксплуатируемыми. CVE-2026-108398 касается .NET Framework: пользователь с доступом к системе может обойти ограничения Windows Defender Application Control (WDAC) и запустить неразрешённое приложение через защищённый процесс. Взаимодействие другого пользователя для этого не требуется. Если в компании WDAC служит барьером для запуска постороннего ПО, проверку этого исправления не стоит терять среди остальных задач.

CVE-2026-92707 относится к MessagePack-CSharp и позволяет вызвать отказ в обслуживании через сеть. Её приоритет зависит от того, используется ли затронутый компонент в ваших приложениях и доступен ли соответствующий сервис. Практическая разница проста: эксплуатируемую ошибку Windows Shell отправляем в первую волну; для остальных сверяем состав систем и приложений, затем назначаем владельца и окно обновления.

Исправление или переход на другую версию Windows?

Октябрьский выпуск совпал с окончанием поддержки Windows 11 версии 24H2 в редакциях Home и Pro, а также Windows 10 Enterprise LTSB 2016. По сообщению Microsoft, октябрьское ежемесячное обновление безопасности — последнее для этих редакций. Отдельный сигнал получили организации с Windows 11 версии 23H2 в редакциях Enterprise, Education и IoT Enterprise: со следующего месяца для них прекратится выпуск обновлений безопасности.

Здесь легко ошибиться, если смотреть только на надпись «Windows 11». Одна и та же версия в разных редакциях требует разной проверки жизненного цикла. Соберите отчёт именно по сочетанию версии и редакции, а не по семейству ОС в целом. Для школы это особенно полезно: компьютеры в кабинете, учительские ноутбуки и машины с узкоспециализированным ПО могут попасть в разные группы даже при внешне похожей установке Windows.

Рабочий порядок для администратора и закупщика

1. Сверьте парк. Выгрузите версию и редакцию Windows, отметьте машины, которые давно не выходили на связь со службой обновлений. Отдельно перечислите серверы и приложения, где используется .NET или MessagePack-CSharp: принадлежность приложения к группе риска лучше подтвердить по его документации и перечню затронутых продуктов.
2. Разделите установку и миграцию. Исправления на поддерживаемых системах — ближайшая операционная задача. Замена неподдерживаемой версии ОС — отдельный проект с проверкой лицензий, программ и периферии. Не ждите завершения закупки, чтобы поставить доступный октябрьский патч на текущие машины.
3. Проведите короткий пилот. Проверьте обновление на типовых рабочих местах: офисный ПК, ноутбук с корпоративными правилами безопасности, машина с важной для отдела программой. После установки убедитесь, что обновление применилось, система перезагрузилась, а вход в учётную запись, печать и нужные приложения работают. При обнаружении сбоя зафиксируйте затронутые модели и версии ПО до расширения установки.
4. Раскатывайте по приоритету. Машины с доступом к почте, документам извне и рабочим данным не стоит оставлять без исправления эксплуатируемой ошибки из-за ожидания общего удобного дня. Для остальных групп назначьте окна так, чтобы пользователи могли сохранить работу, а у поддержки было время обработать обращения.
5. Подготовьте переход заранее. Если потребуется закупка ПК или ноутбуков в Казахстане, перед согласованием спецификации проверьте совместимость рабочих приложений и периферии, доступность нужной редакции ОС, документы и гарантийные условия. Срок поставки уточняйте у поставщика до утверждения графика миграции. Иначе техника может приехать позже момента, когда старые машины должны быть выведены из эксплуатации.

У Microsoft появился дополнительный инструмент для расстановки приоритетов — «группы риска», объединяющие похожие уязвимости. В октябре опубликовано 15 таких групп. Например, одна охватывает 136 проблем файловых систем, хранения и резервного копирования Windows, другая — 135 проблем документов Office и почтовых клиентов. Это удобный способ раздать проверку владельцам систем: команде рабочих мест — клиентские приложения, команде инфраструктуры — хранение и резервное копирование.

Где большой список исправлений сбивает с толку

Первая ловушка — принять размер группы за оценку опасности. Microsoft называет этот подход экспериментальным: реальный риск зависит от эксплуатации уязвимости, её серьёзности и того, как организация использует затронутое ПО. Группа из множества ошибок не обязательно должна обгонять одну уже эксплуатируемую проблему в вашем плане работ. Используйте группы как карту для распределения задач, а не как замену проверке применимости исправлений.

Вторая ловушка — считать успешную загрузку обновления завершением работы. Нужны подтверждение установки, перезагрузка там, где она требуется, и проверка ключевых сценариев после неё. Если часть ноутбуков редко бывает в офисе, отчёт без таких устройств даст красивую, но неполную картину. Сверяйте итог с инвентарным списком, а не только со списком машин, которые сейчас видны системе управления.

Третья — путать последний патч и продление поддержки. Для Windows 11 24H2 Home и Pro и Windows 10 Enterprise LTSB 2016 октябрьское обновление закрывает известные проблемы этого выпуска, но не превращает редакцию снова в поддерживаемую. При выборе замены уточняйте у поставщика и разработчиков рабочих программ совместимость с целевой ОС, требования к лицензиям, поддержку драйверов и порядок гарантийного обслуживания. Если нужна новая техника, отправной точкой может быть раздел ПК и ноутбуков — но модель выбирайте после проверки этих требований, а не вместо неё.

Октябрьский Patch Tuesday требует двух списков: где срочно установить исправления и где пора менять версию Windows. Начните с эксплуатируемой ошибки Windows Shell, затем проверьте применимость остальных обновлений и результаты установки на всём парке. Если полезен такой разбор новостей с точки зрения эксплуатации и закупки, заглядывайте в блог.