Корпорація Microsoft випустила червневе оновлення безпеки Patch Tuesday 2026 року, яке усунуло рекордні 206 вразливостей — найбільший пакет виправлень за всю історію щомісячних оновлень компанії. 32 вади мають критичний рівень небезпеки, а ще три є zero-day вразливостями, технічні деталі яких оприлюднили ще до випуску патчів. Користувачам Windows варто встановити оновлення якнайшвидше.

Попередній рекорд — 175 вразливостей — Microsoft встановила в жовтні 2025 року. Точна кількість виправлень у червневому пакеті залежить від методики підрахунку: частина джерел називає цифру 198, враховуючи лише CVE для продуктів Microsoft (Windows, Office, Hyper-V, Exchange тощо) і не рахуючи шість вад, усунених окремо приблизно в той самий час, та дві CVE від сторонніх центрів нумерації (CNA). Якщо додати ці вісім записів, загальна кількість сягає 206. У будь-якому разі це новий рекорд.

Три zero-day вразливості — головна причина оновитися

Усі три zero-day оприлюднили публічно, проте станом на момент випуску патчів немає підтверджених випадків їх активного використання зловмисниками. Втім, технічні деталі стали відомі ще до того, як Microsoft випустила виправлення, тож на неоновлених системах ці вади цілком можна експлуатувати.

• CVE-2026-45586 (компонент CTFMON): дає локальному зловмиснику змогу підвищити привілеї до рівня SYSTEM, експлуатуючи ваду, яка неправильно обробляє посилання на файл.
• CVE-2026-49160 (HTTP.sys): вразливість у мережевому HTTP-стеку, що дозволяє віддалено організувати атаку на відмову в обслуговуванні (DoS), надіславши спеціально сформований запит. Найбільший ризик становить для організацій та серверів.
• CVE-2026-50507 (BitLocker): за наявності фізичного доступу до неоновленого компʼютера зловмисник може зчитати зашифровані дані з жорсткого диска.

Як встановити оновлення

Червневі оновлення описані у трьох окремих статтях бази знань: KB5094126 — для Windows 11 24H2 і 25H2, KB5093998 — для Windows 11 23H2 та KB5094127 — для Windows 10. Оскільки оновлення обовʼязкові, вони завантажуються та встановлюються автоматично. Втім, варто перевірити їх наявність вручну — тим паче, що для застосування змін потрібне перезавантаження.

У Windows 11 відкрийте «Параметри» (Settings) і виберіть «Центр оновлення Windows» (Windows Update). Якщо система повідомляє про очікуване перезавантаження, просто перезапустіть компʼютер. В іншому разі натисніть кнопку перевірки оновлень і дайте їм встановитися.

Для Windows 10 оновлення доступні лише користувачам, зареєстрованим у програмі розширених оновлень безпеки (Extended Security Updates, ESU). У такому разі відкрийте «Параметри» → «Оновлення та безпека» (Update & Security) і за потреби запустіть перевірку оновлень.

Чому виправлень рекордно багато: роль ШІ

Причина рекордної кількості усунених вад — штучний інтелект. Технологічні компанії дедалі активніше застосовують моделі на кшталт Claude Mythos від Anthropic, щоб виявляти й виправляти більше вразливостей і робити це значно швидше, ніж раніше. Так, у квітні Mozilla усунула 271 вразливість у Firefox, виявлену за допомогою ранньої версії Claude Mythos Preview; виправлення вийшли у складі Firefox 150.

За оцінкою компанії Action1, що спеціалізується на управлінні оновленнями, надзвичайно велика кількість розкритих вразливостей відображає ширшу тенденцію в дослідженнях безпеки: розвиток аналізу за допомогою ШІ та ініціативи на кшталт Mythos дають дослідникам змогу виявляти вади набагато швидше, ніж досі.

Нові можливості Windows 11

Червневий пакет також додає до Windows 11 кілька нових і вдосконалених функцій.

• Оновлення сертифікатів Secure Boot. Оскільки термін дії старих сертифікатів Secure Boot спливає цього місяця, Microsoft продовжує видавати нові сертифікати підтримуваним компʼютерам.
• Low Latency Profile. Нова функція обіцяє пришвидшити певні дії на компʼютері, надсилаючи процесору короткий імпульс продуктивності.
• Спільне відтворення звуку. Windows 11 тепер підтримує одночасне підключення кількох пристроїв Bluetooth, тож кілька людей можуть слухати той самий контент — фільм чи музику — кожен через власні навушники.
• Робота камери з кількома застосунками. Вебкамеру тепер можуть одночасно використовувати кілька програм — наприклад, для дзвінків у Zoom, відеоконференцій Google Meet чи фільтрів Snapchat — без потреби щоразу вимикати одну й вмикати іншу.
• Власна назва папки користувача. Під час налаштування Windows 11 можна задати власну назву для папки користувача. Раніше система автоматично створювала назву на основі імені користувача, і змінити її було непросто.

Ця стаття Microsoft усунула рекордні 206 вразливостей Windows — серед них три zero-day раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Традиційний грудневий Microsoft Patch Tuesday завершує рік з масштабним пакетом виправлень, які охоплюють різні продукти Microsoft. Особлива увага приділяється трьом вразливостям нульового дня, які потребують негайного втручання системних адміністраторів.

9 грудня 2025 року Microsoft випустила традиційне грудневе оновлення безпеки (Patch Tuesday), яке усуває 57 вразливостей, включаючи одну активно експлуатовану та дві публічно розкриті zero-day вразливості. Оновлення також закриває три критичні вразливості віддаленого виконання коду.

Структура виявлених вразливостей

Виправлені помилки розподілені за категоріями наступним чином:

• 28 вразливостей підвищення привілеїв
• 19 вразливостей віддаленого виконання коду
• 4 вразливості розкриття інформації
• 3 вразливості відмови в обслуговуванні
• 2 вразливості підробки (spoofing)

До цього переліку не входять окремо виправлені 15 вразливостей у Microsoft Edge та помилки в Mariner, які були усунуті раніше цього місяця.

Активно експлуатована zero-day вразливість

Microsoft класифікує як zero-day вразливості, що були публічно розкриті або активно експлуатувалися до випуску офіційного виправлення.

CVE-2025-62221 — вразливість підвищення привілеїв у драйвері Windows Cloud Files Mini Filter

Компанія виправила активно експлуатовану вразливість у драйвері Windows Cloud Files Mini Filter Driver, яка дозволяє зловмисникам підвищувати привілеї в системі. Проблема полягає в помилці “use after free” (використання після звільнення пам’яті), яка дозволяє авторизованому зловмиснику локально підвищити привілеї до рівня SYSTEM.

Microsoft атрибувала виявлення цієї вразливості власним підрозділам — Microsoft Threat Intelligence Center (MSTIC) та Microsoft Security Response Center (MSRC), проте не розголосила деталі про способи її експлуатації.

Публічно розкриті zero-day вразливості

CVE-2025-64671 — вразливість віддаленого виконання коду в GitHub Copilot для JetBrains

Microsoft усунула публічно розкриту вразливість у GitHub Copilot, яка дозволяє зловмиснику виконувати команди локально. Проблема полягає в неналежній нейтралізації спеціальних елементів, що використовуються в командах (command injection).

Вразливість може бути експлуатована через атаку Cross Prompt Injection у недовірених файлах або на MCP-серверах. Зловмисник може виконати додаткові команди, додавши їх до команд, дозволених у налаштуваннях автоматичного схвалення термінала користувача.

Вразливість виявив дослідник Арі Марзук (Ari Marzuk), який нещодавно розкрив цю проблему в рамках свого звіту “IDEsaster: A Novel Vulnerability Class in AI IDEs” (IDEsaster: новий клас вразливостей в AI-інтегрованих середовищах розробки).

CVE-2025-54100 — вразливість віддаленого виконання коду в PowerShell

Microsoft виправила вразливість у PowerShell, яка могла призвести до виконання скриптів, вбудованих у веб-сторінку, під час її завантаження за допомогою команди Invoke-WebRequest.

Проблема полягає в неналежній нейтралізації спеціальних елементів команд у Windows PowerShell, що дозволяє несанкціонованому зловмиснику виконувати код локально.

Microsoft внесла зміни, які відображають попередження при використанні PowerShell-команди Invoke-WebRequest, пропонуючи користувачу додати параметр -UseBasicParsing для запобігання виконанню коду:

Security Warning: Script Execution Risk
Invoke-WebRequest parses the content of the web page. Script code in the web page might be run when the page is parsed.
      RECOMMENDED ACTION:
      Use the -UseBasicParsing switch to avoid script code execution.
      Do you want to continue?
			```
For additional details, see [KB5074596: PowerShell 5.1: Preventing script execution from web content](https://support.microsoft.com/help/5072034).

Рекомендації щодо встановлення оновлень

Microsoft наполегливо рекомендує всім користувачам та організаціям якомога швидше встановити грудневі оновлення безпеки. Особливий пріоритет слід надати системам, які можуть бути вразливі до активно експлуатованої zero-day.

Для корпоративних середовищ важливо протестувати оновлення в тестовому середовищі перед масовим розгортанням, але з огляду на активну експлуатацію однієї з вразливостей, цей процес варто прискорити. Домашнім користувачам Windows слід увімкнути автоматичне оновлення або вручну перевірити наявність патчів через Windows Update.

Грудневий Patch Tuesday традиційно є одним з останніх великих оновлень року, тому його своєчасне встановлення особливо важливе для забезпечення безпеки систем напередодні святкового сезону, коли кількість кібератак зазвичай зростає.

Ця стаття Microsoft Patch Tuesday: виправлено три zero-day вразливості та 57 помилок у грудневому оновленні безпеки раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Корпорація Microsoft випустила чергову серію оновлень Patch Tuesday, які усувають 90 вразливостей в системі безпеки, в тому числі 10 вразливостей «нульового дня» – і шість з них активно використовуються хакерами в своїх атаках.

Як повідомляє The Hacker News, з цих 90 вразливостей 9 мають критичний рейтинг, тоді як інші 80 оцінюються як важливі. У той же час, Microsoft також виправила 36 вразливостей у своєму браузері Edge, починаючи з минулого місяця.

Якщо ви є власником настільного комп’ютера або ноутбука під управлінням Windows, вам слід негайно встановити ці нові патчі, щоб не стати жертвою атак з їх використанням. Ось все, що вам потрібно знати про серпневі оновлення «Вівторка виправлень», а також кілька порад, як захистити свій ПК від хакерів.

Активно використовувані вразливості нульового дня

Хоча цього місяця оновлення Patch Tuesday виправляють 10 вразливостей нульового дня, шість з них наразі використовуються хакерами у своїх атаках:

• Віддалене виконання коду в Microsoft Project (відстежується як CVE-2024-38189)
• Уразливість пошкодження пам’яті в Windows Scripting Engine (відстежується як CVE-2024-38178)
• Підвищення привілеїв в драйвері допоміжної функції Windows для WinSock (відстежується як CVE-2024-38193)
• Підвищення привілеїв в ядрі Windows (відстежується як CVE-2024-38106)
• Підвищення привілеїв в координаторі залежності від живлення Windows (відстежується як CVE-2024-38107)
• Уразливість обходу Windows Mark of the Web Security Feature (відстежується як CVE-2024-38213).

Якщо перша з перелічених вище вразливостей є найсерйознішою з оцінкою CVSS 8.8, то остання, мабуть, є найбільш помітною, оскільки дозволяє хакерам обійти захист SmartScreen в Windows, обманом змусивши нічого не підозрюючого користувача відкрити шкідливий файл. Ця вразливість також привернула увагу Агентства кібербезпеки та безпеки інфраструктури США (CISA), яке вимагає від федеральних органів виправити її до початку вересня.

У своєму блозі компанія Tenable, що спеціалізується на кібербезпеці, висвітлила вразливість підміни в Microsoft Office (CVE-2024-38200), яка також була виправлена в останніх оновленнях Patch Tuesday. Надіславши фішинговий електронний лист зі спеціально створеним файлом, хакер може використати цю вразливість для своїх атак.

На жаль, Microsoft ще не випустила виправлення для двох уразливостей з підвищенням привілеїв (відстежуваних як CVE-2024-38202 та CVE-2024-21302), які могли бути використані для пониження версії Windows до більш ранньої версії операційної системи з метою запуску додаткових атак. Однак, коли The Hacker News зв’язався з представниками Microsoft, вони повідомили, що розглянуть можливість виправлення цих недоліків у майбутньому оновленні.

Як захистити свій комп’ютер з Windows від хакерів

Найпростіший спосіб захистити свій ПК – встановити найновіші оновлення, як тільки вони стають доступними. Причина в тому, що хакери часто націлені на користувачів, які використовують застаріле програмне забезпечення в своїх атаках.

Вам також слід подумати про використання найкращого антивірусного програмного забезпечення, щоб захиститися від шкідливих програм та інших вірусів. Захисник Windows значно покращився за останні роки і тепер набагато краще виявляє та блокує шкідливе програмне забезпечення. Однак платне антивірусне програмне забезпечення часто постачається з корисними додатковими функціями, такими як VPN або менеджер паролів для додаткового захисту.

Також не варто переходити за посиланнями або завантажувати будь-які вкладення в електронних листах від невідомих відправників, оскільки вони можуть містити шкідливе програмне забезпечення. Так само, коли ви шукаєте нове програмне забезпечення в Інтернеті, прокрутіть вниз до фактичних результатів пошуку, оскільки хакери зараз використовують рекламу для розповсюдження шкідливого програмного забезпечення.

Хакери та такі компанії, як Microsoft, постійно грають один з одним у кішки-мишки, коли справа доходить до виправлення вразливостей, що використовуються в кібератаках. Однак, якщо ви регулярно оновлюєте свій комп’ютер, думаєте, перш ніж натискати на підозрілі посилання, і не завантажуєте файли з менш авторитетних веб-сайтів, ви зможете уникнути кібератак та інших онлайн-шахрайств.

Оновлення «вівторка виправлень» виходять у другий вівторок кожного місяця, тому вам слід планувати оновлення вашого комп’ютера з Windows приблизно в цей час, щоб переконатися, що на вашому комп’ютері встановлене найновіше програмне забезпечення.

Ця стаття Терміново оновіть свій комп’ютер з Windows – виявлено 10 вразливостей нульового дня раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня