Жовтневі безпекові оновлення Microsoft Patch Tuesday за 2026 рік принесли рекордну кількість виправлень. Сервер PCWorld зазначає 1 416 виправлених вразливостей, Infosecurity Magazine, BleepingComputer та ITdaily одностайно вказують на 1 411. За даними PCWorld, це перший місяць, коли Microsoft перевищила позначку в тисячу виправлень, а водночас це більше помилок, ніж компанія усунула за весь 2025 рік (трохи більше ніж 1 100).

Редакції також розходяться в оцінці кількості критичних помилок. PCWorld нарахував їх 85, з них 67 стосуються віддаленого виконання коду (RCE). Infosecurity Magazine та ITdaily повідомляють про 70 критичних вразливостей відповідно та 57 RCE серед критичних.

Що принесло оновлення Microsoft Patch Tuesday у жовтні 2026 року

Виправлення стосуються Windows, Office, Exchange Server, SQL Server, Hyper-V, Skype for Business, Microsoft Defender,.NET Framework, Visual Studio та хмарних сервісів Microsoft. Згідно з даними PCWorld, Microsoft позначила 42 помилки у Windows як критичні, з них 30 - RCE. У продуктах Office компанія виправила 194 вразливості, включно з 25 критичними RCE, в Exchange Server - сім помилок, серед яких критична RCE CVE-2026-70571. Критична помилка підвищення привілеїв CVE-2026-102866 також присутня у SharePoint, і, за інформацією PCWorld, її можна використати без входу користувача в систему.

Infosecurity Magazine звернув увагу на RCE-помилку CVE-2026-70242 в області попереднього перегляду Outlook із показником CVSS 9.8. Сервер Automox прокоментував її так: «Ретельно створений електронний лист запускає переповнення буфера в купі в той момент, коли Outlook відображає його в області попереднього перегляду. Одержувач не відкриває повідомлення і нікуди не клікає. Жодної автентифікації, жодної взаємодії з користувачем».

За даними Infosecurity Magazine, зростання кількості помилок пов'язане із впровадженням штучного інтелекту, а саме технології MDASH для багаторазового сканування. Оновлення Microsoft Edge 155.0.4283.45 від 8 жовтня усуває 247 помилок у Chromium, які не враховуються у загальному підсумку.

Вразливість CVE-2026-96951, що експлуатується

Одне з виправлень зловмиסники вже використовують на практиці. Помилка CVE-2026-96951 у Windows Shell обходить захист Mark of the Web і дозволяє замаскувати походження виконуваного файлу з інтернету. Згідно з інформацією Infosecurity Magazine, вона має показник CVSS 8.8, низьку складність атаки та не вимагає автентифікації чи попередніх привілеїв. Джек Бісер (Jack Bicer), директор із дослідження вразливостей у компанії Action1, зазначив: «Зловмисники можуть поширювати спеціально створені файли за допомогою фішингових електронних листів, миттєвих повідомлень або шкідливих вебсайтів, причому для експлуатації потрібна лише взаємодія з користувачем».

Ще дві помилки були публічно відомі до виходу оновлення: CVE-2026-108398 (обхід функції безпеки.NET Framework) та CVE-2026-92707 (відмова в обслуговуванні у MessagePack-CSharp).

Кінець підтримки Windows 11 24H2

Як повідомляє ITdaily, випуски Windows 11 24H2 Home та Pro отримали останнє оновлення безпеки, нових більше не буде. PCWorld рекомендує перейти на Windows 11 25H2 або 26H2. Останнє оновлення також отримала Windows Enterprise LTSB 2016, а підтримка Windows 11 23H2 Enterprise та Education завершиться після наступного місяця. Оновлення для Windows 11 має позначку KB5127646.

PCWorld зазначає, що програму розширеної підтримки Windows 10 було продовжено до 12 жовтня 2027 року, а за інформацією ITdaily, звичайні користувачі можуть використовувати Windows 10 без оплати за оновлення безпеки до жовтня 2027 року.

Згідно з дослідженням компанії Socura, 22 відсотки британських директорів з інформаційної безпеки (CISO) взяли лікарняний або відпустку, щоб уникнути Patch Tuesday. Наступний Patch Tuesday заплановано на 10 листопада 2026 року.