Microsoft 14. jūlijā izlaida labojumus 569 ievainojamībām — lielāko Patch Tuesday laidienu uzņēmuma vēsturē. To vidū 56 kritiskas, 510 svarīgas un trīs vidēja līmeņa kļūdas, bez vienas zema līmeņa. Skaitļus apkopoja drošības uzņēmums Tenable.
Divas no ielāpotajām kļūdām uzbrucēji jau izmanto reālos uzbrukumos. CVE-2026-56155 skar Active Directory Federation Services (CVSS 7,8), CVE-2026-56164 — SharePoint Server (CVSS 5,3). Abas ļauj paaugstināt tiesības jau iekļuvušam uzbrucējam. Trešā nulles dienas kļūda, CVE-2026-50661, ir BitLocker apiešana (CVSS 6,1); tā ir publiskota, bet aktīva izmantošana vēl nav fiksēta.
Kas ir sarakstā
Laidiens aptver gandrīz visu Microsoft produktu klāstu: Windows, .NET, Active Directory, Azure komponentes, Office (Excel, Word, PowerPoint), Exchange Server, SQL Server, Visual Studio, GitHub Copilot un Edge. Izstrādātājiem sarakstā ir septiņas Visual Studio kļūdas un vairākas .NET SDK kļūdas, tātad ielāpi attiecas gan uz produkcijas serveriem, gan uz pašu izstrādes darbstaciju. GitHub Copilot un Visual Studio Code saņēma drošības funkciju apiešanas labojumus — pārsvarā injekcijas vai ceļu apiešanas tipa, kas AI kodēšanas rīkos parādās jau vairākus mēnešus pēc kārtas.
Divas kļūdas ar augstāko izplatīšanas risku dabūja CVSS 9,8: CVE-2026-55944 Dynamics 365 Business Central (attālināta koda izpilde) un CVE-2026-50518 Windows DHCP serverī (arī attālināta koda izpilde). Pēc Tenable datiem tiesību paaugstināšanas kļūdas veido 43,8 % laidiena, attālinātas koda izpildes kļūdas — 25,1 %.
Zero Day Initiative atsevišķi izcēla trīs kļūdas ar CVSS 9,9, visas tiesību paaugstināšanas: CVE-2026-57092 Windows VMSwitch, CVE-2026-57100 Entra nodrošināšanas servisā un CVE-2026-45499 Azure OpenAI. Deviņi ar pusi tiesību paaugstināšanas kļūdai ir neparasti augsts vērtējums; parasti tas norāda uz izkļūšanu no izolētas vides, piemēram, no virtuālas mašīnas uz resursdatoru vai no viena mākoņa nomnieka uz cita datiem.
Divi skaitītāji, divi skaitļi
Skaitlis atkarīgs no tā, kurš skaita. Tenable pieskaitīja 569 CVE Patch Tuesday laidienā, bet Zero Day Initiative, kas ieskaita arī citus tajā dienā slēgtos numurus, nolasīja 621, plus aptuveni 480 Chromium un Edge kļūdas. ZDI laidienu nodēvēja par visu laidienu māti un norādīja, ka CVE skaits kopš gada sākuma pārsniedz jebkura cita gada kopsummu pēdējos divos gadu desmitos.
Tajā pašā dienā Adobe slēdza 88 CVE 12 biļetenos. Augstāko bīstamību dabūja ColdFusion (APSB26-82, CVSS 9,9) un Commerce (APSB26-73, CVSS 9,6).
Kāpēc pēkšņi tik daudz
Skaita pieaugums nav nejaušība. Help Net Security jūlija prognozē norāda, ka mākslīgā intelekta ietekme uz ievainojamību atklāšanu turpina mainīt ielāpu pārvaldības nozari. Automātiskā fuzzing testēšana, statiskā analīze un variantu meklēšana atrod kļūdas ātrāk, nekā komandas paspēj tās labot.
Cipari to apstiprina. Jūnijā Microsoft slēdza vairāk nekā 200 CVE (116 Windows 11, 104 Windows 10), Google Chrome 150 saturēja 433 drošības labojumus, un Adobe vienā laidienā izlaida sešas ColdFusion kļūdas ar maksimālo CVSS 10. Tā pati mašīnu vadītā meklēšana, kas šogad atrada ievainojamības atvērtā koda projektos, tagad iet arī pār lielo ražotāju kodu. Adobe pati skaidroja, kāpēc pārgāja uz biežākiem laidieniem:
Vairāk atrastu ievainojamību nozīmē vairāk labojumu, ko izplatīt, un publicēšana reizi mēnesī vairs nav pietiekami ātra, lai apsteigtu pretiniekus.
Ko tas maina administratoram
Sekot līdzi katram CVE numuram kļūst nereāli. Help Net Security secina, ka speciālisti arvien biežāk atmet detalizētu uzskaiti un vienkārši instalē jaunākos ražotāja laidienus, cik ātri vien var. Abas aktīvi izmantotās kļūdas ir tiesību paaugstināšanas, ne sākotnējās iekļūšanas — uzbrucējs tās izmanto pēc tam, kad jau iekļuvis tīklā, lai pārņemtu ADFS vai SharePoint un no turienes plašāku vidi. Tas tās nepadara mazāk steidzamas, jo tieši šie divi servisi glabā uzņēmuma identitātes un dokumentus. Praktiski laidiens nozīmē divas lietas.
- Divas jūlija nulles dienas kļūdas — ADFS un SharePoint — jālabo pirmās, jo tās skar uzņēmumu identitātes infrastruktūru un jau tiek izmantotas.
- Pārējais ir prioritātes jautājums pēc iedarbības: internetam pieejamie DHCP un Business Central serveri ar CVSS 9,8 kļūdām stāv priekšā iekšējiem darbstacijas labojumiem.
BitLocker apiešana ir zemāka prioritāte, jo prasa fizisku piekļuvi ierīcei, taču klēpjdatoru flotēm ar pilna diska šifrēšanu to labot vajag, pirms parādās publisks kods. Adobe ColdFusion un Commerce serveriem ar CVSS 9,9 un 9,6 kļūdām rīcības logs ir dienas, ne nedēļas.
Nākamais Patch Tuesday paredzēts 11. augustā. Ja jūlija tendence turpinās, tas atkal būs pāri simtiem CVE, un rīki, kas automātiski salīdzina instalētās versijas ar ražotāja laidieniem, būs noderīgāki nekā manuāls saraksts. Microsoft jau pievienoja pašam laidienam servisa steka atjauninājumu un uzticamības labojumus, jo pie šāda apjoma daļa problēmu tagad ir pati atjaunināšana.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.