მაიკროსოფტი პაჩ თიუზდეის რეკორდს 974 CVE-ით ამყარებს

ჯერ არ არის ცნობილი ვინ ექსპლუატირებს ამ ბაგს და რა მიზნით. აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ სამშაბათს დაამატა CVE-2026-85880 პლუს მაიკროსოფტის მეორე უსაფრთხოების ხარვეზი (და Adobe Commerce-ისა და Magento-ს ნულოვანი დღის ბაგი) ცნობილ ექსპლუატირებულ დაუცველობათა კატალოგში და დააწესა 22 სექტემბრის ვადა ფედერალურ უწყებებს ორივე ახალი მაიკროსოფტის ბაგის გამოსასწორებლად და 11 სექტემბრის ვადა Adobe-ს ხარვეზის პაჩისთვის.

მაიკროსოფტის მეორე ბაგი, რომელიც აღმოჩენილი და ექსპლუატირებულია როგორც ნულოვანი დღე, არის CVE-2026-81963, კიდევ ერთი პრივილეგიების ამაღლების დაუცველობა. ეს ეხება Windows Update Stack-ს. ჩვენ ასევე გვაქვს ძალიან ცოტა დეტალი ამ ხარვეზის შესახებ, გარდა იმისა, რომ ის ასევე თავდამსხმელებს SYSTEM-ის დონის წვდომის მოპოვების საშუალებას აძლევს.

„უფრო სავარაუდოა, რომ ეს ბაგი კომბინირებულია კოდის შესრულების ბაგთან მავნე პროგრამების ან ransomware-ის გასავრცელებლად“, აღნიშნა Zero Day Initiative-ის Dustin Childs-მა, რომელმაც მომხმარებლებს ურჩია „სწრაფად დააპაჩეთ ეს“.

მიუხედავად იმისა, რომ ესენი არიან ერთადერთი ორი (ჯერჯერობით) აქტიური ექსპლუატაციის ქვეშ, Childs-მა შეაფასა CVE-2026-55007, ერთ-ერთი ცხრა Exchange Server-ის ხარვეზიდან, რომელიც გამოცხადდა ამ თვეში, როგორც „ყველაზე მნიშვნელოვანი“ პაჩი შეტყობინებების სერვერისთვის.

ის საშუალებას აძლევს დისტანციურ უნებართვო თავდამსხმელს კოდის შესრულებას დაუცველ Exchange სერვერზე მავნე Visio დანართიანი ელფოსტის გაგზავნით. მომხმარებლის ურთიერთქმედება არ არის საჭირო და კოდი სრულდება მაშინ, როცა სერვერი ამუშავებს დანართს შიგთავსის ინდექსირების დროს.

Redmond-ის თანახმად, „რთულია საიმედოდ გამოწვევა“, მაგრამ როგორც Childs აღნიშნავს: „თავდამსხმელს მხოლოდ ერთხელ უნდა მოუხერხდეს. დაგეგმეთ თქვენი შეფერხება და განაახლეთ Exchange სერვერები სწრაფად.“

Childs-მა ასევე თქვა, რომ ითვლის 20 პაჩს ჭიისმაგვარი ბაგებისთვის, ამიტომ აუცილებლად წაიკითხეთ მისი სრული Patch Tuesday მიმოხილვა მათთვის. „მიუხედავად იმისა, რომ ზოგი შეიძლება უფრო ექსპლუატირებადი იყოს ვიდრე სხვები, 20 მათგანის ერთ გამოშვებაში ქონა სხვა რამაა.“

მიუხედავად იმისა, რომ Redmond-მა ამ თვეში თითქმის 1 000 უსაფრთხოების ხვრელი მოაგვარა, ასევე ღირს აღნიშვნა ერთი, რომელიც არ შედის ამ თვის Patch Tuesday მიმოხილვაში: CVE-2026-85046. Google-მა გამოასწორა ეს ბაგი Chrome-ში 3 სექტემბერს და იმ დროს გააფრთხილა, რომ „იცის, რომ CVE-2026-85046-ის ექსპლუატაცია არსებობს ველში“.

მაღალი სიმძიმის ტიპის დაბნეულობის ხარვეზი არსებობს V8 JavaScript ძრავაში, რომელსაც იყენებს როგორც Google-ის Chrome, ასევე Microsoft-ის Edge ბრაუზერები. და მაინც მაიკროსოფტს ჯერ არ გამოუქვეყნებია უსაფრთხოების რჩევა CVE-2026-85046-ისთვის.

„თუ პაჩი გაქვთ, დაცული ხართ, მაგრამ თუ რჩევებს ეყრდნობით იმის გასაგებად, თუ რომელი დაუცველობები არსებობს, შეიძლება მთლიანად გამოტოვოთ ეს ნულოვანი დღის დაუცველობა“, განუცხადა The Register-ს Rapid7-ის წამყვანმა პროგრამულმა ინჟინერმა Adam Barnett-მა.

„პაჩი რჩევის გარეშე შესაძლოა ოდნავ უკეთესია ვიდრე რჩევა პაჩის გარეშე, მაგრამ ექსპოზიციების თვალყურის დევნება საიმედო რჩევითი მასალების გარეშე არ არის მარტივი“, თქვა Barnett-მა. „Chrome-მა გამოასწორა 11 სხვა დაუცველობა იმავე დროს როგორც CVE-2026-85046, მაგრამ ჯერ არ არის ნათელი, გამოსწორდა თუ არა ისინი Edge-ში. სანამ მაიკროსოფტი არ დააზუსტებს, ერთადერთი უსაფრთხო ვარაუდია, რომ ეს დაუცველობები (მაგ. CVE-2026-85045) დაუპაჩებელი რჩება Edge-ში.“

თემებიAdobeმაიკროსოფტიCVEპაჩ თიუზდეი

გამოქვეყნდა 9 სექტემბერი, 2026