Компания Microsoft в рамках сентябрьского «вторника патчей» 2026 года выпустила пакет обновлений безопасности, который эксперты называют беспрецедентным по своему объему. Согласно официальным данным, всего было устранено 974 уязвимости (CVE) в различных программных продуктах корпорации. Пользователям рекомендуется установить патчи как можно быстрее, так как злоумышленники начали активно использовать инструменты искусственного интеллекта для поиска и эксплуатации брешей в защите.
Масштаб исправлений в сентябрьском релизе
Общее число выявленных и устраненных уязвимостей в 974 CVE охватывает широкий спектр решений Microsoft, включая Office, SQL Server, Azure, Exchange Server, SharePoint Server и инструменты для разработчиков. Если рассматривать непосредственно семейство ОС Windows и Windows Server, то в этом месяце было закрыто не менее 723 известных уязвимостей.
Для актуальных версий Windows 11 24H2 и 25H2, по данным аналитики, характерно наличие 611 уникальных исправлений безопасности. Этот расчет основывается на данных для Windows 11 24H2 (сборка 26100.9445) и Windows 11 25H2 (сборка 26200.9445), поставляемых в рамках пакета KB5124008. Важно отметить, что в это число не включены специфические ошибки, затрагивающие только серверные версии операционных систем.
Почему Microsoft призывает не откладывать установку обновлений
Джереми Чэпмен, директор по развитию Microsoft 365, подчеркнул, что текущая стратегия развертывания обновлений качества должна быть пересмотрена. Согласно актуальным рекомендациям компании, отсрочка установки критических патчей не должна превышать трех дней. В случаях, когда обновление имеет крайний срок развертывания в ноль или один день, льготный период не должен составлять более двух суток.
Такая жесткая позиция обусловлена тем, что киберпреступники получили в свое распоряжение технологии ИИ, позволяющие находить и использовать известные «дыры» в защите буквально за пару недель, пока администраторы или рядовые пользователи откладывают установку исправлений. В Microsoft предупреждают: если обновление не установлено спустя две недели после его выхода, это дает злоумышленникам достаточно времени для успешной атаки.
Рост числа CVE и роль искусственного интеллекта
Статистика показывает взрывной рост количества устраняемых ошибок в 2026 году. В период с января по сентябрь совокупное число CVE, исправленных в день релиза, выросло с 876 в 2025 году до 2779 в 2026-м, что представляет собой увеличение на 217,2%. Сентябрьские показатели и вовсе превышают прошлогодние значения более чем на 1000%.
В Microsoft объясняют этот рост несколькими факторами:
- Зрелость внутренних моделей ИИ компании, которые позволяют находить гораздо больше ошибок за короткие промежутки времени.
- Увеличение активности сторонних исследователей безопасности.
- Необходимость противостоять атакам, в которых хакеры также применяют искусственный интеллект.
В числе наиболее серьезных проблем сентябрьского патча выделяется CVE-2026-81963 — уязвимость повышения привилегий в стеке обновлений Windows Update. Она вызвана некорректным разрешением ссылок до получения доступа к файлам, что потенциально позволяет локальному злоумышленнику получить расширенные права в системе.
Для борьбы с автоматизированными угрозами Microsoft активно внедряет специализированные решения, одним из которых стала система MDASH — агентный комплекс для обнаружения и устранения уязвимостей, ставший ответом компании на развитие ИИ-инструментов в арсенале киберпреступников.
Почему растет количество уязвимостей
Важно понимать, что столь резкий рост числа исправлений не означает, что Windows внезапно превратилась в «дырявую» систему. В мае 2026 года представители корпорации официально предупреждали, что пакеты Patch Tuesday будут увеличиваться в размерах. Это связано не только с возросшей активностью злоумышленников, но и с изменением методологии самой Microsoft. Компания активно инвестирует в развитие собственных ИИ-моделей, которые обнаруживают баги гораздо эффективнее и быстрее, чем это было возможно ранее.
Эту ситуацию можно охарактеризовать как «гонку вооружений» между защитниками и атакующими. Поскольку хакеры получили доступ к автоматизированным инструментам поиска эксплойтов, Microsoft вынуждена наращивать темпы разработки защитных механизмов. Том Галлахер, вице-президент по инжинирингу в Microsoft Security Response Center (MSRC), подтверждает, что текущие показатели (974 CVE) отражают реальную динамику обнаружения угроз в таких фундаментальных компонентах, как Windows Hello, биометрические системы и стек графики Windows.
Для наглядности динамики роста числа CVE по данным портала безопасности Microsoft можно привести следующие показатели (учитываются исправления на день релиза):
- Январь–сентябрь 2025 года: 876 CVE.
- Январь–сентябрь 2026 года: 2 779 CVE.
- Итоговый рост в годовом выражении составил 217,2%.
Следует учитывать, что компания нередко вносит коррективы в записи после официального релиза, поэтому окончательные цифры по итогам года могут оказаться еще выше. Эксперты выражают уверенность, что в ближайшие месяцы тенденция к росту количества исправлений сохранится, так как Microsoft расширяет использование агентных систем обнаружения, таких как кодовый проект MDASH. Эта система представляет собой комплексное решение, предназначенное для автоматизированного поиска и последующего устранения уязвимостей без участия человека там, где это возможно.
«Если вы не устанавливаете критические обновления безопасности в течение двух недель после их выпуска, вы фактически даете злоумышленникам, использующим ИИ, достаточно времени для обнаружения и эксплуатации известных уязвимостей в вашей системе», — подчеркивает Джереми Чэпмен.
Таким образом, рекомендация не откладывать установку сентябрьского апдейта продиктована не только списком исправленных компонентов, но и общей политикой безопасности Microsoft, которая перешла на режим ускоренного реагирования. Пользователям, не использующим системы в изолированных (офлайн) средах, настоятельно рекомендуется пересмотреть графики автоматического обновления, чтобы соответствовать новым жестким временным рамкам — не более трех дней на внедрение патчей безопасности.
