Серпневий Patch Tuesday від Microsoft: виправлено понад 400 вразливостей, експлуатований нульовий день Lazarus

Деталі нульових днів

Активно експлуатований нульовий день — CVE-2026-68820 (пов’язаний із північнокорейськими хакерами)

Найкритичніший патч у цьому релізі — CVE-2026-68820 (use-after-free у Windows Ancillary Function Driver for WinSock (afd.sys)) . Ця вразливість має оцінку CVSS 7.0 (рівень Important) і дозволяє локально автентифікованому зловмиснику викликати стан перегонів (race condition) і підвищити свої привілеї до рівня SYSTEM .

Атрибуція та деталі кампанії: Дослідники Check Point Research пов’язують експлуатацію цієї вразливості з північнокорейським угрупованням Lazarus у рамках кампанії Operation Dream Job . У рамках кампанії поширювалася модифікована програма для перегляду PDF-файлів під назвою "SecurityPDF", яка використовувалася для розгортання нового бекдору Troy, а потім — для експлуатації CVE-2026-68820 з метою встановлення руткіта FudModule на рівні ядра . За даними The Register, Lazarus експлуатував цю вразливість із початку червня 2026 року . Microsoft випустила патч 11 серпня після відповідального розкриття інформації Check Point .

Публічно розкриті нульові дні (не експлуатуються активно)

Дві додаткові вразливості нульового дня були публічно розкриті до виходу Patch Tuesday, але наразі не експлуатуються в реальних атаках:

• CVE-2026-62832 — вразливість підвищення привілеїв у Windows User Profile Service (CVSS 7.8, Important) .
• CVE-2026-72971 — вразливість підміни в драйвері фільтра ізоляції контейнерів Windows Container Isolation FS Filter Driver (Important) .

Загальний обсяг виправлень за продуктами

Серпневе оновлення охопило всю екосистему Microsoft:

Потенційно "червоподібні" вразливості: Чотири вразливості в цьому релізі не вимагають жодної взаємодії з користувачем — вони впливають на Windows DNS Server, Windows Deployment Services, реалізацію транспортного протоколу QUIC від Microsoft та HPC Pack. Кожна з них має оцінку CVSS 9.8, що робить їх пріоритетними через можливість поширення без участі людини .

Нові функції в кумулятивному оновленні Windows 11

Серпневе кумулятивне оновлення для Windows 11 (KB5121003 для версій 25H2/24H2, KB5120240 для 23H2, KB5121000 для 26H1) разом із виправленнями безпеки включає кілька нових функцій :

• Функція доступності Screen Tint — Новий варіант кольорового фільтра
• Тихий режим віджетів — Зменшення кількості сповіщень від панелі віджетів
• Подовжена пауза оновлень — Можливість призупиняти оновлення Windows до 35 днів
• Підтримка Windows Hello Enhanced Sign-in Security (ESS) для зовнішніх сканерів відбитків пальців
• Можливість видалення ШІ-моделей з комп'ютерів Copilot+
• Покращення жестів тачпада
• Голосова ізоляція для Voice Access
• Fluid Dictation для голосового введення
• Покращення відображення розмірів файлів у поданні "Деталі" Провідника (тепер показує КБ, МБ, ГБ замість лише КБ)
• Покращений пошук Windows — Краще справляється з друкарськими помилками
• Виправлення продуктивності та помилок по всій ОС

Рекомендації щодо пріоритетності встановлення патчів

Незважаючи на величезну кількість виправлень, аналітики з безпеки наголошують, що лише одна вразливість у цьому релізі — CVE-2026-68820 — підтверджена як активно експлуатована . Тайлер Реґулі з Fortra радить організаціям у першу чергу закрити цю вразливість WinSock, а потім якнайшвидше перейти до "червоподібних" вразливостей серверних ролей (CVSS 9.8), які впливають на DNS, Deployment Services, QUIC та HPC Pack . Три публічно відомі нульові дні, хоч і важливі, наразі не спостерігаються в атаках.

Аналіз CrowdStrike підтверджує такий підхід: негайно закрити активно експлуатовану вразливість підвищення привілеїв WinSock, потім усунути критичні серверні патчі, і лише після цього переходити до решти виправлень рівня Important .