🪟 Windows: Пятничный дайджест — что закрыть до выходных по майским дедлайнам
Коллеги, конец рабочей недели — самое время для быстрой проверки: что из майских задач закрыто, а что уйдёт в понедельник с риском стать проблемой.
Три критических дедлайна ближайших недель — статус на сегодня:
Secure Boot — истечение в июне (осталось ~5 недель):
Системы без обновлённых сертификатов Secure Boot потеряют возможность получать security updates для Secure Boot после июня 2026, не будут доверять стороннему ПО подписанному новыми сертификатами, и не получат исправлений для Windows Boot Manager после октября 2026.
Entra hard match — дедлайн 1 июня (осталось 10 дней):
С 1 июня блокируется возможность синхронизировать cloud-privileged учётки через Entra Connect. Если не проверено — проверь прямо сейчас.
Kerberos RC4 — финал в июле (осталось ~6 недель):
После июля реестровый ключ RC4DefaultDisablementPhase игнорируется. Если не провёл аудит Event 201/202 — время поджимает.
Что реально можно сделать за пятницу:
Итог: пятница — для аудита и планирования, не для опасных изменений. Три команды выше покажут где ты стоишь. Остальное — в понедельник с холодной головой.
#windows #secureboot #kerberos #security #patchmanagement #sysadmin #admin_future
Коллеги, конец рабочей недели — самое время для быстрой проверки: что из майских задач закрыто, а что уйдёт в понедельник с риском стать проблемой.
Три критических дедлайна ближайших недель — статус на сегодня:
Secure Boot — истечение в июне (осталось ~5 недель):
Системы без обновлённых сертификатов Secure Boot потеряют возможность получать security updates для Secure Boot после июня 2026, не будут доверять стороннему ПО подписанному новыми сертификатами, и не получат исправлений для Windows Boot Manager после октября 2026.
Entra hard match — дедлайн 1 июня (осталось 10 дней):
С 1 июня блокируется возможность синхронизировать cloud-privileged учётки через Entra Connect. Если не проверено — проверь прямо сейчас.
Kerberos RC4 — финал в июле (осталось ~6 недель):
После июля реестровый ключ RC4DefaultDisablementPhase игнорируется. Если не провёл аудит Event 201/202 — время поджимает.
# ПЯТНИЧНЫЙ ЧЕКЛИСТ — 3 команды, 5 минут:
# 1. Secure Boot статус (топ-10 серверов по риску):
Get-ADComputer -Filter {OperatingSystem -like "*Server*"} |
Select-Object -First 10 Name |
ForEach-Object {
Invoke-Command -ComputerName $_.Name -ScriptBlock {
$sb = Get-ItemProperty `
"HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
-Name "UEFICA2023Status" -EA SilentlyContinue
"$env:COMPUTERNAME : $(if($sb){$sb.UEFICA2023Status}else{'NOT_STARTED'})"
} -EA SilentlyContinue
}
# 2. RC4 — сколько событий за эту неделю (если много — срочно):
Get-WinEvent -LogName System -ComputerName (hostname) |
Where-Object {$_.Id -in @(201,202,203) -and
$_.TimeCreated -gt (Get-Date).AddDays(-7)} |
Group-Object Id | Select-Object Name, Count
# 3. Entra hard match — есть ли привилегированные sync'd учётки:
# (быстрая проверка без Graph модуля)
Get-ADUser -Filter {Enabled -eq $true} `
-Properties MemberOf, adminCount |
Where-Object {$_.adminCount -eq 1} |
Select-Object SamAccountName, DistinguishedName |
Export-Csv "friday_privcheck.csv" -NoTypeInformation
Write-Host "Привилегированных учёток: $((Import-Csv friday_privcheck.csv).Count)"
# Если > 20 — стоит пересмотреть список до понедельника
Что реально можно сделать за пятницу:
ЧТО МОЖНО ЗАКРЫТЬ ЗА 30 МИНУТ:
- Запустить Secure Boot update task на 5-10 серверах
- Посмотреть RC4 events за неделю
- Сохранить список NOT_STARTED серверов для понедельника
ЧТО НЕ ТРОГАТЬ В ПЯТНИЦУ ВЕЧЕРОМ:
- Не менять пароли krbtgt без подготовки
- Не обновлять DC в конце недели без снапшота
- Не применять Kerberos-политики без тестовой группы
Итог: пятница — для аудита и планирования, не для опасных изменений. Три команды выше покажут где ты стоишь. Остальное — в понедельник с холодной головой.
#windows #secureboot #kerberos #security #patchmanagement #sysadmin #admin_future
❤1👍1👏1
🧠 Skills: Nightmare Eclipse и кризис bug bounty — что это означает для всей индустрии
Коллеги, сегодня не только про патчи. Сегодня про ситуацию которая меняет правила игры для всего security-сообщества — и косвенно касается каждого администратора.
История: независимый исследователь под псевдонимом Nightmare Eclipse обнаружил серию критических уязвимостей в Windows и честно сообщил в Microsoft через официальные каналы. Microsoft удалила его аккаунт в MSRC и он не получил никакого вознаграждения. В ответ исследователь начал публично раскрывать уязвимости с рабочими PoC-эксплойтами. Microsoft ответила угрозами уголовного преследования, что вызвало огромную волну возмущения в security-сообществе. Microsoft отступила и заявила что не намерена преследовать исследователей.
Nightmare Eclipse представляет третью категорию: ответное раскрытие спровоцированное воспринятым нарушением со стороны вендора. Этот сценарий — когда исследователь исчерпывает официальные каналы и не получает ответа или получает активный вред — это известный сбой программ coordinated disclosure.
Почему это важно для тебя как администратора — три практических вывода:
Microsoft's response, threatening prosecution rather than investigating the underlying bounty dispute, will make other researchers in similar situations less likely to attempt coordination at all. Это означает больше zero-day без предупреждения в будущем.
Итог: история с Nightmare Eclipse — это не просто скандал. Это сигнал что модель coordinated disclosure трещит под давлением AI-assisted vulnerability research и неработающих incentive-систем. Как администратор — готовься к более частым zero-day и выстраивай процессы реагирования соответственно.
#skills #security #zerodaybugs #bugbounty #patchmanagement #sysadmin #admin_future
Коллеги, сегодня не только про патчи. Сегодня про ситуацию которая меняет правила игры для всего security-сообщества — и косвенно касается каждого администратора.
История: независимый исследователь под псевдонимом Nightmare Eclipse обнаружил серию критических уязвимостей в Windows и честно сообщил в Microsoft через официальные каналы. Microsoft удалила его аккаунт в MSRC и он не получил никакого вознаграждения. В ответ исследователь начал публично раскрывать уязвимости с рабочими PoC-эксплойтами. Microsoft ответила угрозами уголовного преследования, что вызвало огромную волну возмущения в security-сообществе. Microsoft отступила и заявила что не намерена преследовать исследователей.
Nightmare Eclipse представляет третью категорию: ответное раскрытие спровоцированное воспринятым нарушением со стороны вендора. Этот сценарий — когда исследователь исчерпывает официальные каналы и не получает ответа или получает активный вред — это известный сбой программ coordinated disclosure.
Почему это важно для тебя как администратора — три практических вывода:
ВЫВОД 1: ТЕМП ZERO-DAY УСКОРЯЕТСЯ
AI-assisted code analysis + недовольные исследователи +
сломанные bug bounty программы = больше публичных zero-day
без периода согласованного раскрытия.
Практическое следствие:
Patch Tuesday больше не единственный момент когда нужно
смотреть на безопасность Windows. Нужен:
- RSS на MSRC: msrc.microsoft.com/update-guide
- Подписка на BleepingComputer security alerts
- CISA KEV daily check
ВЫВОД 2: DEFENDER ОБНОВЛЯЕТСЯ ОТДЕЛЬНО ОТ ОС
CVE-2026-41091 (Defender LPE) был пропатчен через автообновление
engine ДО Patch Tuesday. Если у тебя отключены автообновления Defender —
ты жил с активно эксплуатируемой уязвимостью несколько недель.
Проверяем и исправляем:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26040.8
# Принудительное обновление Defender:
Update-MpSignature -UpdateSource MicrosoftUpdateServer
ВЫВОД 3: BUG BOUNTY — ЭТО РИСК УПРАВЛЕНИЯ УЯЗВИМОСТЯМИ
Когда вендор плохо управляет отношениями с исследователями —
уязвимости становятся публичными без патча.
Это системный риск для всех кто использует этот вендор.
Что делать: следить не только за CVE но и за конфликтами
в security-сообществе. Злой исследователь с PoC + дедлайн
"14 июня новое раскрытие" — это operational intelligence
которая влияет на приоритизацию патчинга прямо сейчас.
Microsoft's response, threatening prosecution rather than investigating the underlying bounty dispute, will make other researchers in similar situations less likely to attempt coordination at all. Это означает больше zero-day без предупреждения в будущем.
Итог: история с Nightmare Eclipse — это не просто скандал. Это сигнал что модель coordinated disclosure трещит под давлением AI-assisted vulnerability research и неработающих incentive-систем. Как администратор — готовься к более частым zero-day и выстраивай процессы реагирования соответственно.
#skills #security #zerodaybugs #bugbounty #patchmanagement #sysadmin #admin_future
🧠 Skills: 622 CVE в месяц — традиционный CVE-трекинг мёртв. Что вместо него.
Коллеги, среда — день для разговора который давно назрел. Июльский Patch Tuesday поставил финальную точку в дискуссии.
Microsoft на пути к тому чтобы закрыть более 1000 уязвимостей за год. FIRST прогнозирует 66 000 CVE в индустрии за 2026 год. Первопричина — AI-assisted vulnerability discovery. Автоматический фаззинг, статический анализ и variant hunting находят баги быстрее чем команды успевают их исправлять.
При таком масштабе традиционный workflow "оцени каждый CVE" рушится. Рейтинг CVSS High или Critical звучит срочно — пока не понимаешь что он применяется к 58% всех опубликованных CVE. Нельзя считать все из них приоритетами — это слово перестаёт что-либо означать.
Современная альтернатива — двухуровневая система приоритизации:
Один честный вывод из июля: Microsoft не только убрал детальный список уязвимостей из Security Update Guide — это признание что детальный CVE-трекинг при 622 CVE/месяц нефункционален даже для Microsoft. Они перешли на summary + Notable CVEs.
Это сигнал: если Microsoft не может детально описать 622 CVE — ты не можешь их все трекать. Приоритизация это не лень. Это единственный способ не утонуть.
Итог: CISA KEV + EPSS + контекст среды = рабочая система на 2026 год. Всё остальное — попытка пить из пожарного шланга. Настрой EPSS API и KEV RSS сегодня.
#skills #patchmanagement #epss #cve #security #sysadmin #admin_future
Коллеги, среда — день для разговора который давно назрел. Июльский Patch Tuesday поставил финальную точку в дискуссии.
Microsoft на пути к тому чтобы закрыть более 1000 уязвимостей за год. FIRST прогнозирует 66 000 CVE в индустрии за 2026 год. Первопричина — AI-assisted vulnerability discovery. Автоматический фаззинг, статический анализ и variant hunting находят баги быстрее чем команды успевают их исправлять.
При таком масштабе традиционный workflow "оцени каждый CVE" рушится. Рейтинг CVSS High или Critical звучит срочно — пока не понимаешь что он применяется к 58% всех опубликованных CVE. Нельзя считать все из них приоритетами — это слово перестаёт что-либо означать.
Современная альтернатива — двухуровневая система приоритизации:
УРОВЕНЬ 1: CISA KEV + EPSS
CISA KEV — факт эксплуатации в дикой природе
EPSS — вероятность эксплуатации в следующие 30 дней (0 до 1.0)
Действие: CISA KEV → патчить немедленно, без обсуждений
EPSS > 0.5 → патчить в этот цикл
EPSS < 0.1 → плановый следующий квартал
УРОВЕНЬ 2: КОНТЕКСТ СРЕДЫ
CVSS 9.8 на компонент которого у тебя нет = не твоя проблема
CVSS 7.0 на компонент который торчит наружу = твоя проблема
Вопросы которые надо задать ДО паники:
□ Этот компонент установлен?
□ Доступен ли вектор атаки в нашей топологии?
□ Есть ли публичный PoC?
□ Есть ли в CISA KEV?
КАК ВЫГЛЯДИТ ПРАВИЛЬНЫЙ ТРИКАЖ ИЮЛЯ 2026:
622 CVE → смотрим Notable CVEs от Microsoft
+ CISA KEV за неделю (обычно 5-15 записей)
+ EPSS > 0.5 фильтр через api.first.org
Итог: из 622 → реально срочных ~20-30
Остальные 600 → плановый цикл
# Практика: EPSS API для быстрого триажа
# Пример: проверяем EPSS score для конкретного CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-55040" | \
python3 -c "import sys,json; d=json.load(sys.stdin); \
print(f\"EPSS: {d['data'][0]['epss']} | Percentile: {d['data'][0]['percentile']}\")"
# Автоматизированная проверка нескольких CVE:
CVES="CVE-2026-55040,CVE-2025-47981,CVE-2026-50656"
curl -s "https://api.first.org/data/v1/epss?cve=${CVES}" | \
python3 -m json.tool | grep -E "cve|epss|percentile"
# CISA KEV — RSS для алертов:
# https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
# Добавить в любой RSS-ридер или скрипт мониторинга
Один честный вывод из июля: Microsoft не только убрал детальный список уязвимостей из Security Update Guide — это признание что детальный CVE-трекинг при 622 CVE/месяц нефункционален даже для Microsoft. Они перешли на summary + Notable CVEs.
Это сигнал: если Microsoft не может детально описать 622 CVE — ты не можешь их все трекать. Приоритизация это не лень. Это единственный способ не утонуть.
Итог: CISA KEV + EPSS + контекст среды = рабочая система на 2026 год. Всё остальное — попытка пить из пожарного шланга. Настрой EPSS API и KEV RSS сегодня.
#skills #patchmanagement #epss #cve #security #sysadmin #admin_future
🔥2
🧠 Skills: SharePoint CVE-2026-65660 — «spoofing», который оказался RCE. Почему метке CVE нельзя верить на слово.
Коллеги, хороший кейс к моему июльскому посту о приоритизации.
ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.
ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.
# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames
# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line
ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом
Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.
#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future
Коллеги, хороший кейс к моему июльскому посту о приоритизации.
ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.
ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.
# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames
# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line
ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом
Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.
#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future
📋 Итоги сентября: 12 критических проверок до октябрьского Patch Tuesday
Коллеги, сегодня финал месяца и квартала. Сентябрь выдался рекордным по плотности zero-day атак и пересмотру базовых практик безопасности.
Собрал всю аналитику месяца в единый операционный чек-лист. Пройдитесь по пунктам со своей командой — для каждого блока указаны конкретное действие и целевой статус.
🔴 ПЕРИМЕТР (активная эксплуатация «в дикой природе», внесено в CISA KEV)
[ ] MikroTik RouterOS: обновить до 7.23.6+ / 7.24.3+ / 6.49.21+ (версий 7.23.5 и 7.24.2 уже недостаточно!). SSH, WinBox и WebFig категорически убрать с внешних интерфейсов.
[ ] Citrix NetScaler ADC / Gateway: накат сборок
[ ] Check Point: раскатать актуальный Jumbo HF под свою ветку (R81.20 Take 166, R82 Take 126 и др.). Веб-интерфейс Management изолировать строго внутри mgmt-сети.
[ ] Roundcube Webmail: версии
[ ] WordPress: ядро
🟠 ИНФРАСТРУКТУРА WINDOWS / ACTIVE DIRECTORY
[ ] Кумулятивные патчи + OOB для RDS: помимо сентябрьского LCU накатить внеплановые фиксы для Remote Desktop Services (
[ ] Microsoft SharePoint Server: убедиться в установке августовских обновлений безопасности (
[ ] Окончательный отказ от Kerberos RC4: перевод всех сервисных аккаунтов (SPN) на AES128/AES256 с обязательным сбросом паролей и перевыпуском Linux-keytab.
[ ] Veeam Agent: обновить агенты резервного копирования до
🟡 СЕРВЕРЫ LINUX И ВИРТУАЛИЗАЦИЯ
[ ] Ядро Linux: закрыть 3 критические CVE из каталога KEV (уязвимости в kTLS, ebtables, AF_ALG) + вариант Spectre v2 (Branch Target Reuse). Накатить апдейт ядра и спланировать ребут нод.
[ ] Docker Engine: просканировать сеть и убедиться, что ни один сокет демона
[ ] Гипервизоры (ESXi / vCenter / Proxmox VE): интерфейсы управления изолированы в отдельный Management VLAN без маршрутизации в пользовательские сети; на хостах ESXi включены Lockdown Mode и
🔵 ЖИЗНЕННЫЙ ЦИКЛ И ПЛАНИРОВАНИЕ (EOL)
[ ] Windows Server 2016: до конца поддержки (12 января 2027 г.) осталось всего 104 дня. Проекты миграции на 2022/2025 должны быть в активной стадии.
[ ] Microsoft SQL Server 2016: фаза Extended Support завершилась 14 июля 2026 г. Инстансы без контракта ESU находятся в зоне риска.
[ ] Службы WDS (Windows Deployment Services): функционал признан устаревшим (deprecated) — перевод инфраструктуры развертывания на современные механизмы.
💡 ГЛАВНЫЕ ВЫВОДЫ СЕНТЯБРЯ
Периметр — ключевая точка входа. Векторы атак на MikroTik, NetScaler, Check Point и Zyxel подтверждают: взлом начинается не с фишингового письма бухгалтеру, а с пограничного шлюза.
Окно «дикого» zero-day исчисляется неделями. Check Point Management ломали с 23 июля, NetScaler — неделями до релиза билдов вендора. Парадигма «накатил патч = чист» мертва — периметр требует форензики.
Оценки вендоров запаздывают. Баги в SharePoint мутировали из безобидного спуфинга в критический RCE, а ранние «патчи» MikroTik потребовали повторных исправлений. Каталог CISA KEV нужно перечитывать регулярно.
AI масштабирует классическую разведку. Кампании вроде Carbonato и Aurora показали: злоумышленники поручают агентам черновую работу по перебору, NTLM relay и сканированию AD, пробивая старые огрехи конфигурации за считанные минуты.
📌 План действий: забирайте чеклист, распределяйте задачи между инженерами и закрывайте хвосты до пятницы. 13 октября — следующий Patch Tuesday, встречать его нужно с чистыми хвостами по сентябрю.
#итоги #patchmanagement #checklist #security #sysadmin #admin_future
Коллеги, сегодня финал месяца и квартала. Сентябрь выдался рекордным по плотности zero-day атак и пересмотру базовых практик безопасности.
Собрал всю аналитику месяца в единый операционный чек-лист. Пройдитесь по пунктам со своей командой — для каждого блока указаны конкретное действие и целевой статус.
🔴 ПЕРИМЕТР (активная эксплуатация «в дикой природе», внесено в CISA KEV)
[ ] MikroTik RouterOS: обновить до 7.23.6+ / 7.24.3+ / 6.49.21+ (версий 7.23.5 и 7.24.2 уже недостаточно!). SSH, WinBox и WebFig категорически убрать с внешних интерфейсов.
[ ] Citrix NetScaler ADC / Gateway: накат сборок
14.1-73.37 / 13.1-64.23. Дедлайн CISA — сегодня. Обязательный съем дампов памяти и логов до обновления.[ ] Check Point: раскатать актуальный Jumbo HF под свою ветку (R81.20 Take 166, R82 Take 126 и др.). Веб-интерфейс Management изолировать строго внутри mgmt-сети.
[ ] Roundcube Webmail: версии
1.6.19 / 1.7.4. Провести ревизию конфига virtuser_query.[ ] WordPress: ядро
7.1.2 (или крайний бэкпорт своей ветки). Проверить флаг register_argc_argv = Off и вычистить PEAR.🟠 ИНФРАСТРУКТУРА WINDOWS / ACTIVE DIRECTORY
[ ] Кумулятивные патчи + OOB для RDS: помимо сентябрьского LCU накатить внеплановые фиксы для Remote Desktop Services (
KB5129238 / KB5129237 / KB5129235 — забираются вручную через Microsoft Update Catalog).[ ] Microsoft SharePoint Server: убедиться в установке августовских обновлений безопасности (
CVE-2026-65660, вектор переклассифицирован из Spoofing в полноценный RCE).[ ] Окончательный отказ от Kerberos RC4: перевод всех сервисных аккаунтов (SPN) на AES128/AES256 с обязательным сбросом паролей и перевыпуском Linux-keytab.
[ ] Veeam Agent: обновить агенты резервного копирования до
13.0.3.1220+ / 13.1.1.700.🟡 СЕРВЕРЫ LINUX И ВИРТУАЛИЗАЦИЯ
[ ] Ядро Linux: закрыть 3 критические CVE из каталога KEV (уязвимости в kTLS, ebtables, AF_ALG) + вариант Spectre v2 (Branch Target Reuse). Накатить апдейт ядра и спланировать ребут нод.
[ ] Docker Engine: просканировать сеть и убедиться, что ни один сокет демона
dockerd не слушает порт TCP/2375 без mutual TLS.[ ] Гипервизоры (ESXi / vCenter / Proxmox VE): интерфейсы управления изолированы в отдельный Management VLAN без маршрутизации в пользовательские сети; на хостах ESXi включены Lockdown Mode и
execInstalledOnly.🔵 ЖИЗНЕННЫЙ ЦИКЛ И ПЛАНИРОВАНИЕ (EOL)
[ ] Windows Server 2016: до конца поддержки (12 января 2027 г.) осталось всего 104 дня. Проекты миграции на 2022/2025 должны быть в активной стадии.
[ ] Microsoft SQL Server 2016: фаза Extended Support завершилась 14 июля 2026 г. Инстансы без контракта ESU находятся в зоне риска.
[ ] Службы WDS (Windows Deployment Services): функционал признан устаревшим (deprecated) — перевод инфраструктуры развертывания на современные механизмы.
💡 ГЛАВНЫЕ ВЫВОДЫ СЕНТЯБРЯ
Периметр — ключевая точка входа. Векторы атак на MikroTik, NetScaler, Check Point и Zyxel подтверждают: взлом начинается не с фишингового письма бухгалтеру, а с пограничного шлюза.
Окно «дикого» zero-day исчисляется неделями. Check Point Management ломали с 23 июля, NetScaler — неделями до релиза билдов вендора. Парадигма «накатил патч = чист» мертва — периметр требует форензики.
Оценки вендоров запаздывают. Баги в SharePoint мутировали из безобидного спуфинга в критический RCE, а ранние «патчи» MikroTik потребовали повторных исправлений. Каталог CISA KEV нужно перечитывать регулярно.
AI масштабирует классическую разведку. Кампании вроде Carbonato и Aurora показали: злоумышленники поручают агентам черновую работу по перебору, NTLM relay и сканированию AD, пробивая старые огрехи конфигурации за считанные минуты.
📌 План действий: забирайте чеклист, распределяйте задачи между инженерами и закрывайте хвосты до пятницы. 13 октября — следующий Patch Tuesday, встречать его нужно с чистыми хвостами по сентябрю.
#итоги #patchmanagement #checklist #security #sysadmin #admin_future
🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа
Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.
📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.
Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.
Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).
Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).
🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash
⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.
NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через
Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).
#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future
Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.
📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.
Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.
Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).
Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).
🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash
# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
jq -r '.vulnerabilities[]
| select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13")
| "\(.cveID)\t\(.vulnerabilityName)"'
# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'
⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.
NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через
PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).
#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future
📧 Skills: 5 RCE в Outlook с CVSS 9.8 — достаточно открыть письмо в области чтения. Проверяем версию Office по всему парку
Коллеги, разбираем детально самый неприятный и опасный блок октябрьского Patch Tuesday.
📌 ФАКТЫ
Идентификаторы уязвимостей:
Критичность: максимальный базовый балл CVSS 9.8 (Remote Code Execution, класс — классические переполнения буфера в парсерах форматов сообщений).
Вектор атаки — Preview Pane (Zero-Click): по официальному бюллетеню безопасности Microsoft, эксплуатация инициируется автоматически при отображении письма в области предварительного просмотра (Reading Pane) — пользователю не нужно открывать вложения или переходить по ссылкам.
Затронутые платформы: почтовые клиенты Outlook в составе Microsoft 365 Apps for enterprise, Office LTSC 2021 и Office LTSC 2024 (как под Windows, так и под macOS). Для двух уязвимостей патчи под Mac LTSC задержатся до конца месяца.
Статус эксплуатации: в дикой природе активных эксплойтов пока не зафиксировано («Exploitation Less Likely»).
Главный риск: обходных путей (workarounds) и изолирующих настроек реестра вендор не предоставил — единственным методом защиты является установка апдейта сборок Office.
🛠 ИНВЕНТАРИЗАЦИЯ И ПРИНУДИТЕЛЬНЫЙ ПУШ ОБНОВЛЕНИЙ (Click-to-Run)
В большинстве сетей Microsoft 365 Apps и Office 2021/2024 развернуты по модели Click-to-Run (C2R), минуя классический каталог WSUS:
PowerShell
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
#skills #outlook #office #security #cve #powershell #patchmanagement #sysadmin #admin_future
Коллеги, разбираем детально самый неприятный и опасный блок октябрьского Patch Tuesday.
📌 ФАКТЫ
Идентификаторы уязвимостей:
CVE-2026-88156, CVE-2026-97016, CVE-2026-70291, CVE-2026-70242, CVE-2026-97749.Критичность: максимальный базовый балл CVSS 9.8 (Remote Code Execution, класс — классические переполнения буфера в парсерах форматов сообщений).
Вектор атаки — Preview Pane (Zero-Click): по официальному бюллетеню безопасности Microsoft, эксплуатация инициируется автоматически при отображении письма в области предварительного просмотра (Reading Pane) — пользователю не нужно открывать вложения или переходить по ссылкам.
Затронутые платформы: почтовые клиенты Outlook в составе Microsoft 365 Apps for enterprise, Office LTSC 2021 и Office LTSC 2024 (как под Windows, так и под macOS). Для двух уязвимостей патчи под Mac LTSC задержатся до конца месяца.
Статус эксплуатации: в дикой природе активных эксплойтов пока не зафиксировано («Exploitation Less Likely»).
Главный риск: обходных путей (workarounds) и изолирующих настроек реестра вендор не предоставил — единственным методом защиты является установка апдейта сборок Office.
🛠 ИНВЕНТАРИЗАЦИЯ И ПРИНУДИТЕЛЬНЫЙ ПУШ ОБНОВЛЕНИЙ (Click-to-Run)
В большинстве сетей Microsoft 365 Apps и Office 2021/2024 развернуты по модели Click-to-Run (C2R), минуя классический каталог WSUS:
PowerShell
# 1. Проверка текущей версии, CDN-источника и статуса автообновлений локально
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
Select-Object VersionToReport, CDNBaseUrl, UpdatesEnabled
# 2. Массовая инвентаризация версий Office по доменным рабочим станциям через WinRM
$pcs = (Get-ADComputer -Filter 'OperatingSystem -like "*Windows 1*" -and Enabled -eq $true').Name
Invoke-Command -ComputerName $pcs -ErrorAction SilentlyContinue -ScriptBlock {
$c2r = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue
if ($c2r) {
[PSCustomObject]@{
Version = $c2r.VersionToReport
Enabled = $c2r.UpdatesEnabled
}
}
} | Select-Object PSComputerName, @{N='OfficeVersion'; E={$_.Version}}, @{N='UpdatesActive'; E={$_.Enabled}} |
Sort-Object OfficeVersion
# 3. Принудительный старт тихой фоновой загрузки и установки обновлений на клиенте
$c2rClient = "$env:CommonProgramFiles\microsoft shared\ClickToRun\OfficeC2RClient.exe"
if (Test-Path $c2rClient) {
Start-Process -FilePath $c2rClient -ArgumentList '/update user displaylevel=false'
}
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
Office C2R часто существует обособленно от централизованного патч-менеджмента ОС и тихо обновляется из CDN Microsoft — ровно до тех пор, пока ключ
UpdatesEnabledне оказывается отключен.
Часто это происходит при развертывании машин из старых кастомных образов, после оптимизационных твикеров или если обновления замораживали локально, «чтобы интерфейс не дёргался посреди рабочего дня».
При RCE через Reading Pane со скорингом 9.8 любая рабочая станция со старой сборкой Outlook внутри корпоративной сети превращается в открытый плацдарм для закрепления через одно-единственное входящее письмо. Скрипт выше выявляет отставшие машины за пару минут.
#skills #outlook #office #security #cve #powershell #patchmanagement #sysadmin #admin_future
🗓 Windows 11 24H2 Home и Pro больше не получают обновлений. В ноябре — очередь 23H2 Enterprise
Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.
📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.
Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).
Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.
Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).
🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:
PowerShell
PowerShell
⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.
Ни закрытия MotW (
💡 В ЧЁМ СУТЬ
#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future
Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.
📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.
Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).
Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.
Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).
🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:
PowerShell
# Билды: 22631 = 23H2 | 26100 = 24H2 | 26200 = 25H2
Get-ADComputer -Filter 'Enabled -eq $true -and OperatingSystem -like "Windows 1*"' `
-Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
Group-Object OperatingSystem, OperatingSystemVersion |
Sort-Object Count -Descending |
Select-Object Count, Name |
Format-Table -AutoSize
PowerShell
# Локальная проверка редакции, версии и точного номера сборки на хосте
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
Select-Object ProductName, EditionID, DisplayVersion, CurrentBuild, UBR |
Format-List
⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.
Ни закрытия MotW (
CVE-2026-96951), ни критических RCE в превью Outlook они уже не получат штатным образом.💡 В ЧЁМ СУТЬ
Обновление машин с 24H2 до актуальной 25H2 не требует длительной переустановки ОС или раскатки «тяжелого» WIM-образа — оно выполняется через компактный Enablement Package (eKB) через WSUS, Intune или Windows Update for Business.
Процесс сводится к одной быстрой перезагрузке рабочей станции (занимает 2–3 минуты). Прогоните инвентаризацию скриптом выше, сформируйте список хостов на 24H2 Pro и одобрите пакет перехода до конца недели.
#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future
🛠 Октябрьское обновление Windows 11: что починили и что может сломаться. RDP-ошибка 0xC000000D
Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.
⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку
Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.
Статус исправления: вендор признал регрессию и готовит хотфикс.
Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.
✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе
Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).
Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).
AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса
Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).
🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:
24H2 →
25H2 →
PowerShell
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future
Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.
⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку
0xC000000D («The token that was passed to the function is invalid» / «Указан недопустимый маркер»).Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.
Статус исправления: вендор признал регрессию и готовит хотфикс.
Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.
✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе
Offline / Detached после планового ребута нод кластера.Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).
Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).
AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса
explorer.exe при монтировании профиля пользователя.Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).
🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:
24H2 →
26100.971125H2 →
26200.9711PowerShell
# Экспресс-проверка версии и ревизии ядра (UBR)
$ver = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[PSCustomObject]@{
OSName = $ver.ProductName
DisplayVersion = $ver.DisplayVersion
FullBuild = "$($ver.CurrentBuild).$($ver.UBR)"
} | Format-Table -AutoSize
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
Если в контуре эксплуатируются кластеры S2D с многоуровневым хранилищем или развернут Always On VPN — этот релиз стоит накатывать в приоритетном порядке: он закрывает реальные эксплуатационные сбои, а не просто латает уязвимости.
Однако, если в домене внедрены стандартные профили Microsoft Security Baselines, заранее проинструктируйте первую линию техподдержки: при жалобах на ошибку
0xC000000Dв RDP проблема кроется именно в токене Administrator Protection, а не в сети или правах доступа в группу Remote Desktop Users.
#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future
📦 Office 2021 больше не получает обновлений безопасности. Найдите его в парке до следующего Patch Tuesday
Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.
📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.
Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.
Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».
Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.
Что остаётся на официальной поддержке:
Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);
Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).
🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:
1. Для современных установок Click-to-Run (C2R)
PowerShell
2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future
Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.
📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.
Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.
Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».
Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.
Что остаётся на официальной поддержке:
Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);
Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).
🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:
1. Для современных установок Click-to-Run (C2R)
PowerShell
# Определяем точный продуктовый идентификатор установленного пакета:
$prodId = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue).ProductReleaseIds
# Расшифровка ключевых идентификаторов:
# ProPlus2021Volume / Standard2021Volume -> Office 2021 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# ProPlus2019Volume / Standard2019Volume -> Office 2019 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# O365ProPlusRetail -> Microsoft 365 Apps (ПОДДЕРЖИВАЕТСЯ)
# ProPlus2024Volume / Standard2024Volume -> Office 2024 (ПОДДЕРЖИВАЕТСЯ)
2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell
# Проверка классической ветки реестра Uninstall (32-бит и 64-бит):
Get-ItemProperty `
'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', `
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
Where-Object { $_.DisplayName -match 'Microsoft Office (Professional|Standard|Home|LTSC)' } |
Select-Object DisplayName, DisplayVersion, InstallDate |
Format-Table -AutoSize
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
Офисный пакет без регулярных секьюрити-обновлений — главная входная дверь для шифровальщиков и стилеров: входящие таблицы Excel, сметы и коммерческие предложения в Word открываются рядовыми сотрудниками ежедневно и на автомате.
Где искать в первую очередь:
Бухгалтерия, финансовый отдел и отдел кадров — рабочие места с максимальным входящим трафиком внешних документов от контрагентов.
Филиальные ПК и удалённые склады — где исторически «один раз поставили с дистрибутива и забыли».
Если бюджетный апгрейд всего парка на Office LTSC 2024 или облачный Microsoft 365 не согласован:
Рассмотрите гибридную схему: массовый перевод типовых рабочих мест на отечественные/open-source офисные пакеты (Р7-Офис, МойОфис, LibreOffice);
Для единичных пользователей с критической зависимостью от сложных VBA-макросов выделите изолированный терминальный сервер с актуальным поддерживаемым Office, отрезав прямой доступ из интернета.
#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future
🤖 «Чёрный октябрь»: уязвимости в PHP нашёл AI — раньше атакующих. Что это меняет для админов
Коллеги, итог недели — не просто очередная новость, а тектонический сдвиг в информационной безопасности.
📌 ФАКТЫ (Axios, 22 октября)
Две критические уязвимости PHP (CVSS 9.2), закрытые 21 октября, обнаружили исследователи с помощью технологий OpenAI. Позиция компании: «насколько нам известно, frontier AI нашёл эти уязвимости раньше атакующих»
В Wiz называют инцидент одним из самых опасных в истории экосистемы PHP. По данным Axios, ряд крупных порталов в США и Великобритании уходили в экстренный офлайн для установки исправлений
Уже в среду зафиксирована потенциальная попытка эксплуатации в дикой природе — успешность пока не подтверждена
Безопасники открыто говорят о феномене «Black October»: совпадение беспрецедентного вала критических CVE и взрывного роста автоматизированных атак
📊 ЧТО МЫ ВИДЕЛИ ЗА ЭТОТ МЕСЯЦ В КАНАЛЕ
Рекордный Patch Tuesday от Microsoft — 1 411 исправлений
Мейнтейнеры ядра Linux экстренно вырезают устаревшие драйверы, потому что ИИ генерирует репорты и патчи быстрее, чем инженеры физически успевают их тестировать на реальном железе
Автоматизированный AI-ревьюер Google фигурирует уже в 463 CVE ядра Linux за текущий год
🛠 БЫСТРЫЙ АУДИТ PHP ПО СЕРВЕРАМ (чек-лист)
Bash
💡 В ЧЁМ СУТЬ
#ai #php #patchmanagement #security #trends #sysadmin #admin_future
Коллеги, итог недели — не просто очередная новость, а тектонический сдвиг в информационной безопасности.
📌 ФАКТЫ (Axios, 22 октября)
Две критические уязвимости PHP (CVSS 9.2), закрытые 21 октября, обнаружили исследователи с помощью технологий OpenAI. Позиция компании: «насколько нам известно, frontier AI нашёл эти уязвимости раньше атакующих»
В Wiz называют инцидент одним из самых опасных в истории экосистемы PHP. По данным Axios, ряд крупных порталов в США и Великобритании уходили в экстренный офлайн для установки исправлений
Уже в среду зафиксирована потенциальная попытка эксплуатации в дикой природе — успешность пока не подтверждена
Безопасники открыто говорят о феномене «Black October»: совпадение беспрецедентного вала критических CVE и взрывного роста автоматизированных атак
📊 ЧТО МЫ ВИДЕЛИ ЗА ЭТОТ МЕСЯЦ В КАНАЛЕ
Рекордный Patch Tuesday от Microsoft — 1 411 исправлений
Мейнтейнеры ядра Linux экстренно вырезают устаревшие драйверы, потому что ИИ генерирует репорты и патчи быстрее, чем инженеры физически успевают их тестировать на реальном железе
Автоматизированный AI-ревьюер Google фигурирует уже в 463 CVE ядра Linux за текущий год
🛠 БЫСТРЫЙ АУДИТ PHP ПО СЕРВЕРАМ (чек-лист)
Bash
# Прогон версий по ключевым хостам (веб-ноды, Nextcloud, панели)
for h in web1 web2 nc1; do
echo "== $h ==";
ssh "$h" 'php -v | head -1';
done
Безопасные релизы: ветки 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 либо бэкпортированные патчи из security-репозиториев вашего дистрибутива.
💡 В ЧЁМ СУТЬ
Когда нейросети сканируют кодовую базу быстрее людей, окно экспозиции между публичным коммитом и первой волной эксплойтов сжимается с месяцев до считанных часов.
Концепция «обновляемся раз в квартал по регламенту» окончательно умерла. Выигрывают те, у кого выстроены:
Точная инвентаризация сервисов (чтобы за 5 минут знать, где крутится уязвимый бинарник).
CI/CD и staging для моментального регрессионного теста.
Готовый регламент наката security-патчей в прод в режиме «закрываем периметр за 24 часа».
#ai #php #patchmanagement #security #trends #sysadmin #admin_future