#windows #patchtuesday #bitlocker #activedirectory #security #sysadmin #admin_future

🪟 Windows: Апрельский Patch Tuesday сломал DC — и Microsoft уже выпустила OOB-фикс

Коллеги, если вы ещё не слышали — апрельское обновление KB5082063 наломало дров. Контроллеры домена в средах с Privileged Access Management (PAM) уходили в бесконечный цикл перезагрузок из-за краша LSASS. Затронуты все версии Windows Server от 2016 до 2025.

Хорошая новость: 19 апреля Microsoft выпустила внеплановые OOB-обновления. Для Windows Server 2025 — KB5091157 (стандартный) или KB5091470 (для hotpatch-сред, без перезагрузки).

# Проверяем установлен ли проблемный патч
Get-HotFix | Where-Object {$_.HotFixID -eq "KB5082063"}

# Проверяем статус LSASS и не крутится ли DC в петле
Get-Service lsass | Select-Object Status
Get-EventLog -LogName System -Newest 20 |
    Where-Object {$_.Source -like "*LSASS*" -or $_.Source -like "*SAM*"}

# Устанавливаем OOB-фикс вручную (скачать с Microsoft Update Catalog)
# Для WS2025: KB5091157
# Для WS2022: KB5091575
# Для WS2019: KB5091574

# Если DC уже в петле — загружаемся в DSRM и откатываем:
# В меню Advanced Boot Options -> Directory Services Restore Mode
# Затем из cmd:
dism /image:C:\ /get-packages | findstr /i "KB5082063"
# dism /image:C:\ /remove-package /packagename:[имя_пакета]

Зачем это нужно:
Апрельские апдейты ломали контроллеры домена уже три года подряд. Вывод простой: DC обновляем последними, держим снапшот перед каждым Patch Tuesday и знаем наизусть путь в DSRM.

Итог: KB5091157 ставим немедленно. Без него KB5082063 на DC — это потенциальная недоступность домена.

#windows #activedirectory #patchtuesday #sysadmin #admin_future

🪟 Windows: Майский Patch Tuesday — hotpatch возобновляется, но есть нюанс

Коллеги, 11 мая — первый hotpatch-вторник после апрельского OOB-фикса, который прервал цикл. Разбираем коротко что происходит и чего ждать.

Напомню схему: январь, апрель, июль, октябрь — полный baseline с перезагрузкой. Февраль, март, май, июнь и т.д. — hotpatch без рестарта. Май по плану должен быть hotpatch-месяцем.

Но апрель внёс коррективу: OOB-фикс KB5091157 для апрельского DC reboot-loop потребовал перезагрузки и приостановил hotpatching. Для тех кто его установил — hotpatch возобновится только с майского обновления.

Ещё важный момент о стоимости: hotpatch для Windows Server 2025 вне Azure требует Azure Arc и платной подписки через Azure Arc — это не бесплатная функция для on-premises серверов.

# Проверяем текущий статус hotpatch на сервере
# Смотрим что установлено последним
Get-HotFix | Sort-Object InstalledOn -Descending |
    Select-Object HotFixID, InstalledOn -First 3

# Проверяем включён ли VBS (обязательное требование):
Get-CimInstance -ClassName Win32_DeviceGuard `
    -Namespace root\Microsoft\Windows\DeviceGuard |
    Select-Object VirtualizationBasedSecurityStatus
# 2 = Running = hotpatch возможен

# Проверяем подключение к Azure Arc (нужно для on-prem hotpatch):
azcmagent show 2>$null | Select-String "Status"
# Connected = готов к hotpatch

# Смотрим историю hotpatch vs обычных обновлений:
Get-WinEvent -LogName "Microsoft-Windows-WindowsUpdateClient/Operational" |
    Where-Object {$_.Id -eq 19} |  # ID 19 = успешная установка
    Select-Object TimeCreated, Message |
    Format-List |
    Select-Object -First 5

# Если нужно временно отключить hotpatch (например для тестов):
Set-ItemProperty `
    -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" `
    -Name "HotPatchRestrictions" -Value 1 -Type DWORD
# Вернуть: Value 0

Зачем это нужно:
Hotpatch не охватывает все обновления — .NET-патчи, несекьюрити-обновления и патчи сторонних компонентов по-прежнему требуют перезагрузки. Нельзя считать, что сервер с hotpatch больше никогда не перезагружается.

Итог: четыре перезагрузки в год вместо двенадцати — реальное улучшение для uptime. Но hotpatch не бесплатен на on-prem и не заменяет полный patch management. Знай что у тебя включено и почему.

#windows #hotpatch #patchtuesday #windowsserver2025 #sysadmin #admin_future

🪟 Windows: Май 2026 Patch Tuesday — 120 CVE, ноль zero-days, два приоритета

Коллеги, вчера вышел майский Patch Tuesday. Хорошая новость: впервые с июня 2024 года — ни одного активно эксплуатируемого или публично раскрытого zero-day. Плохая: несмотря на это, три компонента требуют срочного внимания.

CVE-2026-41096 — Windows DNS Client RCE, Critical.
Злоумышленник-контролируемый DNS-сервер может отправить специально сформированный DNS-ответ на уязвимую Windows-систему, что вызовет некорректную обработку памяти клиентом DNS и позволит выполнить код удалённо. DNS-клиент есть на каждой Windows-машине. Вектор — любой ответ от вредоносного DNS-сервера.

CVE-2026-41089 — Windows Netlogon RCE, Critical.
Stack-based buffer overflow в Netlogon. Контроллеры домена — это не обычные серверы, это структура авторизации всего Windows enterprise. Ошибка которая может быть применена против DC, даже при ограниченных условиях, должна быть в топе любого совещания по приоритизации патчей.

CVE-2026-41103 — Microsoft SSO Plugin для Jira/Confluence, CVSS 9.1, Critical.
Сетевая эксплуатация, не требует привилегий, не требует взаимодействия пользователя. Microsoft пометил как «Exploitation More Likely». Успешный эксплойт даёт неаутентифицированному атакующему доступ к Jira/Confluence с повышенными привилегиями.

# Проверяем установлены ли майские обновления:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-05-12"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending

# Для Windows 11 — KB5089549:
# Для Windows 10 — KB5087544:
Get-HotFix | Where-Object {$_.HotFixID -in @("KB5089549","KB5087544")}

# Prioritization список:
# 1. DC: KB c Netlogon fix (CVE-2026-41089) — ставим первыми
# 2. Все хосты: DNS Client (CVE-2026-41096) — широкая поверхность
# 3. Atlassian-интеграции: SSO Plugin (CVE-2026-41103) — проверить версию

# Для Hyper-V хостов: CVE-2026-40402 (guest-to-host escape) — Critical
Get-VM | Select-Object Name, State, Version  # смотрим что запущено

# Хорошая новость этого Patch Tuesday:
# KB5089549 (Windows 11) закрывает проблему с неожиданными
# запросами BitLocker recovery key, которая была с апреля:
Get-HotFix "KB5089549"

Зачем это важно: фраза «не эксплуатируется в дикой природе» описывает знания Microsoft на момент релиза, а не гарантию завтрашнего поведения атакующих.

Итог: отсутствие zero-day не означает «можно подождать». DNS Client + Netlogon — это патчить в первую очередь на DC и серверах. Плюс майский патч закрывает апрельскую BitLocker-проблему — два повода для обновления.

#windows #patchtuesday #security #dns #netlogon #sysadmin #admin_future

🪟 Windows: Июньский Patch Tuesday — рекорд за всю историю программы и три важных приоритета

Коллеги, вчера 10 июня вышел самый большой Patch Tuesday в истории. Разбираем что важно из 200 CVE.

Июньский релиз — крупнейший за всё время существования программы, включает 3 публично раскрытых zero-day, 33 критических уязвимости (28 из которых RCE) и ещё 55 RCE уязвимостей требующих немедленного внимания. Релиз вышел при 17 оставшихся днях до абсолютного дедлайна Secure Boot сертификатов 26 июня.

Три приоритета для сисадмина:

Приоритет 1 — Hyper-V guest escape (Critical): CVE-2026-47652, CVE-2026-45641 и CVE-2026-45607 — критические RCE уязвимости в Hyper-V способные позволить побег из виртуальной машины и выполнение кода. Если у вас Hyper-V — это патчить первым.

Приоритет 2 — HTTP/2 Bomb (CVE-2026-49160): атака злоупотребляет сжатием заголовков и управлением потоком HTTP/2 так что маленькие запросы вынуждают сервер аллоцировать непропорционально большие объёмы памяти и удерживать их. Для интернет-facing серверов с IIS — срочно.

Приоритет 3 — Nightmare Eclipse zero-days закрыты: исследователь под псевдонимом Nightmare Eclipse публично раскрыл серию Windows zero-days (BlueHammer, MiniPlasma, RedSun, UnDefend, YellowKey) в знак протеста против обращения Microsoft с его bug bounty программой. Все они закрыты в этом Patch Tuesday. Но исследователь предупредил о новом раскрытии 14 июня.

# Проверяем установлен ли июньский патч:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-06-09"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending | Select-Object -First 3

# Проверяем Microsoft Defender Engine (CVE-2026-41091 — уже пропатчен через автообновление):
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна версия 1.1.26040.8 или новее

# Для Hyper-V хостов — приоритет первый:
Get-VM | Select-Object Name, State, Version
# Ставим патч и перезагружаем хост в окно обслуживания

# HTTP.sys — проверяем открыт ли HTTP/2:
netsh http show servicestate | grep -i "http/2"
# Временный митигейшн — отключить HTTP/2:
netsh http add sslcert ... # или через IIS Manager -> HTTP/2 -> Disable

# Secure Boot — дедлайн 26 июня (15 дней):
Get-ItemProperty `
    "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
    -Name "UEFICA2023Status" -ErrorAction SilentlyContinue
# Если не "Updated" — немедленно запускаем:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Отдельное предупреждение: отраслевые аналитики указывают на отчётливый катализатор этого всплеска уязвимостей — ИИ. Корпоративные security-команды и независимые исследователи агрессивно используют автоматизированные LLM-инструменты для аудита кодовых баз, обнаруживая программные дефекты со скоростью и масштабом которые традиционная ручная проверка не может догнать.

Итог: 200 CVE, рекорд, три zero-day, Hyper-V escape. И Secure Boot истекает через 15 дней. Патчи — сегодня.

#windows #patchtuesday #hyper-v #security #sysadmin #admin_future

🪟 Windows: RoguePlanet без патча + July 14 Patch Tuesday через неделю. Готовимся.

Коллеги, июнь оставил нам незакрытый хвост — и следующая неделя обещает быть жаркой.

Ситуация: RoguePlanet (CVE-2026-50656) — эксплойт Nightmare Eclipse против Microsoft Defender, позволяющий локальному атакующему получить SYSTEM-привилегии на полностью пропатченных Windows 10 и 11. Microsoft подтвердила уязвимость и работает над патчем, но сроков не назвала.

Эксплойт начинается с записи EICAR-файла в фейковый wermgr.exe для триггера ремедиации Defender. Отслеживая новое HardDiskVolumeShadowCopy-устройство, атакующий использует опортунистическую блокировку и выигрывает race condition. В результате C:\Windows\System32\wermgr.exe заменяется копией RoguePlanet, который затем запускается с SYSTEM-привилегиями через задачу QueueReporting.

Что особенно неприятно: до публикации RoguePlanet исследователь анонсировал крупное раскрытие на 14 июля 2026 — дату следующего Patch Tuesday — предупредив что релиз "сломает кости в тот день".

Что делать до 14 июля:

# 1. Проверяем что все июньские патчи установлены:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-06-08"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. RoguePlanet — mitigation через Application Control:
# ThreatLocker и аналоги блокируют эксплойт через allowlisting.
# Для тех кто без application control — мониторинг:

# Ищем подозрительное создание VSS-снапшотов:
Get-WinEvent -LogName "Microsoft-Windows-VolumeSnapshot-Driver/Operational" |
    Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)} |
    Select-Object TimeCreated, Message | Format-List

# Мониторим запуск wermgr.exe с необычным parent-процессом:
Get-WinEvent -LogName Security |
    Where-Object {$_.Id -eq 4688} |
    Where-Object {$_.Message -like "*wermgr.exe*"} |
    Select-Object TimeCreated, Message | Format-List | Select-Object -First 5

# 3. Проверяем Defender Engine (отдельно обновляется):
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26040.8 (фикс RedSun/CVE-2026-41091)
# Принудительное обновление:
Update-MpSignature

# 4. Готовимся к July 14 Patch Tuesday:
# Nightmare Eclipse обещает новые раскрытия
# Держим снапшоты DC перед Patch Tuesday
# Проверяем что тестовое окружение готово к быстрому тестированию

Три более ранних эксплойта Nightmare Eclipse — BlueHammer, RedSun и UnDefend — уже были использованы в реальных атаках и добавлены в CISA KEV до выхода патчей. Это означает что июльский пакет будет горячим.

Итог: 14 июля — в календарь. Держи снапшоты DC, Application Control где возможно, мониторинг VSS и wermgr.exe прямо сейчас.

#windows #defender #rogueplanet #patchtuesday #security #sysadmin #admin_future

🪟 Windows: RoguePlanet без патча + "bone shattering drop" 14 июля. Что делать сейчас.

Коллеги, неделя перед следующим Patch Tuesday — самый острый момент в истории с Nightmare Eclipse.

Nightmare Eclipse публично анонсировал крупное раскрытие на 14 июля 2026 — дату следующего Patch Tuesday Microsoft — предупредив что релиз "переломает кости в тот день". Изнурительная переработка RoguePlanet привела к признанию что июльский пакет может оказаться не таким масштабным как планировалось. Тем не менее дата 14 июля официально не отменена, и команды безопасности должны рассматривать её как активный горизонт угрозы.

Что актуально прямо сейчас:

RoguePlanet (CVE-2026-50656) — race condition в Defender, даёт SYSTEM-шелл на полностью пропатченных Windows 10 и 11. Microsoft не указала когда ожидается патч. Исследователь отметил что "не видел ни одной попытки детектирования или блокировки PoC через сигнатуры которая была бы эффективной — небольшие изменения в PoC полностью обходят mitigation-ы. Единственное что можно реально сделать — ждать патча от Microsoft."

Также существует GreatXML — восьмой эксплойт серии, машины уязвимы если ранее запускали Defender Offline Scan или могут загрузиться в WinRE в Offline Scan State.

# 1. Проверяем статус июньских патчей:
Get-HotFix | Where-Object {$_.HotFixID -in @("KB5094126","KB5094127")} |
    Select-Object HotFixID, InstalledOn
# KB5094126 = Windows 11, KB5094127 = Windows 10 LTSC/ESU

# 2. Обновляем Defender Engine (может прийти до PT):
Update-MpSignature -UpdateSource MicrosoftUpdateServer
Get-MpComputerStatus | Select-Object AMEngineVersion
# Следим за обновлениями выше 1.1.26060.x

# 3. Единственная реальная защита от RoguePlanet — Application Control:
# Проверяем статус WDAC:
Get-CIPolicy -FilePath "$env:windir\System32\CodeIntegrity\SIPolicy.p7b"

# Или через Intune: Endpoint Security -> App Control for Business
# ThreatLocker, AppLocker в deny-by-default режиме также блокируют

# 4. Мониторинг поведенческих индикаторов RoguePlanet:
# Ищем необычное создание VSS shadow copies + wermgr.exe:
Get-WinEvent -LogName System |
    Where-Object {$_.Id -eq 8194 -and  # VSS событие
        $_.TimeCreated -gt (Get-Date).AddDays(-1)} |
    Select-Object TimeCreated, Message | Format-List

# 5. Готовимся к 14 июля:
# Снапшот DC перед Patch Tuesday (как всегда)
# Тестовое окружение готово к быстрому развёртыванию
# Incident response team уведомлена о возможном hot-disclosure

Среднее время от эксплойта до использования в атаках составляло пять дней в 2026 году — работающий proof-of-concept опубликован публично, и этот таймлайн начался не когда присвоили CVE или выпустили патч, а в момент публикации.

Итог: 14 июля — следующая Patch Tuesday и возможный день новых раскрытий. До него — Application Control, обновлённый Defender, мониторинг VSS/wermgr. После — патчить в тот же день.

#windows #defender #rogueplanet #nightmare_eclipse #patchtuesday #sysadmin #admin_future

🪟 Windows: Июльский Patch Tuesday — рекорд 622 CVE, RoguePlanet закрыт, и новый LegacyHive

Коллеги, вчера вышел July Patch Tuesday. Держитесь.

Microsoft опубликовал 622 уязвимости в июльском Patch Tuesday, включая рекордные 416 уязвимостей Windows. Microsoft известно об эксплуатации в дикой природе двух из сегодняшних уязвимостей, обе добавлены в CISA KEV.

Хорошая новость: RoguePlanet закрыт. Патч вышел через Malware Protection Engine версии 1.1.26060.3008 — OOB-обновление 8-9 июля, до регулярного Patch Tuesday.

Плохая новость: Nightmare Eclipse заявил что патч RoguePlanet привнёс новую проблему — при определённых условиях атакующие могут использовать обновлённый движок для заполнения всего диска.

И сразу же после вчерашнего PT: появился новый PoC LegacyHive — позволяет непривилегированному пользователю монтировать чужой user hive.

Три приоритета на сегодня:

# 1. КРИТИЧНО: CVE-2026-55040 — SharePoint Authentication Bypass
# Rapid7 нашли цепочку: этот баг + второй (August PT) = unauthenticated RCE
# SharePoint Server Subscription Edition, 2019, 2016 — патчить немедленно
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-13"} |
    Select-Object HotFixID, InstalledOn | Sort-Object InstalledOn -Descending

# 2. КРИТИЧНО: CVE-2025-47981 — SPNEGO NEGOEX buffer overflow CVSS 9.8
# Wormable, no auth, no interaction, все Windows с Server 2008R2
# Уже в прошлом месяце был в preview — проверяем что закрыт:
$spnego = Get-HotFix | Where-Object {$_.HotFixID -like "*KB509*"}
$spnego | Format-Table

# 3. RoguePlanet — проверяем версию Defender Engine:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26060.3008

# Для air-gapped систем — принудительное обновление:
Update-MpSignature -UpdateSource InternalDefinitionUpdateServer

# 4. ДЕДЛАЙН который пришёл сегодня — Kerberos RC4 ФИНАЛ:
# Реестровый ключ RC4DefaultDisablementPhase больше не существует
# Проверяем нет ли RC4-only учёток которые теперь упадут:
Get-WinEvent -LogName System -ComputerName (hostname) |
    Where-Object {$_.Id -eq 205} |
    Select-Object TimeCreated, Message | Format-List | Select-Object -First 5
# Event 205 = RC4 ticket запрошен — эти учётки теперь не аутентифицируются

# 5. SQL Server 2016 — сегодня EOL extended support
# Переходит в платный ESU с 15 июля 2026
# SharePoint 2016 и 2019 — вчера последний день поддержки (нет ESU!)

Примечательное изменение в Patch Tuesday: Security Update Guide Microsoft больше не перечисляет отдельные уязвимости — только сводную таблицу количества по семействам продуктов и секцию "Notable CVEs". Это прямое следствие экспоненциального роста объёмов: при 622 CVE детальный listing становится неуправляемым.

Итог: 622 CVE — это не читать, это триажировать. SPNEGO NEGOEX (wormable 9.8) и SharePoint RCE — патчить сегодня. Kerberos RC4 — проверяй Event 205 прямо сейчас.

#windows #patchtuesday #sharepoint #kerberos #security #sysadmin #admin_future

🪟 Windows: Итог июля — SharePoint патч, SQL Server 2016 EOL и LegacyHive без патча

Коллеги, последняя пятница июля — подводим итог Windows-фронта за месяц.

Главные закрытые угрозы: RoguePlanet (CVE-2026-50656) — патч вышел OOB 8-9 июля через Malware Protection Engine 1.1.26060.3008. SharePoint authentication bypass (CVE-2026-55040) — закрыт в июльском PT. SPNEGO NEGOEX wormable buffer overflow (CVE-2025-47981, CVSS 9.8) — закрыт.

Что остаётся открытым: LegacyHive — новый PoC Nightmare Eclipse, позволяет непривилегированному пользователю монтировать чужой user hive. Патча нет. Nightmare Eclipse также заявил что патч RoguePlanet вводит новую проблему disk exhaustion при определённых условиях.

Критическое напоминание о дедлайнах которые уже наступили:

SQL Server 2016 переходит в платный ESU с 15 июля 2026. SharePoint Server 2016 и 2019 достигли end of life 14 июля — без ESU. После сегодня единственный поддерживаемый self-hosted SharePoint — SharePoint Subscription Edition.

# ИТОГОВЫЙ АУДИТ ИЮЛЯ — три команды

# 1. Проверяем что все июльские патчи на месте:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-08"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Defender Engine — должна быть 1.1.26060.3008+:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Если меньше — принудительное обновление:
Update-MpSignature

# 3. SQL Server 2016 инвентаризация (платный ESU с 15 июля):
Get-ADComputer -Filter * -Properties OperatingSystem |
    ForEach-Object {
        Invoke-Command -ComputerName $_.Name -ScriptBlock {
            Get-Service MSSQL* | Where-Object {$_.Status -eq "Running"}
        } -ErrorAction SilentlyContinue
    } | Where-Object {$_ -ne $null}

# 4. Kerberos RC4 — финал. Ищем учётки которые сломались:
Get-WinEvent -LogName System |
    Where-Object {$_.Id -eq 205 -and
        $_.TimeCreated -gt (Get-Date).AddDays(-14)} |
    Select-Object TimeCreated, Message |
    Format-List | Select-Object -First 10

# 5. Мониторим disk space после RoguePlanet патча:
# Nightmare Eclipse предупредил о возможном disk exhaustion
Get-PSDrive -PSProvider FileSystem |
    Where-Object {($_.Free / $_.Used) -lt 0.1} |
    Select-Object Name, @{N="FreeGB";E={[math]::Round($_.Free/1GB,1)}}

Взгляд на август: SharePoint RCE — вторая часть цепочки от Rapid7 (CVE-2026-55040 + embargoed second CVE) ожидается в августовском Patch Tuesday. Это означает что уязвимость шире чем кажется сейчас.

Итог: июль для Windows был не "bone shattering" как обещал Nightmare Eclipse — но 622 CVE, RoguePlanet, SharePoint bypass и Kerberos finalization достаточно серьёзны. SQL Server 2016 и SharePoint 2016/2019 — всё, поддержка кончилась. Принимайте решение.

#windows #patchtuesday #sharepoint #sqlserver #security #sysadmin #admin_future

📊 Patch Tuesday сентября: ~970 CVE за месяц. Прогноз из июльского поста не просто сбылся — его перекрыли.

Коллеги, в июле я писал про 622 CVE и конец ручного трекинга. В августе было ~400. В сентябре Microsoft закрыл, по разным подсчётам, от 964 до 974 уязвимостей. Это крупнейший выпуск в истории. Расхождение между трекерами — само по себе показатель: даже посчитать это одинаково не получается.

ФАКТЫ:
Critical: 105 (из них RCE — 81)
EoP: 438 | RCE: 258 | Info Disclosure: 173
Zero-day, эксплуатируются:
CVE-2026-81963 — Windows Update Stack, EoP до SYSTEM
CVE-2026-85880 — ALPC, heap overflow, EoP до SYSTEM

ИНТЕРПРЕТАЦИЯ (моя):
Оба zero-day локальные. Сами по себе они не пробивают периметр — это второй шаг после фишинга или скомпрометированной учётки. Поэтому их приоритет — «немедленно» (KEV), а не «паника».

ПОДВОДНЫЙ КАМЕНЬ — RDS:
После KB5122876 (2019), KB5122882 (2022), KB5122871 (2025) пользователи сообщают, что хосты сессий зависают через несколько часов после загрузки. RDP висит на «Connecting…», Task Manager не отвечает, перезагрузка часто требует hard reset. В логах — Event ID 20498. Независимая отладка указывает на deadlock в RDPSERVERBASE при закрытии сессии. Microsoft на момент публикаций причину не подтвердил.

# Стоит ли проблемный KB
Get-HotFix -Id KB5122876,KB5122882,KB5122871 -ErrorAction SilentlyContinue

# Ловим 20498
Get-WinEvent -ListLog '*RemoteConnectionManager*' | ForEach-Object {
Get-WinEvent -FilterHashtable @{LogName=$_.LogName; Id=20498} -MaxEvents 20 -ErrorAction SilentlyContinue
}

# Откат: wusa не снимет LCU из-за вшитого SSU — только DISM
dism /online /get-packages | findstr /i "RollupFix"
dism /online /remove-package /packagename:<имя_пакета_RollupFix>

ПОРЯДОК ДЕЙСТВИЙ:
□ DC, файловые, SQL, гипервизоры — ставим по обычному циклу (закрываем zero-day)
□ RDSH-фермы — сначала один пилотный хост, наблюдать 24–48 ч
□ Откат — только если воспроизвелось. Потеря патча = возврат двух эксплуатируемых EoP

Итог: ~970 CVE не значит 970 задач. Из них срочных — два zero-day плюс то, что реально торчит наружу. А больше всего сломать инфраструктуру в этом месяце может сам патч, а не уязвимость.

#patchtuesday #windows #rds #cve #sysadmin #admin_future

🔧 Апдейт: RDS после сентябрьских патчей — исправление вышло, но через WSUS оно не придёт.

Коллеги, суббота — поправка к четверговому разбору. Я писал, что Microsoft не подтвердил зависания RDS. Это неверно: 14 сентября вышли внеплановые (OOB) обновления.

ФАКТЫ:
Server 2019 → KB5129238
Server 2022 → KB5129237
Server 2025 → KB5129235

Что исправлено: сбои подключения и входа по RDP, зависания серверов, а также зависания MMC, RDS Licensing Diagnoser, Проводника и Windows Update. Попутно исправлены общие папки Linux-ВМ в Hyper-V.
Точную причину Microsoft официально не назвал.

ГЛАВНЫЙ ПОДВОДНЫЙ КАМЕНЬ:
Серверные OOB выложены ТОЛЬКО в Microsoft Update Catalog.
WSUS и Windows Update их сами не предложат.
Если RDSH-ферма обновляется через WSUS, то исправления на ней скорее всего нет.

# Проблемный LCU стоит, а исправления нет?
$bad = 'KB5122876','KB5122882','KB5122871'
$fix = 'KB5129238','KB5129237','KB5129235'
$hf = (Get-HotFix).HotFixID
"Проблемный LCU: " + (($bad | ? { $hf -contains $_ }) -join ', ')
"OOB-фикс: " + (($fix | ? { $hf -contains $_ }) -join ', ')

# Установка скачанного из Catalog пакета
wusa.exe C:\Temp\<файл>.msu /quiet /norestart

ПОРЯДОК:
□ Проверить все RDSH и хосты с RD Licensing
□ Скачать OOB из Catalog → поставить на пилотный хост → понаблюдать
□ Импортировать в WSUS вручную (Import Updates) или раскатать через GPO/скрипт
□ Тем, кто откатил LCU: ставить заново сентябрьский LCU + OOB. Оставаться без патча — значит жить с двумя эксплуатируемыми zero-day EoP

Итог: проблема решена, но только у тех, кто сам сходил в Catalog. Проверь фермы до понедельника.

#patchtuesday #windows #rds #wsus #sysadmin #admin_future

📅 Завтра, 13 октября, три события в один день: Patch Tuesday, конец основной поддержки Server 2022 и блокировка NTLMv1 для SSO

Коллеги, понедельник. Неделя, которую критически важно спланировать заранее, чтобы не тушить пожары на выходных.

📌 ЧТО ПРОИСХОДИТ
Октябрьский Patch Tuesday: плановый пакет обновлений безопасности Microsoft. Помним, что в сентябре был рекордный объем исправлений (около 970 CVE) и неприятные сайд-эффекты для инфраструктуры.

Windows Server 2022 — завершение Mainstream Support: прекращается выпуск несекьюрных хотфиксов и прием бесплатных обращений по общим багам. Фаза Extended Support (ежемесячные обновления безопасности) продолжится до октября 2031 года.

Блокировка NTLMv1 для SSO: плановое переключение ключа BlockNtlmv1SSO в дефолтный режим Enforce (1) на Windows 11 24H2 и Windows Server 2025. Под прямым ударом — бесшовный вход по Wi-Fi (802.1X) и VPN через MS-CHAPv2 (если на машинах не задействован Credential Guard).

🛠 СЕГОДНЯ, ДО ПРИХОДА ОБНОВЛЕНИЙ
Обязательно снимаем свежие бэкапы/снапшоты контроллеров домена и критических хостов до установки апдейтов:

PowerShell

# 1. Смотрим последние установленные обновления в системе
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Ищем, кто в сети все еще генерирует NTLMv1 SSO (события аудита Event ID 4024)
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' `
  -FilterXPath '*[System[EventID=4024]]' -MaxEvents 20 -ErrorAction SilentlyContinue

🛡 ОПЕРАЦИОННЫЙ ПЛАН НА НЕДЕЛЮ
Вторник: не бросаемся ставить всё подряд — сначала прицельно вычитываем список zero-day и свежие записи в каталоге CISA KEV.

Среда: раскатываем апдейты на тестовую группу серверов. Хосты Remote Desktop Services (RDS) тестируем отдельно и с пристрастием (учитывая сентябрьские зависания сессий).

Четверг – пятница: плановый накат на основной прод-парк. Держим открытым Microsoft Update Catalog — в сентябре критические фиксы для RDS были доступны исключительно там, минуя WSUS/WU.

Контроль всю неделю: внимательно следим за тикетами о проблемах с офисным Wi-Fi и подключением к VPN — с высокой вероятностью это будет блокировка NTLMv1 SSO, а не проблемы с физической сетью или точками доступа.

#patchtuesday #windows #ntlm #windowsserver #sysadmin #security #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future

📊 Октябрьский Patch Tuesday: 1 411 уязвимостей — абсолютный рекорд. Что ставить первым

Коллеги, среда. Разбираем вчерашний массивный релиз Microsoft строго по инженерному алгоритму приоритизации.

📌 ФАКТЫ
Масштаб пакета: закрыто 1 411 уязвимостей (против рекордных ~970 в сентябре).

Критический сегмент: 70 бюллетеней со статусом Critical (57 RCE, 11 Elevation of Privilege, 2 Spoofing).

Внеочередные фиксы: ещё 348 уязвимостей закрыты редмондской командой ранее в течение месяца (преимущественно инфраструктура Azure и облачные сервисы).

🔴 ПРИОРИТЕТ 1 — СЕГОДНЯ (ЭКСПЛУАТАЦИЯ В WILD)
CVE-2026-96951 (Windows Shell, CVSS 8.8): обход механизма защиты Mark of the Web (MotW).

Активно эксплуатируется в атаках, внесена в каталог CISA KEV со строгим дедлайном устранения до 16 октября.

Позволяет вредоносному вложению или загруженному из сети исполняемому файлу запускаться без предупреждения SmartScreen — классический первичный вектор целевого фишинга.

Таргет наката: рабочие станции пользователей и терминальные фермы.

🟠 ПРИОРИТЕТ 2 — ЭТА НЕДЕЛЯ (СЕРВЕРНАЯ ИНФРАСТРУКТУРА)
CVE-2026-70229 (Active Directory Domain Services, CVSS 8.1): удалённое исполнение кода (RCE) на контроллерах домена. Рейтинг Microsoft Exploitability: «Exploitation More Likely».

CVE-2026-70571 (Exchange Server, CVSS 8.1): сетевое RCE в почтовом бэкенде, «Exploitation More Likely».

CVE-2026-70187 (Remote Desktop Services, CVSS 8.1): уязвимость RCE в стеке RDS.

Пул RCE в Microsoft Outlook (5 уязвимостей, CVSS 9.8): исполнение произвольного кода без взаимодействия с пользователем — триггерится прямо через область предварительного просмотра (Reading Pane).

Hyper-V (две RCE, CVSS 8.8): побег из виртуальной машины на хост гипервизора («Exploitation Less Likely»).

🟡 ОБРАТИТЬ ВНИМАНИЕ (АРХИТЕКТУРНЫЕ ОБХОДЫ)
CVE-2026-108398 (.NET Framework, CVSS 7.8): обход политик целостности кода Windows Defender Application Control (WDAC). Уязвимость раскрыта публично Джеймсом Форшоу (Google Project Zero), PoC доступен в исследовательских кругах.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

За пугающей цифрой в 1 411 CVE скрывается стандартное правило Парето: реально горящих проблем — около десяти.

Оптимальный порядок развёртывания:

Рабочие станции и ноутбуки — закрыть MotW (

CVE-2026-96951

) и превью Outlook, перекрыв входящий фишинг.

Контроллеры домена (AD DS) — строго поочерёдно, контролируя репликацию (

repadmin /replsummary

) после каждого узла.

Exchange Server и RDS Gateway/Session Hosts — обязательно со снятием свежего бэкапа состояния системы/ВМ и предварительным тестом на пилотной ноде.

Изолированный бэкенд и внутренние сервисы — в рамках штатного сервисного окна выходных дней.

#patchtuesday #windows #activedirectory #exchange #cve #security #sysadmin #admin_future

📧 Октябрьские обновления Windows Server ломают Exchange: OWA не пускает, письма висят в «Исходящих». Лечится одним ключом реестра

Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.

📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них

Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах — MapiExceptionMdbOffline (ec=1142) и Event ID 1006

Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает

Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений

Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится

🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell

# Проверка наличия ошибок в журнале Application
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1006} -MaxEvents 20 |
  Select TimeCreated, ProviderName, Message

DOS

:: Временное решение от Microsoft (cmd от имени администратора), затем обязательная перезагрузка
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.

⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).

💡 В ЧЁМ СУТЬ

Это не баг самого почтового сервера, а сайд-эффект ужесточения безопасности в ядре RPC Windows Server.

Почтовые серверы всегда стоит выносить в отдельную, изолированную волну патчинга, а после наката обновлений — контролировать очереди отправки (

Get-Queue

), статус баз и Application-лог, а не ориентироваться только на статус «Службы запущены».

#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future