📊 Patch Tuesday сентября: ~970 CVE за месяц. Прогноз из июльского поста не просто сбылся — его перекрыли.
Коллеги, в июле я писал про 622 CVE и конец ручного трекинга. В августе было ~400. В сентябре Microsoft закрыл, по разным подсчётам, от 964 до 974 уязвимостей. Это крупнейший выпуск в истории. Расхождение между трекерами — само по себе показатель: даже посчитать это одинаково не получается.
ФАКТЫ:
Critical: 105 (из них RCE — 81)
EoP: 438 | RCE: 258 | Info Disclosure: 173
Zero-day, эксплуатируются:
CVE-2026-81963 — Windows Update Stack, EoP до SYSTEM
CVE-2026-85880 — ALPC, heap overflow, EoP до SYSTEM
ИНТЕРПРЕТАЦИЯ (моя):
Оба zero-day локальные. Сами по себе они не пробивают периметр — это второй шаг после фишинга или скомпрометированной учётки. Поэтому их приоритет — «немедленно» (KEV), а не «паника».
ПОДВОДНЫЙ КАМЕНЬ — RDS:
После KB5122876 (2019), KB5122882 (2022), KB5122871 (2025) пользователи сообщают, что хосты сессий зависают через несколько часов после загрузки. RDP висит на «Connecting…», Task Manager не отвечает, перезагрузка часто требует hard reset. В логах — Event ID 20498. Независимая отладка указывает на deadlock в RDPSERVERBASE при закрытии сессии. Microsoft на момент публикаций причину не подтвердил.
# Стоит ли проблемный KB
Get-HotFix -Id KB5122876,KB5122882,KB5122871 -ErrorAction SilentlyContinue
# Ловим 20498
Get-WinEvent -ListLog '*RemoteConnectionManager*' | ForEach-Object {
Get-WinEvent -FilterHashtable @{LogName=$_.LogName; Id=20498} -MaxEvents 20 -ErrorAction SilentlyContinue
}
# Откат: wusa не снимет LCU из-за вшитого SSU — только DISM
dism /online /get-packages | findstr /i "RollupFix"
dism /online /remove-package /packagename:<имя_пакета_RollupFix>
ПОРЯДОК ДЕЙСТВИЙ:
□ DC, файловые, SQL, гипервизоры — ставим по обычному циклу (закрываем zero-day)
□ RDSH-фермы — сначала один пилотный хост, наблюдать 24–48 ч
□ Откат — только если воспроизвелось. Потеря патча = возврат двух эксплуатируемых EoP
Итог: ~970 CVE не значит 970 задач. Из них срочных — два zero-day плюс то, что реально торчит наружу. А больше всего сломать инфраструктуру в этом месяце может сам патч, а не уязвимость.
#patchtuesday #windows #rds #cve #sysadmin #admin_future
Коллеги, в июле я писал про 622 CVE и конец ручного трекинга. В августе было ~400. В сентябре Microsoft закрыл, по разным подсчётам, от 964 до 974 уязвимостей. Это крупнейший выпуск в истории. Расхождение между трекерами — само по себе показатель: даже посчитать это одинаково не получается.
ФАКТЫ:
Critical: 105 (из них RCE — 81)
EoP: 438 | RCE: 258 | Info Disclosure: 173
Zero-day, эксплуатируются:
CVE-2026-81963 — Windows Update Stack, EoP до SYSTEM
CVE-2026-85880 — ALPC, heap overflow, EoP до SYSTEM
ИНТЕРПРЕТАЦИЯ (моя):
Оба zero-day локальные. Сами по себе они не пробивают периметр — это второй шаг после фишинга или скомпрометированной учётки. Поэтому их приоритет — «немедленно» (KEV), а не «паника».
ПОДВОДНЫЙ КАМЕНЬ — RDS:
После KB5122876 (2019), KB5122882 (2022), KB5122871 (2025) пользователи сообщают, что хосты сессий зависают через несколько часов после загрузки. RDP висит на «Connecting…», Task Manager не отвечает, перезагрузка часто требует hard reset. В логах — Event ID 20498. Независимая отладка указывает на deadlock в RDPSERVERBASE при закрытии сессии. Microsoft на момент публикаций причину не подтвердил.
# Стоит ли проблемный KB
Get-HotFix -Id KB5122876,KB5122882,KB5122871 -ErrorAction SilentlyContinue
# Ловим 20498
Get-WinEvent -ListLog '*RemoteConnectionManager*' | ForEach-Object {
Get-WinEvent -FilterHashtable @{LogName=$_.LogName; Id=20498} -MaxEvents 20 -ErrorAction SilentlyContinue
}
# Откат: wusa не снимет LCU из-за вшитого SSU — только DISM
dism /online /get-packages | findstr /i "RollupFix"
dism /online /remove-package /packagename:<имя_пакета_RollupFix>
ПОРЯДОК ДЕЙСТВИЙ:
□ DC, файловые, SQL, гипервизоры — ставим по обычному циклу (закрываем zero-day)
□ RDSH-фермы — сначала один пилотный хост, наблюдать 24–48 ч
□ Откат — только если воспроизвелось. Потеря патча = возврат двух эксплуатируемых EoP
Итог: ~970 CVE не значит 970 задач. Из них срочных — два zero-day плюс то, что реально торчит наружу. А больше всего сломать инфраструктуру в этом месяце может сам патч, а не уязвимость.
#patchtuesday #windows #rds #cve #sysadmin #admin_future
🔧 Апдейт: RDS после сентябрьских патчей — исправление вышло, но через WSUS оно не придёт.
Коллеги, суббота — поправка к четверговому разбору. Я писал, что Microsoft не подтвердил зависания RDS. Это неверно: 14 сентября вышли внеплановые (OOB) обновления.
ФАКТЫ:
Server 2019 → KB5129238
Server 2022 → KB5129237
Server 2025 → KB5129235
Что исправлено: сбои подключения и входа по RDP, зависания серверов, а также зависания MMC, RDS Licensing Diagnoser, Проводника и Windows Update. Попутно исправлены общие папки Linux-ВМ в Hyper-V.
Точную причину Microsoft официально не назвал.
ГЛАВНЫЙ ПОДВОДНЫЙ КАМЕНЬ:
Серверные OOB выложены ТОЛЬКО в Microsoft Update Catalog.
WSUS и Windows Update их сами не предложат.
Если RDSH-ферма обновляется через WSUS, то исправления на ней скорее всего нет.
# Проблемный LCU стоит, а исправления нет?
$bad = 'KB5122876','KB5122882','KB5122871'
$fix = 'KB5129238','KB5129237','KB5129235'
$hf = (Get-HotFix).HotFixID
"Проблемный LCU: " + (($bad | ? { $hf -contains $_ }) -join ', ')
"OOB-фикс: " + (($fix | ? { $hf -contains $_ }) -join ', ')
# Установка скачанного из Catalog пакета
wusa.exe C:\Temp\<файл>.msu /quiet /norestart
ПОРЯДОК:
□ Проверить все RDSH и хосты с RD Licensing
□ Скачать OOB из Catalog → поставить на пилотный хост → понаблюдать
□ Импортировать в WSUS вручную (Import Updates) или раскатать через GPO/скрипт
□ Тем, кто откатил LCU: ставить заново сентябрьский LCU + OOB. Оставаться без патча — значит жить с двумя эксплуатируемыми zero-day EoP
Итог: проблема решена, но только у тех, кто сам сходил в Catalog. Проверь фермы до понедельника.
#patchtuesday #windows #rds #wsus #sysadmin #admin_future
Коллеги, суббота — поправка к четверговому разбору. Я писал, что Microsoft не подтвердил зависания RDS. Это неверно: 14 сентября вышли внеплановые (OOB) обновления.
ФАКТЫ:
Server 2019 → KB5129238
Server 2022 → KB5129237
Server 2025 → KB5129235
Что исправлено: сбои подключения и входа по RDP, зависания серверов, а также зависания MMC, RDS Licensing Diagnoser, Проводника и Windows Update. Попутно исправлены общие папки Linux-ВМ в Hyper-V.
Точную причину Microsoft официально не назвал.
ГЛАВНЫЙ ПОДВОДНЫЙ КАМЕНЬ:
Серверные OOB выложены ТОЛЬКО в Microsoft Update Catalog.
WSUS и Windows Update их сами не предложат.
Если RDSH-ферма обновляется через WSUS, то исправления на ней скорее всего нет.
# Проблемный LCU стоит, а исправления нет?
$bad = 'KB5122876','KB5122882','KB5122871'
$fix = 'KB5129238','KB5129237','KB5129235'
$hf = (Get-HotFix).HotFixID
"Проблемный LCU: " + (($bad | ? { $hf -contains $_ }) -join ', ')
"OOB-фикс: " + (($fix | ? { $hf -contains $_ }) -join ', ')
# Установка скачанного из Catalog пакета
wusa.exe C:\Temp\<файл>.msu /quiet /norestart
ПОРЯДОК:
□ Проверить все RDSH и хосты с RD Licensing
□ Скачать OOB из Catalog → поставить на пилотный хост → понаблюдать
□ Импортировать в WSUS вручную (Import Updates) или раскатать через GPO/скрипт
□ Тем, кто откатил LCU: ставить заново сентябрьский LCU + OOB. Оставаться без патча — значит жить с двумя эксплуатируемыми zero-day EoP
Итог: проблема решена, но только у тех, кто сам сходил в Catalog. Проверь фермы до понедельника.
#patchtuesday #windows #rds #wsus #sysadmin #admin_future