🪟 Windows: Июльский Patch Tuesday — рекорд 622 CVE, RoguePlanet закрыт, и новый LegacyHive

Коллеги, вчера вышел July Patch Tuesday. Держитесь.

Microsoft опубликовал 622 уязвимости в июльском Patch Tuesday, включая рекордные 416 уязвимостей Windows. Microsoft известно об эксплуатации в дикой природе двух из сегодняшних уязвимостей, обе добавлены в CISA KEV.

Хорошая новость: RoguePlanet закрыт. Патч вышел через Malware Protection Engine версии 1.1.26060.3008 — OOB-обновление 8-9 июля, до регулярного Patch Tuesday.

Плохая новость: Nightmare Eclipse заявил что патч RoguePlanet привнёс новую проблему — при определённых условиях атакующие могут использовать обновлённый движок для заполнения всего диска.

И сразу же после вчерашнего PT: появился новый PoC LegacyHive — позволяет непривилегированному пользователю монтировать чужой user hive.

Три приоритета на сегодня:

# 1. КРИТИЧНО: CVE-2026-55040 — SharePoint Authentication Bypass
# Rapid7 нашли цепочку: этот баг + второй (August PT) = unauthenticated RCE
# SharePoint Server Subscription Edition, 2019, 2016 — патчить немедленно
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-13"} |
    Select-Object HotFixID, InstalledOn | Sort-Object InstalledOn -Descending

# 2. КРИТИЧНО: CVE-2025-47981 — SPNEGO NEGOEX buffer overflow CVSS 9.8
# Wormable, no auth, no interaction, все Windows с Server 2008R2
# Уже в прошлом месяце был в preview — проверяем что закрыт:
$spnego = Get-HotFix | Where-Object {$_.HotFixID -like "*KB509*"}
$spnego | Format-Table

# 3. RoguePlanet — проверяем версию Defender Engine:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26060.3008

# Для air-gapped систем — принудительное обновление:
Update-MpSignature -UpdateSource InternalDefinitionUpdateServer

# 4. ДЕДЛАЙН который пришёл сегодня — Kerberos RC4 ФИНАЛ:
# Реестровый ключ RC4DefaultDisablementPhase больше не существует
# Проверяем нет ли RC4-only учёток которые теперь упадут:
Get-WinEvent -LogName System -ComputerName (hostname) |
    Where-Object {$_.Id -eq 205} |
    Select-Object TimeCreated, Message | Format-List | Select-Object -First 5
# Event 205 = RC4 ticket запрошен — эти учётки теперь не аутентифицируются

# 5. SQL Server 2016 — сегодня EOL extended support
# Переходит в платный ESU с 15 июля 2026
# SharePoint 2016 и 2019 — вчера последний день поддержки (нет ESU!)

Примечательное изменение в Patch Tuesday: Security Update Guide Microsoft больше не перечисляет отдельные уязвимости — только сводную таблицу количества по семействам продуктов и секцию "Notable CVEs". Это прямое следствие экспоненциального роста объёмов: при 622 CVE детальный listing становится неуправляемым.

Итог: 622 CVE — это не читать, это триажировать. SPNEGO NEGOEX (wormable 9.8) и SharePoint RCE — патчить сегодня. Kerberos RC4 — проверяй Event 205 прямо сейчас.

#windows #patchtuesday #sharepoint #kerberos #security #sysadmin #admin_future

🪟 Windows: Итог июля — SharePoint патч, SQL Server 2016 EOL и LegacyHive без патча

Коллеги, последняя пятница июля — подводим итог Windows-фронта за месяц.

Главные закрытые угрозы: RoguePlanet (CVE-2026-50656) — патч вышел OOB 8-9 июля через Malware Protection Engine 1.1.26060.3008. SharePoint authentication bypass (CVE-2026-55040) — закрыт в июльском PT. SPNEGO NEGOEX wormable buffer overflow (CVE-2025-47981, CVSS 9.8) — закрыт.

Что остаётся открытым: LegacyHive — новый PoC Nightmare Eclipse, позволяет непривилегированному пользователю монтировать чужой user hive. Патча нет. Nightmare Eclipse также заявил что патч RoguePlanet вводит новую проблему disk exhaustion при определённых условиях.

Критическое напоминание о дедлайнах которые уже наступили:

SQL Server 2016 переходит в платный ESU с 15 июля 2026. SharePoint Server 2016 и 2019 достигли end of life 14 июля — без ESU. После сегодня единственный поддерживаемый self-hosted SharePoint — SharePoint Subscription Edition.

# ИТОГОВЫЙ АУДИТ ИЮЛЯ — три команды

# 1. Проверяем что все июльские патчи на месте:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-08"} |
    Select-Object HotFixID, InstalledOn |
    Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Defender Engine — должна быть 1.1.26060.3008+:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Если меньше — принудительное обновление:
Update-MpSignature

# 3. SQL Server 2016 инвентаризация (платный ESU с 15 июля):
Get-ADComputer -Filter * -Properties OperatingSystem |
    ForEach-Object {
        Invoke-Command -ComputerName $_.Name -ScriptBlock {
            Get-Service MSSQL* | Where-Object {$_.Status -eq "Running"}
        } -ErrorAction SilentlyContinue
    } | Where-Object {$_ -ne $null}

# 4. Kerberos RC4 — финал. Ищем учётки которые сломались:
Get-WinEvent -LogName System |
    Where-Object {$_.Id -eq 205 -and
        $_.TimeCreated -gt (Get-Date).AddDays(-14)} |
    Select-Object TimeCreated, Message |
    Format-List | Select-Object -First 10

# 5. Мониторим disk space после RoguePlanet патча:
# Nightmare Eclipse предупредил о возможном disk exhaustion
Get-PSDrive -PSProvider FileSystem |
    Where-Object {($_.Free / $_.Used) -lt 0.1} |
    Select-Object Name, @{N="FreeGB";E={[math]::Round($_.Free/1GB,1)}}

Взгляд на август: SharePoint RCE — вторая часть цепочки от Rapid7 (CVE-2026-55040 + embargoed second CVE) ожидается в августовском Patch Tuesday. Это означает что уязвимость шире чем кажется сейчас.

Итог: июль для Windows был не "bone shattering" как обещал Nightmare Eclipse — но 622 CVE, RoguePlanet, SharePoint bypass и Kerberos finalization достаточно серьёзны. SQL Server 2016 и SharePoint 2016/2019 — всё, поддержка кончилась. Принимайте решение.

#windows #patchtuesday #sharepoint #sqlserver #security #sysadmin #admin_future

🧠 Skills: SharePoint CVE-2026-65660 — «spoofing», который оказался RCE. Почему метке CVE нельзя верить на слово.

Коллеги, хороший кейс к моему июльскому посту о приоритизации.

ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.

ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.

# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames

# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line

ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом

Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.

#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future