Апрельский «вторник обновлений» 2026 года стал для Microsoft масштабным: компания закрыла от 163 до 167 уязвимостей. Восемь из них получили статус критических. В центре внимания экспертов оказалась брешь с рейтингом 9,8 балла, позволяющая захватить контроль над системой удаленно, а также «нулевой день» и ошибка, которую хакеры уже вовсю используют в атаках.
Критическая угроза в сетевых расширениях
Самой опасной находкой стала CVE-2026-33824 — уязвимость удаленного выполнения кода (RCE) в расширениях Windows Internet Key Exchange (IKE). Она набрала 9,8 балла по шкале CVSS, так как злоумышленнику не нужно даже минимальное содействие пользователя. Кроме того, одна из исправленных в этом месяце проблем была раскрыта публично еще до выхода патча, а другая уже находится в активной эксплуатации.
Атаки на Defender и SharePoint
Киберпреступники уже взяли на вооружение две специфические угрозы. Первая, CVE-2026-33825, позволяет повысить привилегии прямо внутри защитника Microsoft Defender. Вторая, CVE-2026-32201, дает возможность подменить аутентификацию на серверах SharePoint. Несмотря на умеренные баллы опасности, эти баги представляют реальную угрозу из-за доказанных случаев их использования.
Уязвимости в Office и общая статистика
Пакет Microsoft Office остается под прицелом: здесь обнаружили 13 уязвимостей. Среди них — три критические ошибки в Word и Excel, позволяющие удаленно запускать вредоносный код. Еще семь серьезных проблем затрагивают другие офисные приложения и грозят утечкой конфиденциальных данных. Всего же из восьми критических исправлений месяца семь закрывают возможность удаленного взлома, а одно — риск полной остановки сервисов (DoS).
