Что известно о CVE-2026-96951
| Параметр | Значение |
|---|---|
| Идентификатор | CVE-2026-96951 |
| Компонент | Windows Shell |
| Оценка CVSS 3.1 | 8.8 |
| Тип | Обход защитного механизма |
| Эксплуатация | Подтверждена в реальных атаках |
| Исправление | Октябрьские обновления безопасности Microsoft от 13.10.2026 |
Для атаки требуется взаимодействие пользователя: например, открытие специально подготовленного файла, доставленного через почту, мессенджер или загрузку с сайта. Само наличие уязвимости не означает автоматическое удалённое выполнение кода без действий пользователя.
Почему обход Mark of the Web опасен
Как работает MOTW
При сохранении файлов из интернета Windows и совместимые приложения могут добавлять метку происхождения — Mark of the Web. На NTFS она обычно хранится в альтернативном потоке данных Zone.Identifier. Эту информацию используют защитные механизмы, в том числе SmartScreen и защищённый просмотр Office.
При успешном использовании CVE-2026-96951 защитные проверки, зависящие от MOTW, могут быть обойдены. Пользователь рискует открыть опасный файл без ожидаемого предупреждения.
Что проверить системному администратору
1. Установлены ли октябрьские обновления
Определите версии Windows на рабочих станциях и серверах и проверьте применимость октябрьских исправлений через используемую систему управления обновлениями. Для критичных систем сначала выполните тестирование и согласуйте окно обслуживания.
Проверить последние установленные исправления локально можно в PowerShell:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10 HotFixID, InstalledOn, DescriptionКоманда показывает историю зарегистрированных исправлений, но не является универсальным доказательством устранения конкретной CVE: для подтверждения сверяйте сборку ОС и перечень применимых обновлений.
2. Проверьте метку у файлов из интернета
Для тестового файла, загруженного из интернета и сохранённого на NTFS, можно посмотреть наличие потока Zone.Identifier:
Get-Item -LiteralPath 'C:\Temp\test-download.exe' -Stream *
Get-Content -LiteralPath 'C:\Temp\test-download.exe' -Stream Zone.Identifier -ErrorAction SilentlyContinueЗамените путь на реальный тестовый файл. Отсутствие потока не доказывает эксплуатацию CVE: метка зависит от способа загрузки, приложения, файловой системы и дальнейшей обработки файла.
3. Проверьте защиту почты и конечных устройств
- Проверьте политики обработки вложений и файлов, загруженных из интернета.
- Убедитесь, что Microsoft Defender, SmartScreen и EDR включены согласно политике организации.
- Проверьте события подозрительного запуска процессов после открытия файлов пользователями.
- Проведите выборочную проверку установленных обновлений и перезагрузок после их применения.
Как безопасно развернуть исправления
Начните с пилотной группы устройств, убедитесь в наличии актуальных резервных копий и возможности отката, затем расширяйте развёртывание по группам. После обновления проверьте доступность основных приложений, сетевых ресурсов, служб и журналов событий.
Итог
CVE-2026-96951 — не теоретическая проблема: её эксплуатация подтверждена. Уязвимость снижает эффективность предупреждений при открытии файлов из недоверенных источников. Администраторам стоит приоритетно установить применимые октябрьские исправления, проверить защиту рабочих станций и продолжать контролировать запуск подозрительных файлов.