Эксперт Positive Technologies обнаружил три уязвимости в 30 операционных системах Windows
Специалист экспертного центра безопасности Positive Technologies Сергей Тарасов обнаружил три уязвимости в драйвере файловой системы NTFS. Недостатки затрагивают 30 версий операционных систем Windows, включая десктопные и серверные ОС. Под угрозой десятки миллионов российских пользователей, включая владельцев массовых версий Windows 10 и 11. По оценкам аналитиков на основе данных Росстата и платформы Statcounter, в стране под их управлением работает как минимум 40 млн компьютеров. Исследователь сообщил вендору о найденных дефектах в рамках политики ответственного разглашения, и Microsoft уже выпустила обновления безопасности.
Windows остается самой популярной операционной системой в мире: по данным Statcounter, ее доля на рынке десктопных ОС превышает 70%. В России эта ОС установлена более чем на 85% компьютеров. Наибольшее распространение имеют Windows 10 (около 22 млн устройств) и Windows 11 (около 18,3 млн). Это порядка 40 млн компьютеров, которые потенциально уязвимы для обнаруженных недостатков.
В корпоративном сегменте Windows также является одной из самых востребованных ОС для серверной инфраструктуры. По данным мониторинга актуальных угроз компании Positive Technologies, в мире насчитывается более 6,5 млн уязвимых и доступных из интернета устройств под управлением Windows Server. В частности, Россия входит в топ-6 стран по количеству установленных Windows Server 2025 (как минимум 160 тыс.), в топ-10 — по установленным Windows Server 2019 (73 тыс.), в топ-13 — по Windows Server 2022 (71 тыс.). Помимо этого, значительная часть незащищенных серверов на базе этих трех ОС находится в США (1,3 млн), Китае (1,8 млн) и Германия (1,2 млн).
Все три уязвимости находятся в драйвере NTFS — компоненте, который обеспечивает работу файловой системы. Ошибки безопасности PT-2026-584471 (CVE-2026-50471; BDU: 2026-07473), PT-2026-58468 (CVE-2026-50494; BDU: 2026-06812) и PT-2026-58283 (CVE-2026-58640; BDU: 2026-07474) коснулись 30 операционных систем разных версий и разрядности, в том числе Windows 10 и 11, а также Windows Server 2016, 2019, 2022 и 2025. Их полный перечень опубликован в официальных уведомлениях вендора (1, 2, 3). Наиболее опасными признаны первые две уязвимости, набравшие по 7,8 балла по шкале CVSS 3.1. Одна из них — PT-2026-58468 — могла бы позволить злоумышленнику выполнить произвольный код на устройстве, что дало бы ему полный контроль над целевым компьютером. Третий дефект защиты был оценен в 7,3 балла по CVSS 3.1.
Особенность этих недостатков в том, что они позволяют обойти защитное ПО. То есть вредоносная активность долгое время может оставаться незамеченной средствами защиты.
Чтобы провести атаку, злоумышленнику достаточно было бы обмануть жертву и заставить ее открыть специально подготовленный VHD-файл — обычно их используют для хранения резервных копий или переноса больших объемов данных. Для пользователя файл выглядит как обычная ZIP-папка, и двойной клик по нему ничем не отличается от открытия любого другого архива. Однако внутри такого файла скрывается специально созданный код, запуск которого позволяет установить на устройство любые вредоносные программы.
1 Недостатки безопасности зарегистрированы на портале dbugs, где аккумулируются данные об уязвимостях в программном обеспечении и оборудовании производителей со всего мира.
"По опыту расследований PT ESC, чаще всего в результате подобных атак злоумышленники стараются установить шпионское ПО, которое следит за тем, что вы печатаете, какие сайты посещаете и какие пароли вводите. Но бывают и другие цели: например, зашифровать все файлы и потребовать выкуп или использовать ресурсы компьютера для добычи криптовалюты".
До устранения этих уязвимостей они несли угрозу не только домашним компьютерам, но и бизнес-инфраструктуре. Если атакующим удалось бы скомпрометировать рабочее устройство одного из сотрудников, этот шаг открыл бы им доступ в корпоративную сеть. В таком случае злоумышленник мог бы продвинуться по инфраструктуре и похитить чувствительные коммерческие сведения и базы данных клиентов. Для организаций такие опасные действия, как правило, приводят к утечке конфиденциальной информации, прерыванию производственных процессов или сбоям в работе критически важных сервисов.
Для обнаружения атак, в которых злоумышленники могли бы воспользоваться подобными дефектами безопасности, эффективно применение систем управления уязвимостями, например MaxPatrol VM. MaxPatrol SIEM со своей стороны детектирует попытки предэксплуатации уязвимостей в инфраструктуре. MaxPatrol EPP через эмулятор антивирусного ядра способен превентивно выявлять вредоносные программы, эксплуатирующие эти уязвимости, а MaxPatrol EDR выявляет угрозы на конечных устройствах под управлением более чем 25 операционных систем, среди которых основные версии ОС из десяти самых востребованных в мире (в том числе ОС Windows). MaxPatrol Endpoint Security обнаруживает вредоносное поведение на конечных устройствах, в том числе активность шифровальщиков. Модуль АнтиШифовальщик анализирует активность процессов на узле, выявляет характерные признаки работы шифровальщиков. В случае обнаружения он завершает вредоносный процесс и восстанавливает повреждённые файлы.
Эксперты Positive Technologies регулярно обнаруживают недостатки безопасности в продуктах Microsoft. Исследовательская работа длится с 2012 года, за это время вендор исправил 15 уязвимостей.
Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.