➡️ Полный видеоролик здесь: • October 2025 Patch Tuesday
➡️ Зарегистрируйтесь на серию вебинаров «Вторник обновлений»: https://www.ivanti.com/lp/webinar-ser...
➡️ Скачать слайды здесь: https://www.ivanti.com/resources/patc...
Microsoft раскрывает критическую информацию о различных уязвимостях, включая CVE 2025-2884 — уязвимость чтения за пределами буфера памяти с низким рейтингом CVSS. Несмотря на публичное раскрытие информации, она активно не эксплуатируется. Обновление ОС устраняет эксплойты нулевого дня. Среди других уязвимостей — проблемы с модемом, обход безопасной загрузки в IGEL OS и уязвимость Chrome, затрагивающая все версии Windows. Microsoft рекомендует необходимые обновления и удаление зависимостей от уязвимого оборудования.
Ключевые выводы
14 октября 2025 года выйдет последнее общедоступное обновление безопасности для систем Windows 10, Office 2016 и 2019, а также Exchange 2016 и 2019. Microsoft будет предоставлять расширенные обновления безопасности (ESU) для Windows 10 в течение следующих трёх лет за дополнительную плату. Переход на Exchange Online или подписную версию — это путь к успеху для пользователей Exchange.
Microsoft устранила 172 новых уязвимости CVE (самый высокий показатель в 2025 году и, возможно, самый высокий за всю историю «вторника исправлений» Microsoft), включая три известные эксплуатируемые уязвимости и две публичные раскрытия. Восемь уязвимостей CVE, оцененных Microsoft как критические (пять RCE, три с повышением привилегий), затрагивают ОС Windows, Office и Azure.
Mozilla выпустила пять обновлений, закрывающих 45 уязвимостей CVE. Mozilla очень подробно описала некоторые формулировки, использованные в трёх из исправленных уязвимостей CVE. Они утверждают, что были обнаружены некоторые признаки повреждения памяти, которые могут быть связаны с эксплуатацией уязвимости, хотя пока нет подтверждения. Все пять обновлений содержат как минимум одну из предполагаемых уязвимостей CVE, поэтому мы рекомендуем рассматривать все пять как содержащие известную эксплуатируемую CVE.
Adobe выпустила 12 обновлений, устраняющих 36 CVE. Adobe присвоила обновлению Commerce приоритет два, а остальным обновлениям — третий.
Октябрьский вторник исправлений обещает быть насыщенным во всех отношениях. Microsoft значительно превысила январский показатель CVE (159 CVE), устранив в этом месяце 172 CVE. В этом месяце было обнаружено три эксплуатируемых и две публично раскрытых уязвимости, но, к счастью, все они включены в накопительное обновление ОС, что обеспечивает быстрое и эффективное устранение уязвимости. Кроме того, они прекращают поддержку многих продуктов, включая Windows 10! Кроме того, Office 2016 и 2019, а также Exchange Server 2016 и 2019 также завершили поддержку. Adobe выпустила 12 обновлений, закрывающих 36 уязвимостей CVE. Mozilla выпустила пять обновлений, закрывающих 45 уязвимостей CVE, и предупреждает пользователей, что три из этих уязвимостей демонстрируют признаки возможной эксплуатации (неподтверждено). И, конечно же, Google Chrome, как ожидается, выпустит еженедельное обновление в течение следующих 24 часов.
Есть много чего интересного, так что давайте начнём.
Эксплуатируемые уязвимости Microsoft
Microsoft устранила обход безопасной загрузки в IGEL OS до 11 (CVE-2025-47827), эксплуатация которой, по словам Microsoft, подтверждена. Уязвимость CVE имеет статус «важная» и оценку 4,6 по шкале CVSS 3.1. Безопасную загрузку можно обойти, поскольку модуль igel-flash-driver неправильно проверяет криптографическую подпись, что позволяет монтировать созданную корневую файловую систему из непроверенного образа.
Microsoft устранила уязвимость повышения привилегий в диспетчере подключений удалённого доступа (CVE-2025-59230), которая, по данным Microsoft, эксплуатируется в реальных условиях. Уязвимость CVE имеет статус «важная» и оценку CVSS 3.1, равную 7,8. Ненадлежащее управление доступом в диспетчере подключений удалённого доступа Windows позволяет авторизованному злоумышленнику локально повышать привилегии. Методология приоритизации на основе риска позволяет рассматривать эту уязвимость как «критическую».
Microsoft устранила уязвимость повышения привилегий в драйвере модема Agere (CVE-2025-24990), которая, по данным Microsoft, эксплуатируется в реальных условиях. Уязвимость CVE имеет статус «важная» и оценку CVSS 3.1, равную 7,8. Драйвер поставляется в составе ОС Windows. Microsoft удалила драйвер в октябрьском накопительном обновлении и рекомендует удалить все существующие зависимости от этого оборудования факс-модема. Эксплуатация возможна, даже если диск не используется. Методология приоритизации на основе оценки рисков позволяет отнести эту проблему к критическому уровню.
Главы:
0:00 — Обзор эксплойтов Microsoft
0:07 — Обновления уязвимостей
1:54 — Используемые CVE и безопасная загрузка
3:12 — Удалённый доступ и влияние Chrome
4:18 — Итоговый обзор эксплойтов
Информация по комментариям в разработке