Февральский "В тренде VM": уязвимости в продуктах Microsoft. Традиционная ежемесячная подборка трендовых уязвимостей. В этот раз компактная и моновендорная.
🗞 Пост на Хабре
🗒 Дайджест на сайте PT
Всего две уязвимости:
🔻 RCE - Microsoft Office (CVE-2026-21509)
🔻 InfDisc - Desktop Window Manager (CVE-2026-20805)
Как определяется успех Анализа Защищённости (АЗ) согласно методике ФСТЭК от 25.11.2025? Читаем раздел 3.4.
🔹 НЕ выявили уязвимости (3.4.2) - успех. 👍
🔹 Выявили уязвимости критического и высокого уровня (3.4.4), а также уязвимости среднего и низкого уровня, "которые по результатам экспертной оценки могут быть использованы потенциальным нарушителем для реализации угроз безопасности информации (векторов атак)" (3.4.5) - их нужно устранить "в ходе проведения анализа уязвимостей". ⚡️ Оценка критичности уязвимостей производится по методике ФСТЭК. Устранили - успех. 👍 Не устранили - "отрицательное заключение". 👎
Т.е здесь речь об одноразовом "подпрыгивании" для устранения конкретных уязвимостей, без привязки к VM-процессу в организации? 🤔
Фактически да. 🤷♂️
Однако и требований, однозначно препятствующих устранению выявленных с помощью АЗ уязвимостей в рамках VM-процесса, здесь нет. Всё реализуемо. 😉 Вопрос лишь в определении приоритетов и сроков устранения.
Подумалось, что это очень VM-ная тема, когда руководству трудно и даже невозможно представить себе на чём держится инфраструктура организации. Схема проста:
🔹 Предоставленные сами себе подразделения организации решают стоящие перед ними задачи наиболее простым, быстрым и привычным образом. В идеале бесплатным! 😊 Что Вася для дома для семьи когда-то использовал, то и идёт в дело. Требования и политики организации (если они вообще есть) игнорируются. 👌 Что не контролируется, то и не выполняется. 😏 В результате откровенно чудовищные, неподдерживаемые и уязвимые решения внедряются и становятся фактическим стандартом организации. 🤷♂️ "А чё такова? Исторически сложилось! Зато работает! Это ж прямщаз для ДЕЛА нужно!"
🔹 В результате руководство, не контролирующее реальное положение дел (и не стремящееся к этому 🙄), принимает управленческие решения, которые, по идее, никак не должны зааффектить критические процессы в организации…
Но оказывается, что они аффектят и ещё как! 😱😉
Февральский Microsoft Patch Tuesday. Всего 55 уязвимостей, в два раза меньше, чем в январе. Есть целых шесть (❗️) уязвимостей с признаком эксплуатации вживую:
🔻 SFB - Windows Shell (CVE-2026-21510)
🔻 SFB - Microsoft Word (CVE-2026-21514)
🔻 SFB - MSHTML Framework (CVE-2026-21513)
🔻 EoP - Windows Remote Desktop Services (CVE-2026-21533)
🔻 EoP - Desktop Window Manager (CVE-2026-21519)
🔻 DoS - Windows Remote Access Connection Manager (CVE-2026-21525)
Также есть одна уязвимость с публичным эксплоитом:
🔸 DoS - libjpeg (CVE-2023-2804)
Из остальных уязвимостей можно выделить:
🔹 RCE - Windows Notepad App (CVE-2026-20841)
🔹 Spoofing - Outlook (CVE-2026-21511)
🔹 EoP - Windows Kernel (CVE-2026-21231, CVE-2026-21239, CVE-2026-21245), Windows AFD.sys (CVE-2026-21236, CVE-2026-21238, CVE-2026-21241)
На сайте ФСТЭК 9 февраля был опубликован документ с рекомендациями по харденингу общесистемного и прикладного ПО под Windows и Linux. Документ на 17 страниц содержит 12 групп рекомендаций:
1. Парольные политики Windows и Linux
2. Доступ и логирование событий в MySQL/MariaDB, PostgreSQL, MS SQL Server
3. Отключение SMBv1 в Windows
4. Отключение NTLMv1 в Windows
5. Удаление учётной записи "Гость" из групп "Администраторы" в Windows
6. Хранение учётных данных и ограничение доступа к конфигурационным файлам Windows и Linux (здесь занятный список отечественных PAM-ов 😉)
7. Аудит и блокирование неиспользуемых открытых портов
8. Отключение автовхода пользователя в Windows
9. Безопасная настройка SSH в Linux
10. Назначение прав доступа на файлы и директории в Windows и Linux
11. Отключение неиспользуемых служб и компонентов операционной системы в Windows и Linux
12. Отключение неиспользуемых учётных записей и ограничение записей с избыточными правами в Windows и Linux
В MAX открыли свободную регистрацию каналов. Раньше каналы были доступны только десятитысячникам со статусом A+ (по этой теме я пока в процессе 🤷♂️). Теперь же зарегистрировать канал может любой желающий, достаточно нажать на "+" в правом верхнем углу и выбрать "Создать канал".
Но есть момент - у канала не будет публичного имени, только ссылка на приглашение. То есть это аналог приватного канала Telegram. Будет ли потом возможность конвертнуть канал из приватного в публичный пока непонятно. Ждём официального релиза фичи, по всей видимости завтра.
Я канал завёл, кто пользуется MAX-ом - добавляйтесь. 😉 Буду постить туда всякий эксклюзивчик.
Upd. Описание фичи в официальном канале для авторов.
Upd2. Каналы в MAX-е пока крайне сыроваты. 😔
Съездили вчера в детский центр игровой профориентации Кидзания в ТЦ Авиапарк. Использовали новогодний подарок от Security Vision, за который коллегам большое спасибо! 🙏
✅ В капитальной части Кидзания гораздо круче Кидбурга. Как будто прилетели в уютный вечерний городок. 😇👍
🙄 Однако по организации Кидзания сильно Кидбургу уступает. Активности длятся ~20 минут, но, как правило, проводятся не подряд, а с перерывами от 40 минут и больше. ⏳ Чтобы точно попасть, нужно высидеть в живой очереди. 😱 А там, где есть электронная запись (по браслету), записаться на несколько активностей подряд и составить своё расписание нельзя. 🤷♂️
👍 Павильон Security Vision в Кидзании даже круче, чем в Кидбурге. Отмечу плакат с мерами защиты: "Регулярно обновляй программы - это помогает устранить уязвимости в системе и предотвратить атаки!" 😉 Павильоны моих бывших работодателей Т-Банка и VK тоже было очень приятно увидеть. 🫶
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.
