Стежити Корпорація Microsoft виправила CVE-2026-96951, вразливість обходу функцій безпеки Windows Shell високої важливості, яка вже експлуатується в реальних атаках. Недолік має оцінку CVSS 8.8 і дозволяє неаутентифікованому зловмиснику обійти захист Mark of the Web (MOTW), переконуючи жертву взаємодіяти з спеціально створеним файлом.
Цю вразливість нульового дня було вирішено в рамках оновлень Microsoft у вівторку випуску патчів жовтня 2026 року, що є незвично великим випуском, який охоплює понад 1 400 вразливостей у Windows, Office, SharePoint Server, SQL Server, інструментах розробника та інших продуктах Microsoft. CVE-2026-96951 виділяється тим, що Microsoft підтвердила активну експлуатацію в умовах дикої природи.
Mark of the Web є фундаментальним механізмом безпеки Windows, який маркує файли, походження яких з потенційно неперевірених джерел, таких як інтернет або електронна пошта. Windows та додатки можуть використовувати цю інформацію, щоб відображати попередження безпеки, активувати Захищений перегляд або застосовувати додаткові обмеження до виконання потенційно небезпечного контенту.
Вразливість, здатна обійти цей захист, може ослабити кілька рівнів захисту, які зазвичай використовуються для зменшення фішингу та доставки зловмисних файлів.
Команди безпеки можуть посилити захист проти виникаючої експлуатації за допомогою SOC Prime’s AI-Native Detection Intelligence Platform, яка дозволяє організаціям оперативно використовувати розвідку загроз та застосовувати відповідний контент для виявлення у своїй стеку безпеки.
Prime Architect може ще швидше прискорити інженерію виявлення, допомагаючи захисникам досліджувати нові загрози, генерувати та вдосконалювати логіку виявлення, перетворювати індикатори на запити для пошуку і адаптувати виявлення до телеметрії організації.
Аналіз CVE-2026-96951
CVE-2026-96951 впливає на Windows Shell і є наслідком неналежної нейтралізації спеціальних елементів, що використовуються в команді, класифікованих як CWE-77 Введення команд. Microsoft описує вразливість як таку, що дозволяє неавторизованому атакуючому обійти функцію безпеки через мережу.
Корпорація Microsoft призначила діру оцінку CVSS 3.1 8,8 з вектором AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Це означає, що експлуатація може походити віддалено, вимагати низької складності атак та не вимагати попередніх привілеїв, однак залежить від взаємодії користувача. Успішна експлуатація може мати високий потенційний вплив на конфіденційність, цілісність та доступність.
Контроль безпеки, який зазнає ризику, це Mark of the Web. Коли Windows отримує файл з інтернету або з іншого ненадійного джерела, метадані MOTW зазвичай сигналізують, що файл походить з-за меж довіреного середовища. Функції безпеки Windows та додатки можуть застосовувати додатковий захист перед відкриттям або виконанням.
За даними Microsoft успішна експлуатація дозволяє атакуючому обійти цей захист MOTW. У сценарії з електронною поштою або миттєвими повідомленнями, зловмисник може надіслати спеціально створений зловмисний файл і переконати ціль відкрити його. Альтернативно, загрозливий актор може виманити жертву на контрольно керований сайт і переконати його завантажити та переглянути шкідливий вміст.
Зловмисник не може примусити жертву автоматично відкрити зловмисний вміст. Залишається необхідність у взаємодії користувача, що робить фішинг, соціальну інженерію, зловмисні вкладення і оманливі посилання ймовірними шляхами доставки.
Запис CVE визначає широкий діапазон вразливих середовищ Windows, включаючи Windows 10, кілька випусків Windows 11 та версії Windows Server від Server 2012 R2 до Server 2025. Запис корпорації Microsoft також вказує на те, що до цього вразливі Outlook.com до відповідного виправлення на стороні служби.
Вразливість є особливо актуальною для корпоративних середовищ, оскільки обхід MOTW може підірвати рівні безпеки, які призначені для зупинки файлів, доставлених через фішингові кампанії. Як тільки зловмисний файл уникає очікуваних попереджень або обмежень, подальше виконання шкідливих дій може стати легшим, залежно від вмісту та наступного ланцюга атак.
Microsoft підтвердила, що зловмисники вже експлуатували цю вразливість до того, як виправлення стали загальнодоступними, що робить її нульовим днем. Однак компанія не розкрила, хто несе відповідальність за атаки, які організації були націлені або точно який ланцюг експлуатації використовувався у спостережуваних інцидентах.
Microsoft висловила подяку Ріку Бамбі та Юї Чудо з Fujitsu, Бенуа Севенса, який використовує Claude з Anthropic, та дослідника yhw за повідомлення про уразливість. Точна дата первинного виявлення не була розголошена публічно.
На момент написання, основні джерела, що були переглянуті, не документують загальнодоступний PoC CVE-2026-96951. Тим не менш, підтверджена експлуатація значно підвищує терміновість виправлення, навіть без публічного коду експлуатації.
Для виявлення CVE-2026-96951 захисники повинні моніторити підозрілі файли, що походять з електронної пошти, платформ обміну повідомленнями, браузерів та каталогів завантажень користувачів, особливо коли подальша діяльність вказує на те, що звичайний захист MOTW може не бути застосованим.
Можливі поведінкові сигнали можуть включати несподівані дочірні процеси, які викликаються провідником Windows чи додатками для обробки документів, інтерпретатори сценаріїв, запущені з завантаженого контенту, ненормальне виконання з тимчасових або користувацьких записуваних директорій, та діяльність після доставки, що не відповідає очікуваному типу файлу.
Пом’якшення CVE-2026-96951
Корпорація Microsoft усунула уязвість через свої оновлення безпеки від 13 жовтня 2026 року. Організації повинні пріоритезувати розгортання на підтримуваних кінцевих точках Windows і серверах, особливо на системах, що піддаються впливу електронних вкладень, миттєвих повідомлень, веб-завантажень та інших загальних шляхів доставки фішингу.
Запис CVE перераховує порогові значення виправлених збірок для постраждалих платформ. Прикладами є Windows 11 23H2 build 22631.7652, Windows 11 24H2 build 26100.9711, Windows 11 25H2 build 26200.9711 та Windows Server 2025 build 26100.33650. Адміністратори повинні покладатися на керівництво по оновленнях безпеки Microsoft та механізми Windows Update, щоб визначити відповідне оновлення для кожної підтримуваної операційної системи.
Оскільки активна експлуатація вже була підтверджена, CISA додала CVE-2026-96951 до свого каталогу відомих експлуатованих вразливостей 13 жовтня 2026 року зі строком виправлення до 16 жовтня для застосовних федеральних цивільних агенцій США. CISA характеризує експлуатацію як активну, а потенційний технічний вплив як загальний.
Організації не повинні вважати, що обізнаність користувачів або сам MOTW є достатніми компенсуючими засобами для незакритих систем, оскільки ця вразливість специфічно долає цю межу безпеки. Додаткові засоби захисту, такі як контроль додатків, політики зменшення поверхні атаки, фільтрація вкладень електронної пошти, захист на кінцевих точках та обмеження виконання виконуваного чи скриптового контенту з користувацьких записуваних локацій можуть забезпечити глибину захисту.
Для виявлення експлуатації CVE-2026-96951 захисники повинні корелювати підозрілі події доставки файлів з подальшою активністю процесів та визначити, чи контент, отриманий з зовнішнього джерела, виконувався без очікуваного управління, пов’язаного з MOTW. Шлюз електронної пошти, браузер, створення процесів Windows, PowerShell, інтерпретатор скриптів та телеметрія кінцевих точок можуть надати корисний контекст.
Команди безпеки також повинні ретроспективно дослідити потенційно підозрілі вкладення або завантаження, що спостерігалися до розгортання патчів. Оскільки корпорація Microsoft не розкрила атака-специфічні IOC CVE-2026-96951, такі як хеши файлів, домени або IP-адреси, пов’язані з спостережуваною експлуатацією, виявлення поведінки та кореляція ланцюга атак наразі є більш надійними, ніж статичне співставлення індикаторів.
Організації, які виявляють підозрілу активність, повинні ізолювати постраждалі кінцеві точки, розслідувати виконання та персистентність завантажень, перевірити облікові дані, доступні з компрометованого контексту користувача, та визначити, чи не були нападники встановлені додатковим доступом після обходу MOTW.
AI-Native Detection Intelligence Platform від SOC Prime дозволяє командам безпеки прискорити мисливство за загрозами та інженерію виявлення для виникаючих вразливостей, адаптуючи відповідну логіку виявлення до своїх середовищ SIEM, EDR, XDR та Data Lake.
FAQ
Що таке CVE-2026-96951 і як він працює?
CVE-2026-96951 це активно експлуатована уразливість введення команд в Windows Shell, яка дозволяє неавторизованому атакуючому обійти захист Mark of the Web. Атакуючий може створити зловмисний контент і використати соціальну інженерію, щоб переконати жертву відкрити файл або відвідати керований атакуючим контент. Успішна експлуатація викликає збій у застосуванні заходів безпеки, які зазвичай пов’язані з файлами, отриманими з ненадійних місць.
Коли було вперше виявлено CVE-2026-96951?
Корпорація Microsoft не розкривала точну дату початкового виявлення. Уразливість була публічно розкрита та закрита 13 жовтня 2026 року. Microsoft висловила подяку Ріку Бамбі та Юї Чудо з Fujitsu, Бенуа Севенса, який використовує Claude з Anthropic, та дослідника yhw за повідомлення про проблему.
Який вплив CVE-2026-96951 на системи?
Успішна експлуатація дозволяє зловмисникам обійти Mark of the Web, ослаблюючи захисти, що застосовуються до файлів, отриманих з ненадійних джерел. Це може допомогти зловмисному контенту уникнути очікуваних попереджень та обмежень і полегшити подальше виконання зловмисного програмного забезпечення, викрадення облікових даних, персистентність або ширше компрометація системи. Корпорація Microsoft оцінює вразливість як CVSS 8.8.
Чи може CVE-2026-96951 все ще впливати на мене у 2026 році?
Так. Системи Windows, які не встановили відповідні оновлення безпеки жовтня 2026 року, можуть залишатися вразливими. Ризик є особливо терміновим, оскільки Microsoft підтвердила активну експлуатацію, і CISA додала діру до свого каталогу відомих експлуатованих вразливостей.
Як я можу захистити себе від CVE-2026-96951?
Встановіть оновлення безпеки Microsoft за жовтень 2026 року на уразливі системи Windows без затримок. Організації також повинні посилити фільтрацію електронної пошти та веб-контенту, обмежити виконання підозрілого скачаного контенту, моніторити незвичайні ланцюги процесів після доставки файлів та досліджувати потенційно уражені кінцеві точки. Адміністратори повинні продовжувати слідкувати за рекомендаціями Microsoft щодо оновлених деталей про CVE-2026-96951, оскільки доступна інформація про реальну експлуатацію з’являється.
