Microsoft закрыла 60 уязвимостей, включая уже используемую в атаках

По данным Helpnetsecurity, Microsoft выпустила обновления безопасности в рамках ноябрьского «Патч Тюздей» 2025 года. В этом месяце компания закрыла более 60 уязвимостей, включая одну, которая уже используется злоумышленниками.

Основные уязвимости

CVE-2025-62215 — уязвимость в Windows Kernel, вызванная неправильной синхронизацией при одновременном доступе к общему ресурсу. Это позволяет злоумерным пользователям повысить свои привилегии до уровня SYSTEM. Microsoft сообщила, что уязвимость уже используется в ограниченных атаках, однако код эксплойта пока не получил широкого распространения.

Джастин Чилдс, руководитель направления по осведомлённости о угрозах в Zero Day Initiative (Trend Micro), отметил, что подобные гонки условий могут быть особенно эффективны при комбинации с другими уязвимостями, что делает их значимыми для кибератак.

CVE-2025-60724 — критическая уязвимость в Graphics Device Interface Plus (GDI+), которая может привести к удалённому выполнению кода. Атака возможна, если жертва откроет специально подготовленный документ. В худшем сценарии уязвимость может быть активирована через веб-сервисы без участия пользователя. Эксперты отмечают, что, несмотря на высокую критичность, вероятность её эксплуатации оценивается как низкая.

CVE-2025-62199 — уязвимость в Microsoft Office, связанная с утечкой указателя. Для её активации злоумерным пользователям необходимо убедить жертву открыть вредоносный файл. Особую опасность представляет использование функции Preview Pane, которая позволяет атаковать систему без необходимости открытия файла. Это повышает вероятность реального применения уязвимости.

CVE-2025-62222 — уязвимость в расширении Visual Studio Code CoPilot Chat Extension. Она позволяет злоумышленникам выполнить произвольный код через сеть. Атака возможна, если разработчик взаимодействует с специально подготовленной проблемой в репозитории GitHub, содержащей неочищённую команду. После активации злоумерный код выполняется в контексте пользователя.

Поддержка продуктов

Microsoft выпустила внеочередное обновление для устройств, не включённых в программу Extended Security Updates (ESU) Windows 10. Это обновление решает проблему с провалом процесса регистрации в ESU.

Крис Гёttl, вице-президент по продуктам безопасности в Ivanti, подчеркнул, что уязвимость влияет на все поддерживаемые версии Windows и Windows 10 ESU. Он рекомендовал организациям, использующим Windows 10 после окончания срока поддержки, подписать программу ESU и реализовать дополнительные меры защиты.

Microsoft также объявила о возможности расширения срока поддержки Exchange Server 2016 и 2019 на 6 месяцев. Однако компания настоятельно рекомендует перейти на Exchange SE. Версии Windows 11 Home и Pro 23H2 достигли даты окончания поддержки.

Интересно: Как обеспечить стабильную безопасность в условиях закрытия поддержки ключевых продуктов и появления новых уязвимостей, которые могут быть использованы в реальных атаках?

i

Создано специально для ASECTOR

Концептуальное изображение

Безопасность как баланс между скоростью и стабильностью

Обновления безопасности Microsoft в ноябре 2025 года включали 60 уязвимостей, некоторые из которых уже находились в использовании. Это не случайность, а закономерность, вызванная ускорением циклов обновления и усложнением программных стеков. Рассмотрение этих событий через призму бизнеса и технологий позволяет увидеть не только угрозы, но и новые правила игры.

Уязвимости как сигналы

Уязвимость CVE-2025-62215 в ядре Windows — это не баг, а отражение сложности многопоточных систем. Когда несколько процессов одновременно обращаются к общему ресурсу, а система не успевает синхронизировать доступ, возникает возможность для атаки. Это напоминает ситуацию в магазине, где два покупателя одновременно подходят к последнему товару, а кассир не успевает определить, кому его отдать. В цифровом мире это приводит к нарушению прав доступа, что может стать дверью для вредоносных действий.

Подобные уязвимости становятся особенно опасными, когда они сочетаются с другими. Это как если бы в магазине не только не хватало кассиров, но и система оплаты работала с задержкой — шанс ошибки резко возрастает. Эксперты указывают, что такие комбинации могут стать катализатором для более масштабных атак, особенно в корпоративной среде, где технологии взаимосвязаны.

CVE-2025-62199 в Microsoft Office демонстрирует, как удобство может стать уязвимостью. Функция Preview Pane позволяет быстро просматривать содержимое документа, но при этом не запускает его полностью. Злоумышленники используют это, чтобы активировать вредоносный код, не заставляя пользователя открывать файл. Это похоже на ситуацию, когда вы загружаете фотографию с сайта, а вместо неё получаете вирус — визуально всё выглядит безопасно, но на деле скрывается угроза.

Поддержка как стратегический выбор

Microsoft не только исправляет уязвимости, но и меняет условия поддержки своих продуктов. Например, внеочередное обновление для Windows 10 вне программы ESU показывает, что компания готова поддерживать системы, даже если они уже не входят в официальную схему. Это важно для тех, кто не может обновиться сразу — например, из-за специфических требований оборудования или программных решений.

Однако, как отмечает Крис Гёttl, организациям, которые продолжают использовать устаревшие версии Windows, стоит подумать о переходе на ESU. Это не вопрос обновлений, а стратегический шаг — смена инфраструктуры, переподготовка персонала, пересмотр политики безопасности. Подобные решения требуют времени и ресурсов, но без них риски могут превысить возможные выгоды от сохранения старых систем.

Угрозы и реальность: новые данные

Рост спроса на услуги брокеров первоначального доступа на 20% в первом полугодии 2025 года, как указано в новостях [!], демонстрирует, что киберпреступность становится более систематизированной. Основной причиной успеха атак остаются неисправленные уязвимости. Более 15% успешных атак связаны с эксплуатацией давно известных уязвимостей, что подчеркивает важность регулярного обновления ПО. Для бизнеса это означает, что даже базовые меры, такие как своевременное применение патчей, остаются критически важными.

В дополнение, Microsoft продолжает совершенствовать безопасность своих продуктов. Например, обновление Windows Explorer, выпущенное 14 октября 2025 года [!], отключило автоматический предпросмотр файлов из интернета, чтобы предотвратить утечку NTLM-хешей. Это решение направлено на защиту учетных данных в сетях Windows, где подобные утечки могут стать стартовой точкой для более масштабных атак.

Энергетические вызовы и ИИ

Microsoft сталкивается с новыми вызовами, связанными не только с уязвимостями, но и с энергетическими ограничениями. Как отмечено в материалах [!], глава компании Сатья Наделла заявил, что недостаток электроэнергии вынуждает компанию отказываться от части оборудования. Это особенно критично для ИИ-проектов, где энергопотребление чипов и GPU настолько велико, что требует значительных инвестиций в инфраструктуру.

Ключевой вывод: Стабильность не в замедлении, а в правильном выборе инструментов. Увеличение числа уязвимостей и сокращение сроков поддержки продуктов требуют от компаний не только регулярного аудита, но и переоценки своих технологических решений. Удобство и производительность должны быть сбалансированы с безопасностью, а выбор между старыми и новыми системами — взвешенным и обоснованным.