Эксперт Positive Technologies обнаружил три уязвимости в 30 операционных системах Windows

Специалист экспертного центра безопасности Positive Technologies Сергей Тарасов обнаружил три уязвимости в драйвере файловой системы NTFS. Недостатки затрагивают 30 версий операционных систем Windows, включая десктопные и серверные ОС. Об этом CNews сообщили представители Positive Technologies.

Под угрозой десятки миллионов российских пользователей, включая владельцев массовых версий Windows 10 и 11. По оценкам аналитиков на основе данных Росстата и платформы Statcounter, в стране под их управлением работает как минимум 40 млн компьютеров. Исследователь сообщил вендору о найденных дефектах в рамках политики ответственного разглашения, и Microsoft уже выпустила обновления безопасности.

Windows остается самой популярной операционной системой в мире: по данным Statcounter, ее доля на рынке десктопных ОС превышает 70%. В России эта ОС установлена более чем на 85% компьютеров. Наибольшее распространение имеют Windows 10 (около 22 млн устройств) и Windows 11 (около 18,3 млн). Это порядка 40 млн компьютеров, которые потенциально уязвимы для обнаруженных недостатков.

В корпоративном сегменте Windows также является одной из самых востребованных ОС для серверной инфраструктуры. По данным мониторинга актуальных угроз компании Positive Technologies, в мире насчитывается более 6,5 млн уязвимых и доступных из интернета устройств под управлением Windows Server. В частности, Россия входит в топ-6 стран по количеству установленных Windows Server 2025 (как минимум 160 тыс.), в топ-10 — по установленным Windows Server 2019 (73 тыс.), в топ-13 — по Windows Server 2022 (71 тыс.). Помимо этого, значительная часть незащищенных серверов на базе этих трех ОС находится в США (1,3 млн), Китае (1,8 млн) и Германия (1,2 млн).

Все три уязвимости находятся в драйвере NTFS — компоненте, который обеспечивает работу файловой системы. Ошибки безопасности PT-2026-58447 (CVE-2026-50471; BDU:2026-07473), PT-2026-58468 (CVE-2026-50494; BDU:2026-06812) и PT-2026-58283 (CVE-2026-58640; BDU:2026-07474) коснулись 30 операционных систем разных версий и разрядности, в том числе Windows 10 и 11, а также Windows Server 2016, 2019, 2022 и 2025. Их полный перечень опубликован в официальных уведомлениях вендора (1, 2, 3). Наиболее опасными признаны первые две уязвимости, набравшие по 7,8 балла по шкале CVSS 3.1. Одна из них — PT-2026-58468 — могла бы позволить злоумышленнику выполнить произвольный код на устройстве, что дало бы ему полный контроль над целевым компьютером. Третий дефект защиты был оценен в 7,3 балла по CVSS 3.1.

Особенность этих недостатков в том, что они позволяют обойти защитное ПО. То есть вредоносная активность долгое время может оставаться незамеченной средствами защиты.

Чтобы провести атаку, злоумышленнику достаточно было бы обмануть жертву и заставить ее открыть специально подготовленный VHD-файл — обычно их используют для хранения резервных копий или переноса больших объемов данных. Для пользователя файл выглядит как обычная ZIP-папка, и двойной клик по нему ничем не отличается от открытия любого другого архива. Однако внутри такого файла скрывается специально созданный код, запуск которого позволяет установить на устройство любые вредоносные программы.

«По опыту расследований PT ESC, чаще всего в результате подобных атак злоумышленники стараются установить шпионское ПО, которое следит за тем, что вы печатаете, какие сайты посещаете и какие пароли вводите, — сказал Сергей Тарасов, руководитель группы анализа уязвимостей, экспертный центр безопасности Positive Technologies. — Но бывают и другие цели: например, зашифровать все файлы и потребовать выкуп или использовать ресурсы компьютера для добычи криптовалюты».

До устранения этих уязвимостей они несли угрозу не только домашним компьютерам, но и бизнес-инфраструктуре. Если атакующим удалось бы скомпрометировать рабочее устройство одного из сотрудников, этот шаг открыл бы им доступ в корпоративную сеть. В таком случае злоумышленник мог бы продвинуться по инфраструктуре и похитить чувствительные коммерческие сведения и базы данных клиентов. Для организаций такие опасные действия, как правило, приводят к утечке конфиденциальной информации, прерыванию производственных процессов или сбоям в работе критически важных сервисов.

Для обнаружения атак, в которых злоумышленники могли бы воспользоваться подобными дефектами безопасности, эффективно применение систем управления уязвимостями, например MaxPatrol VM. MaxPatrol SIEM со своей стороны детектирует попытки предэксплуатации уязвимостей в инфраструктуре. MaxPatrol EPP через эмулятор антивирусного ядра способен превентивно выявлять вредоносные программы, эксплуатирующие эти уязвимости, а MaxPatrol EDR выявляет угрозы на конечных устройствах под управлением более чем 25 операционных систем, среди которых основные версии ОС из десяти самых востребованных в мире (в том числе ОС Windows). MaxPatrol Endpoint Security обнаруживает вредоносное поведение на конечных устройствах, в том числе активность шифровальщиков. Модуль «АнтиШифовальщик» анализирует активность процессов на узле, выявляет характерные признаки работы шифровальщиков. В случае обнаружения он завершает вредоносный процесс и восстанавливает поврежденные файлы.

Эксперты Positive Technologies регулярно обнаруживают недостатки безопасности в продуктах Microsoft. Исследовательская работа длится с 2012 года, за это время вендор исправил 15 уязвимостей.

Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.