Новости 107 уязвимостей? Пфф, для Windows это просто августовский Patch Tuesday

[NewsMaker]

Patch Tuesday — когда у Windows день стирки, а белья слишком много.

---

---

В августовском Patch Tuesday Microsoft выпустила пакет обновлений безопасности, устраняющий 107 уязвимостей в своих продуктах. Среди них — одна уязвимость нулевого дня , уже раскрытая публично: CVE-2025-53779 , позволяющая повысить привилегии через уязвимость в Windows Kerberos. Кроме того, в числе закрытых багов — 13 критических, включая RCE, утечки данных и повышение привилегий.

По категориям угроз в этом месяце ситуация следующая:

• 44 уязвимости связаны с повышением привилегий;
• 35 — с удалённым выполнением кода;
• 18 — с раскрытием информации;
• 4 — с отказом в обслуживании
• и ещё 9 относятся к спуфингу.

Сюда не входят уязвимости в Azure, Mariner и Microsoft Edge, которые были закрыты ранее в августе вне рамок Patch Tuesday.

Главной угрозой августа стала уязвимость CVE-2025-53779 в Windows Kerberos. По данным Microsoft, она позволяет аутентифицированному атакующему получить права администратора домена за счёт небезопасной обработки относительных путей. Эксплуатация возможна при наличии доступа к атрибутам <code>msds-groupMSAMembership</code> и <code>msds-ManagedAccountPrecededByLink</code>, отвечающим за управление dMSA-аккаунтами.

Microsoft также подтвердила устранение критических уязвимостей в компонентах DirectX, Hyper-V, Microsoft Office, Exchange Server, SQL Server, Windows NTLM и MSMQ. К примеру, в Office сразу несколько уязвимостей позволяют запуск удалённого кода при открытии специально сформированных документов Excel, Word, Visio и PowerPoint.

На фоне обновлений Microsoft другие вендоры также опубликовали патчи в июле и августе. Среди них:

• <strong>7-Zip</strong> — устранение path traversal, потенциально ведущей к RCE;
• <strong>Adobe</strong> — экстренные патчи для AEM Forms после публикации PoC-эксплойтов;
• <strong>Cisco</strong> — обновления для WebEx и Identity Services Engine;
• <strong>Fortinet</strong> — комплексные исправления в FortiOS, FortiManager, FortiSandbox и FortiProxy;
• <strong>Google</strong> — патчи Android для двух [ 1 , 2 ] эксплуатируемых уязвимостей в Qualcomm;
• <strong>Microsoft</strong> — исправление уязвимости Microsoft Exchange (CVE-2025-53786), которая может быть использована для взлома облачных сред.
• <strong>Proton</strong> — устранение уязвимости в iOS-версии Authenticator, где TOTP-хеши сохранялись в открытом виде;
• <strong>SAP</strong> — июльский пакет обновлений с уязвимостями рейтингом до 9.9;
• <strong>Trend Micro</strong> — временный fix tool для активно эксплуатируемой RCE в Apex One;
• <strong>WinRAR</strong> — патч для уязвимости path traversal, активно применявшегося в атаках.

Полный список CVE, устранённых в рамках августовского обновления, включает более 100 записей, охватывающих широкий спектр компонентов — от Windows Kernel и Hyper-V до Exchange, SharePoint и Windows Subsystem for Linux. Все подробности, включая оценки критичности и уязвимые версии, опубликованы на специальной странице.