11 августа 2026 года Microsoft закрыла 10 критических уязвимостей в Microsoft Office и Office Graphics Component с оценкой CVSS 7.8. Все они объединены одним свойством: для атаки достаточно выбрать письмо в Outlook или один раз кликнуть на файл в Проводнике Windows — открывать документ не требуется.
Коротко: в августе 2026 Microsoft исправила 10 критических дыр (CVSS 7.8) в Office — шесть в самом Office и четыре в общем компоненте Office Graphics. Атака возникает в момент предпросмотра файла в панели предварительного просмотра Проводника или панели чтения Outlook, без открытия документа. Под угрозой Office 2019, 2021, 2024 и Microsoft 365. Необходимо установить обновление безопасности от 11 августа 2026 немедленно.
В рамках регулярного Patch Tuesday Microsoft выпустила обновления безопасности, закрыв в общей сложности 421 уязвимость в своих продуктах. Среди них выделяется группа из 10 критических ошибок, обнаруженных непосредственно в компонентах Microsoft Office — тех самых, которые отвечают за рендеринг и предварительный показ документов.
Уязвимости разделены на две подгруппы: шесть затрагивают общую кодовую базу Office (Word, Excel, PowerPoint, Outlook, Access), а ещё четыре находятся в компоненте Office Graphics Component — библиотеке, которая встраивает и показывает графику внутри документов. Именно Graphics Component задействуется при предпросмотре любого вложения, содержащего изображения или сложную вёрстку.
Все 10 уязвимостей получили оценку CVSS 7.8 — уровень, при котором Microsoft рекомендует установить патч без ожидания следующего планового окна обслуживания. Подробнее об общем августовском Patch Tuesday читайте в нашем обзоре обновления KB5121003 для Windows 11.
Ключевая особенность этих уязвимостей — вектор атаки без открытия файла. В обычном сценарии пользователь защищён предупреждениями Protected View и блокировками макросов: вредоносный документ нужно открыть, разрешить редактирование и согласиться на выполнение активного содержимого. Здесь же картина принципиально иная.
Панель предварительного просмотра (Preview Pane) в Проводнике Windows и панель чтения (Reading Pane) в Outlook для рендеринга почтовых вложений используют тот же код Office, что и при полноценном открытии документа. Это означает: уязвимая функция вызывается в момент, когда пользователь просто щёлкает на файл в Проводнике или выбирает письмо в списке входящих Outlook — до нажатия кнопки «Открыть».
По данным исследователей, атакующему достаточно отправить жертве письмо с вредоносным вложением в формате Word, Excel или PowerPoint. Когда получатель выберет письмо в панели чтения Outlook, процесс предпросмотра вложения инициирует выполнение произвольного кода с правами текущего пользователя. Аналогичная цепочка срабатывает, если вредоносный файл попадает в папку, которую жертва открывает в Проводнике с включённой панелью предварительного просмотра.
Именно поэтому расширения файлов, которые внешне выглядят безопасно — .docx, .xlsx, .pptx — в данном случае представляют реальную угрозу даже без запуска макросов.
Ниже перечислены все 10 уязвимостей, закрытых патчами от 11 августа 2026. Каждая из них относится к классу Remote Code Execution (RCE) с вектором атаки через панель предпросмотра.
| CVE | Тип уязвимости | CVSS |
|---|---|---|
| CVE-2026-63515 | Out-of-bounds read (чтение за границей буфера) | 7.8 |
| CVE-2026-63532 | Integer overflow (целочисленное переполнение) | 7.8 |
| CVE-2026-64898 | Heap-based buffer overflow (переполнение кучи) | 7.8 |
| CVE-2026-64903 | Integer overflow (целочисленное переполнение) | 7.8 |
| CVE-2026-64909 | Integer underflow (целочисленный антипереполнение) | 7.8 |
| CVE-2026-65657 | Use-after-free (использование после освобождения) | 7.8 |
| CVE | Тип уязвимости | CVSS |
|---|---|---|
| CVE-2026-63513 | Heap-based buffer overflow (переполнение кучи) | 7.8 |
| CVE-2026-63519 | Heap-based buffer overflow (переполнение кучи) | 7.8 |
| CVE-2026-63526 | Stack-based buffer overflow (переполнение стека) | 7.8 |
| CVE-2026-66807 | Stack-based buffer overflow (переполнение стека) | 7.8 |
Помимо перечисленных выше, исследователи CapaOne указывают на CVE-2026-40361 и CVE-2026-40364 — уязвимости в коде рендеринга Word, который используется и в Outlook, и в Проводнике. Технически они описывают тот же класс атаки: выбор письма без клика на вложение достаточен для запуска эксплойта.
Связанный инцидент — ранее описанная уязвимость CVE-2026-70329 в Outlook — относится к другому вектору атаки (открытие файла вложения), однако также подчёркивает системную уязвимость Office-стека к атакам через документы.
Уязвимы все актуальные версии Microsoft Office:
Скорость получения патча зависит от типа установки. По данным исследователей CapaOne, подписка Microsoft 365 Apps получает исправление через механизм Click-to-Run в течение 24 часов после Patch Tuesday. MSI-установки (корпоративные лицензии Office 2019–2024) зависят от политик WSUS и могут оставаться уязвимыми несколько недель при отсутствии настроенного цикла патчинга.
Для Windows 11 соответствующее системное обновление входит в состав KB5121003. Дополнительные обновления для самих приложений Office устанавливаются отдельно — через Центр обновления Windows или портал Microsoft Update Catalog.
Новости
Общий обзор августовского обновления безопасности Windows 11: три закрытых zero-day, 421 CVE, правильное отображение размеров файлов и расширенная поддержка Windows Hello.
Новости
Другой вектор атаки через Outlook — вредоносный файл, открытый напрямую. Подробности CVE-2026-70329 и рекомендации по защите.
Безопасность
Полный гид: как проверять загрузки на вирусы, шифровать данные и безопасно передавать файлы.