Microsoft закрыла две уязвимости exFAT: заражённая флешка могла дать атакующему SYSTEM

Коротко: 10 ноября 2026 в рамках ноябрьского Patch Tuesday Microsoft исправила две уязвимости повышения привилегий в драйвере файловой системы exFAT — CVE-2026-112766 (use-after-free) и CVE-2026-112804 (переполнение буфера в куче). Обеим присвоена оценка 7,0 по шкале CVSS. Для эксплуатации достаточно, чтобы Windows прочитала искажённую разметку тома — например, с подключённой флешки или SD-карты. По данным Microsoft, публичного раскрытия и атак в реальных условиях на момент выхода патча не зафиксировано. Решение — установить ноябрьские обновления.

Что произошло

10 ноября 2026 года Microsoft выпустила очередной ежемесячный набор обновлений безопасности. По данным Rapid7 и BleepingComputer, в ноябрьском Patch Tuesday закрыто более тысячи CVE, включая активно эксплуатируемый 0-day в Outlook. Среди менее заметных, но практически значимых для работы с файлами исправлений — две уязвимости в драйвере exFAT File System.

exFAT (Extended File Allocation Table) — это файловая система, которую Windows, macOS и большинство бытовой техники используют по умолчанию для флеш-накопителей, SDHC/SDXC-карт и внешних SSD объёмом больше 32 ГБ: она не ограничена размером файла в 4 ГБ, как старый FAT32, и при этом проще в реализации, чем NTFS. Именно поэтому драйвер exFAT встроен в ядро Windows и автоматически запускается при каждом подключении такого носителя.

В чём суть двух уязвимостей

Обе проблемы относятся к классу elevation of privilege (повышение привилегий) и получили идентичную оценку серьёзности — 7,0 по CVSS, уровень «важно»:

• CVE-2026-112766 — use-after-free (обращение к уже освобождённой области памяти) в коде, который разбирает структуру exFAT-тома.
• CVE-2026-112804 — heap buffer overflow (переполнение буфера в динамической памяти) при обработке метаданных файловой системы.

Если коротко сформулировать механику: драйвер читает заголовки и таблицы exFAT-тома, чтобы понять, какие файлы и каталоги на нём есть. Специально искажённые значения в этих структурах заставляют драйвер обратиться не туда, куда нужно, — и повредить память ядра. Авторизованный пользователь, уже имеющий ограниченный доступ к системе, может подготовить такой носитель и поднять свои права до SYSTEM.

Microsoft оценивает эксплуатацию обеих уязвимостей как «менее вероятную» (exploitation less likely), а публичного раскрытия или атак в реальных условиях на дату выхода патча не зафиксировано. Тем не менее локальное повышение привилегий до SYSTEM — типичный второй шаг в цепочке атаки после получения ограниченного доступа, поэтому откладывать установку обновлений не стоит.

Кого это затрагивает

Драйвер exFAT входит в состав всех поддерживаемых редакций Windows, поэтому под уязвимости попадают:

• Клиентские системы — Windows 10 (включая сборки 1607, 1809, 21H2, 22H2) и Windows 11 (23H2, 24H2, 25H2, 26H1).
• Серверные версии — Windows Server 2016, 2019, 2022 и 2025.

Оба исправления распространяются через каталог обновлений Microsoft под идентификаторами CVE-2026-112766 и CVE-2026-112804 с формулировкой «Windows exFAT File System Elevation of Privilege Vulnerability». Точную привязку патча к вашей сборке стоит сверять в официальном руководстве по обновлениям MSRC.

Что это значит для работы с файлами

История с exFAT продолжает общую тенденцию: уязвимости всё чаще находят не в сетевых протоколах, а в низкоуровневом коде, который разбирает структуру самого файла или тома — будь то образ диска, архив или, как в этом случае, файловая система флешки. Разбор такой структуры происходит автоматически, задолго до того, как пользователь успевает что-то проверить или отменить.

Это уже не первая проблема с низкоуровневыми драйверами, которые разбирают разметку флешек и карт памяти: ранее мы писали про уязвимости в библиотеке FatFs, затрагивающие USB- и SD-накопители. Базовые правила безопасной работы с внешними накопителями и загрузками собраны в разделе безопасность файлов.

Ранее мы уже разбирали похожий по механике случай — уязвимость драйвера UDFS, из-за которой вредоносный ISO-образ мог дать права SYSTEM. Оба случая объединяет одно: опасность несёт не запуск программы, а сам факт того, что Windows автоматически читает содержимое подключённого носителя или файла.

Что делать прямо сейчас

1. Установите ноябрьские обновления Windows. Откройте «Параметры» → «Центр обновления Windows» и нажмите «Проверить наличие обновлений» — это единственный полноценный способ закрыть обе уязвимости.
2. Не подключайте к рабочему компьютеру флешки и карты памяти неизвестного происхождения — найденные на улице, полученные от незнакомых людей или взятые «на одолжить» без проверки.
3. Если вам прислали или дали накопитель, вызывающий сомнения, перед открытием содержимого проверьте файлы на вирусы на отдельной машине или в песочнице.
4. В организациях — распространите обновление на рабочие станции и серверы централизованно, включая установки, где USB-порты физически не заблокированы политиками.

Патч бесплатный и не меняет привычную работу с флеш-накопителями и картами памяти. Это тихое, но важное исправление: оно закрывает возможность превратить рутинное подключение флешки в точку входа для захвата системы.

Источники

• Rapid7 — Patch Tuesday, November 2026
• BleepingComputer — Microsoft November 2026 Patch Tuesday fixes flaws, Outlook zero-day
• MSRC — Windows exFAT File System Elevation of Privilege Vulnerability (CVE-2026-112766)