Коротко: CVE-2026-96952 — критическая уязвимость переполнения буфера кучи (CWE-122) в Windows Media Foundation, закрытая 13 октября 2026 года. Специально сформированный видеофайл в формате QuickTime, открытый на уязвимой системе, приводит к повреждению памяти и выполнению произвольного кода с правами пользователя, который открыл файл. CVSS 8.8, на момент выпуска патча публичной эксплуатации не зафиксировано. Патч ставится через октябрьское обновление безопасности Windows — отдельно обновлять Media Foundation не нужно.
Содержание
Что такое Windows Media Foundation и при чём тут QuickTime
Windows Media Foundation — встроенный в Windows фреймворк, через который система и сторонние приложения декодируют аудио и видео: проигрыватель «Фильмы и ТВ», браузерные плееры, миниатюры в проводнике, многие видеоредакторы. Формат QuickTime (.mov) — один из контейнеров, которые Media Foundation умеет разбирать «из коробки», без установки дополнительных кодеков, в том числе файлы, присланные с устройств Apple.
Именно эта универсальность и создаёт риск: любое приложение, которое использует системные API для декодирования видео, автоматически наследует уязвимость в самом фреймворке. Пользователю не нужно специально запускать «подозрительную программу» — хватает двойного клика по файлу с расширением .mov или даже предпросмотра в проводнике.
Как работает CVE-2026-96952
По классификации Strix, уязвимость относится к типу CWE-122 — «переполнение буфера в куче» (heap-based buffer overflow). Когда Media Foundation разбирает специально повреждённый QuickTime-файл, некорректная обработка внутренней структуры контейнера приводит к записи данных за границами выделенной области памяти. Это повреждение кучи атакующий может использовать для выполнения собственного кода.
CVSS-оценка — 8.8 (базовая), временная — 7.7. Для эксплуатации не требуется ни аутентификация, ни повышенные привилегии — только взаимодействие пользователя: он должен открыть присланный ему файл. Код выполняется с теми же правами, что и у пользователя, запустившего воспроизведение.
На момент публикации бюллетеня Microsoft уязвимость не числилась ни среди активно эксплуатируемых, ни среди раскрытых публично — в отличие от соседнего CVE-2026-96951 в Windows Shell, которая вышла в том же пакете обновлений и уже использовалась атакующими как zero-day. Тем не менее Microsoft рекомендует устанавливать патч без отсрочки — именно так ведут себя многие уязвимости обработки медиафайлов: эксплойт для них нередко появляется уже после публикации деталей исправления.
Почему видеофайлы — регулярная мишень атак
CVE-2026-96952 вышла в составе крупнейшего в истории Microsoft Patch Tuesday — компания закрыла около 1400 CVE за один выпуск, по данным BleepingComputer. Среди них — отдельный «когорт» из 131 уязвимости, затрагивающей обработку графики, медиа и контента Windows: именно к этой категории относится и уязвимость Media Foundation.
Это не первый подобный случай: ранее в 2026 году Media Foundation уже получал критические патчи RCE — например, июльское исправление CVE-2026-57094. Видеоконтейнеры (MOV, MP4, MKV, AVI) остаются удобной мишенью для атак именно потому, что парсеры должны поддерживать десятки вариантов внутренней структуры одного и того же формата — любая недоработка в обработке редкого или некорректного блока метаданных способна привести к повреждению памяти.
Для обычного пользователя практический вывод один: присланный видеофайл — такой же потенциальный вектор атаки, как исполняемый файл или макрос в документе, даже если расширение выглядит безобидно.
Что сделать прямо сейчас
- Установите октябрьское обновление безопасности Windows. «Параметры» → «Центр обновления Windows» → «Проверить наличие обновлений». CVE-2026-96952 закрывается этим же пакетом, отдельно обновлять Media Foundation не нужно.
- Не открывайте видеофайлы от незнакомых отправителей сразу в системном плеере. Присланный .mov или .mp4 безопаснее сначала просмотреть через онлайн-инструмент или открыть в изолированном окружении, а не запускать двойным кликом на рабочей машине.
- Проверяйте реальный формат файла перед открытием — злоумышленники нередко маскируют исполняемые файлы под видео. Поможет быстрая проверка по сигнатуре через онлайн-определитель формата файла или сверка с картой опасных расширений.