Коротко: CVE-2026-96951 — уязвимость обхода защитной функции в Windows Shell, закрытая 13 октября 2026 года. Специально оформленный файл, присланный по почте, в мессенджере или по ссылке, открывался без отметки «источник — интернет» (Mark of the Web), а это позволяло обойти блокировки Windows Defender Application Control. CVSS 8.8, эксплуатация в реальных атаках подтверждена Microsoft. Затронуты Windows 10, Windows 11 и Windows Server 2012 R2 — 2025. Обновление ставится через Центр обновления Windows.
Содержание
Что такое Mark of the Web и почему её обход опасен
Mark of the Web (MoTW) — это скрытая метка, которую Windows добавляет к любому файлу, скачанному из интернета, полученному по почте или из архива с таким файлом. Метка хранится в альтернативном потоке данных NTFS (Zone.Identifier) и запускает дополнительные проверки: предупреждение «Открыть файл?» для исполняемых файлов, защищённый просмотр для документов Office, блокировку макросов и работу Windows Defender Application Control (WDAC).
Обход MoTW не выполняет код сам по себе — он снимает защитный слой перед файлом. Именно на этом принципе строились и более ранние обходы: например, в архиваторе 7-Zip уже находили похожую проблему с потерей метки при распаковке RAR5, а в Bandizip — ошибки обработки MoTW при удалении программы. CVE-2026-96951 отличается тем, что брешь находится не в стороннем архиваторе, а прямо в компоненте Windows, через который проходит любой файл.
Как работает CVE-2026-96951
По данным Tenable, уязвимость классифицирована как CWE-77 (command injection, «неправильная нейтрализация специальных элементов в команде») в Windows Shell. Атакующий формирует специально подготовленный файл и доставляет его жертве по почте, в мессенджере или через ссылку на сайт. Жертва должна открыть файл — но после открытия Windows Shell обрабатывает его так, будто метки MoTW не существует.
Практическое следствие — обход ограничений Windows Defender Application Control: защита, которая должна блокировать запуск неподписанных или неразрешённых приложений, не срабатывает для файла, пришедшего из интернета. Привилегий в системе у атакующего заранее не требуется — нужна только социальная инженерия, чтобы жертва открыла файл.
CVSS-оценка — 8.8. Microsoft подтвердила, что на момент выпуска патча 13 октября 2026 года уязвимость уже использовалась в реальных атаках как zero-day. Затронуты Windows 10, Windows 11 и линейка Windows Server от 2012 R2 до 2025 — то есть практически весь парк поддерживаемых версий.
Крупнейший Patch Tuesday в истории Microsoft
CVE-2026-96951 вышла в составе октябрьского пакета обновлений — по данным BleepingComputer, Microsoft закрыла около 1400 CVE за один выпуск — это второй подряд рекордный месяц после сентября 2026 года (тогда было закрыто 974 уязвимости). В октябрьском пакете как минимум три zero-day под активной эксплуатацией, более 60 уязвимостей получили статус Critical.
Рост числа CVE из месяца в месяц аналитики связывают с расширением поверхности атаки: больше ИИ-компонентов, облачных интеграций и форматов файлов — больше потенциальных точек входа. Для обычного пользователя это означает одно: регулярные обновления Windows перестают быть опциональной привычкой и становятся обязательной гигиеной при работе с любыми файлами из внешних источников.
Что сделать прямо сейчас
- Установите октябрьское обновление Windows. «Параметры» → «Центр обновления Windows» → «Проверить наличие обновлений». CVE-2026-96951 закрыта именно этим патчем, отдельного обновления компонента не требуется.
- Не отключайте и не игнорируйте предупреждения MoTW вручную. Если система предлагает подтвердить открытие файла из интернета — это и есть та самая защита, которую обходит уязвимость; до установки патча относитесь к таким предупреждениям особенно внимательно.
- Проверяйте происхождение файлов перед открытием. Файл от незнакомого отправителя безопаснее сначала открыть в облачном хранилище Loadfile или проверить расширение по карте опасных расширений, а не запускать локально сразу после скачивания.