107 уязвимостей? Пфф, для Windows это просто августовский Patch Tuesday
NewsMakerPatch Tuesday — когда у Windows день стирки, а белья слишком много.
В августовском Patch Tuesday Microsoft выпустила пакет обновлений безопасности, устраняющий 107 уязвимостей в своих продуктах. Среди них — одна уязвимость нулевого дня , уже раскрытая публично: CVE-2025-53779 , позволяющая повысить привилегии через уязвимость в Windows Kerberos. Кроме того, в числе закрытых багов — 13 критических, включая RCE, утечки данных и повышение привилегий.
По категориям угроз в этом месяце ситуация следующая:
Главной угрозой августа стала уязвимость CVE-2025-53779 в Windows Kerberos. По данным Microsoft, она позволяет аутентифицированному атакующему получить права администратора домена за счёт небезопасной обработки относительных путей. Эксплуатация возможна при наличии доступа к атрибутам
Microsoft также подтвердила устранение критических уязвимостей в компонентах DirectX, Hyper-V, Microsoft Office, Exchange Server, SQL Server, Windows NTLM и MSMQ. К примеру, в Office сразу несколько уязвимостей позволяют запуск удалённого кода при открытии специально сформированных документов Excel, Word, Visio и PowerPoint.
На фоне обновлений Microsoft другие вендоры также опубликовали патчи в июле и августе. Среди них:
В августовском Patch Tuesday Microsoft выпустила пакет обновлений безопасности, устраняющий 107 уязвимостей в своих продуктах. Среди них — одна уязвимость нулевого дня , уже раскрытая публично: CVE-2025-53779 , позволяющая повысить привилегии через уязвимость в Windows Kerberos. Кроме того, в числе закрытых багов — 13 критических, включая RCE, утечки данных и повышение привилегий.
По категориям угроз в этом месяце ситуация следующая:
- 44 уязвимости связаны с повышением привилегий;
- 35 — с удалённым выполнением кода;
- 18 — с раскрытием информации;
- 4 — с отказом в обслуживании
- и ещё 9 относятся к спуфингу.
Главной угрозой августа стала уязвимость CVE-2025-53779 в Windows Kerberos. По данным Microsoft, она позволяет аутентифицированному атакующему получить права администратора домена за счёт небезопасной обработки относительных путей. Эксплуатация возможна при наличии доступа к атрибутам
msds-groupMSAMembership и msds-ManagedAccountPrecededByLink, отвечающим за управление dMSA-аккаунтами. Microsoft также подтвердила устранение критических уязвимостей в компонентах DirectX, Hyper-V, Microsoft Office, Exchange Server, SQL Server, Windows NTLM и MSMQ. К примеру, в Office сразу несколько уязвимостей позволяют запуск удалённого кода при открытии специально сформированных документов Excel, Word, Visio и PowerPoint.
На фоне обновлений Microsoft другие вендоры также опубликовали патчи в июле и августе. Среди них:
- 7-Zip — устранение path traversal, потенциально ведущей к RCE;
- Adobe — экстренные патчи для AEM Forms после публикации PoC-эксплойтов;
- Cisco — обновления для WebEx и Identity Services Engine;
- Fortinet — комплексные исправления в FortiOS, FortiManager, FortiSandbox и FortiProxy;
- Google — патчи Android для двух [ 1 , 2 ] эксплуатируемых уязвимостей в Qualcomm;
- Microsoft — исправление уязвимости Microsoft Exchange (CVE-2025-53786), которая может быть использована для взлома облачных сред.
- Proton — устранение уязвимости в iOS-версии Authenticator, где TOTP-хеши сохранялись в открытом виде;
- SAP — июльский пакет обновлений с уязвимостями рейтингом до 9.9;
- Trend Micro — временный fix tool для активно эксплуатируемой RCE в Apex One;
- WinRAR — патч для уязвимости path traversal, активно применявшегося в атаках.