Microsoft выпустила очередной пакет исправлений, закрывающий 121 уязвимость. Одна из них, по сообщениям, уже использовалась в атаках, ещё несколько получили критический уровень. Для администратора это стандартный ритм патч-вторника: нужно оценить риск, проверить парк машин и установить обновления, не сорвав работу.

Разберём, как читать такой бюллетень, что приоритизировать и как действовать в смешанной среде с Linux.

Что входит в обновление

Патчи затрагивают Windows и её компоненты, Office, Exchange, .NET, Visual Studio, Azure и браузер Edge. Критические уязвимости обычно позволяют выполнить код удалённо или повысить привилегии. Отдельно отмечаются проблемы, для которых есть публичный эксплойт или свидетельства эксплуатации.

Число 121 не означает 121 одинаковую задачу. Приоритет зависит от доступности сервиса из сети, необходимых привилегий, наличия эксплойта и критичности системы. Одна уязвимость на пограничном сервере может быть важнее десятка локальных.

Как приоритизировать

  1. Эксплуатируемые уязвимости — вне очереди, независимо от CVSS.
  2. Критические на пограничных системах — VPN, почта, веб-приложения, RDP.
  3. Повышение привилегий — после выполнения кода атакующему нужно закрепиться.
  4. Остальное — по плану, с тестированием.

Если парк небольшой, сначала обновите тестовую машину или виртуальную копию, затем рабочие станции и в последнюю очередь серверы, для которых важна непрерывность.

Проверка установленных обновлений

В домашней сети достаточно «Центра обновления Windows». В домене обновления обычно распространяются через WSUS или Intune. Убедитесь, что политики не блокируют установку и что машины действительно получают одобренные пакеты.

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10
Get-CimInstance Win32_QuickFixEngineering | Where-Object HotFixID -like "KB*"
winver

После установки перезагрузитесь: многие патчи применяются только после перезапуска. Проверьте, что номер сборки изменился и ключевые сервисы работают.

Get-ComputerInfo | Select-Object WindowsVersion, OsBuildNumber
Get-Service | Where-Object Status -eq "Stopped" | Select-Object -First 10

Exchange и почта

Exchange — частая цель атак, потому что доступен из сети и хранит много данных. Если у вас локальный Exchange, обновите его в первую очередь и проверьте, не осталось ли доступных из интернета интерфейсов, которые не нужны.

Get-ExchangeServer | Format-Table Name, Edition, AdminDisplayVersion
Get-OWAVirtualDirectory | Select-Object Name, InternalUrl, ExternalUrl

Ограничьте доступ к OWA и ECP по сети, включите MFA и следите за журналами. Патч закрывает известную уязвимость, но не компенсирует слабую конфигурацию.

Linux-сторона

Пока Windows ставит патчи, проверьте и Linux-хосты. Ядро, OpenSSL, OpenSSH и веб-серверы обновляются через пакетный менеджер. После установки нового ядра нужна перезагрузка или livepatch.

sudo apt update
sudo apt full-upgrade
sudo needrestart -r l
uname -r

Для серверов с требованием непрерывности используйте канареечные узлы и окна обслуживания. Не откладывайте патчи безопасности на неопределённый срок.

Если патч нельзя поставить сразу

Иногда обновление ломает критичное приложение. В этом случае нужна компенсационная мера: закрыть сервис от интернета, ограничить доступ по VPN, отключить уязвимую функцию, усилить мониторинг.

ss -tulpn
sudo ufw status verbose
sudo iptables -S | head -30

Задокументируйте причину отсрочки и срок пересмотра. «Временное» исключение без срока обычно живёт годами.

Что улучшить в процессе

Заведите реестр: какие системы есть, кто отвечает, когда обновлялись, где исключения. Раз в месяц сверяйте его с реальностью. Это скучная работа, но она экономит часы при инциденте.

Настройте оповещения о критических бюллетенях и не полагайтесь на память. Для домашней лаборатории достаточно календаря и привычки проверять обновления в первые выходные месяца.

Отдельно про Exchange и браузер

Exchange и Edge заслуживают отдельного внимания, потому что доступны из сети и обрабатывают недоверенный контент. Для Exchange проверьте, какие интерфейсы опубликованы наружу, и закройте всё, что не используется. Для Edge убедитесь, что обновления не заблокированы политикой.

Get-ExchangeServer | Format-Table Name, AdminDisplayVersion
Get-WebServicesVirtualDirectory | Select-Object Name, ExternalUrl
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\EdgeUpdate' 2>$null

Браузер на основе Chromium — это ещё и Electron-приложения. Они содержат собственный движок и обновляются отдельно. Старый Electron в десктопном клиенте — такая же уязвимость, как старый браузер.

Как не сломать работу пользователей

Обновления часто требуют перезагрузки. Настройте окна обслуживания и предупредите сотрудников. Принудительная перезагрузка в середине рабочего дня — верный способ вызвать недоверие к патч-процессу.

# пример проверки, какие машины ждут перезагрузки (PowerShell + Invoke-Command)
Invoke-Command -ComputerName (Get-Content hosts.txt) -ScriptBlock {
  if (Test-Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired') {
    $env:COMPUTERNAME
  }
}

Фиксируйте случаи, когда патч ломает приложение: это входные данные для тестового кольца. Со временем вы поймёте, какие системы нужно обновлять позже остальных.

Итоговая последовательность действий

Практический порядок такой: прочитайте бюллетень и отметьте эксплуатируемые уязвимости; обновите пограничные системы; проверьте Exchange и браузеры; затем рабочие станции; в конце — серверы с окном обслуживания. После каждого этапа фиксируйте результат и найденные проблемы. Такой подход занимает меньше времени, чем хаотичная установка всего сразу, и оставляет понятный след для аудита.

И не забывайте про перезагрузку: машина, которая «обновилась», но работает на старом ядре или не завершила установку, остаётся уязвимой. Проверка версии сборки — обязательный шаг, а не формальность.

Итог

Пакет из 121 исправления включает критические и эксплуатируемые уязвимости. Приоритет — пограничные системы, затем повышение привилегий и остальное. Обновляйте Windows и Linux, проверяйте результат после перезагрузки и фиксируйте исключения. Регулярность важнее героизма.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте