Сентябрьский «вторник исправлений» принёс обновления для 63 уязвимостей в продуктах Microsoft и ещё 16 в браузере Edge. Пять проблем получили критический уровень, а одна, по сообщениям, уже использовалась злоумышленниками. Для администраторов это привычный ритм: раз в месяц нужно оценить риск, проверить парк машин и установить патчи, не сорвав работу.

Разберём, как читать такой бюллетень и что делать, если вы отвечаете не только за Windows, но и за Linux-инфраструктуру.

Что было в обновлении

Патчи затронули Windows и её компоненты, Azure и Azure Arc, .NET и .NET Framework, Visual Studio, Office и компоненты Office, а также Защитник Windows. Одна из уязвимостей в Microsoft Dynamics 365 имеет оценку CVSS 8,8 и, по данным исследователей, эксплуатировалась. Критические уязвимости обычно позволяют выполнить код удалённо или повысить привилегии — именно они в приоритете.

Важно не путать количество исправлений с уровнем риска. Шестьдесят три заплатки — это не шестьдесят три одинаковые задачи. Приоритет определяется тем, доступен ли сервис из сети, есть ли публичный эксплойт, какие права нужны атакующему и насколько критична система.

Почему это касается Linux-пользователей

Даже если ваш основной компьютер работает на Linux, Windows рядом может быть в виртуальной машине, на втором диске, на рабочем ноутбуке или на сервере с инфраструктурой Microsoft. Виртуальная машина с общими папками и сетью — такой же объект атаки, как физический компьютер. Поэтому обновлять гостевую систему нужно не реже хоста.

Кроме того, многие организации держат Active Directory, Exchange и Azure в смешанной среде. Компрометация учётной записи Windows может дать доступ к ресурсам, которые видны из Linux. Патч-менеджмент — это не «про Windows», а про весь периметр.

Как приоритизировать

  1. Эксплуатируемые уязвимости — в первую очередь, независимо от CVSS.
  2. Критические на пограничных системах — VPN, почта, веб-приложения, RDP.
  3. Повышение привилегий — после выполнения кода злоумышленнику нужен способ закрепиться.
  4. Остальное — по плану, с тестированием.

Если у вас небольшой парк машин, разумно сначала обновить тестовую машину или виртуальную копию, затем — рабочие станции, и в последнюю очередь — серверы, для которых важна непрерывность.

Обновление Windows

В домашней или небольшой сети достаточно «Центра обновления Windows». Для проверки установленных исправлений используйте PowerShell:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10
systeminfo | Select-String "KB"
Get-CimInstance Win32_QuickFixEngineering | Where-Object HotFixID -like "KB*"

В домене обновления обычно распространяются через WSUS или Intune. Проверьте, что политики не блокируют установку и что машины действительно получают одобренные пакеты, а не просто числятся в группе.

Для автоматизации можно использовать модуль PSWindowsUpdate, но в корпоративной среде лучше опираться на штатные средства управления:

Install-Module PSWindowsUpdate -Scope CurrentUser
Get-WindowsUpdate
Install-WindowsUpdate -AcceptAll -AutoReboot

Не отключайте автоматическую перезагрузку навсегда: многие патчи применяются только после неё. Лучше настроить окно обслуживания.

Обновление Linux-части

Пока Windows ставит патчи, проверьте и Linux-хосты. Ядро, OpenSSL, OpenSSH и веб-серверы обновляются через пакетный менеджер. После установки ядра нужна перезагрузка или livepatch.

sudo apt update
sudo apt upgrade
sudo needrestart -r l
uname -r

Для серверов, где перезагрузка нежелательна, используйте livepatch или канареечные узлы. Но помните: livepatch закрывает не все уязвимости, а только те, для которых выпущено исправление.

Если патч нельзя поставить сразу

Иногда обновление ломает критичное приложение, и его откладывают. В этом случае нужна компенсационная мера: закрыть сервис от интернета, ограничить доступ по VPN, отключить уязвимую функцию, усилить мониторинг. Это не замена патчу, но снижает окно риска.

# пример: проверить, какие порты слушают наружу
ss -tulpn
sudo ufw status verbose

Задокументируйте, почему патч отложен и когда вы вернётесь к нему. «Временное» исключение без срока обычно живёт годами.

Проверка после установки

Убедитесь, что обновление действительно применилось, а не только скачалось. Перезагрузите машину, проверьте версию сборки, журнал обновлений и работу ключевых сервисов. Для Windows полезно сверить номер сборки:

winver
Get-ComputerInfo | Select-Object WindowsVersion, OsBuildNumber

Для Linux — проверить версию ядра и перезапущенные сервисы через needrestart. Если сервис работает на старом ядре, уязвимость остаётся, даже если пакет обновлён.

Что улучшить в процессе

Заведите простой реестр: какие системы есть, кто за них отвечает, когда последний раз обновлялись, где есть исключения. Раз в месяц сверяйте его с реальностью. Это скучная работа, но она экономит часы при инциденте.

Настройте оповещения о критических бюллетенях и не полагайтесь только на память. Для домашней лаборатории достаточно календаря и привычки проверять обновления в первые выходные месяца.

Итог

Сентябрьский патч-вторник закрыл 63 уязвимости, включая пять критических и одну эксплуатируемую. Приоритет — пограничные системы и эксплуатируемые проблемы, затем повышение привилегий, затем остальное. Обновляйте и Windows, и Linux, проверяйте результат после перезагрузки и фиксируйте исключения. Регулярность здесь важнее героизма.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 5 / 5. Количество оценок: 1

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте