Microsoft сьогодні висунув оновлення, щоб виправити принаймні 56 недоліків безпеки в його вікна операційні системи та підтримуване програмне забезпечення. Цей останній патч-вівторок 2025 року розглядає одну помилку нульового дня, яка вже використовується, а також дві публічно оприлюднені вразливості.
Незважаючи на те, що за останні кілька місяців було випущено меншу кількість оновлень безпеки, ніж зазвичай, у 2025 році Microsoft виправила колосальні 1129 уразливостей, що на 11,9% більше, ніж у 2024 році. Сатнам Наранг в Спроможнийцього року другий рік поспіль Microsoft виправила понад тисячу вразливостей і втретє з моменту створення.
Помилка нульового дня, виправлена сьогодні, — це CVE-2025-62221, уразливість підвищення привілеїв, яка впливає на Windows 10 і пізніші видання. Слабкість полягає в компоненті під назвою «Драйвер міні-фільтра Windows Cloud Files” — системний драйвер, який дозволяє хмарним програмам отримувати доступ до функцій файлової системи.
«Це викликає особливе занепокоєння, оскільки міні-фільтр є невід’ємною частиною таких служб, як OneDrive, Google Drive і iCloud, і залишається основним компонентом Windows, навіть якщо жодна з цих програм не встановлена», — сказав він. Адам Барнеттпровідний інженер-програміст в Rapid7.
Лише три недоліки, виправлені сьогодні, отримали найжахливішу «критичну» оцінку Microsoft: і CVE-2025-62554, і CVE-2025-62557 стосуються Microsoft Officeі обидва можна використати, просто переглянувши повідомлення електронної пошти з міною в області попереднього перегляду. Інша критична помилка — CVE-2025-62562 — включає Microsoft Outlookхоча Редмонд каже, що панель попереднього перегляду не є вектором атаки з цим.
Але за словами Microsoft, уразливості, які, швидше за все, будуть використані в пакеті виправлень цього місяця, це інші (некритичні) помилки підвищення привілеїв, зокрема:
–CVE-2025-62458 — Win32k
–CVE-2025-62470 — драйвер загальної файлової системи журналу Windows
–CVE-2025-62472 — Диспетчер підключень віддаленого доступу Windows
–CVE-2025-59516 — драйвер Windows Storage VSP
–CVE-2025-59517 — драйвер Windows Storage VSP
Кев Брінстарший директор з дослідження загроз в Імерсивнийсказав, що недоліки підвищення привілеїв спостерігаються майже в кожному інциденті, пов’язаному з компрометацією хоста.
«Ми не знаємо, чому корпорація Майкрософт позначила їх як більш імовірні, але більшість із цих компонентів історично використовувалися в дикій природі або мають достатньо технічних деталей щодо попередніх CVE, щоб суб’єктам загрози було простіше використати їх як зброю», — сказав Брін. «У будь-якому випадку, хоча вони не використовуються активно, їх слід виправляти раніше, ніж пізніше».
Однією з найцікавіших уразливостей, виправлених цього місяця, є CVE-2025-64671, помилка віддаленого виконання коду в Плагін Github Copilot для Jetbrains Помічник кодування на основі ШІ, який використовується Microsoft і GitHub. Брін сказав, що цей недолік дозволить зловмисникам виконувати довільний код, обманом змушуючи велику мовну модель (LLM) запускати команди, які обходять огорожі та додають шкідливі інструкції в налаштуваннях «автоматичного схвалення» користувача.
CVE-2025-64671 є частиною ширшої, більш системної кризи безпеки, яку дослідник безпеки Арі Марзук має бренд IDEsaster (IDE розшифровується як «інтегроване середовище розробки»), який охоплює понад 30 окремих уразливостей, про які повідомляється в майже дюжині провідних на ринку платформ кодування штучного інтелекту, у тому числі Курсор, Віндсерфінг, Gemini CLIі Клод Код.
Інша оприлюднена сьогодні вразливість CVE-2025-54100, помилка віддаленого виконання коду в Windows Powershell у Windows Server 2008 і пізніших версіях, що дозволяє неавтентифікованому зловмиснику запускати код у контексті безпеки користувача.
Для тих, хто шукає детальнішу розбивку оновлень системи безпеки, які Microsoft просувала сьогодні, перегляньте підбірку в SANS Internet Storm Center. Як завжди, будь ласка, залиште примітку в коментарях, якщо у вас виникнуть проблеми із застосуванням будь-якого з виправлень Windows цього місяця.