Microsoft выпустила внеплановое обновление безопасности, исправляющее серьёзную уязвимость в Microsoft Office, которая уже используется злоумышленниками в реальных атаках.
В чём опасность уязвимости
Проблема получила идентификатор CVE-2026-21509 и оценку серьёзности CVSS 7,8 из 10. Это уязвимость обхода функций безопасности в Office, которая позволяет злоумышленнику с локальным доступом обойти встроенные механизмы защиты.
Для успешной эксплуатации атакующий должен отправить пользователю специально оформленный документ Office и убедить его открыть его. Причём для атаки не требуется использование панели предварительного просмотра т.к. уязвимость активируется при обычном открытии файла.
Что сделала Microsoft
Microsoft выпустила исправления вне регулярного цикла обновлений («out-of-band patch») для различных версий Office. Обновление автоматически установится на более современные версии Office (Office 2021 и новее) через сервис-обновление, но для Office 2016 и 2019 пользователям потребуется вручную установить соответствующие пакеты обновлений.
Вот список обновлений, которые необходимо установить для затронутых версий Office 2016 и 2019:
Microsoft Office 2019 (32-бит) — версия 16.0.10417.20095
Microsoft Office 2019 (64-бит) — версия 16.0.10417.20095
Microsoft Office 2016 (32-бит) — версия 16.0.5539.1001
Microsoft Office 2016 (64-бит) — версия 16.0.5539.1001
Обновление требует перезапуска приложений Office, чтобы изменения вступили в силу.
Как временно снизить риск
Microsoft также поделилась обходным решением, через изменение реестра Windows. Этот способ может помочь уменьшить риск атаки до установки официального патча, но работать с реестром следует аккуратно: неправильные правки могут повредить систему.
Реакция служб безопасности
Американское агентство по кибербезопасности CISA включило эту уязвимость в свой список известных активно эксплуатируемых проблем (Known Exploited Vulnerabilities, KEV). Федеральные агентства должны установить обновление до 16 февраля 2026 года, чтобы соответствовать требованиям безопасности.
Источник: The Hacker News