CVE: CVE-2026-59132
Продукт: Windows 10/11
Дата публикации: 11.08.2026
Критичность: HIGH
CVSS: 7.5 (3.1)
EPSS: 1,36%; процентиль 69,23%
CISA KEV: нет подтверждения в каталоге CISA KEV
Краткое описание
CVE-2026-59132 — уязвимость типа null pointer dereference в компоненте TCP/IP Windows, позволяющая неавторизованному злоумышленнику вызвать отказ в обслуживании (DoS) через сетевой запрос. Атака возможна в условиях, когда система обрабатывает некорректные данные, переданные по сети. Уязвимость затрагивает несколько версий Windows 10 и Windows 11, а также серверные ОС Microsoft. Риск высокий, поскольку может быть использована для деградации сервиса в сети.
Основные характеристики
Уязвимость связана с обработкой входящих сетевых пакетов в стеке TCP/IP Windows. При получении специально подготовленного пакета система может попытаться разыменовать указатель, который равен NULL, что приводит к аварийному завершению процесса или сбою в работе сетевой службы. Это позволяет атакующему вызвать отказ в обслуживании (DoS) для затронутых систем. Уязвимость классифицируется как CWE-476 — использование нулевого указателя. Эксплуатация требует наличия сетевого доступа к целевой системе и не требует аутентификации. Уязвимость не предоставляет возможности выполнения произвольного кода или повышения привилегий.
Какие продукты и версии затронуты
Уязвимость затрагивает следующие версии Windows 10 и Windows 11, а также серверные версии Microsoft Windows: Windows 10 версии 1607, 1809, 21H2 и 22H2; Windows 11 версии 23H2, 24H2, 25H2 и 26H1; Windows Server 2012, 2012 R2, 2016, 2019, 2022 и 2025. Для каждой версии указаны максимальные допустимые номера сборок, при которых уязвимость актуальна. Например, Windows 10 1607 считается уязвимой до сборки 10.0.14393.9418. Аналогично, Windows 11 24H2 уязвима до сборки 10.0.26100.9106. Системы с более новыми версиями сборок не подвержены уязвимости.
Причина уязвимости
Основной причиной является неправильная обработка входных данных в модуле TCP/IP Windows. При обработке сетевых пакетов, содержащих некорректные или незавершенные структуры, система пытается обратиться к NULL-указателю, что приводит к сбою. Внутренняя логика обработки данных не предусматривает проверку на нулевое значение указателя перед его использованием. Это позволяет атакующему сформировать пакет, который вызовет аварийное завершение процесса или сбой в работе сетевой подсистемы. Уязвимость не связана с механизмами безопасности, а затрагивает только обработку сетевых данных.
Как работает атака
Атака осуществляется через отправку специально сконструированного сетевого пакета на целевую систему, которая использует уязвимую версию TCP/IP. Пакет должен содержать данные, которые приводят к обращению к NULL-указателю в процессе обработки. Такая ситуация возникает при некорректной обработке заголовков или данных в рамках протокола TCP/IP. Атакующий не нуждается в правах доступа к системе, достаточно лишь иметь возможность отправлять пакеты в сеть, к которой подключена целевая система. Система может перестать отвечать на сетевые запросы или перезапустить сетевые службы, что приводит к отказу в обслуживании.
Условия успешной эксплуатации
Для успешной эксплуатации уязвимости требуется, чтобы целевая система была запущена на уязвимой версии Windows 10 или Windows 11 и находилась в сети, где возможна передача данных. Также необходимо, чтобы система обрабатывала входящие сетевые пакеты, например, через активные соединения или прослушивание портов. Уязвимость не требует аутентификации и может быть использована удалённо. Атакующий должен иметь возможность отправлять пакеты, соответствующие структуре, вызывающей сбой. Уязвимость не зависит от пользовательских действий, она активируется автоматически при получении пакета.
Возможный сценарий атаки
Атакующий, имеющий доступ к сети, формирует пакет, который содержит данные, вызывающие обращение к NULL-указателю в TCP/IP стеке. Пакет передаётся на целевую систему, которая обрабатывает его как часть сетевого соединения. В результате, система может завершиться или перестать отвечать на сетевые запросы. Такой сценарий может быть использован в атаках DoS, направленных на прерывание работы сетевых служб или серверов. Примером может быть атака на веб-сервер или маршрутизатор, работающий на затронутой версии Windows.
Есть ли публичный эксплойт
На момент анализа не подтверждено наличие публичных эксплойтов или PoC, демонстрирующих эксплуатацию уязвимости. Отсутствие таких материалов не исключает возможности создания эксплойта в будущем. Наличие PoC или рабочего эксплойта не гарантирует, что уязвимость будет использована в реальных атаках. Однако, поскольку уязвимость позволяет вызвать отказ в обслуживании, она может быть использована в атаках DoS, особенно в масштабных сетевых инфраструктурах. Проверка наличия эксплойта должна основываться на анализе сетевого трафика и событий безопасности.
Признаки эксплуатации
В отсутствие подтверждённых PoC или эксплойтов, возможны лишь общие признаки, указывающие на потенциальную атаку. Это может включать необычную активность в сетевых логах, такие как частые сбои в работе сетевых служб, ошибки в журналах событий, или аномальные пакеты, соответствующие структуре, вызывающей уязвимость. В случае атаки можно наблюдать увеличение количества сбоев в работе сетевых служб или перезапусков процессов. Для мониторинга рекомендуется использовать средства анализа сетевого трафика и журналов событий Windows.
Как обнаружить атаку
Обнаружение уязвимости возможно через проверку версий операционных систем и мониторинг сетевой активности. В случае, если система работает на уязвимой версии Windows, можно отслеживать события в журнале событий, связанные с сбоями в работе сетевых служб. Также можно использовать инструменты мониторинга сетевого трафика для выявления пакетов, соответствующих шаблонам, вызывающим сбой. Рекомендуется использовать систему управления обновлениями для проверки наличия исправлений. Проверка версии системы может быть выполнена с помощью команд, указанных в разделе version_check.
Как проверить свою версию
Для проверки версии Windows 10/11, установленной на системе, используются следующие команды: winver, Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, OsBuildNumber, Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 20. Эти команды позволяют получить информацию о текущей версии и установленных патчах. Сравнение полученных данных с перечнем уязвимых сборок позволяет определить, подвержена ли система уязвимости. Рекомендуется использовать команду winver для быстрой проверки версии и номера сборки.
Исправление
Рекомендуется немедленно применить все доступные обновления от Microsoft, которые устраняют уязвимость CVE-2026-59132. Обновления должны быть установлены на всех системах, подверженных уязвимости. Для Windows 10 и Windows 11, а также серверных версий, необходимо установить патчи, выпущенные Microsoft. После установки обновлений следует перезагрузить систему для применения изменений. Проверка версии после установки обновлений поможет подтвердить, что система больше не уязвима.
Временные меры защиты
В случае невозможности немедленного обновления системы, можно применить временные меры защиты. Например, ограничение доступа к системе по сети, блокировка ненужных портов, или использование брандмауэра для фильтрации входящих пакетов. Также рекомендуется отключить ненужные сетевые службы и ограничить доступ к системе по протоколу TCP/IP. Эти меры не устраняют уязвимость, но могут снизить риск её эксплуатации.
Как проверить устранение уязвимости
После установки обновлений необходимо проверить, что система больше не уязвима. Это можно сделать с помощью команды winver или Get-ComputerInfo, чтобы убедиться, что номер сборки выше допустимого для уязвимой версии. Также рекомендуется проверить журналы событий на наличие ошибок, связанных с сетевой подсистемой. Если ошибок нет, и система работает корректно, это может свидетельствовать о том, что уязвимость устранена. Проверка через систему управления обновлениями также подтверждает, что патч установлен.
Вывод
CVE-2026-59132 представляет собой уязвимость в стеке TCP/IP Windows, позволяющую вызвать отказ в обслуживании (DoS). Она затрагивает несколько версий Windows 10, Windows 11 и серверных ОС Microsoft. Уязвимость не требует аутентификации и может быть использована удалённо. Хотя эксплуатация пока не подтверждена, риск высок, особенно в сетевых средах. Рекомендуется немедленно установить обновления от Microsoft и проверить версии систем. Временные меры защиты могут снизить риск, но не устраняют уязвимость полностью.
Официальные источники
История обновлений статьи
- 13.08.2026 — Опубликована первая версия материала.
