Microsoft в мартовское обновление Patch Tuesday включила исправления для двух критических уязвимостей в Office. Они помечены как проблемы с удалённым выполнением кода, но требуют локальной обработки файла, что может ввести пользователей в заблуждение и побудить отложить установку обновлений.
Во второй вторник каждого месяца Microsoft выпускает пакет обновлений безопасности для Windows и других продуктов. В этот раз Windows 11 получила набор улучшений, а для Office были закрыты две уязвимости с кодами CVE-2026-26110 и CVE-2026-26113, которые позволяют выполнить код на компьютере жертвы.
Обе уязвимости требуют локального доступа, поэтому их сложнее использовать, чем типичные атаки через интернет. Однако, как поясняет Microsoft, термин «Remote» в названии класса уязвимости относится к тому, что злоумышленник находится удалённо, тогда как сама эксплуатация происходит локально: «Атакующий или жертва должны запустить код на локальной машине, чтобы использовать уязвимость».
Проще говоря, файл может быть отправлен по сети, но вредоносный код сработает только при локальной обработке этого файла на устройстве пользователя.
Ключевая проблема в том, что панель предварительного просмотра Office может выступать каналом атаки. Пользователю не нужно открывать файл двойным щелчком или включать макросы. Достаточно кликнуть по письму и увидеть его предварительный просмотр в Outlook, чтобы файл был обработан локально и уязвимость могла быть использована.
Microsoft уже выпустила патчи для всех поддерживаемых версий Office. Пользователи Office 2013, для которого завершён срок поддержки, не получат это исправление.
На сайте Microsoft Security Response Center (MSRC) опубликованы сотни бюллетеней безопасности от 10 марта, многие из них помечены как «Важные». Рассматриваемые уязвимости Office входят в небольшой набор, отмеченный как «Критические».
Рекомендуется установить все актуальные обновления, чтобы закрыть указанные уязвимости. Для повышения защиты убедитесь, что Windows и Office обновлены до последних версий.
Источник: Microsoft Security Response Center, материалы Windows Central.
