Подкатил ноябрьский PatchTuesday от Microsoft с исправлениями для 63 уязвимостей, включая одну активно эксплуатируемую 0-day, а также первое расширенное обновление безопасности (ESU) для Windows 10.

В PatchTuesday также исправлены пять критических уязвимостей, две из которых связаны с RCE, одна - с EoP, а четвертая - с раскрытием информации.

Общее распределение ошибок в каждой категории представлено следующим образом: 29 связаны с EoP, 2 - обходом функций безопасности, 16 - RCE, 11 - раскрытием информации, 3 - DoS и 2 - спуфингом.

Кроме того, также вышло внеочередное исправление для ошибки, которая вызывала сбои в процессе регистрации в программе ESU с расширенными обновлениями для Windows 10. Впрочем, удивляться не стоит, микромягкие традиционно в своем стиле.

Анонсированная активно эксплуатируемая 0-day затрагивает компонент ядра Windows и отслеживается как CVE-2025-62215 (CVSS 7.8), которая приводит к повышению привилегий.

Microsoft отмечает, что локальный злоумышленник, прошедший аутентификацию, может воспользоваться этой уязвимостью, реализовав состояние гонки, получая системные привилегии.

Корпорация приписала обнаружение этой уязвимости Microsoft MSTIC и MSRC, но не раскрыла, как именно она эксплуатировалась.

Исправленные критические уязвимости пометок об эксплуатации не имеют и включает в себя следующие:

- CVE-2025-60724 (CVSS 9,8): уязвимость связана с переполнением буфера кучи в компоненте Microsoft Graphics, что позволяет неавторизованному злоумышленнику выполнить код по сети. Она может быть активирована посредством специально созданного метафайла без взаимодействия с пользователем. Успешная эксплуатация этой уязвимости может привести к RCE или раскрытию информации.

- CVE‑2025‑30398 (CVSS 8,1 ): уязвимость раскрытия информации в Nuance PowerScribe 360, связанная с отсутствием авторизации, которая позволяет неавторизованному злоумышленнику раскрыть информацию по сети, выполнив API-вызов к конечной точке.

- CVE‑2025‑62199 (CVSS 7,8): уязвимость в приложениях Microsoft Office, связанная с использованием памяти после освобождения. Она позволяет неаутентифицированному злоумышленнику выполнить код локально на уязвимой рабочей станции посредством открытия вредоносного файла.

- CVE‑2025‑60716 (CVSS 7): уязвимость графического ядра DirectX, приводящая к EoP. Ошибка использования памяти после освобождения в позволяет авторизованному злоумышленнику локально повысить привилегии.

- CVE‑2025‑62214 (CVSS 6,7): уязвимость RCE в Visual Studio. Внедрение команд ИИ в Visual Studio позволяет авторизованному злоумышленнику локально выполнить код. Эксплуатация нетривиальна, требует нескольких этапов: внедрение подсказки, взаимодействие с Copilot Agent и запуск сборки.

Полное описание каждой уязвимости и затрагиваемых ею систем - здесь.