Сентябрьский Patch Tuesday закрыл 966 уязвимостей, из которых 105 получили статус критических. Две уязвимости злоумышленники уже использовали в реальных атаках до выхода исправления.
Первый эксплуатируемый zero-day, CVE-2026-81963, находится в Windows Update Stack и позволяет локально повысить привилегии до SYSTEM. Второй, CVE-2026-85880, связан с переполнением буфера в механизме Windows ALPC.
Помимо Patch Tuesday, Microsoft закрыла ещё 204 уязвимости в Azure, Copilot Studio, Entra ID и других продуктах в начале сентября. В результате общее число исправлений за первые дни месяца превысило 1100.