974 CVE за один Patch Tuesday — и уже через несколько дней экстренные патчи Microsoft. Компания выпустила внеплановые исправления после того, как сентябрьское обновление Windows сломало часть сценариев с Remote Desktop Services, Hyper-V и USB-аудио. Для русскоязычных IT-команд это неприятное напоминание: патч-менеджмент давно перестал быть рутиной «поставил и забыл».
О внеплановых обновлениях сообщает Dark Reading. Microsoft выпустила их в понедельник, 14 сентября 2026 года, после рекордного сентябрьского Patch Tuesday: в рамках основного релиза компания закрыла 974 уникальные CVE. Для масштаба: за весь 2023 год Microsoft исправила 909 CVE. То есть один месячный пакет оказался крупнее годового объема трехлетней давности.
Проблемы после обновления затронули несколько заметных зон. В Remote Desktop Services у части организаций могли появляться обрывы RDP-сессий через несколько минут, ошибки входа или зависание серверов на этапе настройки удаленного рабочего стола. Microsoft также предупреждала, что связанные инструменты, включая Microsoft Management Console, RDS Licensing Diagnoser и File Explorer, в некоторых случаях переставали отвечать. Для инфраструктур, где администрирование серверов завязано на RDP, это не косметический баг, а прямой риск простоя.
Отдельно досталось Hyper-V. После сентябрьского пакета у некоторых Linux-виртуальных машин на базе Hyper-V стали недоступны общие папки хоста. Еще одна зона поломки — USB-аудиоустройства в многоканальном режиме: часть из них не запускалась или не выводила звук. На первый взгляд это разные, почти бытовые дефекты, но вместе они хорошо показывают проблему больших обновлений: одно изменение в системной платформе может задеть админские консоли, виртуализацию и периферию одновременно.
Контекст здесь важнее самого сбоя. Рекордные 974 CVE не возникли в вакууме. Dark Reading связывает рост объема исправлений с тем, что ИИ ускорил поиск и регистрацию уязвимостей: исследователи и автоматизированные инструменты находят больше проблем, а вендорам приходится быстрее пропускать их через triage, разработку, тестирование и выпуск патчей. Хорошая новость — больше дыр закрывается публично и формально. Плохая — тестовая матрица становится почти неприлично большой.
Энсар Секер, CISO компании SOCRadar, объясняет это не простой формулой «больше патчей — больше поломок», а сложностью современной инфраструктуры. Операционные системы связаны с облачными сервисами, драйверами, компонентами идентификации, платформами виртуализации и наследием, которое никто не любит, но все еще держит прод. Каждая поддерживаемая конфигурация добавляет варианты для тестирования. Вендор может прогнать тысячи сценариев, но не воспроизведет все сочетания Windows Server, RDS, Hyper-V, драйверов и корпоративных политик.
Для разработчиков и платформенных команд вывод простой: экстренные патчи Microsoft — не повод махнуть рукой на обновления, но повод пересмотреть скорость их выката. Чем быстрее эксплуатируются новые уязвимости, тем опаснее откладывать исправления на месяцы. Но выкатывать крупный пакет сразу на весь прод тоже уже выглядит как азартная игра с инфраструктурой. Нужны кольца развертывания, тестовые окружения, похожие на реальные, понятный rollback и мониторинг сервисов после установки.
Тайлер Регули, associate director of security R&D в Fortra, добавляет еще один трезвый штрих: независимого органа, который проверит каждый патч за корпоративные команды, фактически нет. Это значит, что ответственность за проверку обновлений перед массовым развертыванием остается внутри компании. Да, звучит как скучная зрелость. Но именно она отделяет управляемый риск от ночного чата с сообщением «RDP умер, Hyper-V странный, кто ставил обновления?».
Сентябрьский случай не делает Microsoft исключением: любой крупный поставщик системного ПО живет в той же ловушке масштаба. Чем больше CVE попадает в ежемесячные релизы, тем сильнее давление на сроки и качество регрессионного тестирования. Экстренные патчи Microsoft здесь выглядят не разовой аварией, а симптомом новой нормы: безопасность требует скорости, эксплуатация требует предсказуемости, а бизнесу придется научиться платить за обе дисциплины сразу.