Октябрьское обновление безопасности KB5127648 для Windows 11 способно лишить администраторов возможности включить Smart App Control Windows 11 на части корпоративных устройств. Проблема затрагивает версии 24H2 и новее: переключатель функции в приложении «Безопасность Windows» становится неактивным. Для российских IT-команд это ещё один повод не раскатывать ежемесячные патчи на весь парк без пилотной группы и плана отката.
О проблеме сообщает BleepingComputer со ссылкой на обновлённое описание KB5127648. Microsoft уточняет важную деталь: сбой касается устройств, где Smart App Control был отключён и его пытаются активировать уже после установки патча. Машины, на которых механизм уже работал, продолжают оставаться под защитой. Это не авария уровня «все ПК стали уязвимы», но неприятный сценарий для компаний, которые как раз внедряют или возвращают политику контроля запуска приложений.
Smart App Control — встроенный в Windows 11 защитный механизм, который опирается на сервисы репутации приложений Microsoft и контроль целостности кода. Он работает рядом с Microsoft Defender и SmartScreen, пытаясь не допустить запуск подозрительных программ и бинарных файлов. В отличие от антивирусной проверки после факта, такой подход полезен именно на этапе запуска: вредоносный файл может не получить шанс выполнить код. Если переключатель функции недоступен, администратор не сможет штатно включить этот слой защиты на затронутом устройстве через интерфейс системы.
Пострадавшими Microsoft называет устройства с Windows 11 версии 24H2 и более новыми сборками. Компания пока не назвала дату постоянного исправления, но опубликовала временные меры для управляемых корпоративных сред. Первый вариант — создать два параметра в разделе системного реестра, отвечающем за переопределение компонентов управления функциями, а затем перезагрузить компьютер. Для такой операции требуются права администратора и обычная дисциплина: изменение реестра стоит включать в управляемый сценарий, документировать и предварительно проверять на тестовой группе, а не раздавать сотрудникам инструкцию из чата.
Второй вариант рассчитан на организации с централизованным управлением политиками. Microsoft предлагает установить два пакета предварительных политик функций для Windows 11 версий 24H2, 25H2 и 26H2, включить оба параметра и перезапустить устройства. Один из параметров отвечает за включение Smart App Control, второй — за ведение журналов, которые понадобятся при разборе инцидентов. Для администраторов это выглядит практичнее ручного редактирования реестра на десятках или сотнях машин: политику можно развернуть контролируемо, а логи помогут понять, применился ли обходной путь и не конфликтует ли он с существующей конфигурацией.
При этом проблема с Smart App Control Windows 11 не существует в вакууме. В последние недели Microsoft уже подтверждала несколько сбоев, связанных с обновлениями Windows: неполадки удалённого рабочего стола для пользователей без административных прав при включённой защите учётной записи администратора, проблемы с Always On VPN после сентябрьских патчей, а также чёрные экраны, зависание загрузки рабочего стола и падения Проводника. Каждый отдельный случай может иметь ограниченный охват, но в совокупности они меняют отношение к календарю обновлений: «вторник патчей» остаётся обязательным элементом защиты, однако автоматическое немедленное развертывание становится всё менее привлекательным.
Для разработчиков и команд информационной безопасности этот эпизод — напоминание, что встроенные средства защиты операционной системы нужно учитывать как зависимость со своим жизненным циклом. Если в модели защиты компании Smart App Control должен блокировать непроверенные утилиты, установщики или скриптовые загрузчики, его статус следует включить в инвентаризацию соответствия: включён ли механизм, где он отключён намеренно, а где выключен из-за сбоя. Особенно это актуально для рабочих станций разработчиков, на которых легитимно запускаются локальные сборки, тестовые бинарные файлы и сторонние инструменты: политика должна быть достаточно строгой для защиты, но не превращать рабочую среду в полосу препятствий.
Бизнесу полезно отделить две задачи. Первая — не допустить бесконтрольного запуска файлов на уже защищённых устройствах: здесь Microsoft утверждает, что включённый Smart App Control продолжает работать. Вторая — не потерять темп внедрения защиты на новых и переустанавливаемых ПК. Если функция нужна по внутреннему стандарту, стоит проверить наличие KB5127648 в образах и на свежих устройствах, подготовить централизованный обходной путь и назначить владельца его отмены после выхода постоянного исправления. Временный параметр реестра, оставленный без учёта, быстро превращается в очередную «историческую причину», которую никто не помнит.
Сбой не отменяет ценность регулярных обновлений Windows, но подчёркивает цену слишком прямолинейной автоматизации. В ближайшие месяцы ключевым вопросом будет не только то, когда Microsoft исправит переключатель, но и смогут ли компании выстроить процесс, в котором обновления безопасности приходят быстро, а критичные защитные функции перед массовым развёртыванием проходят короткую, но реальную проверку.