Исследователь под псевдонимом Nightmare Eclipse (он же Chaotic Eclipse и MSNightmare) опубликовал proof-of-concept эксплоит HardBreacher для уязвимости повышения привилегий в Kaspersky Endpoint Security. В «Лаборатории Касперского» оперативно отреагировали: проблема уже устранена, исправление распространяется через автоматические обновления.
Для ЛЛ: патчи ставить надо и на Linux и на приложения в Linux, и на Windows, и на приложения, и на ESXi. И не только для безопасности. Мнение дедов – пердунов, последний раз видевших синий экран на Windows XP SP1, стоит оценивать критически. Включая мое.
В предыдущих статьях сериях я попытался разобраться, что движет людьми, травмированными синим экраном на Windows XP SP1:
Две причины такого пропуска в процессах (управления ИТ сервисом) я знаю.
Первый, это супер дешевые кадры. Пока разбудить сотрудников в 2 ночи дешевле, чем отладить процессы, чтобы спокойно разбираться утром, бизнес будет будить.
Второй, это иллюзия собственной важности путем затыкания бизнес дырки собой. Под лозунгом «я опять докажу бизнесу, что незаменим». Бизнес всегда или знает, что на самом деле незаменимых нет, или погрустит, и заменит. На кого то помоложе, подешевле, получше по каким-то критериям. Могут на прощание дать значок и тортик. И грамоту.
Потом те же деды будут ныть, что молодежь не та, и не желает своим здоровьем бесплатно затыкать дырки, а вот они затыкали, и молодых учили затыкать собой.
Потом бизнес будет ныть про острый недостаток высококвалифицированных низкооплачиваемых кадров.
Ничего нового.
Соответственно, поскольку кадры супер-дешевые, то настроить политику разделения по разным группам обновлений на БЕСПЛАТНОМ Windows WSUS у них не просто не получается. Они даже не пробуют.
Не пробуют прочитать даже не всю статью «Развертывание обновлений клиента Windows с помощью служб Windows Server Update Services (WSUS)» , а два абзаца русского текста с картинками «Создание групп компьютеров на консоли администрирования WSUS» - люди не пытаются.
Потому что все равно будет синий экран, как на Windows XP, жизнь тлен, не за что бороться.
Прочитать статью «Управление перезапусками устройства после обновлений» очень сложно, как и читать про целых 4 шага настройки -
Шаг 1. Установка роли сервера WSUS
Шаг 2. Настройка служб WSUS
Шаг 3. Утверждение и развертывание обновлений в службах WSUS
Шаг 4. Настройка параметров групповой политики для автоматического обновления
Отсюда же возникает другая проблема.
Люди честно думают, что есть только два варианта установки:
- Одобрить всем сразу, и страдать
- Ничего не делать и страдать, когда придет или очередной шифровальщик, или просто все вдруг сломается.
Им не помогает даже статья «Microsoft напоминает пользователям, как предотвратить перезагрузку Windows 11 во время работы, но те не спешат этому верить.»
Отдельно надо выделить людей, которые не могут оценить ассортимент компьютеров, на которых работает Windows 11, и упорно отказываются читать раздел «известные ошибки при обновлении».
То есть, Microsoft 10-15 лет поддерживает операционную систему под, примерно, 71 процент рынка вообще всех работающих персональных компьютеров (для серверного рынка ситуация чуть другая). ОС работает на совершенно различных сочетаниях абсолютно различных говн.
И в то же время Васи говорят, что они все равно не будут читать руководство, потом что считают, что Microsoft, один из ведущий разработчиков ПО в мире, недостаточно хорошо, с их точки зрения, тестирует пользовательскую операционную систему, которая приносит целых 12% прибыли.
Какая связь между «не буду читать руководство» и «возникла ошибка, не выявленная ни автотестами, ни ручным тестированием при распространении в канале любителей садо мазо (Canary в программе Windows Insider), ни при первых установках – я даже не пытаюсь понять.
Microsoft замыслил коварное!
Западные новости полны заголовков типа
«Принудительная перезагрузка»: через 10 дней Microsoft изменит механизм обновления Windows и
«Microsoft подтверждает, что устройства, использующие технологию горячего исправления (hotpatching) в Windows, потребуют перезагрузки для установки обновлений за сентябрь и октябрь 2026 года, а в ноябре применение горячих исправлений возобновится в обычном режиме.»
ГОТОВЬТЕСЬ!
Для тех, кто не хочет страдать
Для тех, кто не хочет страдать, Microsoft выпустил WSUS еще в 2005 году. Настройка «первый раз» занимает полдня. Заводятся 3-4 группы обновлений для пользователей – тестовая, которую не жалко, вторая, которую тоже не жалко, третья и «та, куда ставить только вручную».
Все.
Для тех, кто хочет обновляться безопасно, с проверками и прочим лунапарком, уже лет 15, как написаны и выложены настраиваемые скрипты, которые делают массу подготовительных работ для обновлений там, где даже вручную не все так просто.
НО.
Это же надо делать. Это же надо настроить. Это надо сделать две тестовые виртуальные машины. Это надо два раза сходить к главному бухгалтеру, попить чая, и поговорить про одновременные работы, когда идет обновление 1с. Это надо два раза поговорить с фирмой, которая раз в месяц приносит новые печатные формы.
Это ж надо заниматься АДМИНИСТРИРОВАНИЕМ, а не кнопочки нажимать, и надуваться от собственной важности.
Литература
Развертывание обновлений клиента Windows с помощью служб Windows Server Update Services (WSUS)
Управление перезапусками устройства после обновлений
Развертывание служб Windows Server Update Services
Microsoft напоминает пользователям, как предотвратить перезагрузку Windows 11 во время работы, но те не спешат этому верить.
Microsoft reminds users how to stop Windows 11 from restarting during work, but users aren’t buying it
Статья ‘Force Restart’—Microsoft Changes Windows Update In 10 Days
Microsoft: в ближайшие два месяца компьютеры с поддержкой Hotpatch будут принудительно перезагружаться для установки обновлений Windows.
Microsoft: Hotpatch PCs will force-restart to apply Windows updates for the next two months
Для ЛЛ: опять крутят Kerberos
Только-только вышли обновления для Windows, начиная с
2026-04 Cumulative Update for .NET Framework 3.5 and 4.8.1 for Windows 11, version 25H2 for x64 (KB5082417)
2026-04 Cumulative Update for Windows 11, version 25H2 for x64-based Systems (KB5083769) (26200.8246) (для нормальных людей)
2026-04 Cumulative Update for Windows 11 Version 24H2 for x64-based Systems (KB5083769) (26100.8246) (для любителей всего старого)
Для любителей 2008 и 2008R2 обновлений, кажется, не выходило с нового года, со времен выхода
2026-01 Security Monthly Quality Rollup for Windows Server 2008 for x64-based Systems (KB5073697)
2026-01 Security Only Quality Update for Windows Server 2008 R2 for x64-based Systems (KB5073699)
Как снова приходится читать про ошибки, ожидаемые и будущие.
В первую очередь, Microsoft опять выкручивает безопасность, поэтому можно ожидать очередных «плак плак, я не обновлялся с 2003 года, все сломалось»
Почему? Потому что опять нашли дыру, даже больше, чем МЕГА ДЫРА в Linux, от которой старый финн потерял остатки разума
Я про:
Claude Code Used to Find Remotely Exploitable Linux Kernel Vulnerability Hidden for 23 Years
Перевод: Claude Code нашёл в ядре Linux уязвимость, скрывавшуюся 23 года
Финн потерял разум настолько, что теперь можно в ядро тащить всякую гадость: After months of fierce debate, Linus Torvalds and the Linux kernel maintainers have laid down the law on AI-generated code.
Но, сейчас не о нем, а о уязвимостях в винде
Данная деятельность включает в себя эксплуатацию трех уязвимостей под кодовыми названиями BlueHammer (требуется вход через GitHub), RedSun и UnDefend, все из которых были опубликованы как уязвимости нулевого дня исследователем, известным как Chaotic Eclipse (он же Nightmare-Eclipse), в ответ на действия Microsoft в процессе раскрытия информации об уязвимостях.
The activity involves the exploitation of three vulnerabilities that are codenamed BlueHammer (requires GitHub sign-in), RedSun, and UnDefend, all of which were released as zero-days by a researcher known as Chaotic Eclipse (aka Nightmare-Eclipse) in response to Microsoft's handling of the vulnerability disclosure process.
Three Microsoft Defender Zero-Days Actively Exploited; Two Still Unpatched
Обновления за апрель исправляют часть проблем, но добавляют проблемы со старым добрым:
Начиная с апреля 2026 года, обновления Windows изменят поведение выдачи билетов Kerberos по умолчанию на AES-SHA1 для учетных записей без явных настроек шифрования, в то время как RC4 по-прежнему можно будет использовать там, где он явно включен. Это изменение, вызванное уязвимостью CVE-2026-20833, затронет все среды Windows Server, где учетные записи служб или устройства по-прежнему используют RC4. Любая учетная запись службы, устройство NAS или устаревшее приложение, не настроенное явно на шифрование AES-SHA1, может потерять возможность аутентификации. В этой статье объясняется, что такое Kerberos и RC4, что перестанет работать в апреле 2026 года и что необходимо сделать для предотвращения сбоев.
Starting in April 2026, Windows updates will change the default Kerberos ticket issuance behavior to AES-SHA1 for accounts without explicit encryption settings, while RC4 can still be used where explicitly enabled. This change, driven by CVE-2026-20833, affects every Windows Server environment where service accounts or devices still rely on RC4. Any service account, NAS device, or legacy application not explicitly configured for AES-SHA1 encryption may lose authentication capability. This article explains what Kerberos and RC4 are, what will break in April 2026, and what you must do to prevent outages.
В журнале безопасности события с идентификаторами 4768 и 4769 описывают запросы билетов Kerberos, но теперь показывают использование или отклонение RC4. Код ошибки 0xE (KDC_ERR_ETYPE_NOSUPP) появляется, когда запрошенный тип шифрования не поддерживается.
В системном журнале новые события KDCSVC в диапазоне 201–209 представляют собой явные сообщения об устаревании RC4: события 201 и 202 отображаются как предупреждения в режиме аудита, в то время как соответствующие события 203 и 204 показывают, что сценарии только с RC4 теперь блокируются, поскольку либо клиент объявляет только RC4, либо у службы отсутствуют ключи AES. События 205 и связанные с ними события предупреждают о том, что в настройках шифрования домена по умолчанию по-прежнему используются слабые типы шифров.
In the Security log, Event IDs 4768 and 4769 describe Kerberos ticket requests but now show RC4 being used or rejected. Error code 0xE (KDC_ERR_ETYPE_NOSUPP) appears when the requested encryption type is not supported.
In the System log, new KDCSVC events in the 201–209 range are the explicit RC4 deprecation messages: Events 201 and 202 appear as warnings in audit mode, while enforcement counterparts 203 and 204 show that RC4-only scenarios are now blocked because either the client only advertises RC4 or the service lacks AES keys. Events 205 and related events warn that domain encryption defaults still include weak cipher types.
Статья с деталями, как именно будет больно
Windows Kerberos RC4 deprecation: what will break in Active Directory and how to fix it
Как было больно в прошлые разы:
You might experience Kerberos and New Technology LAN Manager (NTLM) authentication failures across devices that have duplicate Security IDs (SIDs). This issue might occur in Windows 11, version 24H2, Windows 11, version 25H2, and Windows Server 2025 after installing the Windows updates released on and after:
но выбора нет. Патчи ставить надо.
Исключение: если вы работаете в МТС, Аэрофлоте, или в команде Вестника Минцифры (ранее – Хабр). Тогда можно не патчится.
Статьи по теме
Windows Kerberos RC4 deprecation: what will break in Active Directory and how to fix it
Windows Kerberos hardening may cause authentication issues for some PCs next month
Windows 11's April 2026 update could quietly break logins on some PCs as Microsoft flips a major Kerberos security switch.
Windows 11 January 2026 update breaks universal print
Обновление Windows 11 напрочь сломало все современные принтеры. Решение есть, но крайне сложное, неудобное и не всем доступное
Important Starting July 2023, Enforcement mode will be enabled on all Windows domain controllers and will block vulnerable connections from non-compliant devices. At that time, you will not be able to disable the update, but may move back to the Audit mode setting. Audit mode will be removed in October 2023, as outlined in the Timing of updates to address Kerberos vulnerability CVE-2022-37967 section.
KB5020805: How to manage Kerberos protocol changes related to CVE-2022-37967
Windows updates released today, October 10, 2023, and later, conclude the rollout of security enforcement to protect Windows Server domain controllers (DC) against a Kerberos security bypass vulnerability. This vulnerability also involves an elevation of privilege scenario and alteration of Privilege Attribute Certificate (PAC) signatures. All domain-joined, machine accounts are affected by these vulnerabilities.
Security hardening changes for Kerberos effective with the October 10, 2023 Windows Update
Reddit: Windows 11 22H2 breaks NPS RADIUS via computer accounts
Reddit: 802.1x authentication broken after Windows 11 upgrade
PS. Будет почти так же больно, как в мае 2022:
After installing updates released May 10, 2022 on your domain controllers, you might see machine certificate authentication failures on the server or client for services such as Network Policy Server (NPS), Routing and Remote access Service (RRAS), Radius, Extensible Authentication Protocol (EAP), and Protected Extensible Authentication Protocol (PEAP). An issue has been found related to how the mapping of certificates to machine accounts is being handled by the domain controller.
Note Installation of updates released May 10, 2022, on client Windows devices and non-domain controller Windows Servers will not cause this issue. This issue only affects installation of May 10, 2022, updates installed on servers used as domain controllers.
Для ЛЛ: в июльском кумулятиве выключают старое шифрование - RC4
Этап 3 — Полное вступление в силу (июль 2026 г.)
Этот заключительный этап начинается с выпуска обновлений безопасности в июле 2026 года и знаменует собой окончание переходного периода.
На этом этапе:
отменяется режим «только аудит» (audit-only mode);
система перестает считывать временное значение реестра `RC4DefaultDisablementPhase`;
для параметра `DefaultDomainSupportedEncTypes` устанавливается значение по умолчанию, соответствующее только шифрованию AES-SHA1 (0x18).
При такой конфигурации протокол Kerberos будет выдавать билеты RC4 только в том случае, если это явно настроено для конкретной учетной записи с помощью атрибута `msDS-SupportedEncryptionTypes`.
Организации, не принявшие заблаговременных мер в отношении использования RC4, столкнутся с постоянными сбоями в работе устаревших систем и приложений, не поддерживающих шифрование AES.
Всех предупредили, и давно.
Даже я писал - Новые обновления для Windows и Kerberos: будет больно, но вы держитесь
Что делать? Читать!
Windows Kerberos RC4 deprecation: what will break in Active Directory and how to fix it
Windows Kerberos hardening may cause authentication issues for some PCs next month
Windows 11's April 2026 update could quietly break logins on some PCs as Microsoft flips a major Kerberos security switch.
Что было написано раньше:
Начиная с апреля 2026 года, обновления Windows изменят поведение выдачи билетов Kerberos по умолчанию на AES-SHA1 для учетных записей без явных настроек шифрования, в то время как RC4 по-прежнему можно будет использовать там, где он явно включен. Это изменение, вызванное уязвимостью CVE-2026-20833, затронет все среды Windows Server, где учетные записи служб или устройства по-прежнему используют RC4. Любая учетная запись службы, устройство NAS или устаревшее приложение, не настроенное явно на шифрование AES-SHA1, может потерять возможность аутентификации. В этой статье объясняется, что такое Kerberos и RC4, что перестанет работать в апреле 2026 года и что необходимо сделать для предотвращения сбоев.
Starting in April 2026, Windows updates will change the default Kerberos ticket issuance behavior to AES-SHA1 for accounts without explicit encryption settings, while RC4 can still be used where explicitly enabled. This change, driven by CVE-2026-20833, affects every Windows Server environment where service accounts or devices still rely on RC4. Any service account, NAS device, or legacy application not explicitly configured for AES-SHA1 encryption may lose authentication capability. This article explains what Kerberos and RC4 are, what will break in April 2026, and what you must do to prevent outages.
В журнале безопасности события с идентификаторами 4768 и 4769 описывают запросы билетов Kerberos, но теперь показывают использование или отклонение RC4. Код ошибки 0xE (KDC_ERR_ETYPE_NOSUPP) появляется, когда запрошенный тип шифрования не поддерживается.
В системном журнале новые события KDCSVC в диапазоне 201–209 представляют собой явные сообщения об устаревании RC4: события 201 и 202 отображаются как предупреждения в режиме аудита, в то время как соответствующие события 203 и 204 показывают, что сценарии только с RC4 теперь блокируются, поскольку либо клиент объявляет только RC4, либо у службы отсутствуют ключи AES. События 205 и связанные с ними события предупреждают о том, что в настройках шифрования домена по умолчанию по-прежнему используются слабые типы шифров.
In the Security log, Event IDs 4768 and 4769 describe Kerberos ticket requests but now show RC4 being used or rejected. Error code 0xE (KDC_ERR_ETYPE_NOSUPP) appears when the requested encryption type is not supported.
In the System log, new KDCSVC events in the 201–209 range are the explicit RC4 deprecation messages: Events 201 and 202 appear as warnings in audit mode, while enforcement counterparts 203 and 204 show that RC4-only scenarios are now blocked because either the client only advertises RC4 or the service lacks AES keys. Events 205 and related events warn that domain encryption defaults still include weak cipher types.
Статья с деталями, как именно будет больно
Windows Kerberos RC4 deprecation: what will break in Active Directory and how to fix it
Как было больно в прошлые разы:
You might experience Kerberos and New Technology LAN Manager (NTLM) authentication failures across devices that have duplicate Security IDs (SIDs). This issue might occur in Windows 11, version 24H2, Windows 11, version 25H2, and Windows Server 2025 after installing the Windows updates released on and after:
но выбора нет. Патчи ставить надо.
Напоминаю:
Windows 11 Enterprise and Education, Version 22H2, Windows 11 IoT Enterprise, Version 22H2 -
поддержка закончена 14.10.2025
Windows 11 23H2 - поддержка Home и Pro закончена 11.11.2025.
Windows 11 23H2 Enterprise and Education - поддержка закончится 10.11.2026
Windows 11 24H2 - поддержка Home и Pro закончится 13.10.2026
прочее тоже имейте в виду:
Windows Server 2022 - основная поддержка закончится 13.10.2026
Windows Server 2012, Extended Security Update Year 3 - закончится 13.10.2026
Windows Server 2012 R2, Extended Security Update Year 3 - закончится 13.10.2026
Windows 11 24H2 - поддержка Enterprise и Education закончится 12.10.2027
Примечание: у MS три формулировки: End of Servicing, End of Support, End of Mainstream Support
Источники:
https://support.microsoft.com/en-us/topic/june-23-2026-kb509...
https://www.windowscentral.com/microsoft/windows-11/microsof...
https://cyberpress.org/windows-11-version-23h2-reaches/
https://learn.microsoft.com/en-us/lifecycle/end-of-support/e...
https://learn.microsoft.com/en-us/lifecycle/end-of-support/e...
Началась эпоха того, о чем долго говорил весь энтерпрайз: никакие "миллионы глаз" даже и не думали проверять код Linux. Как и "проверки ФСТЭК".
Security researcher Hyunwoo Kim demonstrated the vulnerability as a zero-day exploit by triggering a “use-after-free” error in the shadow MMU code of the Linux KVM hypervisor.
https://www.scworld.com/news/16-year-old-linux-bug-can-cause...
На KVM работает где-то 2\3 "импортозамещения", может больше. Все это надо обновлять, причем чем быстрее - тем лучше. Но, в новостях РФ тихо, ФСТЭК и прочие регуляторы не выпускали требований "срочно прикрыть".
Получение прав рута после побега было опубликовано чуть раньше, и не один, и не два раза.
Кучно пошло. Вопрос, когда в очередной раз взломают кого-то достаточно крупного, где на пост "главной по безопасности и трансформации" назначили .. Безопасная безопасность
Поскольку у фанатов Linux, когда надо посчитать Linux, то это почти Linux, а когда не надо, то не Linux, Google решит внести ясность в этот вопрос, и сделать как у Apple:
Начиная с сентября 2026 года, Google будет в принудительном порядке и без уведомления пользователей внедрять обновление, блокирующее любые Android-приложения, разработчики которых не прошли регистрацию в Google, не подписали договор, не внесли оплату и не предоставили официальное удостоверение личности.
На XDA страдают:
https://www.xda-developers.com/google-locking-android-down-9...
Сделали целый сайт "нечестно и мы против" - https://keepandroidopen.org/
Кругом там плач и скрежет зубов:
F-Droid — площадка, где размещены тысячи бесплатных приложений для Android с открытым исходным кодом, — назвал это угрозой экзистенциального характера.
Криков будет, как будто не предупреждали почти год.
Сначала, конечно, будут крики "да я не буду обновляться, да у меня телефон с 2010 года с symbian os, да у рута ..". Как же без них. Вспомнят Mozilla's Firefox OS и Ubuntu Edge
Потом вспомнят про HarmonyOS
Для ЛЛ: зловреды не читают отчетов «все хорошо»
Они, конечно, отчитались, что внедрили не 2, а 222 факторную авторизацию.
Реального внедрения так и не произошло – кому-то было неудобно.
Они, конечно, отчитались, что у них стоят все возможные средства информационной безопасности, включая ИИ агентов.
В реальности одно средство в процессе "автоматического развертывания, инфраструктура как код, агенты, ии, прочий булшит" убило второе. Но не добило. И само умерло ровно настолько, чтобы можно было отчитаться про его наличии, но без какой-то реальной работы.
Они, конечно, отчитались, о внедрении системы супер-пупер-управления уязвимостями.
В реальности эта система не могла отличить Debian 8 от Centos. Потому что одно дело установить систему, которая сводит в табличку выгрузку uname, а другое - что-то делать с этой выгрузкой.
В итоге, когда кому-то вдруг стало надо «быстро, срочно», то какой-то сервер «на надежном линукс» был опубликован прямо в интернете.
Оказалось, что злые люди не в курсе про то, что линукс надежен, и злобно хихикают над классикой
Если речь об уязвимостях, то линукс это только ядро, софт отношения к нему не имеет. Уязвимости софта – это не проблема линукса.
Шпаргалка по общению с СПО-сектантами
Ах, да.
Совсем забыл. Дело происходило в Австрии, техподдержка была из индусов, тикеты закрыты, SLA соблюдены, KPI выполнены. По бумагам все отлично!
