Что это: баг в стеке обновлений Windows — компоненте, который сам загружает и ставит апдейты. Ирония в том, что дыра — в том, что чинит дыры.
Статус: один из двух zero-day сентябрьского Patch Tuesday (8 сентября, рекордные ~966–973 CVE). CISA добавила в KEV в тот же день, 08.09 — значит, эксплуатируют в реальном времени.
Как фиксить: сентябрьские кумулятивные обновления Windows. Пропускать нельзя: второй zero-day того же дня —
CVE-2026-85880 (heap overflow в ALPC), тоже в KEV.Mitigation: если обновиться сразу не выходит — сегментация, ограничение доступа к WSUS и обновляющим серверам, мониторинг аномалий в процессах установки обновлений.