Июньский патч: 200 дыр, YellowKey, GreenPlasma

Обычно «Вторники исправлений» от Microsoft проходят незаметно для большинства пользователей, но июньский громко хлопнул дверью. Компания закрыла сразу 200 уязвимостей, среди которых три публично раскрытых zero-day. Хорошая новость: признаков реальных атак пока не зафиксировано. Плохая: каждая из этих трёх — готовая бомба замедленного действия.

Внутри апдейта — 33 критические дыры, в основном на удалённое выполнение кода. Хакеру достаточно отправить системе специально собранный запрос, и он уже командует чужим компьютером. Остальное — повышение привилегий и утечки данных. Из общего вороха особенно выделяются три персональные проблемы. Первая — CVE-2026-45586 (она же GreenPlasma): ошибка в Windows Collaborative Translation Framework позволяет локальному пользователю взлететь до прав SYSTEM. Вторая — «HTTP/2 Bomb» (CVE-2026-49160): сервер сходит с ума от маленького пакета заголовков, начинает жрать терабайты памяти и падает.

Третья, пожалуй, самая красивая по названию и тревожная по сути — YellowKey (CVE-2026-50507). При физическом доступе к ноутбуку злоумышленник входит в среду восстановления Windows и молча обходит BitLocker. Без PIN-кода, только с TPM, под ударом оказываются Windows 11 и серверы 2022/2025. Эксперты уже рекомендуют включать дополнительную защиту, но главное — не тянуть с установкой патча.

Даже если никто ещё не стрелял из этих уязвимостей, публично раскрытые названия вроде YellowKey и GreenPlasma моментально расходятся по форумам и инструментам хакеров. Июньское обновление безопасности Windows — не галочка, а реальный щит. Серверы и рабочие станции без него становятся лёгкой мишенью.