В этом вторнике обновлений также исправлены девять «критических» уязвимостей, пять из которых связаны с удаленным выполнением кода, 1 — с раскрытием информации и 2 — с повышением привилегий.

Количество ошибок в каждой категории уязвимостей указано ниже:

• 41 уязвимость, приводящая к повышению привилегий
• 2 Уязвимости обхода функций безопасности
• 22 уязвимости удаленного выполнения кода
• 16 уязвимостей раскрытия информации
• 3 уязвимости отказа в обслуживании
• 1. Уязвимости спуфинга

Когда BleepingComputer сообщает об обновлениях безопасности во вторник патчей, мы учитываем только те, которые выпущены во вторник патчей.

Таким образом, в число выявленных недостатков не включены три уязвимости Azure, одна уязвимость Dynamics 365 FastTrack Implementation Assets, две уязвимости Mariner, пять уязвимостей Microsoft Edge и одна уязвимость Xbox, исправленные ранее в этом месяце.

Чтобы узнать больше о выпущенных сегодня обновлениях, не связанных с безопасностью, вы можете ознакомиться с нашими специальными статьями о накопительных обновлениях Windows 11 KB5065426 и KB5065431  , а также об обновлении Windows 10 KB5065429.

Исправлены две публично раскрытые уязвимости нулевого дня

В этом месяце «Вторник исправлений» исправляет две публично раскрытые уязвимости нулевого дня в Windows SMB Server и Microsoft SQL Server. Microsoft классифицирует уязвимость нулевого дня как публично раскрытую или активно эксплуатируемую, хотя официального исправления нет.

Две публично раскрытые уязвимости нулевого дня:

CVE-2025-55234 — уязвимость Windows SMB, приводящая к повышению привилегий

Microsoft устранила уязвимость повышения привилегий в SMB-сервере, которая эксплуатировалась посредством ретрансляционных атак.

«SMB-сервер может быть подвержен атакам через ретранслятор в зависимости от конфигурации. Злоумышленник, успешно воспользовавшийся этими уязвимостями, может осуществлять атаки через ретранслятор и подвергать пользователей риску повышения привилегий», — поясняет Microsoft.

Microsoft утверждает, что Windows уже включает настройки для защиты SMB-сервера от атак через ретранслятор , включая включение подписывания SMB-сервера и расширенной защиты SMB-сервера для аутентификации (EPA).

Однако включение этих функций может вызвать проблемы совместимости со старыми устройствами и реализациями.

Microsoft рекомендует администраторам включить аудит на серверах SMB, чтобы определить, возникнут ли какие-либо проблемы при полной реализации этих функций защиты.

«В рамках обновлений Windows, выпущенных 9 сентября 2025 года и позднее ( CVE-2025-55234 ), включена поддержка аудита совместимости SMB-клиента для подписывания SMB-сервера, а также SMB-сервера EPA», — поясняет Microsoft.

Microsoft не приписала ошибку какому-либо исследователю, и неясно, где она была обнаружена.

CVE-2024-21907 — VulnCheck: CVE-2024-21907 Неправильная обработка исключительных условий в Newtonsoft.Json

Microsoft устранила ранее известную уязвимость в Newtonsoft.Json, входящем в состав Microsoft SQL Server.

«CVE-2024-21907 устраняет уязвимость неправильной обработки исключительных условий в Newtonsoft.Json до версии 13.0.1», — поясняет Microsoft.

«Сконструированные данные, передаваемые в метод JsonConvert.DeserializeObject, могут вызвать исключение StackOverflow, что приведёт к отказу в обслуживании. В зависимости от использования библиотеки, неаутентифицированный и удалённый злоумышленник может вызвать отказ в обслуживании».

«Задокументированные обновления SQL Server включают обновления в Newtonsoft.Json, которые устраняют эту уязвимость».

Этот недостаток был публично раскрыт  в 2024 году.

Последние обновления от других компаний

Другие поставщики, выпустившие обновления или рекомендации в сентябре 2025 года:

• Adobe выпустила обновления безопасности для устранения уязвимости «SessionReaper», затрагивающей магазины электронной коммерции Magento.
• Argo  устранила уязвимость Argo CD , которая позволяла токенам API с низкими привилегиями получать доступ к конечным точкам API и извлекать все учетные данные репозитория, связанные с проектом.
• Cisco выпустила исправления для WebEx, Cisco ASA и других продуктов.
• Google  выпустила сентябрьские обновления безопасности Android , которые устраняют в общей сложности 84 уязвимости, включая две активно эксплуатируемые.
• Компания SAP выпустила сентябрьские обновления безопасности для нескольких продуктов, включая исправление ошибки максимальной серьезности выполнения команд в Netweaver .
• Компания Sitecore выпустила обновления безопасности для уязвимости нулевого дня, известной как CVE-2025-53690, которая активно эксплуатировалась в атаках.
• Компания TP-Link подтвердила, что в некоторых ее маршрутизаторах обнаружена новая уязвимость нулевого дня . Компания изучает возможности ее эксплуатации и создает исправления для клиентов из США.

Обновления безопасности за вторник в сентябре 2025 г.

Ниже представлен полный список уязвимостей, устраненных в обновлениях Вторника патчей за сентябрь 2025 года.

Чтобы получить полное описание каждой уязвимости и затрагиваемых ею систем, вы можете просмотреть  полный отчет здесь .