Два нові RCE в Microsoft Access: CVE-2026-105716 і CVE-2026-105717

Коротко

Якщо хоч на одному комп'ютері компанії стоїть Microsoft Access, перевірте сторінки записів про вразливості сьогодні. Microsoft описала дві вразливості віддаленого виконання коду (RCE, remote code execution): CVE-2026-105716 і CVE-2026-105717. В обох випадках це переповнення буфера в купі (heap-based buffer overflow), а атакувати може неавторизований зловмисник через мережу.

Простими словами: стороння людина без пароля й облікового запису може змусити програму на комп'ютері виконати чужі команди. Вхід у систему для цього не потрібен, а напад іде через мережу.

Що робити: скласти список комп'ютерів, де є Access, і встановити виправлення, які Microsoft вкаже на сторінках записів. Для керівника це одне доручення ІТ-фахівцям: знайти такі комп'ютери й закрити їх сьогодні.

Кого стосується

Йдеться про Microsoft Office Access: цей продукт названо в описі обох записів. Які саме збірки вразливі і яке виправлення закриває проблему, дивіться на сторінках записів у Security Update Guide. Опис, на який ми спираємося, версій і номерів оновлень не містить, тому ми їх не наводимо й нічого не припускаємо.

Найбільше уваги потребують компанії, де Access справді використовують: невеликі облікові бази в бухгалтерії, на складі, у відділі продажів. Комп'ютерів без Access ці записи не стосуються. Проте перевірте це по факту, бо Access залежно від набору Office могли поставити без відома IT.

Що це означає для бізнесу

Практичний ризик такий: зламаний комп'ютер бухгалтера чи менеджера відкриває зловмиснику ті самі файли, мережеві диски й програми, до яких має доступ сам користувач. Наскільки це серйозно, залежить від прав облікового запису й від того, що зберігається на комп'ютері.

У короткому описі запису про активні атаки не йдеться, і ми не стверджуємо, що вони відбуваються. Але вхід не потрібен, тому відкладати перевірку «на потім» не варто.

Після встановлення оновлення може знадобитися перезапуск програм Office або комп'ютера. Тому планувати його краще на час, коли користувачі не працюють із базами.

Що зробити

Кроки 1–3 робимо сьогодні, 4–5 протягом тижня, крок 6 під час планового оновлення.

1. Сьогодні: складіть список комп'ютерів і серверів, де встановлено Access, за звітом інвентаризації ПЗ або вручну зі списку встановлених програм. Перевірка: у списку є кожен пристрій із Access і вказано, хто за нього відповідає.
2. Сьогодні: відкрийте обидва записи, CVE-2026-105716 і CVE-2026-105717, у Security Update Guide та випишіть, які збірки зазначені як вразливі і яке виправлення рекомендує Microsoft. Перевірка: для кожної версії Office зі списку є відповідний запис зі сторінки Microsoft.
3. Сьогодні: встановіть виправлення, які вказані на сторінках записів, починаючи з комп'ютерів, що працюють з поштою та інтернетом, потім на решті. Перевірка: версія збірки Office на пристрої відповідає тій, що Microsoft зазначає як виправлену.
4. Цього тижня: перезавантажте пристрої, де це потрібно, і відкрийте робочі бази Access. Перевірка: бази відкриваються, макроси й звіти працюють, зауваження користувачів зібрано в одному місці.
5. Цього тижня: приберіть Access з комп'ютерів, де ним ніхто не користується. Перевірка: повторний інвентар показує лише пристрої з обґрунтованою потребою в Access.
6. При плановому оновленні: увімкніть автоматичні оновлення Office і регулярний звіт про пристрої без свіжих виправлень, у межах моніторингу й базової кібербезпеки. Перевірка: за тиждень у звіті немає пристроїв, що відстають, або кожен відстаючий має пояснення.

Якщо немає свого адміністратора

Тут допомагає регулярна підтримка робочих місць і користувачів: оновлення йдуть за планом, а перелік програм на комп'ютерах завжди під рукою. Якщо у вашій компанії немає людини, яка стежить за оновленнями офісних програм на робочих місцях, цю роботу можна передати команді TakeIT.

Висновок

Дві вразливості, один тип помилки, і сторінки записів Microsoft як єдине місце, де треба звіряти виправлення. Найбільше часу забирає не встановлення, а пошук комп'ютерів, де Access узагалі є, тому почніть зі списку. Решту можна спокійно довести до кінця за тиждень.

Джерела

CVE-2026-105716, Security Update Guide, Microsoft Security Response Center. Взято: тип вразливості, продукт, можливість віддаленого виконання коду неавторизованим зловмисником через мережу.

CVE-2026-105717, Security Update Guide, Microsoft Security Response Center. Взято: ті самі відомості для другого запису.

Дата публікації в наданих описах не вказана. Актуальну дату, зачеплені збірки та номери виправлень дивіться на сторінках записів.