Вразливості RCE в Office Access: що оновити сьогодні

Коротко

У Security Update Guide опубліковано два записи про вразливості RCE (remote code execution, віддалене виконання коду) в Microsoft Office Access: CVE-2026-102849 в Security Update Guide і CVE-2026-102850 в Security Update Guide. За описом Microsoft, це переповнення буфера в купі пам'яті, і неавторизований зловмисник може виконати код через мережу. Перевірити, які виправлення доступні для ваших збірок, краще сьогодні.

Кого стосується

Обидві вразливості пов'язані з Microsoft Office Access: у ньому виявили переповнення буфера в купі пам'яті (heap-based buffer overflow). Простіше кажучи, програма може записати в пам'ять більше даних, ніж їй відведено, і це відкриває шлях до виконання стороннього коду.

Питання стосується компаній, де Access встановлений на робочих комп'ютерах або на терміналах. Якщо Access у вас ніде не стоїть, ці дві CVE вас не зачіпають. Описи, на які спирається ця стаття, не називають конкретних версій і збірок, тому точний перелік уражених варіантів дивіться безпосередньо в картках Microsoft.

Що це означає для бізнесу

Джерела кажуть лише, що код можна виконати через мережу. З якими правами він працюватиме, у них не уточнено. Тому це загальна оцінка редакції, а не твердження Microsoft: наслідки залежатимуть від прав облікового запису, під яким запущено програму, і від файлів та мережевих папок, відкритих цьому запису, наприклад договорів чи облікових баз. Найбільше уваги заслуговують комп'ютери, де Access використовують щодня.

Опис у записах не містить подробиць про реальні атаки, тож паніки не потрібно. Але відкладати перевірку не слід: простіше один раз скласти список машин з Access і поставити оновлення, ніж пізніше з'ясовувати, де воно не дійшло. Якщо Access потрібен для старих баз, спершу перевірте оновлення на одному комп'ютері, щоб не зупинити роботу відділу.

Що зробити

1. Складіть перелік комп'ютерів і терміналів, де встановлений Access, із версією Office. Перевірка: у вас є список машин, і жодної з тих, що працюють, у ньому не пропущено.
2. Відкрийте записи CVE-2026-102849 і CVE-2026-102850 (посилання є в розділах «Коротко» і «Джерела») та випишіть, які оновлення потрібні для ваших збірок Office. Номери оновлень і версії беріть лише з карток. Перевірка: для кожної збірки зі списку є відповідне оновлення.
3. Встановіть оновлення спершу на кількох комп'ютерах, потім на решті через ваш звичний засіб керування оновленнями. Перевірка: у звіті цього засобу видно статус «встановлено», а в історії оновлень Windows на вибіркових ПК є потрібні пакети.
4. Перезавантажте комп'ютери, де цього вимагає оновлення. Перевірка: час останнього запуску системи пізніший за час встановлення.
5. До завершення оновлення попросіть співробітників не відкривати файли Access, які надійшли ззовні, з пошти чи месенджерів. Перевірка: повідомлення розіслано, а адміністратор знає, хто ще не оновився.

Пріоритет

Сьогодні: кроки 1–4 для комп'ютерів, де Access використовують щодня, і для терміналів, до яких підключаються користувачі. Цього тижня: решта ПК, а також ноутбуки, які довго були поза мережею. При плановому оновленні: з'ясуйте, чи потрібен Access там, де ним давно ніхто не користується, і приберіть його, якщо ні.

Якщо немає свого адміністратора

Без адміністратора найважче підтвердити, що оновлення дійшло до кожного комп'ютера, зокрема до вимкнених або тих, що довго були поза мережею. Якщо у вашій компанії немає людини, яка стежить за встановленням оновлень на комп'ютерах, перевірку й контроль можна передати команді TakeIT.

Висновок

Два записи про Access дають один напрям дій: звірити версії, встановити оновлення, перевірити результат. Спершу візьміться за комп'ютери, де програму використовують найчастіше. Список машин, який ви складете, знадобиться і при наступних оновленнях.

Джерела

CVE-2026-102849 Microsoft Office Access Remote Code Execution Vulnerability, Microsoft Security Response Center, 13.10.2026. Взято: тип вразливості (переповнення буфера в купі пам'яті), продукт, виконання коду через мережу.

CVE-2026-102850 Microsoft Office Access Remote Code Execution Vulnerability, Microsoft Security Response Center, 13.10.2026. Взято: друга вразливість того самого типу в Office Access.