CVE-2026-21509 — Обход функции безопасности OLE в Microsoft Office

Исследование авторства Sentinel AI Defense. Только защитный анализ — здесь не публикуется ни рабочего эксплойта, ни PoC для активно эксплуатируемой уязвимости.

Обход функции безопасности в Microsoft Office, позволяющий специально созданному документу загружать COM-компоненты, которые должны блокироваться механизмами защиты OLE. Активно эксплуатируется группировкой APT28 (UAC-0001) против украинских и восточноевропейских целей.

📄 Полный отчет: https://sentinelaidefense.com/posts/cve-2026-21509-ole-bypass

Обзор

CVE-2026-21509 — это уязвимость обхода функции безопасности в Microsoft Office, возникающая из-за использования ненадежных входных данных при принятии решения о безопасности (CWE-807). Она позволяет неавторизованному злоумышленнику обойти механизмы защиты OLE локально, когда пользователь открывает специально созданный документ. Ошибка затрагивает обработку внедренных объектов, в частности позволяет инстанцировать COM-компоненты, которые средства контроля безопасности должны ограничивать.

Microsoft выпустила внеочередное обновление 26 января 2026 года после подтверждения активной эксплуатации. Уязвимость имеет базовую оценку CVSS v3.1 7.8 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Вскоре после раскрытия она была добавлена в каталог известных эксплуатируемых уязвимостей CISA.

Затронутые версии

Microsoft Office 2016
Microsoft Office 2019
Office LTSC 2021
Office LTSC 2024
Microsoft 365 Apps for Enterprise

Патчи устраняют проблему во всех поддерживаемых версиях, с дополнительными серверными средствами защиты для более новых сборок Click-to-Run.

Технический анализ (Коренная причина)

Коренная причина кроется в логике проверки входных данных Office, используемой при принятии решений о безопасности в отношении загрузки OLE/COM-объектов. Office поддерживает kill bits и флаги совместимости для блокировки известных опасных COM-объектов с помощью средств управления на основе реестра (например, в разделах совместимости COM в Office).

Злоумышленники могут создавать документы — в первую очередь RTF-файлы, содержащие OLE-объекты, — которые манипулируют тем, как оцениваются эти входные данные, что приводит к загрузке Office ограниченных компонентов, таких как Shell.Explorer.1 (CLSID {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}). Этот элемент управления вызывает устаревший движок Internet Explorer / Trident, который работает с меньшими ограничениями по сравнению с современной изоляцией и позволяет загружать внешние ресурсы (включая LNK-файлы) при минимальном взаимодействии с пользователем.

Примитивы повреждения памяти (переполнение буфера, UAF) не требуются; эксплуатация опирается на структурное манипулирование документом для обхода механизма защиты OLE. Обход происходит во время разбора документа и инициализации объектов в таких процессах, как winword.exe.

Цепочка атак (на основе наблюдений CERT-UA)

CERT-UA задокументировала кампании, приписываемые UAC-0001 (APT28), в которых использовались вредоносные DOC/RTF-документы на геополитические темы (например, Consultation_Topics_Ukraine(Final).doc).

Пользователь открывает специально созданный документ.
Эксплуатация CVE-2026-21509 обходит защиту OLE, инстанцируя объект Shell.Explorer.1.
Объект устанавливает WebDAV-соединение с внешним ресурсом и загружает файл (часто ярлык .LNK, содержащий исполняемый код).
На последующих этапах загружаются и выполняются дополнительные полезные нагрузки — DLL-дропперы, ведущие к установке бэкдоров Covenant Grunt или стилера MiniDoor. Варианты включают перехват COM и доставку с учетом региона.

Цепочка не требует макросов и основана на том, что пользователь открывает вложение. Эксплуатация наблюдалась уже 29 января 2026 года, с целью против украинских государственных организаций и распространением на другие восточноевропейские организации.

Индикаторы компрометации (от CERT-UA)

Имена вредоносных файлов, такие как Consultation_Topics_Ukraine(Final).doc.
URL-адреса WebDAV и связанные загруженные .LNK-файлы, ведущие к полезным нагрузкам Covenant Grunt или MiniDoor.
Хэши и командные строки, включающие regsvr32 для загрузки DLL (точные значения привязаны к наблюдаемым кампаниям; обратитесь к бюллетеням CERT-UA для получения полных списков).
Сетевые индикаторы: подключения к серверам, контролируемым злоумышленником, для размещения полезной нагрузки.

Смягчение последствий

Примените обновление безопасности Microsoft, выпущенное 26 января 2026 года, для всех затронутых версий. Если немедленное исправление невозможно (особенно для Office 2016/2019), реализуйте смягчение на основе kill bit COM в реестре, установив Compatibility Flags в 0x400 для уязвимых CLSID.

Дополнительные средства контроля:

Включите защищенный просмотр и ограничения макросов.
Ограничьте внешний контент и WebDAV, где это возможно.
Используйте решения для контроля приложений, чтобы ограничить поведение дочерних процессов Office.
Отслеживайте и блокируйте известную вредоносную инфраструктуру.
Помещайте входящие RTF-файлы в карантин на почтовом шлюзе — большинству организаций не требуется RTF в электронной почте на законных основаниях.

Ссылки

Консультация Microsoft MSRC по CVE-2026-21509
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21509
Каталог известных эксплуатируемых уязвимостей CISA
Бюллетени CERT-UA о деятельности UAC-0001 / APT28

Отказ от ответственности

Этот репозиторий опубликован только в защитных и образовательных целях. Он содержит анализ, логику обнаружения и рекомендации по смягчению последствий. Функциональный код эксплойта не предоставляется. Используйте эту информацию только в системах, которые вы уполномочены тестировать и защищать.

_{Поддерживается Sentinel AI Defense · Результаты опубликованы ответственно в рамках скоординированного раскрытия.}

CVE-2026-21509

Популярное