BDU:2026-12719

критический уровень опасности CVSS 9.8 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уязвимость драйвера ODBC для SQL Server операционных систем Windows, позволяющая нарушителю повысить свои привилегии

Срок устранения — не более 24 часов с момента выявления (пункт 38 Требований, приказ ФСТЭК России от 11.04.2025 № 117). Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой. Если уязвимости нет в банке данных угроз ФСТЭК России, сведения о ней направляются во ФСТЭК России в течение 5 рабочих дней со дня выявления.

Соответствие зарубежным идентификаторам

CVE-2026-42990

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Как эксплуатируется

Эксплуатируется по сети без учётной записи. Худшее сочетание признаков: закрывать в первую очередь.

Способ доступа: по сети
Сложность эксплуатации: низкая
Нужны права: не нужны
Участие человека: не требуется
Область воздействия: в пределах уязвимого компонента
Конфиденциальность: высокое
Целостность: высокое
Доступность: высокое

Расшифровка вектора CVSS 3.x из записи банка данных.

Описание

Уязвимость драйвера ODBC для SQL Server операционных систем Windows связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Способ устранения

Использование рекомендаций: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42990

Сведения записи

Дата публикации: 27.08.2026

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Данные уточняются

Уровень опасности по записи: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Microsoft Corp	Windows 10 1607	до 10.0.14393.9339	64-bit
Microsoft Corp	Windows 10 1607	до 10.0.14393.9339	32-bit
Microsoft Corp	Windows 10 1809	до 10.0.17763.9020	64-bit
Microsoft Corp	Windows 10 1809	до 10.0.17763.9020	32-bit
Microsoft Corp	Windows 10 21H2	до 10.0.19044.7548	64-bit
Microsoft Corp	Windows 10 21H2	до 10.0.19044.7548	32-bit
Microsoft Corp	Windows 10 21H2	до 10.0.19044.7548	ARM64
Microsoft Corp	Windows 10 22H2	до 10.0.19045.7548	32-bit
Microsoft Corp	Windows 10 22H2	до 10.0.19045.7548	ARM64
Microsoft Corp	Windows 10 22H2	до 10.0.19045.7548	64-bit
Microsoft Corp	Windows 11 23H2	до 10.0.22631.7376	ARM64
Microsoft Corp	Windows 11 23H2	до 10.0.22631.7376	64-bit
Microsoft Corp	Windows 11 24H2	до 10.0.26100.8875	64-bit
Microsoft Corp	Windows 11 24H2	до 10.0.26100.8875	ARM64
Microsoft Corp	Windows 11 25H2	до 10.0.26200.8875	64-bit
Microsoft Corp	Windows 11 25H2	до 10.0.26200.8875	ARM64
Microsoft Corp	Windows 11 26H1	до 10.0.28000.2269	ARM64
Microsoft Corp	Windows 11 26H1	до 10.0.28000.2525	64-bit
Microsoft Corp	Windows Server 2012	до 6.2.9200.26132	Не указана
Microsoft Corp	Windows Server 2012 (Server Core installation)	до 6.2.9200.26132	Не указана
Microsoft Corp	Windows Server 2012 R2	до 6.3.9600.23228	Не указана
Microsoft Corp	Windows Server 2012 R2 (Server Core installation)	до 6.3.9600.23228	Не указана
Microsoft Corp	Windows Server 2016	до 10.0.14393.9339	Не указана
Microsoft Corp	Windows Server 2016 (Server Core installation)	до 10.0.14393.9339	Не указана
Microsoft Corp	Windows Server 2019	до 10.0.17763.9020	Не указана
Microsoft Corp	Windows Server 2019 (Server Core installation)	до 10.0.17763.9020	Не указана
Microsoft Corp	Windows Server 2022	до 10.0.20348.5386	Не указана
Microsoft Corp	Windows Server 2025	до 10.0.26100.33158	Не указана
Microsoft Corp	Windows Server 2025 (Server Core installation)	до 10.0.26100.33158	Не указана

Что требуют по этой уязвимости

Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:

АНЗ.1 — Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей (приказ ФСТЭК России от 18.02.2013 № 21).
АНЗ.2 — Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации (приказ ФСТЭК России от 18.02.2013 № 21).
АУД.2 — Анализ уязвимостей и их устранение (приказ ФСТЭК России от 25.12.2017 № 239).
КУ — управление уязвимостями: мониторинг уязвимостей и оценка их применимости, оценка уязвимостей, определение методов и приоритетов устранения, устранение и контроль устранения (методический документ ФСТЭК России от 12.04.2026, раздел 3.3 — к приказу от 11.04.2025 № 117).
КО — управление обновлениями: контроль актуальности версий, получение обновлений из источников с проверкой подлинности и целостности, проверка и установка обновлений (методический документ ФСТЭК России от 12.04.2026, раздел 3.4 — к приказу от 11.04.2025 № 117).

Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:

ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
операции оценки уязвимостей — так же по исполнителям, срокам и данным
операции определения методов и приоритетов устранения
операции устранения уязвимостей и контроля устранения
схемы взаимодействия подразделений при выполнении этих операций

Чем это оформляется:

Образец инструкции по контролю (анализу) защищённости ИСПДн (АНЗ) — порядок: кто, чем и как часто проверяет
Образец акта контроля (анализа) защищённости ИСПДн — запись о проверке и найденных уязвимостях
Образец регламента защиты информации (внутренние стандарты) государственной системы — для государственных систем: разделы «Управление уязвимостями» и «Управление обновлениями» и есть тот внутренний регламент, которого требует методический документ

В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:

Системное ПО и ОС (реестр, файловая система)Прикладное ПО Сетевое ПО, узлы и трафик

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.09.2026, записей в справочнике — 95745. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.