Анализ CVE-2026-70024: критическая RCE в IIS без эксплойтов

Microsoft 13 октября 2026 года опубликовала CVE-2026-70024 — переполнение буфера в Windows IIS с неаутентифицированным удалённым выполнением кода и оценкой CVSS 9.8. CISA фиксирует отсутствие эксплуатации, но автоматизируемость атаки; исправленные сборки уже вышли, публичного PoC нет.

• CVSS 3.1: 9.8 CRITICAL, вектор AV:N/AC:L/PR:N/UI:N
• CISA SSVC: эксплуатация none, автоматизируемость yes, ущерб total
• Исправления: Windows Server 2019/2022/2025 и Windows 10 22H2
• ZoomEye: 0 совпадений по CVE, но 34,7 млн видимых хостов IIS