NVD / CVE Program· CNA microsoft

CVE-2021-40444: Microsoft MSHTML Remote Code Execution Vulnerability

Оценка Noroxi

Приоритет: Срочно (оценка срочности 94/100)

CISA подтвердило эксплуатацию в реальных атаках (3 нояб. 2021 г.); известно использование в кампаниях программ-вымогателей. Срок устранения для федеральных ведомств США: 17 нояб. 2021 г.
Опубликован готовый модуль атаки (Metasploit); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 97,8% (FIRST EPSS); выше, чем у 99,9% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Пользователь должен открыть ссылку или посетить страницу. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: python-oletools (openSUSE:Tumbleweed) 0.60.2-2.4.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 6.

Установите исправление сегодня или закройте доступ. Обновитесь до python-oletools (openSUSE:Tumbleweed) 0.60.2-2.4 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

Microsoft is investigating reports of a remote code execution vulnerability in MSHTML that affects Microsoft Windows. Microsoft is aware of targeted attacks that attempt to exploit this vulnerability by using specially-crafted Microsoft Office documents. An attacker could craft a malicious ActiveX control to be used by a Microsoft Office document that hosts the browser rendering engine. The attacker would then have to convince the user to open the malicious document. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights. Microsoft Defender Antivirus and Microsoft Defender for Endpoint both provide detection and protections for the known vulnerability. Customers should keep antimalware products up to date. Customers who utilize automatic updates do not need to take additional action. Enterprise customers who manage updates should select the detection build 1.349.22.0 or newer and deploy it across their environments. Microsoft Defender for Endpoint alerts will be displayed as: “Suspicious Cpl File Execution”. Upon completion of this investigation, Microsoft will take the appropriate action to help protect our customers. This may include providing a security update through our monthly release process or providing an out-of-cycle security update, depending on customer needs. Please see the Mitigations and Workaround sections for important information about steps you can take to protect your system from this vulnerability. UPDATE September 14, 2021: Microsoft has released security updates to address this vulnerability. Please see the Security Updates table for the applicable update for your system. We recommend that you install these updates immediately. Please see the FAQ for important information about which updates are applicable to your system.

ВысокаяCVSS 8.8 · v3.1KEVГотовый эксплойт Есть исправление

Опубликовано: 15 сент. 2021 г.
Обновлено: 10 авг. 2026 г.
EPSS: 97,8 % · 99-й процентиль
CWE: CWE-22

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 29 / 30 · 97,8 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · microsoft: 8,8; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L/E:P/RL:O/RC:C

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 нояб. 2021 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 17 нояб. 2021 г..

Известно об использовании в кампаниях с программами-вымогателями.

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ПродуктВерсия

Вендор	Продукт	CPE
microsoft	windows 10 1507	cpe:2.3:o:microsoft:windows_10_1507
microsoft	windows 10 1607	cpe:2.3:o:microsoft:windows_10_1607
microsoft	windows 10 1809	cpe:2.3:o:microsoft:windows_10_1809
microsoft	windows 10 1909	cpe:2.3:o:microsoft:windows_10_1909
microsoft	windows 10 2004	cpe:2.3:o:microsoft:windows_10_2004
microsoft	windows 10 20h2	cpe:2.3:o:microsoft:windows_10_20h2
microsoft	windows 10 21h1	cpe:2.3:o:microsoft:windows_10_21h1
microsoft	windows 7	cpe:2.3:o:microsoft:windows_7
microsoft	windows 8.1	cpe:2.3:o:microsoft:windows_8.1
microsoft	windows rt 8.1	cpe:2.3:o:microsoft:windows_rt_8.1
microsoft	windows server 2004	cpe:2.3:o:microsoft:windows_server_2004
microsoft	windows server 2008	cpe:2.3:o:microsoft:windows_server_2008

и ещё 5

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

microsoft windows server 2004до 10.0.19041.1237
microsoft windows server 2008все версии
microsoft windows server 2008r2
microsoft windows server 2012все версии
microsoft windows server 2016до 10.0.14393.4651
microsoft windows server 2019до 10.0.17763.2183
microsoft windows server 2022до 10.0.20348.230
microsoft windows server 20h2до 10.0.19042.1237

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (microsoft). Не зависят от анализа CPE в NVD и обычно опережают его.

Microsoft Windows 10 Version 1507
- 10.0.10240.0 и новее · до 10.0.10240.19060затронута
Microsoft Windows 10 Version 1607
- 10.0.14393.0 и новее · до 10.0.14393.4651затронута
Microsoft Windows 10 Version 1809
- 10.0.17763.0 и новее · до 10.0.17763.2183затронута
- 10.0.0 и новее · до 10.0.17763.2183затронута
Microsoft Windows 10 Version 1909
- 10.0.0 и новее · до 10.0.18363.1801затронута
Microsoft Windows 10 Version 2004
- 10.0.0 и новее · до 10.0.19041.1237затронута
Microsoft Windows 10 Version 20H2
- 10.0.0 и новее · до 10.0.19042.1237затронута
Microsoft Windows 10 Version 21H1
- 10.0.0 и новее · до 10.0.19043.1237затронута
Microsoft Windows 7
- 6.1.0 и новее · до 6.1.7601.25712затронута
Microsoft Windows 7 Service Pack 1
- 6.1.0 и новее · до 6.1.7601.25712затронута
Microsoft Windows 8.1
- 6.3.0 и новее · до 6.3.9600.20120затронута
Microsoft Windows Server 2008 R2 Service Pack 1
- 6.1.7601.0 и новее · до 6.1.7601.25712затронута
Microsoft Windows Server 2008 R2 Service Pack 1 (Server Core installation)
- 6.1.7601.0 и новее · до 6.1.7601.25712затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
openSUSE:Tumbleweed	python-oletools	до 0.60.2-2.4	0.60.2-2.4

Тот же продукт

microsoft: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-34527Windows Print Spooler Remote Code Execution VulnerabilityKEV
95Срочно
CVE-2025-33053Internet Shortcut Files Remote Code Execution VulnerabilityKEV
91Срочно
CVE-2023-36025Windows SmartScreen Security Feature Bypass VulnerabilityKEV
91Срочно

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2021-3448412 авг. 2021 г. · Windows User Profile Service Elevation of Privilege VulnerabilityKEV
68На этой неделе
← РаньшеCVE-2021-3695515 сент. 2021 г. · Windows Common Log File System Driver Elevation of Privilege VulnerabilityKEV
62На этой неделе
Позже →CVE-2021-4044912 окт. 2021 г. · Win32k Elevation of Privilege VulnerabilityKEV
86Срочно

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
opensuse:python-oletools	0.60.2-2.4 · openSUSE:Tumbleweed	Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Репозиторий PoC на GitHub ×35

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Модуль Metasploit	exploit/windows/fileformat/word_mshtml_rceMicrosoft Office Word Malicious MSHTML RCEexploit	2021-09-23
Репозиторий PoC на GitHub	stars:18	2021-09-08
Репозиторий PoC на GitHub	stars:9	2021-09-09
Репозиторий PoC на GitHub	stars:18	2021-09-09
Репозиторий PoC на GitHub	stars:3	2021-09-09
Репозиторий PoC на GitHub	stars:0	2021-09-09
Репозиторий PoC на GitHub	stars:3	2021-09-09
Репозиторий PoC на GitHub	stars:3	2021-09-10
Репозиторий PoC на GitHub	stars:1853	2021-09-10
Репозиторий PoC на GitHub	stars:5	2021-09-11
Репозиторий PoC на GitHub	stars:0	2021-09-11
Репозиторий PoC на GitHub	stars:11	2021-09-11

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Первый PoC8 сент. 2021 г.-7 дн.
Публикация15 сент. 2021 г.
Metasploit23 сент. 2021 г.+8 дн.
CISA KEV3 нояб. 2021 г.+49 дн.
Сегодня3 нояб. 2026 г.+1875 дн.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-22-0612 · 14 сент. 2022 г.(Microsoft Ürünleri Güvenlik Zafiyeti)
TR-22-0394 · 1 июн. 2022 г.(Microsoft Sıfırıncı Gün Zafiyeti)
TR-22-0030 · 12 янв. 2022 г.(Microsoft Güvenlik Güncellemesi)
TR-21-0765 · 22 сент. 2021 г.(Netgear Güvenlik Güncellemesi)
TR-21-0739 · 15 сент. 2021 г.(Microsoft Güvenlik Bildirimi)
TR-21-0735 · 14 сент. 2021 г.(Google Chrome Güvenlik Güncellemesi)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Пользователь должен открыть ссылку или посетить страницу.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: низкое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: низкое · работа сервиса может быть нарушена

Влияние может выйти за пределы уязвимого компонента (область действия меняется).

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Требуется
Область действия: Изменяется
Влияние на конфиденциальность: Низкое
Влияние на целостность: Высокое
Влияние на доступность: Низкое

Класс уязвимости (CWE)

CWE-22 · Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L

nvd-secondary

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Ошибка в коде

Весь класс CWE-22

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const file = path.join(ROOT, req.query.name);
2res.sendFile(file);

Исправленный код

1const file = path.resolve(ROOT, req.query.name);
2if (!file.startsWith(ROOT + path.sep)) {
3  return res.sendStatus(400);
4}
5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Исправление✗ → ✓6 окт. 2026 г., 03:30 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444

Показать все источники (ещё 3)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: microsoft

CVE.org (CNA)10 авг. 2026 г., 15:10 UTC
CISA ADP10 авг. 2026 г., 15:10 UTC
NVD10 авг. 2026 г., 16:19 UTC
FIRST EPSS25 окт. 2026 г., 00:00 UTC
OSV / GHSA3 нояб. 2026 г., 03:17 UTC
Metasploit3 нояб. 2026 г., 03:17 UTC
PoC-in-GitHub3 нояб. 2026 г., 03:17 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.