Microsoft łata rekordowe 1413 podatności w systemach

Microsoft po raz kolejny pobił swój dotychczasowy rekord w ramach tzw. Patch Tuesday, wydając łatki bezpieczeństwa usuwające aż 1413 podatności w swoich systemach i oprogramowaniu. Tak ogromna liczba wykrytych i załatanych dziur technologicznych pokazuje skalę wyzwań, przed jakimi stają współcześni dostawcy oprogramowania oraz administratorzy sieci.

Wśród opublikowanych aktualizacji znalazło się 1102 podatności w systemie Windows, 134 w pakiecie Office, 61 w narzędziach dla deweloperów, 36 w SharePoint Server oraz 22 w bazach danych SQL Server. Ponad 670 tych błędów dotyczy eskalacji uprawnień, przeszło 300 to luki typu zdalne wykonanie kodu, a około 250 polega na ujawnieniu informacji. Ponad 70 luk zostało oznaczonych jako krytyczne.

Jak zauważa Dustin Childs, szef ds. świadomości zagrożeń w Zero Day Initiative, setki CVE w jednym wydaniu stały się już nową normą. Sztuczna inteligencja częściowo przyczynia się do tego stanu rzeczy, przyspieszając wyszukiwanie błędów po obu stronach – zarówno przez dostawców oprogramowania, jak i badaczy oraz hakerów. Jednak kluczowe jest to, że wykrywanie skaluje się obecnie szybciej niż samo wykorzystywanie luk przez cyberprzestępców.

Najważniejsze podatności wymagające uwagi

W opublikowanym biuletynie bezpieczeństwa szczególną uwagę zwracają trzy konkretne podatności, które wyróżniają się pod względem stopnia zagrożenia oraz sposobu działania. Są to: Tak pracujemy przy tworzenie stron internetowych dla firm.

• CVE-2026-96951 – podatność wstrzyknięcia poleceń w Windows Shell z wynikiem CVSS wynoszącym 8.8, pozwalająca nieautoryzowanemu atakującemu na ominięcie zabezpieczeń przez sieć.
• CVE-2026-108398 – luka w .NET Framework z wynikiem CVSS 8.8, umożliwiająca autoryzowanemu atakującemu lokalne ominięcie funkcji zabezpieczeń.
• CVE-2026-92707 – podatność alokacji pamięci w MessagePack-CSharp z wynikiem CVSS 5.3, prowadząca do odmowy usługi (DoS).

Aktywnie wykorzystywana luka w Windows Shell

Największe obawy budzi pierwsza z wymienionych podatności, czyli CVE-2026-96951. Microsoft oficjalnie potwierdził, że ta luka w Windows Shell znajduje się pod aktywnym wykorzystaniem w rzeczywistych atakach. Zgłoszenia błędu dokonał m.in. zespół badawczy, a Amerykańska Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) natychmiast dodała ją do swojego katalogu znanych wykorzystywanych podatności. Jeśli chcesz wdrożyć to u siebie, zobacz automatyzacje AI dla firm.

Atak z wykorzystaniem tej luki polega na obejściu mechanizmów obronnych Mark of the Web (MOTW). W scenariuszu wykorzystującym wiadomości e-mail lub komunikatory, napastnik może wysłać użytkownikowi specjalnie przygotowany plik. Choć samo uruchomienie wymaga akcji ze strony użytkownika – np. kliknięcia w złośliwy link lub załącznik – skutkiem może być skuteczne obejście zabezpieczeń systemowych. Powiązany temat opisaliśmy w artykule „Awaryjna łatka bezpieczeństwa Citrix NetScaler – zero-day w atakach”.

Problem eskalacji uprawnień i .NET Framework

Ogromną grupę załatanych problemów stanowią błędy eskalacji uprawnień, których w najnowszym pakiecie znalazło się ponad 670. Z kolei wspomniana podatność CVE-2026-108398 w .NET Framework pozwala na ominięcie egzekwowania zasad Windows Defender Application Control (WDAC).

Jak podkreśla Mike Walters, prezes i współzałożyciel Action1, ta druga luka jest szczególnie niebezpieczna w scenariuszach po naruszeniu bezpieczeństwa systemu. Daje ona lokalnemu intruzowi możliwość uruchomienia kodu w chronionym procesie bez konieczności angażowania użytkownika, co bezpośrednio zagraża integralności systemów i bezpieczeństwu wrażliwych informacji firmowych.

Co to oznacza dla małej firmy?

Małe firmy często zakładają, że ich infrastruktura IT jest zbyt mała, by zainteresować hakerów, lub bezgranicznie ufają standardowym zabezpieczeniom systemów operacyjnych. Rekordowa liczba ponad 1400 załatanych dziur pokazuje jednak, że oprogramowanie z którego korzystamy na co dzień – w tym Windows, Office czy pakiety .NET – nieustannie posiada luki, które mogą zostać wykorzystane w atakach ransomware lub próbach kradzieży danych. Ignorowanie aktualizacji systemowych to bezpośrednie zaproszenie dla cyberprzestępców, którzy automatycznie skanują sieć w poszukiwaniu niezaszytych stanowisk. Dbanie o cyberbezpieczeństwo to dziś nie tylko ochrona danych, ale też gwarancja, że kluczowe systemy i automatyzacje działające w firmie nie zostaną sparaliżowane przez nagły incydent. Jeśli Twoja firma korzysta z nowoczesnych rozwiązań, pamiętaj o regularnym audycie i aktualizacji oprogramowania, a w razie potrzeby sprawdź naszą ofertę na darmowy audyt strony, aby upewnić się, że Twoje cyfrowe środowisko jest należycie chronione i gotowe na wyzwania technologiczne.

Podsumowanie

Najnowszy pakiet aktualizacji Microsoftu udowadnia, że bezpieczeństwo IT to proces ciągły, a liczba wykrywanych podatności stale rośnie m.in. za sprawą rozwoju narzędzi sztucznej inteligencji. Kluczem do ochrony przed zagrożeniami nie jest ślepe liczenie każdego błędu CVE, lecz szybkie i priorytetowe wdrażanie oficjalnych łatek dla luk aktywnie wykorzystywanych w naturze, takich jak opisywany problem w Windows Shell.