Microsoft łata 974 luki, w tym 2 zero-day

Rekordowy Patch Tuesday od Microsoftu

Wrześniowa aktualizacja bezpieczeństwa Microsoftu okazała się największą w historii firmy. W jednym pakiecie producent załatał 974 podatności w swoich produktach, w tym dwie luki typu zero-day, które były już aktywnie wykorzystywane zanim pojawiła się poprawka.

To kolejny miesiąc, w którym liczba ujawnionych problemów osiąga rekordowy poziom. Jednocześnie nie oznacza to automatycznie fali masowych ataków — eksperci zwracają uwagę, że rosnąca liczba wykrywanych błędów nie przekłada się wprost na tak samo duży wzrost realnie eksploatowanych podatności.

Dwie luki wykorzystywane przed publikacją poprawek

Microsoft potwierdził aktywne wykorzystanie dwóch podatności podnoszących uprawnienia:

• CVE-2026-81963 – podatność w Windows Update Stack
• CVE-2026-85880 – podatność w Windows Advanced Local Procedure Call (ALPC)

Obie mają CVSS 7.8 i mogą prowadzić do uzyskania uprawnień SYSTEM. W praktyce oznacza to, że skuteczny atak może dać napastnikowi bardzo szeroką kontrolę nad zaatakowaną maszyną.

Co jeszcze znalazło się w poprawkach

Wrześniowy pakiet obejmuje szeroki przekrój produktów Microsoftu. Wśród ujawnionych błędów znalazły się między innymi:

• 723 luki w Windows
• 111 w Office
• 111 w Office 2016
• 62 w SQL
• 22 w różnych narzędziach deweloperskich

Ponad jedna dziesiąta wszystkich błędów otrzymała ocenę critical. Microsoft tradycyjnie klasyfikuje część z nich jako bardziej lub mniej prawdopodobne do wykorzystania w atakach, co ma pomóc administratorom w ustaleniu priorytetów.

Wybrane podatności o najwyższym znaczeniu

• CVE-2026-69525 – błąd w Remote Desktop Services prowadzący do RCE, oceniony na CVSS 9.8
• CVE-2026-69730 – RCE w Windows DNS Server, również z oceną CVSS 9.8
• CVE-2026-69676 – podatność w Windows Kerberos umożliwiająca wykonanie kodu po obejściu uwierzytelniania, z oceną CVSS 8.8
• CVE-2026-69380 – luka w Microsoft Exchange Server związana z brakiem autoryzacji, pozwalająca na dostęp do innych skrzynek pocztowych

W części przypadków Microsoft uznaje wykorzystanie za mało prawdopodobne, w innych za bardziej prawdopodobne. Z perspektywy zespołów bezpieczeństwa kluczowe jest więc nie tylko samo CVSS, ale też to, czy dana luka jest faktycznie osiągalna w danym środowisku.

Administratorzy nie powinni patrzeć wyłącznie na liczbę CVE

Specjaliści podkreślają, że przy takiej skali aktualizacji najważniejsze jest ustalenie, które podatności dotyczą konkretnej organizacji i które z nich są realnie możliwe do wykorzystania. Sama liczba poprawek nie mówi jeszcze, co trzeba załatać w pierwszej kolejności.

To szczególnie istotne teraz, gdy narzędzia wspierane przez AI przyspieszają wyszukiwanie błędów. Z jednej strony oznacza to więcej odkrytych podatności, z drugiej — niekoniecznie więcej luk, które faktycznie zagrażają większości środowisk.

Co powinni zrobić użytkownicy i firmy

W praktyce wrześniowy Patch Tuesday oznacza standardowy, ale bardzo duży obowiązek dla administratorów:

• sprawdzić, które z poprawek dotyczą używanych systemów,
• nadać priorytet lukom aktywnie wykorzystywanym,
• zwrócić uwagę na systemy wystawione na sieć,
• możliwie szybko wdrożyć krytyczne poprawki.

Microsoft opublikował pełną listę podatności w swoim Security Response Center. Przy tej liczbie zmian szczególnie ważne staje się jednak nie tyle samo zainstalowanie aktualizacji, ile rozsądne ustalenie kolejności działań.