Październikowy Wtorek Microsoftu 2026. (P26-412)

utworzone przez | paź 15, 2026 | Aktualizacje

Październikowa aktualizacja zbiorcza Microsoftu (tzw. Patch Tuesday) usuwa rekordową liczbę 1411 luk, w tym jedną aktywnie wykorzystywaną oraz dwie publicznie ujawnione podatności typu „zero-day”.

W ramach tej aktualizacji wyeliminowano 70 luk o krytycznym stopniu zagrożenia: 57 z nich dotyczy zdalnego wykonania kodu, 11 – podniesienia uprawnień, a 2 – podszywania się (spoofingu).

Poniżej przedstawiono przybliżoną liczbę błędów w poszczególnych kategoriach podatności:677 Elevation of Privilege Vulnerabilities

  • 40 podatności umożliwiających obejście mechanizmów zabezpieczeń
  • 317 podatności umożliwiających zdalne wykonanie kodu
  • 254 podatności prowadzące do ujawnienia informacji
  • 73 podatności powodujące odmowę usługi (DoS)
  • 28 podatności typu spoofing

Kluczowe podatności:

  • CVE-2026-96951 – Windows Shell Security Feature Bypass (Zero-Day)

Podatność ta dotyczy powłoki systemu Windows (Windows Shell) i umożliwia nieuprawnionemu atakującemu obejście mechanizmu zabezpieczającego „Mark of the Web” (MotW) poprzez wstrzyknięcie poleceń. Luka była aktywnie wykorzystywana jeszcze przed udostępnieniem aktualizacji zabezpieczeń. Firma Microsoft nie ujawniła szczegółów dotyczących sposobu, w jaki podatność ta była wykorzystywana w atakach.

  • CVE-2026-108398 – .NET Framework Security Feature Bypass (Zero-Day)

Ta luka dotyczy środowiska .NET Framework i umożliwia uwierzytelnionemu atakującemu obejście ograniczeń mechanizmu Windows Defender Application Control (WDAC). Atakujący może umieścić w zainfekowanym systemie odpowiednio przygotowany zestaw (assembly) .NET i zarejestrować go w taki sposób, aby został załadowany przez chroniony proces, co pozwala na wykonanie nieautoryzowanego kodu w ramach tego procesu. Do skutecznego przeprowadzenia ataku nie jest wymagana żadna interakcja ze strony użytkownika.

  • CVE-2026-92707 – MessagePack-CSharp Denial of Service (Zero-Day)

Niniejsza luka dotyczy biblioteki MessagePack-CSharp i wynika z nieprawidłowo kontrolowanej sekwencyjnej alokacji pamięci w środowisku .NET. Nieuwierzytelniony atakujący może wykorzystać tę podatność zdalnie za pośrednictwem sieci, doprowadzając do wystąpienia stanu odmowy usługi (DoS) i zakłócenia dostępności danej usługi.

Podsumowanie:

Październikowa aktualizacja w ramach cyklu „Patch Tuesday” z 2026 roku jest rekordowa pod względem skali – naprawiono w niej 1411 luk, w tym 70 o krytycznym stopniu zagrożenia oraz trzy luki typu „zero-day”. Jedna z nich, CVE-2026-96951, jest aktywnie wykorzystywana przez cyberprzestępców i pozwala na obejście mechanizmu zabezpieczającego systemu Windows, znanego jako „Mark of the Web” (MotW). Dwie pozostałe luki typu „zero-day” – CVE-2026-108398 oraz CVE-2026-92707 – zostały ujawnione publicznie i dotyczą odpowiednio środowiska .NET Framework oraz biblioteki MessagePack-CSharp. Organizacje powinny nadać najwyższy priorytet niezwłocznemu wdrożeniu poprawek dla luki CVE-2026-96951, ze względu na potwierdzone przypadki jej aktywnego wykorzystywania, a także zająć się pozostałymi dwiema ujawnionymi lukami typu „zero-day”. Szczególną uwagę należy również zwrócić na 70 luk o krytycznym znaczeniu – zwłaszcza na 57 podatności umożliwiających zdalne wykonanie kodu (Remote Code Execution) – gdyż stanowią one jedne z najpoważniejszych zagrożeń objętych tegorocznymi październikowymi aktualizacjami bezpieczeństwa.