Rekord skoczni Microsoftu. Tyle jeszcze nie widzieliśmy

Microsoft udostępnił rekordowy Patch Tuesday, w ramach którego naprawiono aż 974 luki, w tym dwie, które były aktywnie wykorzystywane do ataków. Jest to największy zbiór poprawek w historii firmy z Redmond. Z drugiej strony pokazuje to, jak dziurawe są produkty giganta.

Najwięcej luk wyeliminowano w Windowsie, który zawierał aż 723 dziury. Kolejne 111 luki obejmowały pakiet Office i Office 2016, 62 luki SQL Server, a 22 luki były obecne w narzędziach deweloperskich. Ponad 110 podatności otrzymało ocenę krytyczną, a prawie 90% ze wszystkich odkrytych i naprawionych dziur pozwalało podnosić uprawnienia, zdalnie wykonywać kod, czy prowadziło do wycieku danych.

Microsoft łata rekordową liczbę luk w oprogramowaniu

Microsoft uwzględnił ponadto poprawki dla 25 luk oznaczonych jako CVE, które nie obejmują bezpośrednio jego oprogramowania. Łącznie wrześniowa aktualizacja eliminuje aż 999 problemów. Skala jest rekordowa i większa niż w sierpniu, kiedy to producent załatał 457 luk, w lipcu było to 663 podatności, w czerwcu 220 luk, a w maju 161 podatności CVE. Szczególną uwagę przyciągają dwie luki.

Dwie szczególnie niebezpieczne luki

Pierwsza oznaczona jako CVE 2026 85880 obecna jest w mechanizmie Windows Advanced Local Procedure Call i pozwala lokalnie podnosić uprawnienia użytkownika aż do poziomu SYSTEM. Atakujący może ją wykorzystać m.in. do wydostania się z AppContainer. Nie jest jednocześnie wymagana dodatkowa interakcja ze strony użytkownika systemu.

Najwięcej luk wyeliminowano w Windowsie, który zawierał aż 723 dziury. Kolejne 111 luki obejmowały pakiet Office i Office 2016, 62 luki SQL Server, a 22 luki były obecne w narzędziach deweloperskich. Ponad 110 podatności otrzymało ocenę krytyczną, a prawie 90% ze wszystkich odkrytych i naprawionych dziur pozwalało podnosić uprawnienia, zdalnie wykonywać kod, czy prowadziło do wycieku danych.

Druga podatność CVE 2026 81963 dotyczy Windows Update Stack i odpowiada za nieprawidłowe przetwarzanie odnośników, które także może prowadzić do podniesienia uprawnień użytkownika. Wszystkie wersje Windowsa dostały już jednak stosowną poprawkę. Microsoft nie zdradził z kolei czy podatności były wykorzystywane do przeprowadzania ataków ani jaka jest ich skala.

Ogromna skala

Warto wspomnieć, iż obie luki trafiły do katalogu Known Exploited Vulnerabilities prowadzonego przez amerykańską CISA. Federalne agencje USA mają czas na wdrożenie aktualizacji swoich systemów najpóźniej do 22 września 2026 roku. Zwykli użytkownicy powinni natomiast sprawdzić dostępność najnowszych aktualizacji przez Windows Update.

Jak podaje Zero Day Iniative, Microsoft w 2026 roku załatał około 2760 luk, co jest możliwe dzięki wykorzystaniu do ich wykrywania sztucznej inteligencji. To też pokazuje jak bardzo dziurawe jest oprogramowanie firmy z Redmond.