Za nami kolejny Patch Tuesday od Microsoftu i kolejny rekord. Wrześniowy zestaw comiesięcznych aktualizacji łata ponad 960 podatności, w tym ponad 100 sklasyfikowanych jako krytyczne. Sama liczba oczywiście robi wrażenie, ale ważniejsza jest zawartość.

Autor: 6 min czytania

Microsoft załatał dwie podatności zero-day, które były już aktywnie wykorzystywane w atakach, a także znaczącą liczbę błędów umożliwiających zdalne wykonanie kodu lub eskalację uprawnień. Wśród poprawek znalazły się również luki w kluczowych komponentach Windows, takich jak DNS Server, Kerberos czy mechanizmy odpowiedzialne za komunikację międzyprocesową.

Tegoroczny wrzesień wyróżnia się więc nie tylko skalą samego pakietu poprawek, ale również tym, że obejmuje wiele podatności dotyczących kluczowych elementów infrastruktury Windows.

Kolejny rekord

Liczba podatności obejmowanych miesięcznymi aktualizacjami Microsoftu rosła już od kilku miesięcy. W lipcu poprawiono około 570 błędów, w sierpniu około 400, a wrzesień przyniósł kolejny, wyraźnie większy skok.

Jednym z powodów tak dużej liczby wykrywanych podatności jest coraz szersze wykorzystanie automatycznych narzędzi oraz systemów wspieranych przez AI do analizy kodu i wyszukiwania błędów. Pozwala to szybciej identyfikować problemy, które wcześniej mogły pozostawać niezauważone przez dłuższy czas. Duża liczba CVE nie musi więc automatycznie oznaczać gwałtownego pogorszenia się poziomu bezpieczeństwa samych produktów, ponieważ częściowo jest efektem skuteczniejszego procesu wykrywania podatności.

Nie wszystkie poprawki mają jednak takie samo znaczenie z punktu widzenia ryzyka. Wśród wrześniowych aktualizacji znalazły się dwa błędy, których wykorzystanie zostało już potwierdzone w rzeczywistych atakach.

Dwa aktywnie wykorzystywane zero-daye

Obie podatności dotyczą lokalnej eskalacji uprawnień i mogą pozwolić atakującemu na uzyskanie poziomu SYSTEM.

Pierwsza z nich, CVE-2026-81963, dotyczy Windows Update Stack, czyli komponentu odpowiedzialnego za obsługę i instalowanie aktualizacji systemu. Problem wynika z nieprawidłowego rozwiązywania odwołań do plików przed uzyskaniem do nich dostępu, określanego jako link following. W praktyce odpowiednio przygotowane odwołanie może spowodować, że proces działający z wyższymi uprawnieniami wykona operację na pliku wskazanym przez atakującego.

Druga podatność, CVE-2026-85880, znajduje się w Windows Advanced Local Procedure Call, czyli ALPC. Jest to mechanizm wykorzystywany przez procesy Windows do lokalnej komunikacji. W tym przypadku problemem okazało się przepełnienie bufora na stercie, które może zostać wykorzystane przez atakującego posiadającego lokalny dostep do systemu.

Poza tym wrześniowy zestaw zawiera ponad 250 podatności umożliwiających zdalne wykonanie kodu, z czego około 80 sklasyfikowano jako krytyczne.

Nie tylko zero-daye

Zestaw poprawek dotyczy wielu komponentów i usług Windows, dlatego poniżej skupiamy się tylko na kilku wybranych przypadkach, istotnych z punktu widzenia środowisk Windows Server i Active Directory. Wśród nich znalazły się między innymi DNS Server, Kerberos, DHCP Server oraz Active Directory Domain Services.

W przypadku Windows DNS Server jedną z najpoważniejszych luk jest CVE-2026-69730 z wynikiem 9,8 CVSS. Podatność może pozwolić nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu na podatnym serwerze. Wrześniowy pakiet zawiera również kilka innych krytycznych podatności RCE dotyczących tej usługi.

Poprawki objęły także mechanizmy uwierzytelniania domenowego. Luka CVE-2026-69676, dotycząca Kerberosa, została sklasyfikowana jako krytyczna i otrzymała wynik 8,8 CVSS. W tym samym zestawie znalazła się również podatność RCE w Windows Key Distribution Center, odpowiedzialnym między innymi za wydawanie i obsługę biletów uwierzytelniających.

Istotna grupa poprawek dotyczy również Windows DHCP Server. Część z załatanych błędów nie wymaga uwierzytelnienia ani interakcji użytkownika, a kilka z nich ma właściwości zbliżone do podatności typu wormable. Jednym z poważniejszych przypadków jest CVE-2026-69845 z wynikiem 9,8 CVSS.

Na koniec warto zwrócić uwagę na Active Directory Domain Services. Microsoft załatał między innymi CVE-2026-62813, CVE-2026-69524 i CVE-2026-69546, umożliwiające zdalne wykonanie kodu. Nie zostały sklasyfikowane jako krytyczne, ale w przypadku podatności dotyczących bezpośrednio AD DS sama możliwość RCE na kontrolerze domeny sprawia, że trudno traktować je jako drugorzędne.

Znaczenie podatności zależy od środowiska

Jak przy każdym większym zestawie poprawek, sama liczba załatanych CVE nie przekłada się bezpośrednio na poziom ryzyka w konkretnej organizacji. Znaczenie poszczególnych podatności zależy od tego, jakich systemów i komponentów dotyczą, w jaki sposób mogą zostać wykorzystane oraz jaką rolę pełnią podatne systemy w danej infrastrukturze.

Ten sam typ błędu może mieć zupełnie inny wpływ na zwykłej stacji roboczej niż na systemie pełniącym centralną funkcję w środowisku, takim jak kontroler domeny, serwer DNS czy DHCP. Rekordowa liczba poprawek jedynie podkreśla tę różnicę.

Podsumowanie

Wrześniowy Patch Tuesday Microsoftu ustanowił kolejny rekord pod względem liczby poprawionych podatności. Ponad 960 CVE robi wrażenie, ale sama skala aktualizacji nie mówi jeszcze wszystkiego o rzeczywistym ryzyku.

Ten miesiąc dobrze pokazuje, że liczba CVE jest tylko jednym z elementów obrazu. Znacznie więcej mówi charakter podatności, sposób ich wykorzystania oraz to, jaką rolę pełni podatny system w danym środowisku.

Rekordowy wynik nie oznacza więc automatycznie rekordowego poziomu zagrożenia, pokazuje natomiast, z jak szerokim zakresem problemów bezpieczeństwa Microsoft musiał sobie poradzić w jednym cyklu aktualizacji.