Październikowy Patch Tuesday przyniósł kolejny duży zestaw poprawek od Microsoftu. Tym razem nie będziemy jednak rozbierać całego pakietu na części, bo przy takiej liczbie podatności samo przeglądanie kolejnych CVE zaczyna przypominać osobną dyscyplinę sportową. Tym razem przyjrzymy się jednej luce, która wyróżnia się przede wszystkim sposobem działania.

Autor: 6 min czytania

Chodzi o CVE-2026-96951, podatność w Windows Shell pozwalającą na obejście mechanizmu Mark of the Web (MOTW). Microsoft ocenił ją na 8,8 w skali CVSS i poinformował o jej wykorzystaniu w rzeczywistych atakach. Ciekawym wątkiem jest również udział AI w odkryciu luki. Wśród zgłaszających znalazł się bowiem badacz korzystający z modelu Claude od Anthropic.

Skąd Windows wie, że plik pochodzi z Internetu?

Mark of the Web (MOTW) można porównać do etykiety informującej system, że dany plik pochodzi z Internetu. Sam znacznik niczego nie blokuje, ale pozwala Windowsowi i innym aplikacjom rozpoznać zawartość pobraną z potencjalnie niezaufanego źródła. Dzięki temu przy otwieraniu takiego pliku mogą zostać uruchomione dodatkowe zabezpieczenia. Przykładowo SmartScreen może wyświetlić ostrzeżenie przed uruchomieniem podejrzanego programu, a pakiet Office otworzyć dokument w trybie chronionym (Protected View). MOTW ma również znaczenie przy domyślnym blokowaniu makr w dokumentach pobranych z Internetu.

Jednak skąd Windows wie, że plik pochodzi z sieci? W przypadku systemu plików NTFS informacja ta może być zapisana w dodatkowym strumieniu danych o nazwie Zone.Identifier. Znajduje się w nim między innymi parametr ZoneId, który określa strefę pochodzenia pliku. Przykładowo wartość ZoneId=3 oznacza Internet. Użytkownik na co dzień nie widzi tego oznaczenia, ale dla systemu i aplikacji może ono decydować o zastosowaniu dodatkowych środków ostrożności.

Nic więc dziwnego, że atakujący od dawna szukają sposobów na obejście tego mechanizmu. Na Kapitanie opisywaliśmy już technikę LNK Stomping, w której odpowiednio przygotowany skrót Windows mógł doprowadzić do usunięcia oznaczenia MOTW. Choć sposób działania był inny niż w przypadku CVE-2026-96951, cel pozostawał podobny – sprawić, aby system nie zastosował części zabezpieczeń przewidzianych dla plików pochodzących z Internetu.

Jak obejść zabezpieczenie bez jego wyłączania?

W przypadku CVE-2026-96951 atakujący musi najpierw skłonić użytkownika do otwarcia specjalnie przygotowanego pliku. Może dostarczyć go na przykład w wiadomości e-mail lub przez komunikator, wykorzystując dobrze znane metody socjotechniczne.

Sam problem dotyczy sposobu obsługi spreparowanej zawartości przez Windows Shell, czyli część systemu odpowiedzialną między innymi za pracę z plikami i uruchamianie aplikacji. Udane wykorzystanie podatności pozwala ominąć kontrole związane z MOTW. W rezultacie plik pochodzący z niezaufanego źródła może zostać otwarty bez części ostrzeżeń lub ograniczeń, które normalnie powinny się pojawić.

Ominięcie MOTW nie wyłącza pozostałych zabezpieczeń Windows, ale może uśpić czujność użytkownika. Brak ostrzeżenia przy otwieraniu pliku łatwo przecież odebrać jako sygnał, że wszystko jest w porządku.

Podatność już wykorzystywana w atakach

CVE-2026-96951 nie pozostała wyłącznie ciekawostką dla badaczy bezpieczeństwa. Microsoft potwierdził jej wykorzystanie w rzeczywistych atakach i udostępnił poprawkę w ramach październikowego Patch Tuesday. 13 października podatność została również dodana do katalogu CISA Known Exploited Vulnerabilities, obejmującego luki, co do których istnieją dowody aktywnego wykorzystania.

Podatność dotyczy szerokiej gamy produktów Microsoftu, od Windows 10 i 11, przez systemy Windows Server 2012 R2 aż po Windows Server 2025. Co ciekawe, na liście znalazł się również Outlook.com. Szczegółowy wykaz podatnych wersji oraz dostępnych poprawek można znaleźć w oficjalnym katalogu zabezpieczeń Microsoftu.

A gdzie w tym wszystkim Claude?

Warto również wrócić do wspomnianego wcześniej udziału sztucznej inteligencji w odkryciu podatności. Wśród zgłaszających znalazł się badacz korzystający z Claude od Anthropic. To kolejny przykład, jak modele AI znajdują zastosowanie w pracy specjalistów zajmujących się bezpieczeństwem. Mogą pomagać w analizie kodu, wyszukiwaniu błędów i sprawdzaniu potencjalnych podatności.

Rola AI w wyszukiwaniu podatności będzie prawdopodobnie rosła, zwłaszcza że firmy rozwijające modele coraz mocniej stawiają na ich wykorzystanie w cyberbezpieczeństwie. Niedawno pisaliśmy na Kapitanie o rozszerzeniu dostępu do Claude dla zespołów bezpieczeństwa, które ma właśnie ułatwić analizę podatności i prowadzenie testów penetracyjnych.

Nie wszystko kończy się na MOTW

CVE-2026-96951 przypomina, że nawet dobrze znane mechanizmy ochronne mogą zostać ominięte. Dlatego podczas analizy podejrzanych plików nie warto skupiać się wyłącznie na tym, czy Windows wyświetlił ostrzeżenie przed ich uruchomieniem. Równie ważne jest sprawdzenie, co wydarzyło się później.

Czy otwarcie pliku doprowadziło do uruchomienia kolejnych procesów, wykonania poleceń PowerShell albo pobrania dodatkowej zawartości z Internetu? Takie zachowania mogą powiedzieć znacznie więcej o potencjalnym ataku niż sama obecność lub brak znacznika MOTW.

Poprawka usuwająca CVE-2026-96951 została uwzględniona w październikowym Patch Tuesday, a potwierdzone przypadki wykorzystania podatności w rzeczywistych atakach dodatkowo zwiększają jej priorytet. W dalszym ciągu przy tego rodzaju zagrożeniach najistotniejszą rolę odgrywa edukacja użytkowników, szczególnie w zakresie rozpoznawania podejrzanych plików i prób socjotechnicznych.