13 października 2026 roku Microsoft opublikował największy w historii zestaw poprawek bezpieczeństwa. Wtorkowa aktualizacja usuwa 1411 podatności, a według BleepingComputer do tej liczby trzeba jeszcze dodać 348 luk załatanych wcześniej w tym samym miesiącu. Wśród nich są trzy zero-daye, z czego jedna była aktywnie wykorzystywana przez atakujących. Dla administratorów to ogromne wyzwanie, a dla zwykłych użytkowników sygnał, że z instalacją aktualizacji nie warto zwlekać.
Trzy zero-daye i krytyczne błędy
Najgroźniejsza jest luka CVE-2026-96951 w powłoce Windows. Pozwala obejść mechanizm Mark of the Web, czyli oznaczanie plików pobranych z internetu jako potencjalnie niebezpiecznych. Gdy to zabezpieczenie zawodzi, system nie wyświetla ostrzeżeń przy otwieraniu złośliwego załącznika, więc phishing staje się znacznie skuteczniejszy. Microsoft potwierdził, że błąd jest już wykorzystywany w atakach, ale nie podał szczegółów.
Dwie pozostałe luki zostały publicznie ujawnione przed publikacją łatek. CVE-2026-108398 w .NET Framework umożliwia obejście Windows Defender Application Control i uruchomienie nieautoryzowanego kodu, a jej odkrywcą jest James Forshaw z Google Project Zero. CVE-2026-92707 to błąd odmowy usługi w bibliotece MessagePack-CSharp o umiarkowanej wadze. Spośród wszystkich poprawionych błędów aż 70 otrzymało ocenę krytyczną, w tym podatność wykonania kodu w Active Directory Domain Services.
Skąd taka liczba?
Z analiz wynika, że ogromny wzrost liczby poprawek wiąże się z wykorzystaniem sztucznej inteligencji do wyszukiwania błędów w kodzie. Ta sama technologia, która pomaga obrońcom, trafia też w ręce atakujących, więc okno czasowe między publikacją łatki a pojawieniem się exploita się skraca. Microsoft wprowadził też eksperymentalne „grupy ryzyka”, które pomagają ustalać priorytety. Największe obejmują system plików, magazynowanie i backup (136 luk) oraz dokumenty i klientów poczty Office (135 luk). Firma zaznacza jednak, że grupowanie nie oznacza, które błędy są najgroźniejsze.
Warto też pamiętać, że to ostatnia aktualizacja dla Windows 11 w wersji 24H2 Home i Pro oraz dla Windows 10 Enterprise LTSB 2016. Kolejne systemy, takie jak Windows 11 23H2 Enterprise i Education, przestaną dostawać poprawki w przyszłym miesiącu.
Co możesz zrobić
Zainstaluj październikowe aktualizacje Windows i Office jak najszybciej, a komputery domowe pozostaw z włączonymi automatycznymi aktualizacjami. Zachowaj ostrożność wobec załączników i plików pobranych z internetu, nawet jeśli system nie wyświetla ostrzeżenia. Firmy powinny w pierwszej kolejności załatać serwery Active Directory i stacje robocze, a także sprawdzić, czy używane wersje Windows nadal są objęte wsparciem. Jeśli korzystasz z systemu, który traci wsparcie, zaplanuj aktualizację do nowszej wersji.
Podsumowanie
Rekordowy Patch Tuesday pokazuje, że liczba odkrywanych podatności rośnie szybciej niż kiedykolwiek, a tempo ich łatania musi dotrzymać kroku. Jedna aktywnie wykorzystywana luka omijająca ostrzeżenia o plikach z internetu wystarczy, by zwykły załącznik stał się wektorem ataku. Regularne aktualizacje i ostrożność przy otwieraniu plików pozostają najprostszą i najskuteczniejszą ochroną.