Rekordní aktualizaci neodkládejte. Microsoft právě opravil skoro 1000 chyb, víc než 100 bylo kritických

Nejvíce chyb se týká oprávnění: Jejich zneužitím si útočníci s počítačem oběti mohou dělat co chtějí

Rozsah zářijového opravného balíku je skutečně mimořádný. Microsoft v něm záplatuje 966 zranitelností, z nichž 105 označil jako kritické. Do této skupiny spadá mimo jiné 81 chyb, které umožňují vzdálené spuštění kódu, a 20 problémů souvisejících se zvýšením oprávnění.

Mezi téměř tisícovkou opravených bezpečnostních problémů v rámci zářijových záplat se také nacházejí dvě zranitelnosti nultého dne – ty už útočníci aktivně zneužívají. V obou případech jim mohou pomoci získat plnou kontrolu nad napadeným zařízením.

Pokud se na opravy podíváme podle jednotlivých kategorií, největší část představují zranitelnosti umožňující zvýšení oprávnění – těch Microsoft řeší 438. Dalších 258 umožňuje vzdálené spuštění kódu a 173 může vést k úniku informací. Opravy zahrnují také 56 problémů typu denial-of-service, 19 zranitelností souvisejících s obcházením bezpečnostních funkcí a 16 chyb umožňujících spoofing.

A skutečný počet oprav za celý měsíc je ještě vyšší. Do uvedených 966 zranitelností se totiž nezapočítává dalších 204 bezpečnostních problémů, které Microsoft opravil už dříve v prvních zářijových dnech. Týkaly se například služeb Azure, Copilot Studio, Entra ID, prohlížeče Edge nebo Power Automate.

Tak velký Patch Tuesday tu ještě nebyl

Zářijová várka překonává i předchozí aktualizace, které byly také mimořádně rozsáhlé. V červenci Microsoft opravil 570 bezpečnostních chyb a v srpnu dalších 400. Nynějších 966 zranitelností ale představuje další výrazný skok.

Za rostoucím počtem odhalených bezpečnostních problémů může být paradoxně nasazení umělé inteligence. Microsoft totiž začal používat systém založený na AI, který pomáhá vyhledávat zranitelnosti ve všech jeho softwarových produktech.

Dvě chyby už útočníci zneužívají

Z našeho pohledu jsou ale nejdůležitější dvě chyby nultého dne, které podle dostupných informací kyberzločinci již aktivně zneužívají. 

První z nich byla katalogizována pod číslem CVE-2026-81963 a týká se komponenty Windows Update Stack. Chyba při nesprávném zpracování odkazů před přístupem k souborům umožňuje autorizovanému útočníkovi lokálně zvýšit svá oprávnění a získat systémová práva. To je ve Windows velmi vysoká úroveň přístupu, která kyberzločincům poskytuje rozsáhlou kontrolu nad napadeným systémem. Microsoft zatím nezveřejnil podrobnosti o tom, jakým způsobem byla tato zranitelnost při skutečných útocích zneužívána.

Druhá zero-day chyba, označená CVE-2026-85880, se týká přetečení vyrovnávací paměti. Jejím zneužitím útočník rovněž může zvýšit svá lokální oprávnění až na systémovou úroveň. Ani u této zranitelnosti prozatím nejsou známy podrobnosti.

Ani tentokrát aktualizaci Windows příliš neodkládejte

Rekordní počet opravených zranitelností sám o sobě ještě neznamená, že je váš počítač bezprostředně ohrožen téměř tisícovkou různých útoků. Nicméně dvě chyby, které zářijový opravný balík záplatuje, kyberzločinci už prokazatelně zneužívají v otevřeném prostředí.

Pokud tedy máte ve svých Windows zářijové bezpečnostní aktualizace už k dispozici, pro jejich instalaci opět platí, že byste s ní neměli zbytečně otálet.

Zdroj: Bleeping Computer