Microsoft vydal pravidelné bezpečnostné aktualizácie v rámci marcového „Patch Tuesday“ 2026, ktoré opravujú viac ako 70 zraniteľností naprieč jeho produktmi. Celkovo bolo odstránených 79 bezpečnostných chýb, vrátane dvoch tzv. zero-day zraniteľností a viacerých kritických problémov, ktoré by mohli útočníkom umožniť spúšťanie škodlivého kódu alebo získanie vyšších oprávnení v systéme.
Prehľad marcových zraniteľností
Marcová aktualizácia zahŕňa tri kritické zraniteľnosti. Dve z nich umožňujú vzdialené spustenie kódu (RCE) a jedna sa týka úniku informácií. Okrem toho Microsoft opravil desiatky ďalších bezpečnostných problémov v rôznych kategóriách:
- 2 obídenia bezpečnostných mechanizmov
- 4 spoofing (podvrhnutie identity)
- 4 útoky typu Denial-of-Service
- 10 únikov informácií
- 18 vzdialených spustení kódu
- 46 eskalácií oprávnení
Tieto čísla zahŕňajú iba zraniteľnosti riešené priamo v rámci Patch Tuesday. Ďalšie opravy vydané skôr – napríklad pre prehliadač Edge, cloudové služby Azure alebo Linux distribúciu Mariner – do tohto súhrnu nepatria.
Dve zero-day zraniteľnosti
Najväčšiu pozornosť pútajú dve zero-day chyby, ktoré boli zverejnené ešte pred vydaním opráv. Aj keď zatiaľ neboli zaznamenané aktívne útoky, ich zverejnenie výrazne zvyšuje riziko zneužitia.
Eskalácia oprávnení v SQL Serveri (CVE-2026-21262)
Prvá chyba sa týka databázového systému SQL Server. Ide o problém s nesprávnou kontrolou prístupu, ktorý umožňuje autentifikovanému útočníkovi získať administrátorské oprávnenia.
Možné dôsledky:
- získanie vyšších databázových práv
- úprava alebo krádež citlivých dát
- kompromitácia aplikácií napojených na databázu
Vzhľadom na široké využitie SQL Servera v podnikovej infraštruktúre sa odporúča okamžitá aktualizácia.
Denial-of-Service v .NET (CVE-2026-26127)
Druhá zero-day zraniteľnosť ovplyvňuje platformu .NET. Ide o chybu typu „out-of-bounds read“, ktorá môže umožniť vzdialenému útočníkovi spôsobiť nedostupnosť služby.
Hoci neumožňuje priamy prienik do systému, môže viesť k výpadkom aplikácií a služieb.
Kritické chyby v Microsoft Office
Microsoft opravil aj dve nebezpečné zraniteľnosti umožňujúce vzdialené spustenie kódu v balíku Office:
- CVE-2026-26110
- CVE-2026-26113
Tieto chyby je možné zneužiť cez náhľad dokumentov (preview pane), čo znamená, že používateľ nemusí súbor ani otvoriť – stačí jeho zobrazenie v Prieskumníkovi alebo Outlooku. To výrazne zvyšuje riziko phishingových útokov.
Excel a riziko úniku dát cez AI Copilot
Zaujímavým prípadom je aj zraniteľnosť v Exceli (CVE-2026-26144), ktorá môže viesť k úniku dát cez nástroj Copilot.
Útočník by mohol manipulovať sieťovú komunikáciu tak, aby Copilot neúmyselne odosielal citlivé informácie mimo organizácie. Ide o tzv. „zero-click“ útok, ktorý nevyžaduje interakciu používateľa.
Tento problém poukazuje na rastúce bezpečnostné výzvy spojené s integráciou umelej inteligencie do kancelárskych nástrojov.
Viac informácií tu:
https://www.linkedin.com/pulse/microsoft-february-2026-patch-tuesday-fixes-70-1mwuf