Microsoft vydal októbrové bezpečnostné aktualizácie 2026, ktoré podľa dostupných informácií riešia 1 411 zraniteľností. Ide o doteraz najväčšie vydanie v rámci Patch Tuesday. Zahŕňa Windows bezpečnostný bypass, ktorý je už aktívne zneužívaný, a dve ďalšie chyby, ktoré boli zverejnené ešte pred mesačnými opravami od Microsoftu.
Vydanie z 13. októbra obsahuje 70 zraniteľností s hodnotením Critical. Z nich je 57 typu vzdialené spustenie kódu (remote code execution), 11 typu zvýšenie oprávnení (elevation of privilege) a dve typu spoofing.
Najnaliehavejším problémom je CVE-2026-96951, zraniteľnosť vo Windows Shell, ktorú útočníci využili na obídenie ochrany Mark of the Web. Ďalšie dve zero-day zraniteľnosti sa týkajú vynucovania application control v .NET Framework a serializačnej knižnice MessagePack-CSharp.
Obrancovia tak čelia trom odlišným výzvam: zneužívanej slabine v ochrane stiahnutých súborov, spôsobu obchádzania obmedzení toho, ktoré aplikácie môžu bežať, a vzdialene dosiahnuteľnému riziku nedostupnosti (denial of service) v dotknutých aplikáciách.
Vydanie zároveň zapadá do termínov ukončenia podpory Windowsu, takže október je skúškou nielen nasadzovania záplat, ale aj plánovania migrácie. Inštalácia najnovších aktualizácií rieši súčasné zraniteľnosti, no niektoré zariadenia potrebujú na zachovanie ochrany aj upgrade operačného systému alebo príslušnú dohodu o rozšírenej podpore.
Windows Shell: zero-day, ktorá je už zneužívaná
Najvyššou okamžitou prioritou spomedzi troch zero-day zraniteľností je CVE-2026-96951, ktorá je v poskytnutej správe opísaná ako obídenie bezpečnostnej funkcie vo Windows Shell súvisiace s nesprávnym spracovaním príkazových prvkov.
Podľa bezpečnostného upozornenia Microsoftu môže neautorizovaný útočník túto slabinu zneužiť cez sieť na obídenie Mark of the Web.
Mark of the Web je značka, ktorá eviduje, že súbor pochádza z nedôveryhodného zdroja, napríklad zo stiahnutia z internetu. Aplikácie vo Windowse môžu túto informáciu použiť pri rozhodovaní, či na súbor uplatnia dodatočné ochranné opatrenia.
Dokumentácia Microsoftu k zabezpečeniu Office ilustruje jej význam: Office berie túto značku do úvahy pri vyhodnocovaní dokumentov z internetu, vrátane toho, či sa majú blokovať makrá. Výsledné správanie závisí aj od politík, dôveryhodných umiestnení a ďalších nastavení dôvery.
Obídenie tak môže podkopať ochranu, ktorá pomáha odlíšiť externý obsah od dôveryhodného. Jeho hodnota pre útočníka môže spočívať v tom, že uľahčí neskoršiu fázu útoku, aj keď samotné obídenie neposkytuje plnú kontrolu nad zariadením.
Zverejnená správa však neuvádza útočníkov, ich ciele, spôsob doručenia ani rozsah zneužívania. Nepotvrdzuje ani to, že táto konkrétna zraniteľnosť bola zneužitá cez dokumenty Office. Príklad s Office vysvetľuje všeobecnú úlohu Mark of the Web, nie pozorovaný reťazec útoku.
Tieto limity sú dôležité. Aktívne zneužívanie potvrdzuje naliehavosť, ale bez ďalších dôkazov neopodstatňuje pripisovanie aktivity ransomvérovej skupine, špionážnej operácii alebo konkrétnej rodine malvéru.
Chyba v .NET Framework ohrozuje vynucovanie application control
Druhá zero-day, CVE-2026-108398, sa týka .NET Framework a podľa poskytnutej správy môže autentifikovanému útočníkovi umožniť obísť Windows Defender Application Control (WDAC).
Slabina spočíva v nedôveryhodnej ceste vyhľadávania (untrusted search path). Podľa opisu Microsoftu, ktorý správa reprodukuje, môže útočník umiestniť na dotknutý počítač špeciálne vytvorenú .NET assembly a zariadiť, aby sa načítala do chráneného procesu.
Úspešné zneužitie by mohlo umožniť spustenie kódu v rámci tohto procesu napriek obmedzeniam application control. Opísaný útok nevyžaduje interakciu používateľa, no útočník musí mať už autentifikovaný prístup a splniť lokálne podmienky zneužitia.
Objaviteľom chyby je podľa kreditu výskumník Google Project Zero James Forshaw. Zraniteľnosť je označená ako verejne zverejnená, bez hlásenia potvrdeného zneužívania v praxi.
Usmernenia Microsoftu k application control vysvetľujú, prečo si táto trieda slabín zaslúži pozornosť: application control obmedzuje, aký kód sa môže spúšťať, vrátane aplikácií, skriptov, inštalátorov a niektorých ďalších ciest vykonávania. Microsoft odporúča používať ju spolu s antivírusovou ochranou.
Pre organizácie, ktoré sa spoliehajú na allowlisting pri obmedzovaní kompromitovaných účtov alebo neautorizovaného softvéru, obídenie oslabuje dôležité záchytné opatrenie. Aktualizácia je preto obzvlášť relevantná pre prísne spravované koncové zariadenia a systémy, v ktorých je politika application control kľúčovou súčasťou bezpečnostného návrhu.
Neznamená to, že by sa application control mala vypnúť. Vhodnejšou reakciou je aktualizovať dotknuté systémy, ponechať politiku v platnosti a overiť, že autorizované aplikácie naďalej fungujú, zatiaľ čo zakázaný kód zostáva blokovaný.
Zraniteľnosť MessagePack presúva prácu aj na aplikačné tímy
Tretia zero-day, CVE-2026-92707, je zraniteľnosť typu denial of service v MessagePack-CSharp, knižnici používanej na serializáciu a deserializáciu aplikačných dát.
Upozornenie správcov knižnice, zverejnené 17. septembra, poskytuje viac podrobností. Deserializácia škodlivých dát do System.Object môže alokovať nadmerné množstvo pamäte skôr, než limit hĺbky vstup odmietne. Opakované požiadavky môžu spôsobiť tlak na pamäť, ukončenie procesu alebo výpadok služby.
Upozornenie uvádza opravené verzie 2.5.303 a 3.1.9. Miera ohrozenia závisí od správania aplikácie: dotknuté sú cesty, ktoré spracúvajú nedôveryhodné dáta cez zraniteľný formatter. Aplikácie ASP.NET Core SignalR môžu byť vystavené cez určité hub metódy s povoleným MessagePack a parametrami typu object.
Aj autentifikácia závisí od aplikácie. Verejný endpoint môže umožniť neautentifikovaný prístup, kým chránený endpoint si zachováva nakonfigurované požiadavky na prístup.
Navrhované zmiernenia zahŕňajú používanie konkrétnych dátových typov namiesto object, obmedzenie volajúcich a obmedzenie počtu požiadaviek. Správcovia upozorňujú, že samotné menšie limity veľkosti správ alebo hĺbky nevyriešia podstatu problému úplne.
Z praktického hľadiska to znamená, že záplatovanie operačného systému a oprava aplikácií môžu mať rôznych vlastníkov. Vývojové tímy by mali preskúmať priame aj tranzitívne závislosti, identifikovať nasadené aplikácie obsahujúce dotknutú knižnicu a potvrdiť, že opravené komponenty sa dostali do produkcie.
Upgrade balíka v zdrojovom repozitári je len medzikrok, ak nasadené inštancie aplikácie stále obsahujú staršiu závislosť.
Tri zero-day zraniteľnosti neznamenajú tri potvrdené útočné kampane
Vydanie opravuje jednu zraniteľnosť uvádzanú ako aktívne zneužívanú a dve uvádzané ako verejne zverejnené.
Toto rozlíšenie je dôležité pre technickú prioritizáciu aj pre reportovanie manažmentu. Verejné zverejnenie môže zvýšiť povedomie útočníkov, no samo osebe nepreukazuje, že k zneužitiu došlo.
Nahlásený stav v tomto vydaní:
- CVE-2026-96951 (Windows Shell): aktívne zneužívaná
- CVE-2026-108398 (.NET Framework): verejne zverejnená
- CVE-2026-92707 (MessagePack-CSharp): verejne zverejnená
Poskytnutý článok obsahuje nekonzistentný podnadpis, ktorý hovorí o dvoch zero-day zraniteľnostiach, ale úvod a podrobné opisy uvádzajú tri. Podstatné je rozlíšenie medzi jedinou zneužívanou zraniteľnosťou a dvoma verejne zverejnenými chybami.
Bezpečnostné tímy by mali toto rozlíšenie zachovať v incidentných brífingoch. Z poskytnutého reportingu nevyplýva žiadny dôvod opisovať všetky tri ako aktívne zneužívané.
Hodnotenie Critical je len jednou súčasťou prioritizácie
Zo 70 zraniteľností s hodnotením Critical si zaslúžia dôkladnú kontrolu najmä 57 chýb typu vzdialené spustenie kódu. Samotné označenie závažnosti však nevypovedá o pravdepodobnosti alebo obchodnom dopade útoku v konkrétnom prostredí.
Vystavená služba spracúvajúca nedôveryhodnú prevádzku môže predstavovať iné riziko než ten istý komponent za reštriktívnymi prístupovými kontrolami. Obídenie application control môže mať obzvlášť vážne následky tam, kde sa obrancovia výrazne spoliehajú na allowlisting. Chyba typu denial of service sa môže stať prevádzkovo závažnou, ak postihuje službu zásadnú pre zákaznícke transakcie alebo interné pracovné postupy.
Katalóg Known Exploited Vulnerabilities (KEV) od CISA je určený na podporu prioritizácie správy zraniteľností na základe dôkazov o zneužívaní v reálnom svete. Jeho usmernenia podporujú zohľadňovanie aktivity zneužívania popri technickej závažnosti. Tento článok nepotvrdzuje zaradenie októbrových zraniteľností do katalógu ani federálnu lehotu na nápravu.
Obhájiteľné poradie nasadzovania by malo kombinovať stav zneužívania, vonkajšiu expozíciu, potrebné oprávnenia, dostupné zmiernenia a dôležitosť dotknutého systému.
Takýto prístup zároveň zabraňuje tomu, aby sa všetkých 1 411 nahlásených zraniteľností považovalo za rovnako naliehavé, alebo aby sa predpokladalo, že všetko mimo kategórie Critical môže počkať.
Termíny ukončenia podpory Windowsu zvyšujú tlak na migráciu
Windows message center Microsoftu potvrdzuje, že 13. október je posledným pravidelným aktualizačným dňom pre Windows 11 24H2 Home a Pro a Windows 10 Enterprise LTSB 2016.
Windows 11 24H2 Enterprise a Education zostávajú podporované do 12. októbra 2027. Oprávnené organizácie, ktoré si ponechávajú Windows 10 Enterprise LTSB 2016, môžu počas dokončovania migrácie zvážiť Extended Security Updates.
Microsoft tiež uvádza 10. november 2026 ako dátum poslednej bezpečnostnej aktualizácie pre Windows 11 23H2 Enterprise a Education. Tieto edície ešte dostanú novembrovú aktualizáciu.
Okrem toho októbrové aktualizácie Windowsu začínajú vynucovať sprísnenie oprávnení kontajnera AD FS Distributed Key Manager v súvislosti s CVE-2026-56155. Microsoft uvádza, že podporované servery aplikujú nápravu predvolene, pokiaľ sa administrátori nerozhodnú pre opt-out. Windows Server 2012 a 2012 R2 vyžadujú manuálnu nápravu.
Pre IT lídrov z toho vyplývajú dve paralelné úlohy: odstrániť súčasnú expozíciu a zabezpečiť, aby zariadenia zostali oprávnené na budúce opravy. Stav podpory je potrebné kontrolovať podľa edície a verzie, keďže podobne pomenované vydania Windowsu môžu mať rôzne termíny.
Čo by organizácie mali urobiť teraz
Vydanie vyžaduje koordinovanú prácu medzi správcami koncových zariadení, serverovými tímami, bezpečnostnými operáciami a aplikačnými vývojármi.
- Uprednostnite zneužívanú zraniteľnosť vo Windows Shell. Identifikujte dotknuté systémy podľa upozornenia Microsoftu a urýchlite nasadenie príslušných opráv.
- Skontrolujte pokrytie .NET Framework samostatne. Potvrďte, že dotknuté inštalácie dostanú príslušnú aktualizáciu, namiesto predpokladu, že nasadenie na úrovni operačného systému pokrýva každý komponent frameworku.
- Zinventarizujte závislosti MessagePack. Nájdite dotknuté aplikácie, preskúmajte dosiahnuteľné cesty deserializácie a nasaďte opravené balíky cez proces vydávania aplikácií.
- Posúďte zraniteľnosti Critical podľa skutočnej expozície. Začnite dotknutými službami, ktoré prijímajú nedôveryhodný vstup alebo podporujú citlivé obchodné funkcie.
- Overte správanie application control. Ponechajte vynucovanie zapnuté a po aktualizácii otestujte kľúčové aplikácie.
- Preskúmajte zmeny v životnom cykle a hardeningu. Potvrďte oprávnenosť operačného systému na podporu a v relevantných prípadoch skontrolujte požiadavky AD FS.
- Overte dokončenie nasadenia. Sledujte zlyhané inštalácie, potrebné reštarty, offline zariadenia a aplikačné inštancie, ktoré ešte neboli znovu nasadené.
- Vyšetrujte podozrivú aktivitu nezávisle od záplatovania. Ak existuje podozrenie na kompromitáciu, zachovajte dôkazy a posúďte incident; aplikovanie opravy nepreukazuje, že skoršie narušenie bolo odstránené.
Otázka pre manažment znie, či boli najrizikovejšie systémy opravené a či majú zostávajúce výnimky menovaného vlastníka a termín.
Októbrové vydanie robí toto rozlíšenie obzvlášť dôležitým. Vysoké celkové percento zaplátania môže stále skrývať vystavenú službu, nezaplátanú vývojovú závislosť alebo zariadenie, ktoré dosiahlo koniec pravidelnej podpory.
Zdroje:
https://www.linkedin.com/pulse/microsofts-record-october-patch-tuesday-fixes-1400-8akte
https://thehackernews.com/2026/10/microsoft-patches-record-1413-flaws.html