Jedna luka atakowana, ponad 1400 poprawek
Październikowy Patch Tuesday (13 października 2026) jest największy w historii Microsoftu. Zależnie od sposobu liczenia to 1407–1415 luk, z czego około 70 ma ocenę krytyczną. Tylko jedna jest wykorzystywana w atakach: CVE-2026-96951 w Windows Shell. Dwie kolejne ujawniono publicznie przed wydaniem poprawek, ale bez potwierdzonych ataków.
Przy takiej liczbie łatek nie da się przejrzeć każdej osobno. Najważniejsza informacja dla firmy: wszystkie luki w Windows naprawia jedna aktualizacja zbiorcza na system, więc o kolejności wdrażania decyduje to, które maszyny są najbardziej wystawione na atak.
CVE-2026-96951: obejście Mark of the Web
Pliki pobrane z internetu albo z poczty dostają w Windows znacznik Mark of the Web. Dzięki niemu system pokazuje ostrzeżenie, SmartScreen sprawdza plik, a Office otwiera dokument w trybie chronionym i blokuje makra. Luka w Windows Shell (CVSS 8.8, Microsoft: „ważna”) pozwala spreparować plik tak, żeby te zabezpieczenia nie zadziałały. Ofiara musi kliknąć link albo otworzyć załącznik, więc to typowe narzędzie kampanii phishingowych. Luka nie rozprzestrzenia się sama w sieci.
CISA dodała lukę do katalogu KEV w dniu publikacji poprawki i dała agencjom federalnym trzy dni na wdrożenie poprawki. Szczegółów ataków nie ujawniono. Podatne są wszystkie wspierane wersje Windows, od Windows 10 i Server 2012 R2 po Windows 11 26H2 i Server 2025.
Kolejność wdrażania
Od razu
- Stacje robocze, zwłaszcza laptopy osób, które dostają pocztę z zewnątrz: łatka na CVE-2026-96951 oraz aktualizacje Office.
- Outlook: CVE-2026-70291 i CVE-2026-88156 (CVSS 9.8). Według Microsoftu wystarczy wyświetlenie wiadomości w okienku podglądu, bez otwierania czy klikania. Exploitów na razie nie ma, ale ten typ błędu szybko przyciąga atakujących.
- Exchange Server on-premises: CVE-2026-70571, przepełnienie stosu wywoływane przez spreparowany e-mail, bez logowania. Atak jest trudny (AC:H), lecz Microsoft ocenia wykorzystanie jako „bardziej prawdopodobne”.
W najbliższym oknie serwisowym (w tym tygodniu)
- Kontrolery domeny: CVE-2026-70229 w AD DS, zdalne wykonanie kodu bez uwierzytelnienia, „wykorzystanie bardziej prawdopodobne”.
- Serwery z rolą DHCP (CVE-2026-96934, CVSS 9.8) i z usługą MSMQ (CVE-2026-100202, CVSS 9.8, port TCP 1801). MSMQ nie jest instalowany domyślnie, ale często zostaje po starych aplikacjach.
- Hosty Hyper-V: CVE-2026-102214 pozwala z maszyny gościa wykonać kod na hoście. Ważne tam, gdzie na jednym hoście działają maszyny o różnym poziomie zaufania.
- Bramy RD Gateway (CVE-2026-70187) i SharePoint Server (CVE-2026-102866, podszycie się pod użytkownika przy użyciu zmodyfikowanego tokenu).
- .NET Framework: CVE-2026-108398, ujawnione publicznie obejście Windows Defender Application Control. Istotne dla firm, które opierają się na WDAC.
Jak sprawdzić, czy łatki są na miejscu
Październikowe aktualizacje zbiorcze:
- Windows 11 24H2, 25H2 i 26H2: KB5127648 (kompilacje 26100.9711, 26200.9711, 26300.9711); 23H2: KB5126653; 26H1: KB5127646;
- Windows 10 22H2/21H2 (ESU): KB5126657;
- Windows Server 2025: KB5126646 (26100.33650); 2022: KB5126655; 2019: KB5126651; 2016: KB5126868; 2012 R2 (ESU): KB5126836;
- Exchange: KB5128895 (Subscription Edition RTM), KB5128896 (2019 CU15), KB5128897 (2019 CU14), KB5128898 (2016 CU23).
Na pojedynczej maszynie wystarczy winver (numer kompilacji) albo w PowerShell Get-HotFix -Id KB5127648. W WSUS sprawdźcie raport stanu dla tych KB, w Intune raport aktualizacji jakościowych Windows. Office z kanału Microsoft 365 aktualizuje się sam, ale sprawdźcie wersję w Plik → Konto na kilku komputerach.
Co się wydarzyło po 13 października
Najważniejszy problem dotyczy firm z własnym Exchange. Październikowe aktualizacje Windows Server 2016–2025 wprowadziły limit 512 jednoczesnych wywołań Endpoint Mapper, za mały dla obciążonego Exchange. Objawy: brak logowania do OWA, wiadomości wiszące w Skrzynce nadawczej, rosnące kolejki, błąd MapiExceptionMdbOffline (ec=1142) i zdarzenie 1006 w dzienniku aplikacji. Problem może pojawić się dopiero po kilku dniach. Microsoft odradza odinstalowanie łatki i podaje tymczasowe obejście (po nim restart serwera):
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f
Do 22 października nie było poprawki ani aktualizacji poza cyklem dla tego błędu. Microsoft wydał 16 października aktualizację poza cyklem KB5133047, ale dotyczy ona tylko ekranu pierwszego uruchomienia (OOBE) Windows 11 26H1 i nie jest poprawką bezpieczeństwa.
W Windows 11 Microsoft opisał też błąd połączeń RDP dla użytkowników bez uprawnień administratora do komputerów z włączoną funkcją Administrator protection (błąd 0xC000000D). Dla Windows 11 24H2 w wersjach Home i Pro październikowa łatka jest ostatnia; takie komputery w firmie trzeba przenieść na 25H2.
Wniosek na dłużej
Ponad tysiąc poprawek w miesiącu oznacza, że ręczne czytanie biuletynów przestaje wystarczać. Potrzebne są trzy rzeczy: spis serwerów z rolami (DHCP, MSMQ, AD DS, RD Gateway, Exchange), automatyczne wdrażanie na stacje robocze w pierwszych dniach po wydaniu i grupa testowa, która wyłapie problemy podobne do tego z Exchange, zanim trafią na wszystkie serwery.