Microsoft Patch Tuesday: Rozsáhlé opravy a zneužívaná chyba Windows Shell
Říjnové vydání pokrývá přes 1 400 vlastních CVE Microsoftu a zasahuje Windows, Office i serverové a vývojářské produkty. Přednostní pozornost vyžaduje aktivně zneužívané obcházení ochrany souborů z internetu.
Microsoft vydal říjnové bezpečnostní aktualizace 13. října 2026. V poznámkách k vydání uvádí 1 413 vlastních CVE a vedle nich jeden převzatý záznam externího vydavatele. Rozsah zahrnuje mimo jiné Windows, Office, SharePoint Server, SQL Server, Exchange Server, vývojářské nástroje a služby Azure. Číslo CVE není počtem instalačních balíčků: jeden kumulativní balíček může opravit velké množství chyb a stejné CVE může mít opravy pro několik produktů nebo jejich verzí.
Aktivně zneužívaná CVE-2026-96951 ve Windows Shell má podle Microsoftu skóre CVSS 3.1 ve výši 8,8. Umožňuje obejít obranu Mark of the Web, která souvisí s označováním souborů pocházejících z internetu. Útočník může doručit speciálně vytvořený soubor e-mailem nebo zprávou, ale potřebuje přimět uživatele k potřebné akci. Nejde o útok, při kterém by pouhá síťová dostupnost běžné pracovní stanice bez další součinnosti oběti automaticky stačila.
Opravy této chyby zahrnují různé větve Windows 10, Windows 11 a Windows Server. Microsoft například uvádí KB5127648 pro Windows 11 24H2 a 25H2 a KB5126657 pro Windows 10 21H2 a 22H2. U těchto systémových balíčků je požadován restart. Konkrétní opravu je nutné vybrat podle skutečně provozované verze a podmínek její podpory. Chyba je také zahrnuta v přehledu CISA KEV: Útoky na Ivanti a Windows Shell.
Veřejně známá CVE-2026-108398 se týká .NET Frameworku a podle Microsoftu má skóre CVSS 3.1 rovněž 8,8. Umožňuje obejít vynucování Windows Defender Application Control. Přihlášený útočník může na zasaženém systému umístit speciálně připravené sestavení .NET a zaregistrovat ho k načtení chráněným procesem. Výsledkem může být běh nepovoleného kódu v tomto procesu. Jde o lokální scénář pro autentizovaného útočníka, bez požadované interakce dalšího uživatele. Microsoft v ověřeném záznamu uvádí veřejné zveřejnění, ale nikoli zjištěné zneužívání.
Pozornost zaslouží také CVE-2026-21413 ve Windows Raw Image Extension. Microsoft ji přebírá od Cisco Talos a uvádí skóre CVSS 3.1 ve výši 9,8. Přetečení haldy může vést ke spuštění kódu při generování náhledu nebo miniatury speciálně vytvořeného RAW obrázku. Podle vysvětlení v záznamu stačí přimět uživatele přejít do složky, která takový obrázek obsahuje; vlastní soubor nemusí otevřít. Opravy rozšíření a aplikací je proto potřeba prověřit vedle systémových aktualizací. Microsoft u této chyby v ověřeném záznamu nepotvrdil aktivní zneužívání.
Velké vydání vyžaduje rozlišovat mezi aktivními útoky, možností napadení z internetu, lokálními podmínkami a skutečně nasazenými funkcemi. Microsoft 13. října popsal také experimentální přístup nazvaný risk cohorts: seskupování CVE podle společných otázek o expozici, nasazení a hranicích důvěry. Organizace může například jednou zjistit, zda se nedůvěryhodný obsah dostává do určité komponenty, a výsledek využít při posuzování více chyb. Skupiny nejsou novou oficiální klasifikací zranitelností a nenahrazují posouzení jednotlivých CVE ani pokyny k instalaci aktualizací.
Pro správce je praktickým postupem začít aktivně zneužívanou chybou Windows Shell a dalšími riziky odpovídajícími jejich prostředí, poté dokončit nasazení příslušných kumulativních a produktových aktualizací. Zvlášť je vhodné zkontrolovat, zda byly zahrnuty servery, vývojářské stanice a aplikace aktualizované mimo běžný systémový cyklus. Výsledkem má být ověřený stav instalací včetně restartů a funkční kontroly, nikoli pouze seznam schválených balíčků. Široký počet záznamů současně není důvodem předpokládat, že každá uvedená chyba postihuje každý počítač.
