Wrześniowy Patch Tuesday 2026 przejdzie do historii Microsoftu jako największa dotychczasowa jednorazowa publikacja poprawek bezpieczeństwa. 8 września firma udostępniła aktualizacje obejmujące około 970 własnych podatności, a zależnie od sposobu liczenia poszczególne firmy zajmujące się cyberbezpieczeństwem wskazują od 964 do 974 luk. Rapid7, doliczając także 25 zewnętrznych CVE związanych z aktualizowanym ekosystemem, otrzymał łącznie 999 podatności. Sama rekordowa liczba nie jest jednak najważniejszą wiadomością. Dwie luki w Windowsie - CVE-2026-85880 oraz CVE-2026-81963 - były już aktywnie wykorzystywane przed udostępnieniem poprawek. Obie umożliwiają lokalne podniesienie uprawnień aż do poziomu SYSTEM, czyli jednego z najwyższych poziomów dostępu w Windows. Amerykańska CISA umieściła obie podatności w katalogu Known Exploited Vulnerabilities i nakazała federalnym instytucjom zastosować poprawki do 22 września 2026 roku.
Dlaczego Microsoft załatał jednego dnia niemal tysiąc podatności?
Liczba jest ogromna nawet jak na standardy Microsoftu. SecurityWeek policzył 974 CVE naprawione we wrześniowym cyklu aktualizacji, Tenable wskazuje 964, a BleepingComputer 966. Rozbieżności wynikają z metodologii: poszczególne zestawienia inaczej traktują między innymi luki w produktach zewnętrznych, podatności naprawione wcześniej w miesiącu, określone komponenty oraz aktualizacje odnoszące się do kilku produktów jednocześnie. Rapid7 naliczył 974 podatności publikowanych przez Microsoft oraz 25 dodatkowych CVE spoza firmy, co dało niemal symboliczne 999 problemów bezpieczeństwa związanych z wrześniowym Patch Tuesday. Nie zmienia to podstawowego wniosku - był to największy jednorazowy zestaw CVE opublikowany przez Microsoft. Aż 723 dotyczyły samego Windowsa, natomiast kolejne problemy znaleziono między innymi w Office, SQL Server, SharePoint, Azure, Exchange oraz narzędziach programistycznych.
Nie oznacza to jednak, że przeciętny komputer miał jednocześnie niemal tysiąc możliwych do wykorzystania luk. Lista obejmuje dużą liczbę różnych produktów, wersji i konfiguracji, dlatego pojedyncza organizacja będzie podatna tylko na część z nich. Eksperci zwracają uwagę, że gwałtowny wzrost liczby wykrywanych problemów jest częściowo związany z coraz skuteczniejszym automatycznym analizowaniem kodu. Narzędzia wykorzystujące AI ułatwiają wyszukiwanie klas błędów, które wcześniej wymagały znacznie większego nakładu pracy badaczy. Microsoft spodziewa się więc, że bardzo duże wydania Patch Tuesday mogą być w najbliższym czasie czymś coraz bardziej normalnym. Z punktu widzenia administratora oznacza to zmianę podejścia: przy setkach CVE nie da się traktować każdej podatności tak samo. Najwyższy priorytet powinny mieć przede wszystkim błędy aktywnie wykorzystywane, podatności umożliwiające zdalne wykonanie kodu oraz systemy wystawione bezpośrednio na internet.
Czym jest zero-day CVE-2026-85880 w Windows ALPC i dlaczego jest niebezpieczny?
Pierwsza z aktywnie wykorzystywanych podatności otrzymała oznaczenie CVE-2026-85880 i dotyczy mechanizmu Windows Advanced Local Procedure Call, czyli ALPC. Jest to element systemu umożliwiający procesom komunikowanie się ze sobą lokalnie. Microsoft opisuje problem jako przepełnienie bufora w pamięci sterty połączone z niewłaściwym wykorzystaniem zasobów. Luka otrzymała wynik 7,8 w skali CVSS i została sklasyfikowana jako podatność pozwalająca na podniesienie uprawnień. Atakujący posiadający już możliwość wykonania kodu z ograniczonymi uprawnieniami może wykorzystać błąd lokalnie, wydostać się z ograniczonego środowiska AppContainer i uzyskać uprawnienia SYSTEM. Co szczególnie istotne, Microsoft wskazuje, że do wykorzystania podatności nie jest potrzebna kolejna interakcja użytkownika.
To pokazuje również, dlaczego określenie zero-day nie musi oznaczać luki pozwalającej włamać się do dowolnego komputera bezpośrednio przez internet. CVE-2026-85880 wymaga lokalnego dostępu i pewnych wcześniejszych uprawnień, dlatego często byłaby drugim etapem ataku. Przestępca może najpierw wykorzystać phishing, złośliwy dokument, podatność przeglądarki albo skradzione dane logowania, aby uruchomić kod na komputerze użytkownika z ograniczonymi prawami. Następnie luka w ALPC umożliwia przejście do konta SYSTEM, co znacząco rozszerza możliwości atakującego. Może on wtedy próbować wyłączać mechanizmy ochronne, instalować trwałe komponenty malware, uzyskiwać dostęp do danych innych użytkowników czy poruszać się dalej po sieci przedsiębiorstwa. Właśnie dlatego lokalne podatności privilege escalation są bardzo często cennym elementem całego łańcucha ataku, mimo że same w sobie nie zapewniają początkowego dostępu do komputera.
Na czym polega CVE-2026-81963 w Windows Update Stack i dlaczego atakuje szczególnie ważny komponent?
Drugi aktywnie wykorzystywany zero-day, CVE-2026-81963, dotyczy Windows Update Stack, czyli komponentów odpowiadających za instalowanie aktualizacji Windows. Microsoft klasyfikuje błąd jako niewłaściwe rozwiązywanie odwołań do plików przed uzyskaniem do nich dostępu, określane jako „link following”. Atakujący posiadający już ograniczone uprawnienia może przygotować odpowiednią strukturę odwołań i wykorzystać mechanizm aktualizacji do wykonania operacji z większymi prawami. Rezultatem może być ponownie uzyskanie uprawnień SYSTEM. Podatność otrzymała wynik CVSS 7,8, wymaga lokalnego dostępu i niskich początkowych uprawnień, ale nie wymaga dodatkowego działania użytkownika. Według dostępnych danych obejmuje między innymi Windows 11 23H2, 24H2, 25H2 i 26H1 oraz Windows Server 2025 w podatnych kompilacjach.
Umiejscowienie luki jest szczególnie interesujące, ponieważ Windows Update Stack jest częścią mechanizmu, któremu system operacyjny musi ufać podczas instalowania nowych komponentów. Badacze zwracają uwagę, że jest to pierwszy w ostatnich latach przypadek podatności tego komponentu sklasyfikowanej jako aktywnie wykorzystywany zero-day. Nie oznacza to, że atakujący może dowolnie przejąć samą usługę Windows Update przez internet. Zagrożenie pojawia się po wcześniejszym uzyskaniu lokalnego dostępu do systemu. Wtedy wykorzystanie błędu pozwala przestępcy przeskoczyć z konta o ograniczonych możliwościach do kontekstu SYSTEM. Tego rodzaju podatność może być szczególnie użyteczna w kampaniach ransomware, gdzie pierwszym krokiem jest często kompromitacja zwykłego konta, a kolejnym - zdobycie maksymalnych uprawnień potrzebnych do wyłączenia zabezpieczeń, kradzieży poświadczeń i przygotowania szyfrowania infrastruktury.
Czy dwa zero-daye Windowsa były rzeczywiście wykorzystywane przez hakerów przed publikacją aktualizacji?
Tak. Zarówno CVE-2026-85880, jak i CVE-2026-81963 zostały oznaczone jako podatności aktywnie wykorzystywane w rzeczywistych atakach. Amerykańska Cybersecurity and Infrastructure Security Agency dodała obie do katalogu Known Exploited Vulnerabilities 8 września 2026 roku. Dla amerykańskich instytucji federalnych oznacza to obowiązek zastosowania odpowiednich poprawek do 22 września. Sam fakt obecności w katalogu KEV ma większe znaczenie niż wysoki wynik CVSS, ponieważ potwierdza, że zagrożenie nie jest wyłącznie teoretyczne. Ktoś już znalazł praktyczny sposób wykorzystania błędu przeciwko rzeczywistym systemom. Publicznie dostępne informacje nie wskazują jednak obecnie pełnej skali kampanii, liczby ofiar ani wszystkich grup odpowiedzialnych za wykorzystanie obu luk, dlatego nie można zakładać, że mamy do czynienia z masowym globalnym atakiem na każdy komputer z Windowsem.
Określenie „aktywnie wykorzystywany zero-day” oznacza również coś bardziej konkretnego. W chwili, gdy przestępcy zaczęli stosować podatność, użytkownicy nie mieli jeszcze dostępnej oficjalnej poprawki eliminującej problem. Daje to napastnikom wyjątkowo korzystne okno czasowe. Po Patch Tuesday sytuacja zaczyna się zmieniać, ponieważ Microsoft publikuje aktualizację, ale w sieci pozostają miliony komputerów, na których łatka nie została jeszcze zainstalowana. To właśnie pierwsze dni i tygodnie po publicznym ujawnieniu mogą być szczególnie niebezpieczne. Atakujący mogą analizować poprawkę, porównywać zmieniony kod ze starszą wersją i tworzyć własne exploity. Jednocześnie wiedzą, że duża liczba przedsiębiorstw nie instaluje aktualizacji natychmiast z powodu konieczności przeprowadzenia testów kompatybilności. Luka przestaje więc być zero-dayem w ścisłym znaczeniu, ale może stać się znacznie łatwiejsza do wykorzystania na niezałatanych urządzeniach.
Czy największym zagrożeniem wrześniowego Patch Tuesday są tylko dwa zero-daye?
Nie. Dwa aktywnie wykorzystywane błędy powinny znaleźć się bardzo wysoko na liście priorytetów, ale wrześniowy zestaw zawiera także ponad sto problemów sklasyfikowanych przez część firm analitycznych jako krytyczne. SecurityWeek zwraca uwagę na 20 nowych podatności, które mogą być uznawane za potencjalnie „wormable”, ponieważ umożliwiają zdalne wykonanie kodu bez uwierzytelnienia oraz bez interakcji użytkownika. Taka charakterystyka jest szczególnie niebezpieczna w środowiskach sieciowych: odpowiednio przygotowany malware może teoretycznie próbować automatycznie przechodzić z jednego podatnego systemu na następny. Wśród problemów zasługujących na szczególną uwagę badacze wymieniają również luki w Exchange Server, SharePoint, Remote Desktop Services, SQL Server i Microsoft Authenticator.
To pokazuje, dlaczego sama etykieta zero-day nie powinna być jedynym kryterium ustalania kolejności aktualizacji. Podatność niewykorzystywana jeszcze publicznie może być znacznie bardziej niebezpieczna dla konkretnej firmy, jeżeli dotyczy serwera Exchange dostępnego z internetu albo krytycznego serwera Remote Desktop. Z drugiej strony luka lokalna w komponencie, którego organizacja praktycznie nie używa, może mieć niższy priorytet mimo wysokiego CVSS. Administratorzy powinni więc zestawić informacje Microsoftu z własnym inwentarzem systemów. Ważne są nie tylko wartości CVSS, ale także to, czy komponent jest zainstalowany, czy jest osiągalny przez napastnika, jakie uprawnienia są potrzebne do wykorzystania błędu oraz czy istnieją już działające exploity. Rekordowy Patch Tuesday pokazuje, że zarządzanie podatnościami coraz mniej polega na mechanicznym instalowaniu wszystkiego według numeru CVE, a coraz bardziej na analizowaniu realnego ryzyka dla konkretnego środowiska.
Co użytkownik Windows 11 i Windows 10 powinien zrobić po wrześniowym Patch Tuesday 2026?
W przypadku zwykłego użytkownika najważniejszym krokiem jest sprawdzenie, czy wrześniowa aktualizacja zabezpieczeń została już zainstalowana. Microsoft opublikował 8 września między innymi KB5124008 dla Windows 11 24H2 i 25H2 oraz KB5124012 dla Windows 11 26H1. Aktualizacje bezpieczeństwa Windows są domyślnie instalowane automatycznie, ale nie oznacza to, że każdy komputer otrzymał je natychmiast. Można sprawdzić stan w Windows Update, uruchomić wyszukiwanie aktualizacji i po instalacji wykonać wymagany restart. W przypadku Windows 10 sytuacja zależy od konkretnej wersji i programu Extended Security Updates, ponieważ standardowe wsparcie konsumenckich edycji systemu zakończyło się w październiku 2025 roku. Komputer korzystający z niewspieranej konfiguracji może więc nie otrzymywać tych samych zabezpieczeń co urządzenie prawidłowo objęte ESU.
W środowisku firmowym sytuacja jest bardziej skomplikowana. Wgranie niemal tysiąca poprawek bez testów może prowadzić do problemów kompatybilności, dlatego zespoły IT zazwyczaj najpierw aktualizują niewielką grupę systemów, a dopiero później rozszerzają wdrożenie. Nie powinno to jednak oznaczać wielotygodniowego odkładania łat dla aktywnie eksploatowanych podatności. CVE-2026-85880 oraz CVE-2026-81963 powinny otrzymać wysoki priorytet, podobnie jak krytyczne luki w serwerach dostępnych z zewnątrz. Warto równocześnie sprawdzić systemy EDR, logi uwierzytelniania i nietypowe przypadki uruchamiania procesów z uprawnieniami SYSTEM. Aktualizacja zabezpiecza urządzenie przed dalszym wykorzystaniem konkretnego błędu, ale nie usuwa automatycznie śladów włamania, jeżeli napastnik wykorzystał lukę przed zainstalowaniem poprawki.
Dlaczego liczba luk w produktach Microsoftu tak gwałtownie rośnie w 2026 roku?
Wrześniowy rekord nie pojawił się znikąd. Już lipcowy Patch Tuesday był wówczas największym w historii i obejmował kilkaset podatności, a w sierpniu Microsoft opublikował poprawki dla kolejnych około 400 problemów. We wrześniu liczba przekroczyła 900, a według danych przywoływanych przez The Record całkowita liczba CVE ujawnionych przez Microsoft od początku 2026 roku przekroczyła 2600, czyli ponad dwukrotnie więcej niż w rekordowym wcześniej 2020 roku. Jednym z powodów jest rosnące wykorzystanie automatycznych systemów do analizy kodu. AI i nowoczesne techniki fuzzingu pozwalają badaczom przeglądać ogromne komponenty oprogramowania i wykrywać klasy problemów, których ręczne znalezienie byłoby niezwykle czasochłonne. Większa liczba CVE nie musi więc automatycznie oznaczać, że Windows z miesiąca na miesiąc staje się mniej bezpieczny. Może również oznaczać, że coraz więcej istniejących od dawna błędów jest wreszcie znajdowanych i naprawianych.
Dla działów bezpieczeństwa jest to jednak duże wyzwanie operacyjne. Jeżeli pojedynczy Patch Tuesday zawiera prawie tysiąc CVE, samo przeczytanie wszystkich opisów i ręczne sklasyfikowanie ich staje się mało realistyczne. Microsoft zaczął więc we wrześniu 2026 roku rozszerzać publikowanie informacji VEX, czyli Vulnerability Exploitability eXchange, na wszystkie CVE przypisywane przez firmę. Format maszynowy ma pomagać organizacjom automatycznie ustalać, czy konkretna podatność rzeczywiście odnosi się do wykorzystywanego produktu i konfiguracji. Paradoksalnie AI może więc działać po obu stronach procesu: pomaga znajdować coraz większą liczbę błędów, ale jednocześnie automatyzacja staje się konieczna, aby administratorzy byli w stanie nimi zarządzać. Rekordowy wrzesień pokazuje, że przyszłość cyberbezpieczeństwa może nie polegać na mniejszej liczbie podatności, lecz na coraz skuteczniejszym oddzielaniu tych naprawdę niebezpiecznych od setek problemów o znacznie mniejszym znaczeniu dla konkretnej organizacji.
