A Microsoft kedden megdöntötte saját Patch Tuesday rekordját: összesen 1 413 sebezhetőséghez adott ki javítócsomagot, köztük egy olyat is, amelyet már aktívan ki is használnak.

A hibák közül 1 102 érinti a Windowst, 134 az Office-t, 61 a Developer Tools csomagot, 36 a SharePoint Servert, 22 pedig az SQL Servert. Több mint 670 jogosultságkiterjesztésre ad lehetőséget, több mint 300 távoli kódfuttatást tesz lehetővé, és 250 információszivárgáshoz vezethet. Több mint 70 sebezhetőséget minősítettek kritikus súlyosságúnak.

„Régen kivételnek számított, ha egyetlen kiadásban több száz CVE szerepelt; ma már ez az alap” – mondta Dustin Childs, a Zero Day Initiative (ZDI) Threat Awareness részlegének vezetője. „Ez az MI hibája? Részben. Felgyorsítja a hibakeresést mindkét oldalon, így a gyártók több sebezhetőséget találnak és javítanak, a kutatók pedig gyorsabban bukkannak rájuk.”

„De az MI nem a semmiből hozza létre ezeket a hibákat; csak lerövidíti az időt aközött, hogy egy sebezhetőség létezik, és aközött, hogy valaki észreveszi. A mennyiség már nem az igazi történet. Az számít, hogy a felfedezés gyorsabban skálázódik, mint a kihasználás, így azok a csapatok, amelyek pusztán a CVE-k száma alapján priorizálnak, és nem a kihasználhatóság szerint, rossz hibákra pazarolják az idejüket. Először azokat a hibákat javítsuk, amelyek bizonyítottak, priorizáltak és nyilvánosak, a többit pedig kezeljük úgy, mint az adott hónap új normálisát.”

Három kiemelt sebezhetőség:

• CVE-2026-96951 (CVSS pontszám: 8,8) – Parancsbeillesztési sebezhetőség a Windows Shellben, amely lehetővé teszi, hogy egy jogosulatlan támadó hálózaton keresztül megkerüljön egy biztonsági funkciót.
• CVE-2026-108398 (CVSS pontszám: 8,8) – Nem megbízható keresési útvonal sebezhetőség a .NET Frameworkben, amely lehetővé teszi, hogy egy jogosult támadó helyben megkerüljön egy biztonsági funkciót.
• CVE-2026-92707 (CVSS pontszám: 5,3) – Helytelenül vezérelt szekvenciális memóriakiosztási sebezhetőség a MessagePack-CSharpban, amely lehetővé teszi, hogy egy jogosulatlan támadó hálózaton keresztül szolgáltatásmegtagadást idézzen elő.

A Microsoft a CVE-2026-96951 bejelentéséért Fujitsu-s Riku Bambát és Yuya Chudót, továbbá az Anthropic munkatársát, Benoit Sevenst és egy yhw nevű kutatót említett meg, és közölte, hogy a sebezhetőséget már kihasználják a gyakorlatban.

„Aki sikeresen kihasználja a sebezhetőséget, meg tudja kerülni a Mark of the Web (MOTW) védelmet” – közölte a Windows gyártója. „Egy e-mailes vagy azonnali üzenetes támadási forgatókönyvben a támadó egy speciálisan készített fájlt küldhet a célpontnak, amelyet kifejezetten a sebezhetőség kihasználására terveztek.”

„Minden esetben igaz, hogy a támadó nem tudja rákényszeríteni a felhasználót, hogy megnézze az általa vezérelt tartalmat. Ehelyett rá kell vennie a felhasználót valamilyen műveletre. Például elérheti, hogy a felhasználó egy olyan hivatkozásra kattintson, amely a támadó webhelyére viszi, vagy egy rosszindulatú mellékletet küldhet neki.”

Nem világos, hogy a sebezhetőséget hogyan használják ki a valós támadásokban, kik állnak mögötte, és kiket vettek célba. Az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) felvette a hibát a Known Exploited Vulnerabilities (KEV) katalógusába, és előírta a szövetségi ügynökségeknek, hogy legkésőbb 2026. október 16-ig telepítsék a javításokat.

A CVE-2026-108398 esetében a Microsoft elismerte, hogy a javítócsomagok kiadásának idején már nyilvánosan ismert volt. A cég szerint a biztonsági rés segítségével meg lehet kerülni a Windows Defender Application Control (WDAC) érvényesítését, és jogosulatlan alkalmazásokat lehet futtatni a célrendszereken.

„Egy hitelesített támadó egy speciálisan készített .NET assemblyt helyezhet el az érintett rendszeren, és úgy regisztrálhatja, hogy egy védett folyamat töltse be” – közölte a Microsoft. „A sikeres kihasználás megkerülheti a Windows Defender Application Control korlátozásait, és lehetővé teszi a támadónak, hogy kódot futtasson a védett folyamaton belül. Felhasználói beavatkozásra nincs szükség.”

„Ez a sebezhetőség különösen veszélyes, ha már megtörtént a kezdeti kompromittálás, mert lehetővé teszi a helyi hozzáféréssel rendelkező támadóknak, hogy felhasználói interakció nélkül kerüljék meg a biztonsági korlátozásokat” – mondta Mike Walters, az Action1 elnöke és társalapítója nyilatkozatában. „A sikeres kihasználás alááshatja a rendszer integritását, érzékeny üzleti adatok kiszivárgásához vezethet, gyengítheti a végpontvédelmet, és megzavarhatja a kritikus működést.”

A Microsoft a sebezhetőség felfedezését James Forshaw-nak, a Google Project Zero kutatójának tulajdonította, míg a CVE-2026-92707 bejelentéséért egy névtelen kutatót említett meg. Ez a biztonsági rés a második olyan hiba, amelyet nyilvánosan ismertként jelöltek meg.

Javítócsomagokat adtak ki egy nem Microsoft-féle CVE-re (CVE-2026-21413, CVSS pontszám: 9,8) is. Ez egy heap-alapú puffer túlcsordulási hiba a Raw Image Extensionben, amely távoli kódfuttatáshoz vezethet.

„A támadó úgy használhatja ki a sebezhetőséget, ha ráveszi a felhasználót, hogy megnyisson egy olyan mappát, amely egy speciálisan készített RAW képfájlt tartalmaz” – közölte a Microsoft. „A hiba akkor is kiváltható, amikor a Windows bélyegképet vagy előnézetet generál; a felhasználónak nem kell megnyitnia a fájlt.”

A mostani fejlemények hátterében az áll, hogy egyre inkább mesterséges intelligenciával (AI) támogatott módszereket használnak a biztonsági sebezhetőségek felderítésére és javítására. A múlt hónapban a Microsoft közel 1000 sebezhetőséghez adott ki javítócsomagot. Satnam Narang, a Tenable vezető kutatómérnöke szerint idén csak a Microsoft több mint 4000 CVE-t foltozott be.

„A legutóbbi Patch Tuesday kiadásokban szereplő sebezhetőségek puszta mennyisége miatt könnyen előfordulhat, hogy több, önmagában is aggasztó hiba bújik meg köztük. Olyanok, amelyek korábban, kisebb esetszám mellett önállóan is jóval nagyobb figyelmet kaptak volna” – mondta Adam Barnett, a Rapid7 vezető szoftvermérnöke.

A mostani frissítésekkel együtt a Microsoft egy új módszert is bevezetett, amely segít a szervezeteknek rangsorolni a biztonsági frissítéseket: az egymáshoz kapcsolódó hibákat úgynevezett „kockázati csoportokba” (risk cohorts) sorolják.

„A kockázati csoport olyan CVE-k gyűjteménye, amelyek hasonló értékelést igényelnek az ügyfelek részéről” – közölte a Microsoft közleménye. „A kockázati csoportok kiindulópontot jelentenek, nem végső döntést. Az ügyfeleknek továbbra is egyenként kell áttekinteniük minden CVE-t az aktív kihasználás, a súlyosság, a támadási vektor, a felhasználói interakció és a termékspecifikus útmutatás szempontjából.”