Sió-Informatika Rendszerház

A Microsoft kiadta minden idők eddigi legnagyobb Patch Tuesday biztonsági frissítését, amely több mint 900 sérülékenységet javít Windows és más Microsoft-termékekben.

A 2026. szeptemberi csomag különösen jelentős, mert két olyan privilege-escalation hibát is javít, amelyeket a támadók már a javítás megjelenése előtt aktívan kihasználtak.

A két zero-day:

• CVE-2026-81963
• CVE-2026-85880

Mindkettő lehetővé teheti, hogy egy már valamilyen helyi hozzáféréssel rendelkező támadó NT AUTHORITY\SYSTEM jogosultságot szerezzen Windows rendszereken.

Több mint 100 kritikus sérülékenység egyetlen frissítésben

A szeptemberi kiadásból 105 sérülékenységet Critical kategóriába soroltak.

A kritikus hibák között:

• 81 remote code execution sérülékenység
• 20 privilege escalation hiba
• 2 information disclosure probléma
• legalább 1 security feature bypass

található.

A teljes csomagban nagyságrendileg:

• 438 privilege escalation
• 258 remote code execution
• 173 information disclosure
• 56 denial-of-service
• 19 security feature bypass
• 16 spoofing

jellegű probléma szerepel.

A pontos darabszám forrásonként eltérhet, mivel a biztonsági cégek eltérő módon számolhatják a CVE-ket, termékeket és cloud-javításokat.

CVE-2026-81963 – Windows Update Stack privilege escalation

Az első aktívan kihasznált zero-day a Windows Update Stack komponenseit érinti.

A CVE-2026-81963 úgynevezett improper link resolution, vagyis hibás linkkövetési problémára vezethető vissza.

Ilyen sérülékenység akkor alakulhat ki, amikor egy magas jogosultságú folyamat fájlműveletet végez, de nem ellenőrzi megfelelően, hogy az elérési út:

• symbolic linken;
• junctionön;
• más fájlrendszer-átirányításon

keresztül manipulálható-e.

Egy támadó így befolyásolhatja a privilegizált Windows Update folyamat által végrehajtott fájlműveleteket, és végül:

👉 SYSTEM jogosultságot szerezhet.

Ez nem initial access – de ettől még nagyon veszélyes

A CVE-2026-81963 nem úgy működik, hogy valaki közvetlenül az internetről azonnal átveszi a gépet.

A támadónak először valamilyen foothold kell, például:

• phishing;
• malware;
• rosszindulatú dokumentum;
• böngésző exploit;
• ellopott credential;
• más sérülékenység.

Ezután használható a privilege escalation.

Egy tipikus támadási lánc:

Initial Access → User szintű kódfuttatás → CVE-2026-81963 → SYSTEM

A SYSTEM szint megszerzése után a támadó sokkal könnyebben:

• kikapcsolhat biztonsági kontrollokat;
• telepíthet szolgáltatásokat;
• módosíthat védett rendszerfájlokat;
• credentialeket szerezhet;
• perzisztenciát építhet ki;
• előkészítheti a laterális mozgást.

CVE-2026-85880 – heap buffer overflow a Windows ALPC-ben

A második aktívan kihasznált zero-day a Windows Advanced Local Procedure Call (ALPC) mechanizmust érinti.

Az ALPC egy belső Windows kommunikációs rendszer, amelyen keresztül különböző:

• folyamatok;
• szolgáltatások;
• operációs rendszer komponensek

kommunikálnak egymással.

A CVE-2026-85880 egy heap-based buffer overflow hiba.

Ez akkor történik, amikor egy program több adatot ír egy lefoglalt memóriaterületre, mint amennyit az képes biztonságosan tárolni.

A túlcsordulás a szomszédos memória sérüléséhez vezethet, és megfelelő exploit esetén:

👉 SYSTEM szintű jogosultságnövelést eredményezhet.

Miért értékes célpont az ALPC?

Az ALPC kommunikáció sokszor különböző privilege szintek között zajlik.

Ezért egy itt található sérülékenység különösen hasznos lehet olyan támadóknak, akik:

• sandboxból akarnak kitörni;
• alacsony jogosultságú processből akarnak továbblépni;
• SYSTEM hozzáférést szeretnének.

A Microsoft nem közölte, hogyan használták a CVE-2026-85880-at a valós támadásokban.

A két zero-day már patch előtt is támadás alatt állt

Ez a legfontosabb különbség a szeptemberi csomag többi hibájához képest.

A Microsoft megerősítette:

👉 mindkét sérülékenységet exploitálták a javítás megjelenése előtt.

Ez azt jelenti, hogy az érintett szervezeteknél nem elég pusztán telepíteni a frissítést.

A korábbi kompromittálás lehetőségét is vizsgálni kell.

Patching ≠ incident remediation

A patch bezárja a sérülékenységet.

De ha a támadó már használta:

❌ nem törli a malware-t
❌ nem távolítja el a persistence-t
❌ nem vonja vissza az ellopott sessionöket
❌ nem cseréli le a credentialeket

Ezért retrospektív threat hunting is szükséges lehet.

Milyen jeleket érdemes keresni?

Kiemelten érdekes lehet:

• váratlan SYSTEM privilege;
• újonnan létrehozott szolgáltatások;
• módosított Windows Update fájlok;
• szokatlan child process;
• security service leállítás;
• endpoint protection manipuláció;
• logok törlése;
• privilégiumemelést követő admin account használat.

Mivel mindkét zero-day lokális privilege escalation, érdemes az azt megelőző initial access nyomait is keresni.

Például:

• phishing;
• rosszindulatú Office fájl;
• böngésző exploit;
• session theft;
• unauthorized RMM;
• malware execution.

258 remote code execution hiba is szerepel a csomagban

Bár a két aktívan kihasznált zero-day kapja a legtöbb figyelmet, a szeptemberi kiadásban több száz további komoly probléma található.

A remote code execution sérülékenységek különösen fontosak, mert bizonyos esetekben lehetővé teszik, hogy a támadó:

👉 távolról futtasson kódot az érintett rendszeren.

A tényleges kockázat azonban függ attól, hogy:

• szükséges-e hitelesítés;
• kell-e user interaction;
• internet-facing-e a komponens;
• milyen jogosultsággal fut a támadó kód;
• aktívan használja-e az adott rendszer az érintett funkciót.

Ezért nem érdemes kizárólag CVSS alapján prioritást meghatározni.

A patch prioritás legyen kockázatalapú

Egy Critical besorolású, de letiltott és izolált komponens adott szervezetnél kisebb azonnali veszélyt jelenthet, mint egy már exploitált „Important” hiba.

Elsőként érdemes kezelni:

• a két aktívan kihasznált zero-dayt;
• internet-facing rendszereket;
• domainhez csatlakozó Windows gépeket;
• adminisztrátori munkaállomásokat;
• remote-access infrastruktúrát;
• vezetők és magas értékű felhasználók eszközeit;
• rosszul monitorozott vagy unmanaged endpointokat.

Rekordméretű Patch Tuesday-k egész nyáron

2026 nyarán folyamatosan szokatlanul nagy Microsoft biztonsági frissítések érkeztek.

A trend:

• június: körülbelül 200 sérülékenység;
• július: több mint 500;
• augusztus: több mint 400;
• szeptember: 900 felett.

Ez arra utal, hogy a vulnerability discovery sebessége jelentősen nő.

AI is gyorsítja a sérülékenység-kutatást

A növekedés egyik oka az AI-alapú security research térnyerése.

Fejlett modellek már képesek támogatni:

• nagy codebase-ek elemzését;
• memóriahibák felismerését;
• data flow vizsgálatot;
• fuzzing eredmények értékelését;
• patch diffinget;
• exploit hipotézisek generálását.

Ez önmagában jó hír:

👉 több sérülékenységet lehet megtalálni és kijavítani még azelőtt, hogy támadók fedeznék fel őket.

Viszont ugyanazok az eszközök a másik oldalon is használhatók.

Az AI csökkenti a „patch gapet”

A patch gap az az időszak, amely:

👉 a javítás megjelenése és annak tényleges telepítése között telik el.

A támadók a patch publikálása után összehasonlíthatják:

régi verzió ↔ javított verzió

és megkereshetik, mi változott.

Ez a patch diffing.

Korábban egy ilyen elemzés napokat vagy heteket is igényelhetett.

AI segítségével ez:

👉 akár órákra rövidülhet.

Ez azt jelenti, hogy a vállalatoknak egyre kevesebb idejük marad tesztelni és telepíteni a kritikus javításokat.

Enterprise környezetben ez patch-management válságot okozhat

Közel 1000 sérülékenységet egyszerre:

• értékelni;
• tesztelni;
• priorizálni;
• telepíteni

rendkívül nehéz.

A hagyományos havi patching modell egyre kevésbé skálázható.

Szükségessé válik:

• automatikus asset discovery;
• continuous exposure management;
• exploit intelligence;
• risk-based prioritization;
• emergency patch workflow;
• központi deployment monitoring.

A frissítés letöltése még nem jelenti, hogy a rendszer védett

Ez különösen endpointoknál fontos.

Előfordulhat, hogy:

• a patch letöltődött;
• de reboot szükséges;
• vagy az alkalmazás újraindítása még nem történt meg.

Így a sérülékeny kód továbbra is aktív lehet.

Ezért enterprise környezetben nem elég azt mérni:

„telepítettük-e a patch-et?”

Hanem azt is:

👉 ténylegesen a javított verzió fut-e?

Unsupported rendszerek külön kockázatot jelentenek

Az end-of-life Windows vagy más Microsoft termékek:

• nem kapnak teljes biztonsági frissítést;
• egyre több ismert sérülékenységet halmoznak fel;
• támadók számára kiszámítható célpontokká válhatnak.

Az ilyen rendszereket:

• frissíteni;
• izolálni;
• kompenzáló kontrollok mögé helyezni;
• vagy kivezetni

kell.

Mit tegyenek most a szervezetek?

Első prioritás:

1. CVE-2026-81963 javítása

Windows Update Stack privilege escalation.

2. CVE-2026-85880 javítása

Windows ALPC privilege escalation.

3. Retrospektív threat hunting

Vizsgálni kell, történt-e exploitation már szeptember 8. előtt.

4. Critical RCE hibák priorizálása

Internet-facing és business-critical rendszerekkel kezdve.

5. Asset inventory ellenőrzése

Ne maradjon:

• unmanaged laptop;
• tesztgép;
• virtuális desktop;
• régi szerver;
• offline eszköz.

6. Emergency patch folyamat felülvizsgálata

Aktív exploitation esetén a hagyományos maintenance ciklus túl lassú lehet.

Következtetés

A 2026. szeptemberi Microsoft Patch Tuesday nem egyszerűen rekordméretű frissítés.

Ez egy szélesebb változás jele.

A sérülékenységeket egyre gyorsabban:

• felfedezik;
• analizálják;
• publikálják;
• és potenciálisan exploitálják.

A legfontosabb azonnali feladat a CVE-2026-81963 és CVE-2026-85880 javítása és az érintett rendszerek retrospektív ellenőrzése.

Hosszabb távon pedig a tanulság egyértelmű:

👉 a havi, manuális patch management önmagában már nem biztos, hogy lépést tud tartani az AI által felgyorsított vulnerability landscape-pel.