A Microsoft kiadta 2026. októberi biztonsági frissítéseit, amelyek a BleepingComputer összesítése szerint 1411 sérülékenységet kezelnek. A beszámoló ezt a vállalat eddigi legnagyobb Patch Tuesday-kiadásaként jellemzi. A javítások között szerepel egy már támadásokban kihasznált Windows-védelmi megkerülés, valamint két további hiba, amely a havi frissítések megjelenése előtt nyilvánosságra került.
Az október 13-i csomag 70 kritikus besorolású sérülékenységet tartalmaz: 57 távoli kódfuttatással, 11 jogosultságszint-emeléssel, kettő pedig megtévesztéssel, illetve hamisítással kapcsolatos. A BleepingComputer októberi összesítése
A legsürgetőbb problémát a CVE-2026-96951 jelenti. A Windows Shell sérülékenységével a támadók megkerülhetik a Mark of the Web védelmi mechanizmusát. A másik két kiemelt hiba a .NET Framework alkalmazásvezérlési korlátozásait, illetve a MessagePack-CSharp adatfeldolgozó könyvtárat érinti.
A három probléma eltérő feladatot jelent a védekezésben: az egyik az internetről származó fájlok kezelését gyengíti, a másik a futtatható kódra vonatkozó szabályokat kerülheti meg, a harmadik pedig az érintett alkalmazások elérhetőségét veszélyeztetheti.
A frissítés több Windows-kiadás támogatási határidejével is egybeesik. Az aktuális javítások telepítése ezért önmagában nem minden eszköznél elegendő: egyes rendszereken operációsrendszer-frissítésre vagy megfelelő kiterjesztett biztonsági támogatásra is szükség van ahhoz, hogy később is érkezzenek javítások.
Milyen típusú sérülékenységeket javít a csomag?
A nyilvános összesítés az alábbi hozzávetőleges kategóriaadatokat közölte:
| Sérülékenységtípus | Közölt darabszám |
|---|---|
| Jogosultságszint-emelés | 677 |
| Biztonsági funkció megkerülése | 40 |
| Távoli kódfuttatás | 317 |
| Információszivárgás | 254 |
| Szolgáltatásmegtagadás | 73 |
| Megtévesztés, hamisítás | 28 |
A felsorolt számok összege 1389, nem 1411. A kategóriatáblázat ezért nem tekinthető a teljes csomag hiánytalan, egyeztetett bontásának. Az eltérésből önmagában nem állapítható meg, hogy a fennmaradó tételek milyen kategóriába tartoznak. A közölt kategóriaadatok forrása
A Windows Shell nulladik napi hibáját már kihasználják
A három kiemelt sérülékenység közül a CVE-2026-96951 élvez elsőbbséget, mert kihasználását már észlelték. A Windows Shell biztonsági funkciójának megkerülését lehetővé tevő hiba parancselemek nem megfelelő kezeléséhez kapcsolódik.
A Microsoft leírása szerint egy jogosulatlan támadó hálózaton keresztül megkerülheti vele a Mark of the Web mechanizmust. Microsoft: CVE-2026-96951
A Mark of the Web azt jelöli, hogy egy fájl nem megbízható helyről, például internetes letöltésből származik. A Windows-alkalmazások ezt az információt is figyelembe vehetik annak eldöntésekor, hogy szükség van-e további biztonsági korlátozásokra.
Jól szemlélteti a jelentőségét a Microsoft Office működése: az internetről származó dokumentumok kezelésekor a jelölés befolyásolhatja például a makrók blokkolását. A tényleges viselkedés ugyanakkor a házirendektől, a megbízható helyektől és más bizalmi beállításoktól is függ.
A megkerülés így olyan védelmet gyengíthet, amely segít elkülöníteni a külső forrásból érkező tartalmat a megbízható fájloktól. Egy támadónak ez akkor is hasznos lehet egy későbbi támadási lépés előkészítéséhez, ha a hiba önmagában nem biztosít teljes hozzáférést a számítógéphez.
A nyilvános beszámoló azonban nem nevezi meg az elkövetőket, a célpontokat, a terjesztési módszert vagy a támadások kiterjedtségét. Azt sem állapítja meg, hogy ezt a konkrét sérülékenységet Office-dokumentumokon keresztül használták volna ki. Az Office példája a Mark of the Web általános szerepét magyarázza, nem a megfigyelt támadási láncot.
Az aktív kihasználás indokolja a gyors intézkedést, de további bizonyíték nélkül nem alapoz meg zsarolóvírus-csoporthoz, kémkedési művelethez vagy konkrét kártevőhöz kapcsolódó állításokat.
A .NET Framework hibája az alkalmazásvezérlést gyengítheti
A második kiemelt sérülékenység, a CVE-2026-108398, a .NET Frameworköt érinti. Egy hitelesített támadó a Windows Defender Application Control, azaz a WDAC korlátozásainak megkerülésére használhatja.
A hiba nem megbízható keresési útvonalhoz kapcsolódik. A leírás szerint a támadó egy speciálisan kialakított .NET-assemblyt helyezhet el az érintett gépen, majd elérheti, hogy az egy védett folyamatba töltődjön be.
Sikeres kihasználás esetén a kód az alkalmazásvezérlési korlátozások ellenére futhat a folyamaton belül. A támadás nem igényel felhasználói közreműködést, ugyanakkor a támadónak már rendelkeznie kell hitelesített hozzáféréssel, és teljesítenie kell a helyi kihasználás feltételeit.
A felfedezést James Forshaw-nak, a Google Project Zero kutatójának tulajdonítják. A hibát nyilvánosan ismertként tartják számon, de a közölt információk nem számolnak be igazolt, éles támadásokban történő kihasználásáról. Microsoft: CVE-2026-108398
Az alkalmazásvezérlés azt korlátozza, hogy milyen kód futhat egy rendszeren. Ez alkalmazásokra, szkriptekre, telepítőkre és más végrehajtási útvonalakra is kiterjedhet. A Microsoft ezt a védelmet a vírusvédelem mellett javasolja alkalmazni.
Azoknál a szervezeteknél, amelyek engedélyezési listákkal korlátozzák a jogosulatlan programok vagy kompromittált fiókok lehetőségeit, egy ilyen megkerülés fontos védelmi határt gyengít. A frissítés ezért különösen jelentős a szigorúan felügyelt végpontokon és az alkalmazásvezérlésre erősen támaszkodó rendszereken.
A megfelelő válasz nem az alkalmazásvezérlés kikapcsolása. Az érintett rendszereket frissíteni kell, meg kell tartani a házirendet, majd ellenőrizni kell, hogy az engedélyezett alkalmazások továbbra is működnek, a tiltott kód végrehajtását pedig a rendszer változatlanul megakadályozza.
A MessagePack hibája az alkalmazásfejlesztőket is érinti
A harmadik kiemelt sérülékenység, a CVE-2026-92707, a MessagePack-CSharp könyvtár szolgáltatásmegtagadást okozó hibája. A könyvtárat alkalmazásadatok szerializálására és deszerializálására használják.
A karbantartók szeptember 17-i közleménye szerint a támadó által befolyásolt adatok System.Object típusba történő visszaalakítása túlzott memóriafoglalást válthat ki még azelőtt, hogy a mélységi korlát miatt a feldolgozás elutasítaná a bemenetet. Az ismételt kérések jelentős memóriaterhelést, folyamatleállást vagy szolgáltatáskiesést okozhatnak.
A javított kiadások a 2.5.303 és a 3.1.9. Az érintettség az alkalmazás működésétől függ: a problémás útvonalon nem megbízható adatnak kell eljutnia a sérülékeny formázóhoz.
Az ASP.NET Core SignalR egyik lehetséges távoli elérési útvonalat jelentheti, ha az alkalmazás MessagePack-protokollt használ, és elérhető hubmetódusai object típusú paramétert fogadnak. A hiba azonban a MessagePack-CSharpban található, nem kizárólag a SignalR-ben.
A hitelesítési követelményeket is az alkalmazás határozza meg. Egy nyilvános végpont hitelesítés nélkül is elérhető lehet, míg a védett végpontnál továbbra is érvényesek a beállított hozzáférési korlátozások.
Az átmeneti kockázatcsökkentés eszköze lehet a konkrét adattípusok használata az object helyett, a hívók körének korlátozása és a kérések gyakoriságának szabályozása. A kisebb üzenetméret vagy alacsonyabb mélységi korlát önmagában nem javítja ki a hibát. A MessagePack-CSharp karbantartóinak biztonsági közleménye
A gyakorlatban ez azt jelenti, hogy az operációs rendszer frissítésének és az alkalmazások javításának eltérő felelősei lehetnek. A fejlesztőcsapatoknak a közvetlen és közvetett függőségeket is át kell vizsgálniuk, azonosítaniuk kell az érintett könyvtárat használó telepített alkalmazásokat, és gondoskodniuk kell arról, hogy a javított összetevők az éles környezetbe is eljussanak.
A forráskódtárban módosított csomagverzió csak köztes lépés, ha a ténylegesen futó alkalmazáspéldányok még régebbi függőséget tartalmaznak.
Három nulladik napi hiba nem jelent három igazolt támadási kampányt
Az októberi kiadás egy aktívan kihasznált és két, korábban nyilvánosságra hozott sérülékenységet kezel a kiemelt hibák között.
| Azonosító | Érintett összetevő | Fő kockázat | Közölt státusz a kiadáskor |
|---|---|---|---|
| CVE-2026-96951 | Windows Shell | A Mark of the Web megkerülése | Aktív kihasználást észleltek |
| CVE-2026-108398 | .NET Framework | A WDAC alkalmazásvezérlésének megkerülése | Korábban nyilvánosságra került; aktív kihasználásról nem számoltak be |
| CVE-2026-92707 | MessagePack-CSharp | Túlzott memóriafoglalásból eredő szolgáltatásmegtagadás | Korábban nyilvánosságra került; aktív kihasználásról nem számoltak be |
A különbség a műszaki prioritások meghatározásánál és a vezetői tájékoztatásban is lényeges. A nyilvánosságra hozatal növelheti a támadók érdeklődését, de önmagában nem bizonyítja, hogy a sérülékenységet már támadásokban használják.
A biztonsági csapatoknak ezért meg kell őrizniük ezt a különbségtételt. A rendelkezésre álló információk alapján nem indokolt mindhárom hibát aktívan kihasználtként bemutatni.
A kritikus besorolás csak az egyik prioritási szempont
A 70 kritikus sérülékenység részletes vizsgálatot igényel, különösen az 57 távoli kódfuttatási hiba. A súlyossági címke azonban önmagában nem írja le egy támadás valószínűségét vagy üzleti következményeit az adott szervezetnél.
Más kockázatot jelent egy nem megbízható hálózati forgalmat fogadó, kívülről elérhető szolgáltatás, mint ugyanaz az összetevő szigorú hozzáférési korlátozások mögött. Egy alkalmazásvezérlési megkerülés különösen súlyos lehet ott, ahol az engedélyezési listák a védelem meghatározó elemei. Egy szolgáltatásmegtagadási hiba pedig akkor válhat üzletileg kritikussá, ha alapvető ügyféltranzakciókat vagy belső munkafolyamatokat támogató szolgáltatást érint.
A CISA ismerten kihasznált sérülékenységeket összegyűjtő KEV-katalógusa is azt a megközelítést támogatja, hogy a javítási sorrend kialakításakor a műszaki súlyosság mellett a tényleges kihasználás bizonyítékait is figyelembe kell venni.
A megalapozott telepítési sorrendnek együtt kell értékelnie a kihasználási státuszt, a külső elérhetőséget, a szükséges jogosultságokat, az átmeneti védelmi lehetőségeket és az érintett rendszer üzleti fontosságát.
Így elkerülhető, hogy a szervezet minden javítást azonos sürgősségűnek tekintsen, vagy automatikusan halaszthatónak minősítsen mindent, ami nem kapott kritikus besorolást.
A Windows támogatási határidői a migrációt is sürgetik
A Microsoft Windows-üzenetközpontja szerint október 13-án érkezett meg az utolsó rendszeres frissítés a Windows 11 24H2 Home és Pro, valamint a Windows 10 Enterprise LTSB 2016 kiadásaihoz.
A Windows 11 24H2 Enterprise és Education támogatása ezzel szemben 2027. október 12-ig tart. A Windows 10 Enterprise LTSB 2016-ot tovább használó, jogosult szervezetek kiterjesztett biztonsági frissítésekkel, azaz ESU-val nyerhetnek időt az átálláshoz.
A Windows 11 23H2 Enterprise és Education utolsó biztonsági frissítése 2026. november 10-én jelenik meg. Ezek a kiadások tehát még megkapják a novemberi csomagot. Microsoft: Windows-támogatási és frissítési közlemények
Az októberi Windows-frissítésekkel az AD FS Distributed Key Manager konténer jogosultságainak szigorítása is a kikényszerítési szakaszba lép a CVE-2026-56155 kezelésére.
A Microsoft szerint a támogatott Windows Server-verziókon a javítás alapértelmezés szerint alkalmazza a szükséges korrekciót, kivéve, ha a rendszergazdák kifejezetten letiltják azt. A Windows Server 2012 és 2012 R2 esetében manuális beavatkozás szükséges. Az érintett környezeteknél ezért a telepítés mellett a termékspecifikus követelményeket is ellenőrizni kell. Microsoft: az AD FS DKM-konténer hozzáférési listájának szigorítása
Az informatikai vezetők számára ez két párhuzamos feladatot jelent: meg kell szüntetni az aktuális sérülékenységekből eredő kitettséget, és biztosítani kell, hogy az eszközök a későbbi javításokra is jogosultak maradjanak.
A támogatási állapotot kiadás és verzió szerint kell ellenőrizni. A hasonló nevű Windows-változatokhoz eltérő határidők tartozhatnak.
Mit tegyenek most a szervezetek?
Az októberi csomag összehangolt munkát kíván a végpontok és szerverek üzemeltetőitől, a biztonsági műveleti csapatoktól és az alkalmazásfejlesztőktől.
- Kapjon elsőbbséget az aktívan kihasznált Windows Shell-hiba. A Microsoft közleménye alapján azonosítani kell az érintett rendszereket, és fel kell gyorsítani a megfelelő javítások telepítését.
- A .NET Framework lefedettségét külön is ellenőrizni kell. Nem szabad automatikusan abból kiindulni, hogy az operációs rendszer frissítésével minden érintett keretrendszer-összetevő javítása megtörtént.
- Fel kell térképezni a MessagePack-függőségeket. Meg kell találni az érintett alkalmazásokat, át kell tekinteni az elérhető deszerializálási útvonalakat, és az alkalmazáskiadási folyamaton keresztül telepíteni kell a javított csomagokat.
- A kritikus hibákat a tényleges kitettség alapján kell rangsorolni. Különös figyelmet igényelnek a nem megbízható bemenetet fogadó és az érzékeny üzleti funkciókat támogató szolgáltatások.
- Ellenőrizni kell az alkalmazásvezérlés működését. A korlátozásokat fenn kell tartani, a frissítés után pedig tesztelni kell az alapvető alkalmazásokat.
- Át kell tekinteni a támogatási és konfigurációs változásokat. Ellenőrizni kell az operációs rendszerek támogatottságát és – ahol releváns – az AD FS követelményeit.
- Igazolni kell a telepítések befejezését. Nyomon kell követni a sikertelen frissítéseket, az újraindításra váró gépeket, az offline eszközöket és a még nem újratelepített alkalmazáspéldányokat.
- A gyanús tevékenységet a javítástól függetlenül kell kivizsgálni. Kompromittálódás gyanúja esetén meg kell őrizni a bizonyítékokat és el kell végezni az incidensértékelést. Egy javítás telepítése nem bizonyítja, hogy egy korábbi behatolás következményeit is megszüntették.
Vezetői szinten azt kell tudni igazolni, hogy a legnagyobb kockázatú rendszerek javítása megtörtént, a fennmaradó kivételekhez pedig egyértelmű felelős és határidő tartozik.
Az októberi kiadás ezt különösen fontossá teszi. Egy magas összesített frissítettségi arány mögött is meghúzódhat egy kívülről elérhető, sérülékeny szolgáltatás, egy elavult alkalmazásfüggőség vagy egy olyan eszköz, amely már elérte a rendszeres támogatás végét.
Eredeti cím: Microsoft Record October Patch Tuesday Fixes 1,400+ Flaws Including Zero-Day Under Active Attack
