Windows: poprawka aktywnie wykorzystywanej luki CVE-2026-96951 już dostępna

Microsoft udostępnił 13 października aktualizacje usuwające aktywnie wykorzystywaną lukę CVE-2026-96951 w Windows Shell. To najpilniejszy element październikowego pakietu dla organizacji korzystających z podatnych systemów. Potwierdzone ataki oznaczają, że wdrożenie poprawki powinno otrzymać wysoki priorytet.

Co naprawiono

Luka umożliwia obejście mechanizmu bezpieczeństwa. BleepingComputer opisuje jej wykorzystanie do ominięcia Mark of the Web, czyli oznaczenia plików pochodzących z internetu. Microsoft nie ujawnił w przytoczonym komunikacie szczegółów kampanii ani informacji o sprawcach.

Nie należy więc dopisywać do tej sprawy konkretnej grupy przestępczej, skali ataków lub potwierdzonych ofiar w Polsce. Wiadomo natomiast, że wykorzystanie luki nie jest wyłącznie teoretyczne, a poprawka została już wydana.

Październikowy pakiet usuwa również inne podatności. Przy tak rozległych aktualizacjach najważniejszym zadaniem administratorów jest powiązanie zagrożeń z rzeczywistym wyposażeniem firmy: zainstalowanymi produktami, dostępnością usług i sposobem pracy użytkowników.

Kogo dotyczy zagrożenie

Według KrebsOnSecurity CVE-2026-96951 obejmuje Windows 10, Windows 11 oraz niektóre wydania Windows Server. Dokładną listę podatnych wersji i właściwych aktualizacji należy sprawdzić w przewodniku bezpieczeństwa Microsoft. Samo ustalenie nazwy systemu nie wystarczy do oceny, czy urządzenie jest już zabezpieczone.

Microsoft opublikował też 13 października eksperymentalny sposób grupowania podatności według wspólnych pytań o środowisko firmy. Przykładowo administratorzy mogą razem oceniać luki dotyczące obsługi dokumentów albo zdalnego dostępu. Producent podkreśla, że takie grupowanie nie zastępuje oceny poszczególnych CVE ani dotychczasowych zaleceń aktualizacyjnych.

Co zrobić teraz

• Sprawdzić w Microsoft Security Update Guide, które używane wersje systemów są objęte CVE-2026-96951 i jakie aktualizacje je zabezpieczają.
• Nadać wdrożeniu poprawki wysoki priorytet, uwzględniając wymagane testy zgodności i możliwość przywrócenia działania systemów.
• Zweryfikować instalację na urządzeniach, w tym komputerach pracowników zdalnych. Osobno ustalić termin aktualizacji maszyn, które pozostawały wyłączone lub poza siecią firmową.
• Potwierdzić zakończenie wymaganych restartów i ponownie sprawdzić stan zabezpieczeń.
• Przejrzeć alerty dotyczące podejrzanych plików i uruchomień programów. Aktualizacja usuwa podatność, ale sama nie rozstrzyga, czy wcześniej doszło do incydentu.

Komentarz SecurHUB

Priorytet poprawek powinien wynikać z potwierdzonego wykorzystania luk oraz ich znaczenia dla konkretnej infrastruktury. Audyty bezpieczeństwa pomagają ocenić proces aktualizacji i wskazać urządzenia, których stan zabezpieczeń wymaga dodatkowej weryfikacji.

Źródła: Microsoft MSRC, BleepingComputer, KrebsOnSecurity