Patch Tuesday record de la Microsoft, cu 1.413 vulnerabilități: un zero-day exploatat deja și două cunoscute public

Actualizarea de securitate Microsoft din octombrie 2026 este cea mai mare de până acum: 1.413 vulnerabilități remediate într-un singur Patch Tuesday. Majoritatea sunt de rutină, dar una dintre ele, o vulnerabilitate în Windows Shell care permite ocolirea protecției Mark of the Web, este deja exploatată activ. Alte două erau cunoscute public înainte de apariția patch-urilor.

Ce s-a întâmplat

Windows primește cele mai multe corecții (1.102), urmat de Office (134), Developer Tools (61), SharePoint Server (36) și SQL Server (22). După impact, pe primul loc sunt escaladările de privilegii (peste 670), urmate de peste 300 de vulnerabilități de execuție de cod la distanță (RCE) și aproximativ 250 de expuneri de informații. Peste 70 sunt clasificate drept critice.

Acestea sunt cele trei probleme care contează cel mai mult luna aceasta:

CVE-2026-96951: vulnerabilitatea exploatată. Un atacator care convinge utilizatorul să deschidă un fișier capcană, de obicei primit pe e-mail sau pe chat, poate ocoli Mark of the Web (MOTW). MOTW este marcajul pe care Windows îl pune pe fișierele descărcate de pe internet și care activează SmartScreen și Protected View în Office. Atacul nu pornește singur: victima trebuie să dea click pe un link sau să deschidă un atașament. Microsoft nu a precizat cine folosește vulnerabilitatea și împotriva cui. CISA a inclus-o în catalogul Known Exploited Vulnerabilities, iar agențiile federale americane trebuie să aplice patch-ul până pe 16 octombrie 2026.

CVE-2026-108398: un instrument post-compromitere. Un atacator care are deja acces autentificat poate plasa un assembly .NET special construit și îl poate face încărcat de un proces protejat. Astfel ocolește Windows Defender Application Control (WDAC) și rulează cod în procesul protejat, fără nicio acțiune din partea utilizatorului. Vulnerabilitatea nu oferă accesul inițial, dar permite cuiva care e deja în sistem să treacă de unul dintre principalele mecanisme de allow-listing de pe stație.

CVE-2026-92707 este o vulnerabilitate de tip denial-of-service, exploatabilă prin rețea, în biblioteca de serializare MessagePack-CSharp, folosită pe scară largă. Corecția privește aplicațiile .NET care includ această bibliotecă, nu doar sistemele Windows.

Actualizarea mai remediază CVE-2026-21413 (CVSS 9.8), un heap overflow în Raw Image Extension, care nu este înregistrat ca CVE Microsoft. Poate fi declanșat doar prin deschiderea unui folder care conține o imagine RAW malițioasă: Windows generează automat miniatura sau previzualizarea, deci fișierul nu trebuie deschis.

De ce contează

Dimensiunea acestei actualizări face parte dintr-un trend. Microsoft a remediat aproape 1.000 de vulnerabilități luna trecută și peste 4.000 de la începutul anului. Cercetătorii pun mare parte din creștere pe seama căutării de vulnerabilități asistate de AI: și apărătorii, și atacatorii găsesc vulnerabilități mai repede. De aceea, numărul brut de CVE-uri nu mai spune mare lucru. O echipă care parcurge cele 1.413 intrări în ordine își va petrece primele zile cu vulnerabilități pe care nu le exploatează nimeni.

Microsoft a introdus „risk cohorts”, grupuri de CVE-uri care necesită același tip de evaluare. Pot ajuta la triere, dar chiar Microsoft le descrie ca pe un punct de plecare. Trebuie în continuare să verifici statusul exploatării, vectorul de atac și expunerea în propriul mediu.

Ce trebuie să faci

1. Aplică mai întâi patch-ul pentru CVE-2026-96951 pe toate stațiile Windows, începând cu utilizatorii care primesc multe e-mailuri și mesaje din exterior. Tratează termenul CISA, 16 octombrie, ca pe propriul termen.
2. Adaugă protecții pe gateway-ul de e-mail și chat până se încheie distribuirea patch-urilor. Blochează sau rulează în sandbox atașamentele riscante (LNK, ISO/IMG, arhive cu executabile) și caută fișierele care sosesc fără stream Zone.Identifier.
3. Actualizează Raw Image Extension prin Microsoft Store/Intune, nu doar prin Windows Update. Verifică dacă versiunea corectată este instalată pe stațiile care deschid foldere partajate sau descărcări.
4. Nu te baza doar pe WDAC până la remedierea CVE-2026-108398. Urmărește înregistrarea sau încărcarea neașteptată de assembly-uri .NET de către procese protejate.
5. Actualizează aplicațiile .NET care includ MessagePack-CSharp, apoi recompilează-le și redistribuie-le. Patch-ul de sistem nu repară copiile incluse în aplicațiile tale.
6. Prioritizează după exploatabilitate, nu după volum: exploatate activ (KEV) → cunoscute public → RCE expuse la internet → restul, în ciclul normal.

Nu știi care dintre sistemele tale expuse la internet sunt afectate de vulnerabilitățile din această lună? O evaluare de vulnerabilități 4Tify identifică tehnologiile afectate de pe suprafața ta externă de atac, ca echipa ta să știe unde să aplice patch-urile mai întâi.

Rezumat realizat pe baza articolului original publicat de The Hacker News.