Przejdź do treści
Luki i patche

Microsoft łata 200 luk, w tym sześć zero-day. Jedna jest już wykorzystywana w atakach

Microsoft wydał poprawki dla 200 luk w ramach czerwcowego Patch Tuesday. Sześć z nich to zero-day, jedna jest aktywnie exploitowana w atakach. Sprawdź, które podatności wymagają najpilniejszej uwagi.

4 min read
A dark server room with rows of blinking devices, one server cabinet in the center has a glowing red warning light. A translucent digital chain made of binary code wraps around the cabinet, with a single link visibly broken and glowing brighter than the rest.

W połowie czerwca 2026 roku administratorzy systemów Windows i Exchange Server otrzymali do załatania wyjątkowo dużą porcję błędów. Microsoft w ramach comiesięcznej aktualizacji Patch Tuesday opublikował poprawki dla około 200 podatności. Sześć z nich to tzw. luki dnia zerowego, z czego jedna była już wykorzystywana w rzeczywistych atakach. Dla osób odpowiedzialnych za bezpieczeństwo w firmach oznacza to konieczność pilnego przeglądu i aktualizacji systemów.

Skala aktualizacji: prawie 40 krytycznych błędów

Microsoft załatał łącznie 204 luki. Z tego 38 SANS ISC uznał za krytyczne. Ponad połowa z nich (55) to podatności umożliwiające zdalne wykonanie kodu (RCE). Producent usunął również 65 błędów podnoszenia uprawnień oraz 30 prowadzących do ujawnienia informacji. W ramach aktualizacji przeglądarki Edge Microsoft uwzględnił też 360 błędów w silniku Chromium – to efekt rosnącego wykorzystania narzędzi sztucznej inteligencji do wyszukiwania podatności.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Zero-day w Exchange Server i ataki w toku

Szczególną uwagę należy zwrócić na lukę CVE-2026-42897. Jak podaje BleepingComputer, Microsoft potwierdził, że ta podatność w Microsoft Exchange Server jest aktywnie exploitowana w atakach. Pozwala ona na fałszowanie wiadomości i wykonanie kodu JavaScript w przeglądarce ofiary. W praktyce atakujący może wysłać spreparowaną wiadomość e-mail, która po otwarciu uruchomi szkodliwy kod. Firma nie opublikowała jeszcze szczegółów technicznych exploita, ale luka ma status „aktywnie wykorzystywana”, co wymusza na administratorach nadanie aktualizacji najwyższego priorytetu.

Znane od tygodnia i łatane dopiero teraz

Aż pięć z sześciu zerowych dni zostało ujawnionych publicznie przed wydaniem poprawek. Wśród nich znalazła się CVE-2026-49160 – luka w sterowniku HTTP.sys, która umożliwia atak DoS z wykorzystaniem techniki „HTTP/2 Bomb”. Atakujący wysyła bardzo małe pakiety, które zmuszają serwer do przydzielenia nieproporcjonalnie dużej ilości pamięci, co może prowadzić do przeciążenia i zatrzymania usługi. Microsoft wprowadził nowe ustawienie rejestru MaxHeadersCount, które pozwala ograniczyć liczbę nagłówków w żądaniu HTTP/2 i HTTP/3.

Kolejną poważną luką jest CVE-2026-45586 w usłudze Windows Collaborative Translation Framework (CTFMON). Umożliwia ona lokalnemu atakującemu podniesienie uprawnień do poziomu SYSTEM. Błąd, znany jako „GreenPlasma”, został ujawniony przez badacza występującego pod pseudonimem Nightmare Eclipse w ramach protestu przeciw polityce Microsoftu wobec programów bug bounty.

Microsoft załatał również dwie luki w szyfrowaniu BitLocker: CVE-2026-45585 (YellowKey) i CVE-2026-50507 (bitskrieg). Obie pozwalają osobie z fizycznym dostępem do komputera na ominięcie ochrony dysku. Luka YellowKey polega na umieszczeniu specjalnie spreparowanych plików na partycji EFI i uruchomieniu środowiska odzyskiwania (WinRE).

Nowa era: AI skraca czas między łatą a exploitem

Skala i charakter tegorocznych aktualizacji pokazuje, że zagrożenie ze strony starszych, znanych luk rośnie. Jak donosi SecurityWeek, firma Anthropic udowodniła, że jej model AI Claude Mythos jest w stanie stworzyć działający exploit dla podatności w systemie Windows w ciągu kilkunastu godzin. Koszt wygenerowania jednego exploita wyniósł około 2 tysięcy dolarów. Oznacza to, że luki, które dotychczas wymagały tygodni analizy i ręcznego kodowania, mogą być teraz uzbrajane w ciągu jednego dnia roboczego.

Jak bezpiecznie zareagować

Dla firm korzystających z Microsoft Exchange, Windows Server lub stacji roboczych z Windows pierwszym krokiem powinno być wdrożenie poprawek z czerwca 2026 roku, ze szczególnym uwzględnieniem CVE-2026-42897. W przypadku serwerów, które nie mogą zostać natychmiast zrestartowane, administratorzy powinni rozważyć tymczasowe ograniczenie dostępu do usług Exchange i monitorowanie logów pod kątem nietypowych prób uwierzytelnienia.

Dla systemów z włączonym BitLockerem Microsoft zaleca zmianę konfiguracji z TPM-only na TPM+PIN. To uniemożliwia wykorzystanie luk YellowKey i bitskrieg. Warto też sprawdzić, czy aktualizacja nie powoduje komunikatu o błędzie wczytywania klucza BitLocker. W takim przypadku pomocne może być wyłączenie i ponowne włączenie środowiska WinRE za pomocą poleceń reagentc /disable i reagentc /enable.

Firmy, które opierają swoje procedury bezpieczeństwa na comiesięcznym cyklu łatania, powinny rozważyć przyspieszenie tego procesu. Jak pokazują testy z udziałem AI, okno między publikacją łatki a pojawieniem się działającego exploita może wynosić już nie dni, ale godziny.

#aktualizacje bezpieczeństwa #BitLocker #CVE-2026-42897 #Microsoft #Patch Tuesday #zero-day
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read