Microsoft łata 200 podatności, w tym sześć zero-day. Luka w Exchange już wykorzystywana

W czerwcowej paczce aktualizacji Microsoft Patch Tuesday załatał łącznie 200 podatności, w tym sześć luk określanych jako zero-day. Pięć z nich zostało ujawnionych publicznie przed wydaniem poprawek, a jedna – dotycząca serwera Exchange – była już wykorzystywana w rzeczywistych atakach. Dla administratorów i użytkowników Windows oznacza to, że instalacja najnowszych aktualizacji powinna być priorytetem, szczególnie w środowiskach firmowych.

BitLocker i Exchange – dwie najpilniejsze sprawy

Wśród załatanych luk szczególną uwagę zwracają trzy podatności związane z mechanizmem szyfrowania BitLocker. Dwie z nich, oznaczone jako CVE-2026-45585 (znana jako „YellowKey”) oraz CVE-2026-50507 („bitskrieg”), umożliwiają lokalnemu atakującemu ominięcie szyfrowania i uzyskanie dostępu do danych na dysku. Jak wyjaśnia Microsoft, „skuteczny atakujący może ominąć funkcję szyfrowania urządzenia BitLocker na dysku systemowym”. Oba problemy wymagają fizycznego dostępu do komputera, co nieco ogranicza ryzyko, ale w przypadku kradzieży lub zagubienia laptopa może mieć poważne konsekwencje.

Jeszcze groźniej wygląda sytuacja z podatnością CVE-2026-42897 w Microsoft Exchange Server. To luka typu spoofing, która – jak podaje Microsoft – pozwala na wykonanie kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanej wiadomości e-mail. Co kluczowe, ta podatność była już wykorzystywana w atakach, zanim firma zdążyła wydać łatkę. Administratorzy serwerów Exchange powinni jak najszybciej zastosować aktualizację.

HTTP/2 Bomb i inne zagrożenia sieciowe

Microsoft załatał również podatność CVE-2026-49160 w stosie HTTP.sys, nazwaną „HTTP/2 Bomb”. Problem polega na niekontrolowanym zużyciu zasobów – atakujący może wysłać niewielkie żądanie, które zmusi serwer do alokacji ogromnej ilości pamięci. Jak tłumaczą badacze z firmy Calif, którzy ujawnili lukę, technika ta nadużywa mechanizmu kompresji nagłówków w protokole HTTP/2. Microsoft dodał nowe ustawienie rejestru MaxHeadersCount, które pozwala ograniczyć liczbę nagłówków akceptowanych przez serwer.

Warto też odnotować podatność CVE-2026-47291 w tym samym komponencie http.sys – tym razem umożliwiającą zdalne wykonanie kodu przez przepełnienie liczby całkowitej. Microsoft zaleca ograniczenie wartości MaxRequestBytes do czasu wdrożenia pełnej łatki.

Co zrobić po instalacji – uwaga na BitLocker

Po zainstalowaniu czerwcowych aktualizacji niektórzy użytkownicy mogą napotkać problem z BitLockerem. Ekspert ds. bezpieczeństwa Will Dormann ostrzega, że na niektórych systemach może pojawić się błąd: „Nie można uzyskać dostępu do wymaganego pliku, ponieważ klucz BitLocker nie został załadowany prawidłowo”. Rozwiązaniem jest wyłączenie i ponowne włączenie środowiska odzyskiwania Windows (WinRE) za pomocą poleceń reagentc /disable i reagentc /enable w wierszu poleceń z uprawnieniami administratora.

Microsoft potwierdził również znany problem z wywoływaniem ekranu odzyskiwania BitLockera po aktualizacji, szczególnie na urządzeniach z określoną konfiguracją zasad grupy dotyczących modułu TPM. Firma pracuje nad stałą poprawką, a tymczasowo zaleca usunięcie odpowiedniej polityki i ponowne zawieszenie oraz wznowienie szyfrowania.

Podsumowanie – nie zwlekaj z aktualizacją

Czerwcowy Patch Tuesday to jedna z największych w tym roku partii poprawek. Sześć załatanych luk zero-day, w tym jedna aktywnie wykorzystywana, to wystarczający powód, by nie odkładać instalacji na później. Dotyczy to zarówno użytkowników domowych, jak i firm – szczególnie tych korzystających z Exchange Server i BitLockera. Po aktualizacji warto sprawdzić, czy system działa poprawnie, i w razie potrzeby zastosować tymczasowe obejścia opisane przez producenta.