Rekordowy Patch Tuesday: AI odkrywa setki luk, producenci przyspieszają z łatkami

Majowy Patch Tuesday przyniósł rekordową liczbę poprawek, ale zarazem ujawnił nowe wyzwanie dla administratorów i użytkowników. Narzędzia sztucznej inteligencji, takie jak Project Glasswing od Anthropic, pozwoliły odkryć setki podatności w popularnym oprogramowaniu. Dla firm i osób prywatnych oznacza to jedno: tempo wydawania aktualizacji przyspiesza, a ignorowanie poprawek staje się coraz bardziej ryzykowne.

Rekordowe liczby poprawek od Microsoftu i innych producentów

Jak co miesiąc, Microsoft opublikował zestaw poprawek dla swoich produktów. W maju 2026 roku firma załatała 118 luk w systemach Windows i innych aplikacjach. To pierwszy Patch Tuesday od prawie dwóch lat, w którym Microsoft nie musiał pilnie łatać exploitów typu zero-day wykorzystywanych w atakach. Szesnaście z tych podatności otrzymało najwyższą klasyfikację „krytyczna”, co oznacza, że mogą umożliwić zdalne przejęcie kontroli nad urządzeniem bez interakcji użytkownika.

Wśród najpoważniejszych błędów znalazły się m.in. CVE-2026-41089 – przepełnienie bufora w usłudze Windows Netlogon, które daje atakującemu uprawnienia administratora na kontrolerze domeny, oraz CVE-2026-41103 – podatność pozwalająca na ominięcie uwierzytelniania w Entra ID. Jak zauważa Brian Krebs, eksperci z Rapid7 wskazują, że exploitacja tych luk jest wysoce prawdopodobna.

Project Glasswing – AI jako narzędzie do znajdowania błędów

Za rekordową liczbą poprawek stoi nowa jakość w testowaniu bezpieczeństwa. Project Glasswing, opracowany przez firmę Anthropic, to system AI, który potrafi analizować kod źródłowy i wykrywać podatności z niespotykaną dotąd skutecznością. Z narzędzia skorzystało już kilkudziesięciu producentów, w tym Apple, Google, Microsoft, Mozilla i Oracle.

Efekty są spektakularne. Mozilla w wydaniu Firefox 150 załatała 271 luk wykrytych właśnie podczas oceny Glasswing. Apple w aktualizacji z 11 maja poprawiło 52 błędy, co jest znaczącym wzrostem w porównaniu do średniej 20 poprawek na wydanie. Google w Chrome załatało 127 podatności – poprzednio było ich zaledwie 30. Oracle, pod wpływem współpracy z Glasswing, przyspieszyło cykl wydawniczy i od kwietnia przechodzi na comiesięczne aktualizacje krytyczne.

Co to oznacza dla administratorów i zwykłych użytkowników?

Przyspieszenie tempa poprawek to dobra wiadomość dla bezpieczeństwa, ale stawia nowe wymagania przed zespołami IT. Administratorzy muszą być gotowi na częstsze wdrażanie aktualizacji, co wymaga sprawnego procesu testowania i wdrażania poprawek w środowiskach produkcyjnych. Dla zwykłych użytkowników kluczowe jest regularne instalowanie aktualizacji systemu i aplikacji – szczególnie przeglądarek, które są głównym celem ataków.

Warto pamiętać, że nawet najlepsze narzędzia AI nie zastąpią podstawowych zasad higieny cyfrowej. Przed instalacją dużych aktualizacji warto wykonać kopię zapasową danych. W przypadku firm niezbędne jest monitorowanie komunikatów producentów i szybkie reagowanie na krytyczne poprawki, zwłaszcza te dotyczące kontrolerów domeny, zapór sieciowych i systemów uwierzytelniania.

Ograniczenia i dalsze kroki

Choć Project Glasswing okazał się przełomem, nie jest rozwiązaniem idealnym. Jak podkreślają eksperci, AI może generować fałszywe alarmy, a znalezione luki wymagają ręcznej weryfikacji. Ponadto nie wszystkie podatności są łatane natychmiast – niektóre wymagają czasu na opracowanie stabilnej poprawki. Dla krytycznych błędów, takich jak CVE-2026-41089, administratorzy powinni priorytetowo wdrożyć dostępne łatki, a jeśli to niemożliwe – zastosować tymczasowe zabezpieczenia, np. segmentację sieci czy ograniczenie dostępu do podatnych usług.

Majowy Patch Tuesday pokazuje, że era ręcznego przeszukiwania kodu w poszukiwaniu błędów powoli odchodzi do lamusa. Narzędzia AI stają się standardem w cyberbezpieczeństwie, a ich wpływ będzie tylko rósł. Dla użytkowników i firm oznacza to jedno: regularne aktualizacje przestają być opcją, a stają się koniecznością. Warto śledzić komunikaty producentów i nie odkładać poprawek na później – zwłaszcza gdy dotyczą one krytycznych systemów, takich jak kontrolery domeny czy zapory sieciowe.