Aktualizacja Windows: zero-day i ostatnia łatka dla 24H2

Październikowa aktualizacja Windows z 13 października 2026 roku łata lukę w powłoce systemu, którą napastnicy już wykorzystują do obchodzenia ostrzeżeń przy plikach z internetu, a dla Windows 11 24H2 w wersjach Home i Pro jest to ostatnia poprawka w ogóle. Zwykły Windows 10 22H2, który nie jest zapisany do programu ESU, tej łatki nie dostanie, choć luka dotyczy także jego. W biuletynie Microsoftu jest 1 409 luk we własnych produktach opublikowanych tego dnia, więcej niż w jakimkolwiek wcześniejszym miesiącu. Microsoft oznaczył jako wykorzystywaną w atakach dokładnie jedną z nich, CVE-2026-96951.

Ile luk załatał Microsoft w październiku 2026

Dokładna liczba zależy od sposobu liczenia, więc podajemy ją z metodą. Pobraliśmy biuletyn Microsoftu w formacie CVRF i policzyliśmy go skryptem 14 października. Dokument ma 1 760 pozycji. Część to cudze luki, które Microsoft tylko przekazuje dalej, na przykład z jądra Linuksa i projektów Apache. Pozycji, którym numer nadał sam Microsoft, jest 1 417, a 1 409 z nich opublikowano 13 października. Zero Day Initiative liczy 1 415 nowych luk i zauważa, że to więcej niż Microsoft załatał w którymkolwiek wcześniejszym całym roku. W 2023 roku było ich łącznie 914.

Policzyliśmy też poprzednie biuletyny tą samą miarą, czyli pozycje, którym Microsoft nadał własną ocenę prawdopodobieństwa ataku. Tą miarą październik 2026 ma 1 419 pozycji, a rok temu, w październiku 2025, było ich 186. We wrześniu 2026 jest ich dziś 1 000, choć 9 września naliczyliśmy 975. Microsoft dopisuje pozycje do biuletynu jeszcze po jego wydaniu, dlatego liczby z różnych dni się różnią.

Sama liczba nie mówi, jak pilna jest aktualizacja. Mówi o tym jedna pozycja z oznaczeniem “Exploitation Detected”, czyli wykryte wykorzystanie w atakach.

Zero-day w powłoce Windows: obejście Mark of the Web

CVE-2026-96951 to luka w powłoce systemu Windows, która pozwala obejść ochronę Mark of the Web. Mark of the Web (w skrócie MotW) to znacznik, który Windows dodaje do plików z niezaufanego miejsca. Dostają go na przykład pliki pobrane przez przeglądarkę i załączniki poczty. Według dokumentacji Microsoftu to właśnie ten znacznik sprawia, że Office blokuje makra w pliku z internetu, a system pokazuje ostrzeżenie przed uruchomieniem.

Microsoft opisuje scenariusz ataku wprost. Napastnik wysyła ofierze spreparowany plik e-mailem albo przez komunikator i musi ją namówić do kliknięcia linku lub otwarcia załącznika. Luka usuwa ostrzeżenie, które przy takim kliknięciu miało zatrzymać użytkownika.

Luka ma w skali CVSS ocenę 8,8, ale Microsoft nadał jej stopień “Important”, a nie “Critical”. Dotyczy wszystkich wspieranych wersji Windows 10 i 11 oraz serwerów od 2012 R2 do 2025. Na liście produktów jest też Outlook.com, który Microsoft poprawił już wcześniej po stronie serwera.

Amerykańska agencja CISA dopisała lukę do katalogu podatności wykorzystywanych w atakach 13 października. Agencjom federalnym w USA wyznaczyła termin na 16 października. Polskich firm ten termin nie wiąże. Ani Microsoft, ani CISA nie podają, kto lukę wykorzystywał i przeciw komu. Nie ma też informacji o atakach w Polsce.

Wśród osób, którym Microsoft dziękuje za zgłoszenie, jest wpis “Benoit Sevens using Claude with Anthropic”. Obok niego figuruje pseudonim “yhw” i dwóch badaczy Fujitsu, Riku Bamba i Yuya Chudo. Dokument nie mówi, kto pierwszy znalazł lukę ani jaką rolę odegrał w tym model językowy.

Pierwsza Misja AI · Kodożercy

Pierwszy raz z AI? Zaczynasz od zera.

Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.

Wejdź na pokład →

Którą łatkę dostanie twój Windows: numery KB

Poprawka na lukę CVE-2026-96951 przychodzi w zwykłej, skumulowanej aktualizacji z października. Numer zależy od wersji systemu, a w kilku przypadkach poprawki nie dostaniesz wcale. Tabelę ułożyliśmy na podstawie biuletynu Microsoftu i stron pomocy poszczególnych aktualizacji.

Wiersz Windows 10 bez ESU jest najważniejszy, bo łatwo go przeoczyć. Luka dotyczy tego systemu i Microsoft wydał na nią poprawkę. Strona aktualizacji KB5126657 wymienia jednak jako odbiorców wyłącznie Windows 10 ESU i wydania LTSC 2021. Zwykły domowy Windows 10 bez zapisu do programu zostaje z otwartą luką.

Windows 11 24H2 Home i Pro: od listopada bez poprawek

Microsoft potwierdził to w centrum komunikatów Windows 13 października. Windows 11 24H2 Home i Pro oraz Windows 10 Enterprise LTSB 2016 osiągnęły tego dnia koniec aktualizacji. Październikowa łatka jest dla nich ostatnia. Jeśli Microsoft od listopada załata lukę, która siedzi także w tych wydaniach, komputery z 24H2 Home i Pro tej poprawki już nie dostaną.

Microsoft zaleca przejście na Windows 11 26H2 albo 25H2. Wersja 26H2 jest dostępna od 29 września, ale Microsoft udostępnia ją stopniowo. Najpierw trafia do komputerów z 25H2 albo 24H2, które w Windows Update mają włączone pobieranie najnowszych aktualizacji od razu. Według Microsoftu instalacja wymaga małego pobrania i jednego ponownego uruchomienia. Niektóre komputery mogą jej chwilowo nie dostać, gdy system wykryje niezgodność.

Wersja 25H2 dostaje poprawki do 12 października 2027 roku, a 26H2 do 10 października 2028 roku. Kto we wrześniu czytał nasz tekst o końcu wsparcia Windows 11 24H2, miał tam 25H2 jako docelową wersję. Dziś Microsoft na pierwszym miejscu wymienia 26H2, a 25H2 pozostaje równie dobrym wyborem na rok.

Firmy z wersjami Enterprise i Education mają więcej czasu, bo 24H2 jest w tych wydaniach wspierana do 12 października 2027 roku. Termin bliższy dotyczy 23H2 w tych samych wydaniach: ostatnią poprawkę Microsoft wyda 10 listopada 2026 roku.

Aktualizacja Windows 10: zwykłe wydanie dostaje łatkę tylko z ESU

Zwykły Windows 10 22H2 dostaje październikową poprawkę wyłącznie w programie rozszerzonych aktualizacji zabezpieczeń, czyli ESU. Firmowe wydania LTSC, które mają własny, dłuższy cykl wsparcia, dostają ją normalnie. Użytkownik domowy w Europejskim Obszarze Gospodarczym może się do niego zapisać bez opłat, jeśli loguje się do Windows kontem Microsoft. Alternatywą jest jednorazowa opłata 30 USD. Według Microsoftu program działa do 12 października 2027 roku, a zapisani wcześniej nie muszą nic robić.

Jak sprawdzić zapis, opisaliśmy w tekście o ESU dla Windows 10 i aktualizacji do Windows 11. Jest tam też rada dla komputerów, które nie przejdą na Windows 11. Najkrótszy test jest w historii aktualizacji. Jeśli na zwykłym Windows 10 22H2 zainstalowała się KB5126657, komputer dostaje aktualizacje ESU.

Outlook, PowerPoint i serwery: co jeszcze łatać szybko

Poza zero-dayem warto zwrócić uwagę na trzy luki w Outlooku z oceną 9,8. Przy CVE-2026-97749 Microsoft pisze, że do zaatakowania wystarczy samo wyświetlenie spreparowanej wiadomości w okienku odczytu, bez otwierania jej i bez klikania. Podobnie luka CVE-2026-88178 w PowerPoincie działa przez okienko podglądu. Microsoft ocenia wykorzystanie wszystkich czterech jako mniej prawdopodobne, ale to luki w programach, którymi czytamy cudzą pocztę i cudze pliki.

W firmach na liście pilnych jest serwer DHCP z pięcioma krytycznymi lukami. Do tego dochodzi Exchange z luką, której wykorzystanie Microsoft ocenia jako bardziej prawdopodobne. Dustin Childs z ZDI naliczył 59 luk, które według jego definicji mogą rozprzestrzeniać się po sieci bez udziału człowieka. Sam zastrzega, że nie widzi w tym powodu do paniki.

Microsoft pokazał przy tym biuletynie eksperymentalny sposób porządkowania luk, który nazywa “risk cohorts”. W opisie na blogu MSRC dzieli on 1 118 luk na 15 grup według pytań o środowisko firmy. Jedno z takich pytań brzmi: czy serwery RDP są dostępne z internetu? Microsoft zastrzega, że to nie są oficjalne kategorie i nie zmieniają one zaleceń dotyczących instalacji.

Tego samego dnia CISA dodała do katalogu także lukę w bramie VPN Ivanti Connect Secure. Adobe wydał 11 biuletynów obejmujących 174 luki, z których ZDI za najpilniejszy uznaje ColdFusion.

Jak sprawdzić, czy aktualizacja Windows się zainstalowała

Najszybciej sprawdzisz to numerem kompilacji. Naciśnij klawisz Windows razem z R, wpisz winver i zatwierdź. Okno pokaże wersję systemu i numer kompilacji, który porównasz z tabelą wyżej. Liczy się część po kropce: jeśli twoja liczba jest mniejsza niż w tabeli, październikowej poprawki nie ma.

Druga droga prowadzi przez Ustawienia, Windows Update i Historię aktualizacji, gdzie numer KB widać razem z datą instalacji. Aktualizacja kończy się dopiero po ponownym uruchomieniu komputera. Komputer, który od tygodnia czeka na restart, jest niezałatany.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy Windows 10 bez ESU jest teraz bardziej zagrożony?

Tak, bo ma lukę, na którą Microsoft wydał poprawkę, i tej poprawki nie dostanie. Atak nadal wymaga kliknięcia w plik albo link od napastnika, więc ostrożność przy załącznikach coś daje. Nie zastępuje jednak łatki. Zapis do ESU w EOG nic nie kosztuje przy logowaniu kontem Microsoft i działa do 12 października 2027 roku.

Czy lukę znalazła sztuczna inteligencja?

Tego dokument Microsoftu nie mówi. Na liście podziękowań jest wpis “Benoit Sevens using Claude with Anthropic”, obok trzech innych zgłaszających. Dustin Childs z ZDI uważa, że AI pomaga dziś w wykrywaniu luk. Liczba wykorzystywanych zero-dayów nie rośnie jednak w tym samym tempie co liczba łatek. Według jego wyliczeń od stycznia do października 2026 roku było 15 zero-dayów Microsoftu, a w tym samym okresie 2023 roku 17.

Podsumowanie

Październikowa aktualizacja Windows obejmuje 1 409 luk w produktach Microsoftu opublikowanych 13 października 2026 roku. W atakach wykorzystywana jest jedna z nich, CVE-2026-96951 w powłoce systemu, która pozwala obejść ostrzeżenia Mark of the Web przy plikach z internetu. Poprawkę dostają wspierane wersje Windows 11, Windows 10 22H2 objęty ESU i wydania LTSC. Zwykły Windows 10 bez zapisu do programu zostaje z otwartą luką. Dla Windows 11 24H2 Home i Pro była to ostatnia łatka, więc listopadowe poprawki ominą te komputery. Sprawdź kompilację poleceniem winver, przejdź z 24H2 na 25H2 albo 26H2, upewnij się, że stary Windows 10 jest zapisany do ESU, i po instalacji uruchom komputer ponownie, bo bez restartu poprawka nie działa.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.