Patch Tuesday: 975 luk, dwie już wykorzystywane

Dwie luki z wrześniowej łatki Microsoftu są już wykorzystywane w atakach i obejmują dwa rozłączne zbiory systemów. Pierwsza siedzi wyłącznie w wymienionych wersjach Windowsa 11 i w Serwerze 2025. Druga wyłącznie w wymienionych wersjach Windowsa 10 oraz w serwerach od 2012 do 2022. Ani jeden produkt nie powtarza się na obu listach. Obie luki kończą się tak samo. Napastnik, który już jest na maszynie, dostaje uprawnienia SYSTEM. Amerykańska agencja CISA dopisała je do swojego katalogu 8 września, wyznaczając amerykańskim cywilnym agencjom federalnym termin na 22 września. Polskich firm ten termin nie wiąże.

Czym jest Patch Tuesday i dlaczego akurat wtorek

Microsoft wypuszcza comiesięczny zestaw poprawek bezpieczeństwa w drugi wtorek miesiąca. We wrześniu 2026 wypadł on ósmego. Biuletyn nosi wewnętrzny numer 2026-Sep, a pierwsze wydanie ma znacznik z 8 września, godzina 7:00 czasu uniwersalnego. W październiku 2026 roku wypadł 13 października, a październikowy Patch Tuesday łata między innymi lukę w powłoce Windowsa, którą napastnicy już wykorzystują do obchodzenia ostrzeżeń przy plikach z internetu.

Przewidywalność jest tu całym sensem. Administrator wie z góry, kiedy przyjdzie paczka, i może zaplanować okno serwisowe zamiast reagować na zaskoczenie. Sam dzień tygodnia też coś daje. Po wtorkowej publikacji zostają jeszcze trzy dni robocze na wycofanie poprawki, która coś w firmie zepsuła, zanim zacznie się weekend.

Poza tym rytmem Microsoft wydaje łatki awaryjne, gdy sprawa nie może czekać. Wrześniowe luki nie były takim przypadkiem. Obie przyszły normalnym kanałem, tyle że z adnotacją, której zwykle nie ma.

Dwie luki obejmują rozłączne wersje Windowsa

Pierwsza, oznaczona jako CVE-2026-81963, siedzi w mechanizmie aktualizacji Windowsa. Obejmuje dziesięć produktów i wszystkie należą do jednej rodziny: Windows 11 w wersjach 23H2, 24H2, 25H2 i 26H1 oraz Windows Server 2025.

Druga, CVE-2026-85880, siedzi w mechanizmie ALPC, czyli w wewnętrznej komunikacji między procesami systemu. Obejmuje dwadzieścia produktów i żaden z nich nie jest Windowsem 11. To Windows 10 w wersjach 1607, 1809, 21H2 i 22H2 oraz serwery od 2012 po 2022.

Nazewnictwo potrafi tu zmylić. Katalog CISA opisuje pierwszą lukę jako nieprawidłowe podążanie za dowiązaniem, po angielsku “link following”, czyli sytuację, w której program otwiera plik wskazany przez skrót podstawiony przez napastnika. Drugą opisuje jako przepełnienie bufora na stercie, po angielsku “heap-based buffer overflow”, czyli zapis danych poza wyznaczony obszar pamięci. Microsoft nazywa obie od komponentu, w którym siedzą. Te dwa opisy dotyczą tego samego. Pole ze skróconym opisem w katalogu CISA łączy zresztą jedno z drugim wprost, wskazując i mechanizm, i komponent.

Dostęp lokalny nie znaczy mniej groźny

Obie luki mają w skali CVSS ocenę 7,8 i identyczny wektor. Napastnik musi już mieć dostęp do maszyny i niskie uprawnienia. Nie potrzebuje natomiast żadnego działania ze strony użytkownika. Skutek jest w obu przypadkach pełny: poufność, integralność i dostępność lecą na maksimum.

Słowo “lokalny” bywa czytane jako “mniej pilny” i jest to błąd. Takich luk nie używa się do włamania. Używa się ich w drugim kroku, gdy ktoś już wszedł przez załącznik, przez przeglądarkę albo przez konto zwykłego pracownika. Podniesienie uprawnień do SYSTEM zamienia dostęp do jednego stanowiska w kontrolę nad maszyną.

Przy luce w ALPC Microsoft dopisuje jeszcze jedno zdanie w odpowiedziach na pytania. Napastnik zdolny wykonać kod w piaskownicy AppContainer, czyli w mocno ograniczonym środowisku dla aplikacji, może się z niej wydostać. Piaskownica jest właśnie tym, co ma powstrzymać złośliwy kod przed sięgnięciem do reszty systemu.

Jedną rzecz odnotowujemy i nie wyciągamy z niej wniosku. W wektorze czasowym Microsoft opisuje kod wykorzystujący pierwszą lukę jako funkcjonalny, a przy drugiej zostawił oznaczenie “nieudowodniony”. W indeksie wykorzystania obie mają jednak status wykrytego wykorzystania. Skąd ta rozbieżność w jednym dokumencie, nie wiemy.

Skąd się bierze rozrzut od 964 do 975 luk

W relacjach o wrześniowej łatce krążą różne liczby. W obiegu są 974, 973, 972, 966 i 964. Skąd każda z nich się wzięła, z samego rozrzutu ustalić się nie da, bo redakcje nie podają metody. Da się natomiast pokazać, gdzie w tym dokumencie przebiega granica, i to wystarczy, żeby zrozumieć rozbieżność.

Pobraliśmy ten dokument i policzyliśmy sami. Pozycji jest w nim 1185, każda z osobnym numerem CVE. Z tego 975 ma indeks wykorzystania, czyli własną ocenę Microsoftu mówiącą, jak prawdopodobny jest atak. Pozostałe 210 takiej oceny nie ma w ogóle.

Te 210 to cudze luki, które Microsoft tylko przekazuje dalej. Dwadzieścia trzy pozycje to Chromium, czyli silnik przeglądarki Edge. Reszta to pakiety otwartego oprogramowania dla systemu Azure Linux, między innymi libpcap, OpenLDAP, undici, moduł JavaScriptu w nginksie i erlang. Trudno je nazwać wrześniowymi lukami Windowsa.

Liczba 975 to więc granica między produktami Microsoftu a cudzymi. Wszystkie krążące liczby leżą tuż pod nią, czyli po tej samej stronie granicy. Nasze liczenie tłumaczy, dlaczego przyjęliśmy właśnie tę wartość, i nie rozstrzyga, jak do swoich doszła każda z redakcji.

Rekord zależy od tego, co się liczy

Tu robi się ciekawie, bo tą samą metodą policzyliśmy poprzednie miesiące. Wynik przeczy zdaniu, które powtarza się w relacjach.

Produktów Microsoftu faktycznie dotyczy rekord. W sierpniu było ich 458, w lipcu 663, a wcześniej w tym roku miesiące zamykały się liczbami od 62 do 222. Wrzesień z liczbą 975 jest ponad dwukrotnie większy od sierpnia i mniej więcej dziesięć razy większy od września 2025, kiedy naliczyliśmy 94 pozycje.

Policzmy jednak wszystko, co Microsoft opublikował w danym miesiącu. Lipiec 2026 miał 2005 pozycji, sierpień 1645, a wrzesień 1185. Przy tej mierze wrzesień jest mniejszy zarówno od lipca, jak i od sierpnia. Zdanie o największej łatce w historii jest więc prawdziwe przy jednej definicji i nieprawdziwe przy drugiej, a żadna z nich nie jest oczywista. Dlatego podajemy obie, zamiast wybierać wygodniejszą.

Jak sprawdzić, czy aktualizacja Windows 11 albo Windows 10 się zainstalowała

Najszybsza droga nie prowadzi przez ustawienia. Wciśnij klawisz Windows razem z R, wpisz winver i zatwierdź. Okienko poda numer kompilacji systemu. Wystarczy porównać go z tabelą.

Liczy się człon po kropce. Jeśli twoja kompilacja ma numer niższy niż w tabeli, poprawki nie ma. Drugą drogą jest ścieżka Ustawienia, Windows Update, Historia aktualizacji, gdzie numer KB widać wprost razem z datą instalacji.

Jedna pułapka wraca przy każdej takiej łatce. Instalacja kończy się dopiero po ponownym uruchomieniu komputera. Maszyna, która czeka na restart od tygodnia, jest z punktu widzenia tych dwóch luk maszyną niezałataną.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Dlaczego jedne luki mają termin trzy dni, a te dwie czternaście

Ósmego września CISA dopisała do katalogu podatności wykorzystywanych w atakach cztery pozycje. Dwie luki Microsoftu dostały termin na 22 września. Luka w Adobe Commerce oraz luka w N-able N-central dostały termin na 11 września, czyli trzy dni.

Różnicę tłumaczy jedna zmienna i da się ją odczytać z danych. Wszystkie cztery pozycje mają w ocenie CISA aktywne wykorzystanie oraz pełne przejęcie kontroli. Różni je automatyzowalność. Przy Adobe i N-able agencja zapisała, że atak da się zautomatyzować w całości. Przy obu lukach Microsoftu zapisała, że się nie da.

Sama reguła jest świeża. Wynika z dyrektywy BOD 26-04 z 10 czerwca 2026, która uchyliła obowiązującą od 2021 roku BOD 22-01. Pilność wyznaczają w niej cztery zmienne: czy zasób jest wystawiony na zewnątrz, czy luka jest w katalogu, czy atak da się zautomatyzować i jak głęboka jest utrata kontroli. Katalog przestał więc być listą z jednym terminem dla wszystkich.

Co ten termin znaczy dla polskiej firmy

Nie znaczy obowiązku. Dyrektywa CISA wiąże amerykańskie cywilne agencje federalne i tylko je. Polskiego przedsiębiorcy nie dotyczy w żadnym zakresie, o czym pisaliśmy już przy terminie dla luk w PaperCut.

Data ma jednak wartość praktyczną i dlatego warto ją znać. Jest darmową oceną pilności, wystawioną przez instytucję, która ma dostęp do danych o rzeczywistych atakach. Przyjęcie 22 września za własną granicę jest rozsądne, choć całkowicie dobrowolne.

Obowiązki polskiej firmy wynikają skądinąd. Jeśli podlegasz ustawie o krajowym systemie cyberbezpieczeństwa, zarządzanie podatnościami jest twoim zadaniem niezależnie od tego, co robi amerykańska agencja. Termin, który faktycznie wiąże, mija u nas 3 października i dotyczy samorejestracji w Wykazie KSC.

Osobna sprawa dotyczy Windowsa 10, a ten ma u nas nadal spory udział. Wsparcie zwykłych wydań tego systemu skończyło się 14 października 2025. Standardowy Windows 10 22H2 dostaje wrześniową poprawkę już tylko w ramach programu przedłużonych aktualizacji, którego pierwszy rok kończy się 13 października 2026. Komputer poza tym programem łatki na lukę w ALPC po prostu nie dostanie. Inaczej wygląda to na wydaniach LTSC dla firm, które mają własne, dłuższe cykle wsparcia i są nimi objęte normalnie.

Najczęstsze pytania

Czy te dwie luki można wykorzystać przez internet, bez dostępu do komputera?

Nie. Obie mają w wektorze CVSS zaznaczony dostęp lokalny, co oznacza, że napastnik musi już móc uruchomić kod na maszynie. Nie czyni ich to jednak mniej pilnymi. Takie luki są drugim krokiem po udanym phishingu albo po luce w przeglądarce i to one zamieniają konto zwykłego użytkownika w pełną kontrolę nad systemem. Pisaliśmy o pierwszym kroku takiego łańcucha przy wykorzystywanej luce w silniku V8 przeglądarki Chrome.

Mam Windows 10. Czy dostanę wrześniową łatkę?

Zależy od edycji systemu, więc zacznij od sprawdzenia jej poleceniem winver. Zwykłe wsparcie Windowsa 10 skończyło się 14 października 2025 i na standardowym wydaniu 22H2 poprawka KB5122878 przychodzi już tylko w ramach programu przedłużonych aktualizacji. Firmowe wydania Enterprise LTSC i IoT Enterprise LTSC mają osobne, dłuższe cykle wsparcia i dostają ją zwyczajnie. Jeśli nie wiesz, jaki masz stan, sprawdź w historii aktualizacji, czy po październiku 2025 przyszły jakiekolwiek poprawki bezpieczeństwa. Ich brak jest odpowiedzią.

Podsumowanie

Wrześniowa łatka Microsoftu obejmuje 975 luk w produktach firmy, przy 1185 pozycjach w całym opublikowanym dokumencie. Różnica to cudze luki, głównie Chromium i pakiety dla Azure Linuksa, i właśnie ona tłumaczy rozrzut liczb w relacjach. Dwie pozycje są wykorzystywane w atakach i obejmują rozłączne grupy wydań: jedna Windowsa 11 z Serwerem 2025, druga Windowsa 10 z serwerami od 2012 do 2022. Obie dają uprawnienia SYSTEM komuś, kto już jest na maszynie. Termin 22 września wiąże amerykańskie agencje federalne, a polskiej firmie służy najwyżej jako ocena pilności wystawiona przez instytucję z dostępem do danych o atakach. Najprostsze sprawdzenie zajmuje kilkanaście sekund: winver, numer kompilacji, porównanie z tabelą i ponowne uruchomienie komputera, jeśli system o nie prosi.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.