Microsoft otklonio 974 propusta, dva Windows nultog dana se koriste
Microsoft je u septembarskom ciklusu Patch Tuesday objavio ispravke za rekordna 974 bezbednosna propusta u svom portfoliju, uključujući dva Windows nultog dana koja se već aktivno zloupotrebljavaju. Uz 25 CVE oznaka za proizvode drugih dobavljača, ukupan broj rešenih ranjivosti dostiže 999. Microsoft je naveo 723 propusta u Windowsu, 111 u Officeu i Officeu 2016, 62 u SQL proizvodima i 22 u Developer Tools alatima.
Dva aktivno iskorišćena propusta u Windowsu
Prvi propust je CVE-2026-85880, ranjivost prekoračenja bafera zasnovanog na hipu u komponenti Windows Advanced Local Procedure Call (ALPC), sa CVSS ocenom 7,8. Ovlašćenom lokalnom napadaču može omogućiti eskalaciju privilegija do SYSTEM nivoa. Microsoft upozorava da napadač koji već izvršava kod u niskoprivilegovanom AppContainer okruženju može lokalno izaći iz izolacije, bez dodatne interakcije korisnika.
Drugi aktivno iskorišćeni propust, CVE-2026-81963, takođe ima CVSS 7,8 i odnosi se na neispravno razrešavanje veza u komponenti Windows Update Stack. Ranjivost može omogućiti ovlašćenom lokalnom napadaču eskalaciju do SYSTEM privilegija. Rapid7 navodi da ispravku dobijaju sve podržane verzije Windowsa, uz pretpostavku da ona pooštrava kontrole nad praćenjem zlonamernih veza i zamenom sistemskih komponenti sadržajem pod kontrolom napadača.
Microsoft je potvrdio pokušaje zloupotrebe oba propusta, ali nije objavio podatke o akterima, obimu aktivnosti ni mogućim kompromitovanim žrtvama. Za CVE-2026-85880 zasluge za prijavu pripadaju kompanijama Volexity i Proofpoint, dok su za CVE-2026-81963 navedeni Romain Deperne iz Airbus Helicopters i Microsoft Threat Intelligence Center.
Širi obim zakrpa i prioriteti
Više od 110 propusta dobilo je oznaku kritične ozbiljnosti. Eskalacija privilegija, udaljeno izvršavanje koda i otkrivanje informacija čine gotovo 90% ovog mesečnog skupa. Među ranjivostima sa visokim ocenama nalaze se CVE-2026-65669 u SQL Serveru sa CVSS 9,6, kao i propusti sa ocenom 9,8 u Windows Remote Desktop Services, Windows DNS serveru, Windows Shell-u i Windows DHCP Serveru.
Američka agencija CISA uvrstila je oba aktivno iskorišćena Windows propusta u katalog Known Exploited Vulnerabilities. Savezne civilne izvršne agencije SAD moraju da primene ispravke do 22. septembra 2026. Tenable navodi da je CVE-2026-81963 prvi nulti dan i prvi propust iz Windows Update Stack kategorije koji je zabeležen kao aktivno iskorišćen.
Kako organizovati odgovor
Obim izdanja zahteva razdvajanje hitnih aktivnosti od redovnog ciklusa održavanja. Prvi prioritet treba da budu sistemi sa podržanim Windows verzijama i izloženi resursi koji koriste pogođene servise, uz proveru uspešnosti instalacije zakrpa i evidenciju izuzetaka. Zatim treba proceniti da li su kritični propusti primenljivi na konkretno okruženje i da li su dostupni preko mreže ili interneta.
Poslovni zaključak je da broj CVE oznaka ne treba tretirati kao jedini pokazatelj rizika: aktivno iskorišćeni propusti zahtevaju ubrzano zakrpljivanje, dok redosled ostalih ispravki treba zasnivati na prisutnosti proizvoda, dostupnosti sistema i stvarnoj mogućnosti eksploatacije.