Microsoft objavio zakrpe za 1.413 ranjivosti, uključujući iskorišćeni propust
Rekordan obim oktobarskih bezbednosnih ispravki
Microsoft je u oktobarskom paketu Patch Tuesday objavio zakrpe za rekordnih 1.413 ranjivosti, među kojima je CVE-2026-96951 u komponenti Windows Shell već aktivno iskorišćen. Paket obuhvata 1.102 propusta u Windowsu, 134 u Officeu, 61 u Developer Tools, 36 u SharePoint Serveru i 22 u SQL Serveru.
Više od 670 prijavljenih propusta odnosi se na podizanje privilegija, više od 300 na izvršavanje koda na daljinu, a oko 250 na otkrivanje informacija. Preko 70 ranjivosti dobilo je oznaku Critical, što dodatno povećava potrebu za jasnim redosledom procene i instalacije ažuriranja.
Microsoft uz ovaj ciklus uvodi i pristup pod nazivom risk cohorts: grupe CVE oznaka koje zahtevaju sličnu procenu korisnika. Kompanija naglašava da te grupe služe kao polazna tačka, dok svaku ranjivost i dalje treba proveriti prema aktivnoj eksploataciji, ozbiljnosti, vektoru napada, interakciji korisnika i smernicama za konkretan proizvod.
Windows Shell propust zaobilazi Mark of the Web
CVE-2026-96951 ima CVSS ocenu 8,8 i opisan je kao ubacivanje komandi u Windows Shell-u koje neovlašćenom napadaču preko mreže omogućava zaobilaženje bezbednosne funkcije. Microsoft navodi da uspešna zloupotreba može da izbegne zaštitu Mark of the Web, odnosno oznaku kojom Windows prepoznaje sadržaj preuzet sa interneta.
Napad može biti izveden putem posebno pripremljene datoteke poslata e-poštom ili porukom, ali napadač ne može primorati korisnika da otvori sadržaj. Potrebno je da žrtvu navede na akciju, poput klika na vezu ka napadačevom sajtu ili otvaranja zlonamernog priloga. Nisu objavljeni detalji o akterima, metama ni načinu na koji se propust koristi u stvarnim napadima.
Američka agencija CISA dodala je CVE-2026-96951 u katalog Known Exploited Vulnerabilities i federalnim agencijama SAD naložila primenu ispravki do 16. oktobra 2026. Ranjivost su prijavili Riku Bamba i Yuya Chudo iz kompanije Fujitsu, Benoit Sevens iz kompanije Anthropic i istraživač pod imenom yhw.
Javno poznat propust u .NET Framework-u i dodatni rizici
Drugi važan propust, CVE-2026-108398, takođe ima CVSS 8,8 i pogađa .NET Framework. Microsoft ga je označio kao javno poznat u trenutku objave zakrpa. Ovlašćeni lokalni napadač mogao bi da postavi posebno pripremljeni .NET sklop i registruje ga za učitavanje zaštićenim procesom, čime bi zaobišao Windows Defender Application Control i izvršio kod bez interakcije korisnika.
Google Project Zero istraživač James Forshaw zaslužan je za prijavu ovog propusta. Microsoft je zakrpio i CVE-2026-92707 u biblioteci MessagePack-CSharp, ranjivost CVSS 5,3 koja preko mreže može izazvati uskraćivanje usluge, kao i CVE-2026-21413 u Raw Image Extension. Potonji propust CVSS 9,8 može dovesti do izvršavanja koda na daljinu kada Windows generiše sličicu ili pregled posebno pripremljene RAW slike, bez potrebe da korisnik otvori datoteku.
Praktičan redosled za IT timove
Organizacije treba najpre da utvrde gde se koriste pogođeni Windows sistemi, .NET Framework, Raw Image Extension i ostali proizvodi iz ovog paketa. Prioritet imaju CVE-2026-96951 zbog potvrđene eksploatacije i sistemi na kojima izloženi korisnici mogu primati datoteke ili veze iz e-pošte i aplikacija za razmenu poruka.
Zatim je potrebno proveriti primenu WDAC pravila i lokalni pristup sistemima obuhvaćenim CVE-2026-108398, kao i testirati zakrpe u skladu sa poslovnim zavisnostima. Veliki broj CVE oznaka sam po sebi nije dovoljan za određivanje prioriteta: poslovno razuman postupak je da se najpre otklone aktivno iskorišćeni i javno poznati propusti, uz procenu izloženosti svakog konkretnog proizvoda.