Microsoft je ovoga utorka u javnu distribuciju pustio listopadsko sigurnosno ažuriranje za Windows koje sadrži rekordnih 1.411 zakrpa za sigurnosne propuste. Riječ je o najvećem broju ispravaka u sklopu jednog mjesečnog ciklusa, a ovogodišnji listopadski paket tako je drugi mjesec zaredom postavio rekord po broju zakrpanih ranjivosti.
Među ispravkama su i tri "zero day" propusta. Jedan od njih već je bio aktivno iskorištavan u napadima, dok su dva bila javno razotkrivena prije same objave zakrpa. Neki izvori sve tri ranjivosti ubrajaju u zero-day propuste, a drugi izdvajaju samo aktivno iskorištavane ili određene javno otkrivene ranjivosti.
Najhitnija je ranjivost CVE-2026-96951, koja pogađa Windows Shell. Microsoft je potvrdio da su je napadači iskorištavali prije objave zakrpe, ali nije objavio sve pojedinosti o napadima. Propust može omogućiti zaobilaženje sigurnosne zaštite Mark of the Web (MotW), oznake kojom Windows obilježava datoteke preuzete s interneta i koja sustavu pomaže prikazati upozorenje prije otvaranja potencijalno opasne datoteke. Ako napadač zaobiđe tu provjeru, korisnik možda neće vidjeti očekivano sigurnosno upozorenje.
Uz CVE-2026-96951 zakrpane su još dvije ranjivosti koje su bile javno otkrivene prije objave ažuriranja. Ranjivost CVE-2026-108398 odnosi se na .NET Framework i omogućuje zaobilaženje sigurnosnih ograničenja — u određenim okolnostima napadač bi mogao pokrenuti neovlašteni kod unutar zaštićenog procesa, zaobilazeći pravila koja provodi Windows Defender Application Control. Ranjivost CVE-2026-92707 nalazi se u biblioteci MessagePack-CSharp i može omogućiti uskraćivanje usluge, odnosno izazvati prekid rada pogođene aplikacije ili servisa.
Od ukupnog broja zakrpanih ranjivosti, njih 70 dobilo je ocjenu "kritično". Unutar te najrizičnije skupine 57 propusta odnosi se na udaljeno izvršavanje zlonamjernog koda (Remote Code Execution), 11 na neovlašteno povećanje privilegija (Elevation of Privilege), a dva su klasificirana kao lažiranje identiteta (Spoofing). Ukupno je zabilježeno 677 propusta povezanih s povećanjem privilegija, identificirano je i ispravljeno 317 ranjivosti koje omogućuju udaljeno izvršavanje koda te 254 propusta koji dovode do neovlaštenog otkrivanja informacija.
Microsoft je detaljnu listu objavio u obliku 45 stranica dugog .pdf dokumenta. Rekordni broj zakrpanih sustava izravno je povezan sa sve većom primjenom platformi zasnovanih na umjetnoj inteligenciji za otkrivanje i otklanjanje sigurnosnih nedostataka — Microsoft je još u srpnju počeo koristiti AI alate za pronalaženje ranjivosti i analize. Sigurnosne tvrtke u paketu broje između 1.407 i 1.413 ispravljenih ranjivosti, ovisno o metodologiji, a brojka obuhvaća propuste u Windowsu i drugim Microsoftovim proizvodima i komponentama.
Paket zakrpa obuhvaća Windows 11, podržana izdanja Windowsa 10, Windows Server, Microsoft Office, Exchange, SharePoint, .NET, Visual Studio i druge proizvode. Microsoftov pregled navodi da su sigurnosna ažuriranja objavljena za više proizvodnih obitelji, a kod niza proizvoda najveći mogući utjecaj uključuje i udaljeno izvršavanje programskog koda.
Microsoft je objavio listopadsko sigurnosno ažuriranje za Windows 11 pod oznakom KB5127648, dostupno putem Windows Updatea za podržana izdanja sustava. Ono uključuje i ispravke problema s Windows Explorerom, zvukom, ispisom i Windows Hello prijavom otiskom prsta. Korisnici Windowsa 10 uključeni u program Extended Security Updates (ESU), kao i korisnici određenih LTSC izdanja, mogu provjeriti ažuriranje KB5126657, koje se odnosi na uređaje obuhvaćene tim programom i dugoročna izdanja. Obična izdanja Windowsa 10 više ne primaju redovna sigurnosna ažuriranja.
Microsoftova dokumentacija navodi da korisnici koji ispunjavaju uvjete ažuriranje mogu preuzeti putem Windows Updatea. Paket uključuje popravke za neke probleme s File Historyjem te nastavak postupnog uvođenja novih Secure Boot certifikata na podržane uređaje. Korisnici dostupnost ažuriranja mogu provjeriti u Postavkama > Windows Update, odnosno u Windowsu 10 na putanji Postavke > Ažuriranje i sigurnost > Windows Update. Nakon instalacije možda će trebati ponovno pokrenuti računalo.
Budući da se dio zakrpa odnosi na Office, .NET i druge proizvode, korisnici trebaju provjeriti i ažuriranja tih programa. Windows Update i drugi Microsoftovi kanali isporučuju odgovarajuće pakete za konkretno izdanje sustava i uređaj, a za pregled ranjivosti obuhvaćenih listopadskim zakrpama dostupan je Security Update Guide.
