Microsoft opravuje rekordních 974 zranitelností, 2 se už zneužívají

Microsoft v září 2026 vydal bezpečnostní opravy pro 974 zranitelností ve svých produktech. Dvě chyby ve Windows už útočníci zneužívají.

CVE je veřejný identifikátor konkrétní bezpečnostní chyby. CVE-2026-85880 v rozhraní ALPC ve Windows umožňuje útočníkovi, který už může spustit kód s nízkými právy, uniknout z omezeného prostředí a získat práva SYSTEM bez další akce uživatele. CVE-2026-81963 ve Windows Update Stack může vést ke stejnému výsledku. Microsoft neuvedl, kdo chyby zneužívá ani k jakým útokům.

Mezi další vážné případy patří CVE-2026-55007 v serveru Exchange provozovaném ve vlastní infrastruktuře. Server může spustit škodlivý kód už při indexaci e-mailu s přílohou ve formátu Visio, aniž by ji příjemce otevřel. Zero Day Initiative napočítala v zářijové sadě 20 chyb, které umožňují automatické šíření útoku.

Adobe vydal 8. září 10 bulletinů s opravami 172 chyb. Zranitelnost CVE-2026-75650, označená jako StyleSmuggler, zasahuje Magento a Adobe Commerce ve verzích 2.4.4 až 2.4.9 včetně. Umožňuje vzdálené spuštění kódu bez přihlášení. Podle bezpečnostní firmy Sansec začaly útoky 4. září a do napadených e-shopů instalovaly škodlivý program, který čeká na další příkazy. Sansec zatím nezaznamenal, že by útočníci instalovaný program dále využili. Adobe vydal mimořádnou opravu 7. září.

Samostatná nejasnost se týká prohlížeče Microsoft Edge. Google opravil 3. září aktivně zneužívanou chybu CVE-2026-85046 v JavaScriptovém enginu V8, který používají Google Chrome i Microsoft Edge. Microsoft k této chybě nevydal bezpečnostní upozornění. Aktualizované instalace Microsoft Edge mají být chráněné, není však jasné, zda prohlížeč dostal také opravy dalších 11 chyb ze stejné aktualizace Google Chrome.

Pořadí aktualizací má tentokrát význam. Nejvyšší naléhavost mají Magento a Adobe Commerce dostupné z internetu, aktivně zneužívané chyby ve Windows a Exchange Server provozovaný ve vlastní infrastruktuře. Microsoft nezveřejnil rozsah probíhajících útoků ani úplný stav oprav pro Microsoft Edge. Dodavatelé také neuvádějí náklady, omezení nasazení ani potřebnou délku odstávky. Odklad běžného aktualizačního okna tak prodlužuje dobu, po kterou zůstávají systémy vystavené známým chybám.