Microsoft je objavio golemi rujanski paket sigurnosnih ažuriranja kojim je, prema analizi Zero Day Initiativea, zakrpao oko 972 ranjivosti. Čak 112 označeno ih je kritičnima, a među otkrivenim problemima nalaze se i dvije ranjivosti nultog dana.
Riječ je o novom rekordu za Microsoft, piše Ars Technica. Još u srpnju kompanija je zakrpala tada rekordnih oko 570 ranjivosti, a samo mjesec poslije broj je narastao na približno 620. Rujanski paket sada se približio granici od tisuću.
Ako se u računicu uključe i popravci za Chromium koje Microsoft koristi u pregledniku Edge, ukupan broj raste na 997.
vezane vijesti
Čak 112 kritičnih ranjivosti
Sama brojka ne znači da je gotovo tisuću sigurnosnih propusta jednako opasno za prosječnog korisnika Windowsa. Od novih ranjivosti 112 ih je klasificirano kao kritično, dok su ostale uglavnom dobile oznaku 'važno'.
Posebnu pozornost privlače dvije ranjivosti nultog dana, CVE-2026-81963 i CVE-2026-85880, povezane sa servisom Windows Update i komponentom Windows Advanced Local Procedure.
Prema Ars Technici, nema javnih informacija o tome tko ih iskorištava ni koliko su napadi rašireni. Među ozbiljnijim problemima nalazi se i ranjivost u Exchange Serveru koja bi udaljenom napadaču mogla omogućiti izvršavanje koda slanjem e-maila sa zlonamjernim Visio privitkom.
Još jedna ranjivost zahvaća Microsoft Authenticator, dok je u SharePointu evidentiran niz propusta koji također mogu omogućiti udaljeno izvršavanje koda. Posebno zabrinjava Remote Desktop Services. Jedna od otkrivenih ranjivosti ima ocjenu ozbiljnosti 9,8 od mogućih 10.
Dustin Childs iz Zero Day Initiativea rekao je da je u ovom paketu pronašao toliko ranjivosti koje bi se potencijalno mogle širiti bez interakcije korisnika da ih je prestao brojati nakon dvadesete.
AI mijenja i posao hakera
Zašto odjednom toliko sigurnosnih rupa? Jedan dio odgovora krije se u umjetnoj inteligenciji. AI alati sve su bolji u analizi golemih količina programskog koda i pronalaženju ranjivosti koje bi ljudskim istraživačima bilo znatno teže ili sporije pronaći.
To je dobra vijest kada tehnologiju koriste sigurnosni stručnjaci. Problem je što iste mogućnosti mogu koristiti i napadači. Ars Technica podsjeća da su OpenAI, Anthropic, Amazon Web Services, Google, Microsoft i deseci drugih kompanija i organizacija nedavno upozorili na sve kraći vremenski prozor između otkrivanja ranjivosti i pokušaja njezina iskorištavanja.
Childs zbog toga aktualni rast broja otkrivenih propusta opisuje kao 'novu normalnost'. Microsoft je samo tijekom ove godine zakrpao oko 2760 ranjivosti, više nego dvostruko u odnosu na prošlu godinu. Ako se sadašnji tempo nastavi, kompanija bi tijekom 2026. mogla popraviti više sigurnosnih propusta nego tijekom 2023., 2024. i 2025. zajedno.
Za prosječnog korisnika poruka je puno jednostavnija od svih tih brojki - instalirati sigurnosna ažuriranja. Posebno zato što se u aktualnom paketu nalaze ranjivosti koje se već iskorištavaju, ali i niz kritičnih propusta za koje sigurnosni stručnjaci smatraju da predstavljaju ozbiljan rizik.
