Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID (wpis wiodący) | CVE-2026-72982 |
| Objętych podatności | 6 (CVE-2026-72982, CVE-2026-73009, CVE-2026-73010, CVE-2026-73025, CVE-2026-77493, CVE-2026-78445) |
| Źródło alertu | GitHub Advisory - podatności krytyczne |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-08 |
| Producent | Microsoft |
| Produkt | Windows / Windows Server |
| CVSS Score | 9.8 (Krytyczny) — wszystkie sześć |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Wrześniowe wydanie poprawek Microsoftu zawiera sześć podatności ocenionych na 9.8 w skali CVSS. Łączy je to, że dotyczą komponentów nasłuchujących po sieci — a nie, jak przy lukach eskalacji uprawnień, kodu uruchamianego lokalnie.
| CVE | Komponent | Klasa podatności | Skutek |
|---|---|---|---|
| CVE-2026-72982 | Windows Netlogon | przepełnienie bufora na stosie | zdalne wykonanie kodu bez uwierzytelnienia |
| CVE-2026-73009 | Windows SSTP (Secure Socket Tunneling Protocol) | użycie po zwolnieniu (use-after-free) | zdalne wykonanie kodu bez uwierzytelnienia |
| CVE-2026-73010 | Windows Failover Cluster | użycie po zwolnieniu (use-after-free) | zdalne wykonanie kodu bez uwierzytelnienia |
| CVE-2026-73025 | Windows iSCSI | słabe uwierzytelnienie | obejście mechanizmu zabezpieczającego (nie wykonanie kodu) |
| CVE-2026-77493 | Microsoft Graphics Component | podwójne zwolnienie pamięci (double free) | zdalne wykonanie kodu bez uwierzytelnienia |
| CVE-2026-78445 | Windows Services for NFS (sterownik ONCRPC XDR) | użycie po zwolnieniu (use-after-free) | zdalne wykonanie kodu bez uwierzytelnienia |
Pięć z sześciu pozwala nieuwierzytelnionemu atakującemu wykonać kod przez sieć. Szósta, CVE-2026-73025 w iSCSI, ma inny skutek — obejście mechanizmu zabezpieczającego — mimo identycznej oceny liczbowej. Warto ten szczegół zauważyć, bo w komunikacji wewnętrznej łatwo zlepić sześć pozycji w jedno zdanie „sześć razy zdalne wykonanie kodu”, co po prostu nie byłoby prawdą.
Netlogon jest tu przypadkiem szczególnym. Pozostałe pięć komponentów to role opcjonalne — serwer ma je tylko wtedy, gdy ktoś je świadomie włączył. Netlogon jest inny: to usługa uwierzytelniania Active Directory, obecna na każdym kontrolerze domeny. Zdalne wykonanie kodu bez poświadczeń na kontrolerze domeny to nie jest incydent lokalny; to kontrola nad mechanizmem, który w całej organizacji decyduje o tym, kto jest kim.
Czego w tym alercie nie ma. Żadna z tych sześciu podatności nie znajduje się na dziś w katalogu CISA KEV i nie ma publicznych doniesień o ich wykorzystaniu. To odwrotna sytuacja niż przy dwóch lukach eskalacji uprawnień z tego samego wydania poprawek, które mają niższą ocenę (7.8), a są aktywnie wykorzystywane. Jeśli musisz ustalić kolejność, tamte są pilniejsze — mimo niższej liczby.
Wymagane działania
- Zainstalować wrześniowe poprawki zbiorcze na wszystkich serwerach Windows, zaczynając od kontrolerów domeny (CVE-2026-72982) i węzłów klastrów (CVE-2026-73010).
- Zinwentaryzować, które z tych ról są faktycznie włączone. Cztery z sześciu komponentów — SSTP, Failover Cluster, iSCSI i Services for NFS — to role opcjonalne. W wielu organizacjach są nieużywane albo obecne tylko na kilku maszynach. Rzeczywista powierzchnia ataku bywa tu znacznie mniejsza, niż sugeruje liczba sześć — ale to trzeba sprawdzić, a nie założyć.
- Sprawdzić ekspozycję SSTP. Jeśli serwer VPN z SSTP jest wystawiony do internetu, jest to komponent osiągalny dla dowolnego atakującego, bez żadnego przyczółka w sieci wewnętrznej. To najkrótsza ścieżka spośród wszystkich sześciu.
- Wyłączyć role, których nie używasz. Jeżeli inwentaryzacja pokaże włączone Services for NFS albo iSCSI Target na serwerze, który ich nie potrzebuje, wyłączenie roli usuwa podatność trwale — inaczej niż poprawka, która chroni tylko do następnego błędu w tym samym komponencie.
- Zweryfikować segmentację wokół kontrolerów domeny. Netlogon musi być osiągalny dla stacji roboczych, ale nie musi być osiągalny z każdej podsieci, gościnnego Wi-Fi ani z sieci OT. Ograniczenie tego dostępu zmniejsza skutki nie tylko tej jednej luki.
Kogo dotyczy?
Podatności dotyczą Windows i Windows Server — dokładne listy wersji dla każdego CVE podaje Microsoft w portalu MSRC (odnośniki poniżej).
W praktyce najbardziej narażone są organizacje z własną infrastrukturą serwerową opartą o Active Directory. Kontroler domeny ma Netlogon zawsze, więc CVE-2026-72982 dotyczy każdego środowiska z domeną AD — bez wyjątków i bez możliwości wyłączenia roli.
Pozostałe pięć podatności dotyczy węższych grup: firm korzystających z klastrów wysokiej dostępności, z Windows jako serwera VPN (SSTP), z magazynów iSCSI, oraz środowisk mieszanych Windows-Unix, w których włączona jest rola Services for NFS. Ta ostatnia bywa włączona historycznie, po dawno wycofanej integracji — i wtedy nikt o niej nie pamięta.
Źródła
- NVD - CVE-2026-72982
- NVD - CVE-2026-73009
- NVD - CVE-2026-73010
- NVD - CVE-2026-73025
- NVD - CVE-2026-77493
- NVD - CVE-2026-78445
- Microsoft MSRC - CVE-2026-72982
- Microsoft MSRC - CVE-2026-73009
- Microsoft MSRC - CVE-2026-73010
- Microsoft MSRC - CVE-2026-73025
- Microsoft MSRC - CVE-2026-77493
- Microsoft MSRC - CVE-2026-78445
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
