Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID (wpis wiodący) | CVE-2026-81963 |
| Objętych podatności | 2 (CVE-2026-81963, CVE-2026-85880) |
| Źródło alertu | CISA KEV - podatności aktywnie wykorzystywane |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-08 |
| Producent | Microsoft |
| Produkt | Windows (klient i serwer) |
| CVSS Score | 7.8 (Wysoki) — obie |
| CISA KEV | Tak — obie |
| Termin CISA | 2026-09-22 |
| Ransomware | Nie potwierdzono |
Opis podatności
Wrześniowe wydanie poprawek Microsoftu zawiera dwie podatności, które są już wykorzystywane w atakach — obie trafiły do katalogu CISA Known Exploited Vulnerabilities z terminem usunięcia 22 września 2026. Obie prowadzą do lokalnej eskalacji uprawnień.
| CVE | Komponent | Klasa podatności | Systemy objęte |
|---|---|---|---|
| CVE-2026-81963 | Windows Update Stack | podążanie za dowiązaniem (link following) — nieprawidłowe rozwiązanie dowiązania przed dostępem do pliku | Windows 11 23H2, 24H2, 25H2, 26H1; Windows Server 2025 |
| CVE-2026-85880 | Windows ALPC | przepełnienie bufora na stercie | Windows 10 1607, 1809, 21H2, 22H2; Windows Server 2012, 2012 R2, 2016, 2019 |
Zwróć uwagę na komplementarność tych dwóch pozycji. Pierwsza dotyczy systemów nowych, druga starych. W typowej organizacji, gdzie flota jest mieszana — nowe laptopy na Windows 11, serwery plików na 2016, jakiś system dziedziczony na 2012 R2 — razem pokrywają praktycznie wszystko. Nie ma tu wersji, o której można powiedzieć „nas to nie dotyczy, bo mamy nowe systemy” ani „bo mamy stare”.
Co znaczy „lokalna eskalacja uprawnień” i dlaczego ocena 7.8 wprowadza w błąd. Obie podatności wymagają, by atakujący już miał jakiś dostęp do systemu: konto użytkownika, aktywną sesję albo możliwość wykonania kodu z niskimi uprawnieniami. Same z siebie nie otwierają drogi do sieci — i właśnie dlatego ich ocena CVSS wynosi 7.8, a nie 9.8.
Ta ocena mierzy jednak właściwości techniczne, nie prawdopodobieństwo użycia. Eskalacja uprawnień jest standardowym drugim krokiem każdego realnego ataku: pierwszy to phishing, złośliwy załącznik albo przejęte poświadczenia, drugi to podniesienie uprawnień z konta zwykłego użytkownika do poziomu systemowego. Dopiero ten drugi krok zamienia jedną zainfekowaną stację roboczą w kontrolę nad domeną — i to on decyduje, czy incydent skończy się na wyczyszczeniu jednego laptopa, czy na odtwarzaniu środowiska z kopii zapasowych.
Dlatego przy ustalaniu kolejności łatania obecność w katalogu KEV powinna zwykle wygrywać z samą oceną CVSS. Luka 7.8, o której wiadomo, że jest wykorzystywana, jest pilniejsza niż luka 9.8, dla której nie istnieje publiczny exploit.
Wymagane działania
- Zainstalować wrześniowe poprawki zbiorcze dla wszystkich wersji Windows obecnych w organizacji. Jednej aktualizacji tu nie ma — podatności dotyczą rozłącznych zbiorów systemów, więc pominięcie którejkolwiek gałęzi floty zostawia otwartą jedną z dwóch luk.
- Zacząć od systemów, na których pracują użytkownicy z uprawnieniami administracyjnymi oraz od serwerów pełniących role uwierzytelniające. Tam skutek eskalacji jest największy.
- Zweryfikować Windows Server 2012 i 2012 R2. Te systemy są poza standardowym wsparciem; poprawka dotrze do nich wyłącznie w ramach wsparcia rozszerzonego. Jeśli organizacja go nie ma, aktualizacja nie nadejdzie i trzeba zaplanować działania kompensujące — segmentację sieci, ograniczenie logowań interaktywnych, docelowo migrację.
- Sprawdzić stan wdrożenia, a nie stan wysłania. Konsola zarządzania aktualizacjami pokazuje, że poprawka została opublikowana; to nie to samo, co potwierdzenie, że jest zainstalowana i że system został zrestartowany. Przy poprawkach jądra restart jest warunkiem koniecznym.
- Przejrzeć logi pod kątem prób eskalacji. Skoro obie podatności są wykorzystywane, warto sprawdzić, czy w ostatnich tygodniach nie pojawiły się nietypowe procesy potomne uruchamiane z uprawnieniami systemowymi, nowe konta lokalne albo zmiany w członkostwie grup administracyjnych.
Kogo dotyczy?
CVE-2026-81963 dotyczy Windows 11 w wydaniach 23H2, 24H2, 25H2 i 26H1 oraz Windows Server 2025.
CVE-2026-85880 dotyczy Windows 10 w wydaniach 1607, 1809, 21H2 i 22H2 oraz Windows Server 2012, 2012 R2, 2016 i 2019.
Łącznie oznacza to każdą organizację korzystającą z systemów Microsoftu — czyli, na polskim rynku średnich i dużych firm, praktycznie każdą. Szczególnie narażone są środowiska z mieszaną flotą, gdzie łatwo przeoczyć jedną z gałęzi: aktualizacja stacji roboczych bez serwerów zostawia otwartą drugą lukę, i odwrotnie.
Osobnej uwagi wymagają systemy dziedziczone, których nie da się łatwo aktualizować, bo działa na nich starsza aplikacja produkcyjna. To one najczęściej zostają na starych wydaniach — i to one są objęte CVE-2026-85880.
Źródła
- NVD - CVE-2026-81963
- NVD - CVE-2026-85880
- CISA Known Exploited Vulnerabilities Catalog - CVE-2026-81963
- CISA Known Exploited Vulnerabilities Catalog - CVE-2026-85880
- Microsoft MSRC - CVE-2026-81963
- Microsoft MSRC - CVE-2026-85880
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
