Patch Tuesday octombrie 2026: peste 1.400 de vulnerabilități

Pe 13 octombrie 2026 Microsoft a publicat cele mai ample actualizări lunare de securitate din istoria sa: peste 1.400 de vulnerabilități corectate. Despre CVE-2026-96951 din Windows Shell, singura deja exploatată, am scris un articol dedicat; aici adunăm restul: celelalte două zero-day, vulnerabilitățile care merită corectate primele și versiunile de Windows care au ieșit din suport în aceeași zi.

Câte sunt și de ce cifrele nu coincid

Publicațiile raportează totaluri diferite: 1.411 potrivit BleepingComputer, 1.413 potrivit The Hacker News și lui Tyler Reguly de la Fortra, 1.407 potrivit CSO Online. BleepingComputer numără doar vulnerabilitățile publicate chiar în ziua de Patch Tuesday și exclude 348 deja corectate la începutul lunii (printre care Azure, Dataverse și Exchange Server). Nici la cele critice sursele nu se potrivesc: 70 potrivit BleepingComputer (57 de execuție de cod la distanță, 11 de escaladare a privilegiilor și 2 de spoofing), cel puțin 78 potrivit Krebs on Security.

Pe categorii predomină escaladarea privilegiilor (677) și execuția de cod la distanță (317). Microsoft pune volumul pe seama folosirii modelelor de limbaj în căutarea vulnerabilităților; recordul anterior, din septembrie, era de aproximativ 1.000.

Avizul AV26-1038 al Canadian Centre for Cyber Security enumeră produsele afectate, printre care Windows 10 și 11, Windows Server de la 2012 la 2025, Exchange Server, SharePoint Server, SQL Server de la 2017 la 2025, Office, .NET și .NET Framework. NSM din Norvegia nu evidențiază vulnerabilități anume și recomandă actualizarea cât mai curând.

Vulnerabilitățile zero-day

• CVE-2026-96951, Windows Shell: noile surse clarifică faptul că funcția ocolită este Mark of the Web (MotW), marcajul pe care Windows îl aplică fișierelor descărcate de pe Internet pentru a declanșa avertismente și verificări. Potrivit lui Krebs, afectează Windows 10, Windows 11 și unele versiuni de Windows Server. Satnam Narang de la Tenable, citat de CSO Online, amintește că este a treia vulnerabilitate Windows Shell exploatată în 2026, după CVE-2026-21510, legată de grupul APT28, și CVE-2026-32202, care corecta un patch incomplet pentru prima.
• CVE-2026-108398, .NET Framework (divulgată public, fără exploatare cunoscută): cale de căutare nesigură care permite ocolirea Windows Defender Application Control (WDAC). În descrierea Microsoft preluată de BleepingComputer, un atacator autentificat plasează un assembly .NET creat special și îl înregistrează pentru a fi încărcat de un proces protejat, obținând astfel execuție de cod în acel proces, fără interacțiunea utilizatorului. CSO Online vorbește în schimb de un atacator neautentificat. Descoperită de James Forshaw de la Google Project Zero.
• CVE-2026-92707, MessagePack-CSharp (divulgată public): blocarea serviciului prin rețea din cauza unei alocări de memorie necontrolate.

Sursele nu se potrivesc asupra listei: CSO Online indică drept al treilea zero-day CVE-2026-102866 din SharePoint în locul MessagePack-CSharp, iar Krebs consideră zero-day doar vulnerabilitatea din Windows Shell.

Alte vulnerabilități de verificat primele

• SharePoint, CVE-2026-102866: escaladare a privilegiilor semnalată de Dustin Childs (Zero Day Initiative). Potrivit Microsoft, un atacator neautentificat care obține un proof token valid al unui utilizator îl poate modifica, trimite serverului SharePoint și se poate autentifica în locul acelui utilizator, fără interacțiune.
• 55 de vulnerabilități wormable, tot potrivit lui Childs: fără autentificare și fără clic, concentrate, printre altele, în DHCP Server (6), Remote Desktop Gateway (3) și Network Policy Server (4).
• CVSS 9.8, fără autentificare și fără interacțiune (Jack Bicer, Action1): Message Queuing CVE-2026-100202, driverul de imprimare PostScript CVE-2026-70147 și CVE-2026-70153, QUIC CVE-2026-105016 și CVE-2026-100219. Nicio exploatare confirmată.
• Exchange Server: patru actualizări on-premises, fiecare cu o vulnerabilitate cu CVSS 8.8 (Nightwing).

Microsoft introduce experimental risk cohorts: 15 grupuri de vulnerabilități înrudite, de la sistemele de fișiere și backup (136) la documentele Office și clienții de e-mail (135), cu un PDF de corespondență. Microsoft precizează că, singure, nu indică vulnerabilitățile cele mai periculoase.

Versiuni de Windows fără alte actualizări

Actualizarea din octombrie este ultima pentru Windows 11 24H2 Home și Pro și pentru Windows 10 Enterprise LTSB 2016. Edițiile Enterprise și Education ale 24H2 rămân în suport până la 12 octombrie 2027. Din noiembrie nu mai primesc actualizări nici Windows 11 23H2 Enterprise, Education și IoT Enterprise; Windows Server 2022 iese din suportul principal, dar rămâne în suport extins până în octombrie 2031. Microsoft recomandă trecerea la Windows 11 26H2. Pentru Windows 10 cu ESU sau LTSC, actualizarea este KB5126657 (build-urile 19045.7807 și 19044.7807).

Impactul pentru companiile europene și italiene

Multe IMM-uri folosesc Windows 11 Pro: stațiile rămase pe 24H2 nu mai primesc corecții din noiembrie. Pentru entitățile NIS2, gestionarea vulnerabilităților cere priorități justificate: la asemenea volume, criteriul indicat de experții citați este exploatarea reală. Reguly amintește că doar 26 de CVE Microsoft din 2026 se află în catalogul KEV al CISA. În sănătate, serverele DHCP, gateway-urile de desktop la distanță și NPS sunt adesea comune cu rețelele clinice: tratează-le ca sisteme expuse.

Ce să faci acum

1. Windows Shell mai întâi (CVE-2026-96951), ca în articolul anterior: este singura deja exploatată și ocolește protecțiile Mark of the Web.
2. Servicii expuse sau centrale: SharePoint, Remote Desktop Gateway, DHCP Server, NPS, Message Queuing și Exchange on-premises, începând cu cele accesibile de pe Internet.
3. Dacă folosești WDAC pentru controlul aplicațiilor, actualizează .NET Framework cu prioritate: CVE-2026-108398 este deja publică.
4. Inventarul versiunilor: identifică stațiile cu Windows 11 24H2 Home sau Pro și planifică trecerea la 26H2; până în noiembrie, pregătește-le pe cele cu 23H2 Enterprise și Education.
5. Priorități: începe cu CVE-urile din catalogul KEV, apoi folosește risk cohorts pentru a organiza testarea și distribuirea; la final, verifică dacă instalarea a reușit pe toate mașinile.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le evidențiază pe cele deja exploatate de atacatori, ajutând la stabilirea ordinii actualizărilor. ARX Sentry colectează inventarul de sistem și software al calculatoarelor și serverelor, util pentru a găsi stațiile cu versiuni de Windows fără suport. ARX Expose arată ce servicii expune compania ta pe Internet, cum ar fi un gateway de desktop la distanță sau un portal SharePoint.

Ultima actualizare: 14 octombrie 2026