Aktualizované: Microsoft opravil aktívne zneužívanú chybu Windows Shell, ďalšie dve boli verejne známe
Októbrové aktualizácie Microsoftu opravujú aktívne zneužívanú chybu CVE-2026-96951 vo Windows Shell. Ďalšie dve zraniteľnosti boli verejne známe pred vydaním opráv, no ich zneužívanie potvrdené nie je.
Októbrové opravy Microsoftu, vydané 13. októbra 2026, zahŕňajú opravu aktívne zneužívanej zraniteľnosti CVE-2026-96951 vo Windows Shell. Americká agentúra CISA ju zaradila do katalógu Known Exploited Vulnerabilities (KEV), ktorý eviduje chyby so známym zneužívaním.
V širšom októbrovom súhrne sa objavili aj ďalšie dve zraniteľnosti, ktoré boli verejne známe ešte pred sprístupnením opráv: CVE-2026-108398 v .NET Framework a CVE-2026-92707 v knižnici MessagePack-CSharp. Verejne dostupné informácie však nepotvrdzujú, že by ich niekto zneužíval vo voľnej prírode.
Októbrové opravy Microsoftu: jedna aktívne zneužívaná a dve verejne známe zraniteľnosti
Označenie troch zraniteľností ako zero-day v tomto prípade neznamená, že všetky tri boli predmetom aktívnych útokov. Potvrdené zneužívanie sa týka výhradne CVE-2026-96951. Microsoft túto chybu opravil v rámci októbrového balíka a CISA ju eviduje v KEV.
Záznam CVE opisuje CVE-2026-96951 ako command injection vo Windows Shell. Chyba má skóre CVSS 8,8 z 10. Verejné zdroje zatiaľ neuvádzajú, kto ju zneužíval, proti akým cieľom boli útoky vedené ani aký bol ich rozsah. K dispozícii nie sú ani technické podrobnosti zneužitia či indikátory kompromitácie.
CVE-2026-108398 sa týka .NET Framework. Podľa dostupného popisu môže útočník s lokálnym autentizovaným prístupom obísť Windows Defender Application Control. CVE-2026-92707 v MessagePack-CSharp je sieťová zraniteľnosť, ktorá môže viesť k odmietnutiu služby. Pri oboch chybách je podstatné, že boli zverejnené pred opravou, nie však to, že by boli potvrdene zneužívané.
Rozdielne počty opravených CVE
Pri októbrovom vydaní sa objavili rozdielne počty opravených zraniteľností. BleepingComputer uvádza 1 411 chýb vydaných priamo počas Patch Tuesday. SecurityWeek a The Hacker News v širšom súhrne uvádzajú 1 413 CVE.
Rozdiel súvisí s použitou metodikou a bez jednotného vysvetlenia Microsoftu nie je vhodné prezentovať jedno z týchto čísel ako nesporný celkový počet. Na prioritách správcov sa tým nič nemení: najnaliehavejšia je oprava CVE-2026-96951, pri ktorej je aktívne zneužívanie potvrdené.
Čo majú správcovia urobiť
Organizácie by mali preveriť nasadenie októbrových bezpečnostných aktualizácií Microsoftu na spravovaných systémoch. Opravy je vhodné primerane otestovať pred plošným zavedením v produkčnom prostredí.
Ďalšie informácie sa môžu objaviť, ak Microsoft, CISA alebo bezpečnostní výskumníci zverejnia podrobnosti o útokoch na Windows Shell. Dôležité bude aj to, či sa objavia dôkazy o aktívnom zneužívaní CVE-2026-108398 alebo CVE-2026-92707.
Zdroje
- Microsoft Security Update Guide — CVE-2026-96951 – Oficiálny záznam Microsoftu k opravenej chybe Windows Shell CVE-2026-96951.
- Microsoft Security Update Guide — CVE-2026-108398 – Oficiálny záznam Microsoftu k verejne známej chybe .NET Framework.
- CVE Program — CVE-2026-96951 – Záznam od CNA Microsoft potvrdzuje charakter chyby Windows Shell, command injection a skóre CVSS 8,8.
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-96951 medzi známe aktívne zneužívané zraniteľnosti.
- SecurityWeek – Koroboruje počet 1 413 CVE v širšom októbrovom súhrne a rozlišuje aktívne zneužívanú chybu od dvoch verejne odhalených chýb.
- BleepingComputer – Dokumentuje metodiku počtu 1 411 pre samotný Patch Tuesday a identifikuje tri zero-day zraniteľnosti.
Overené a aktualizované: 14. 10. 2026 15:28
