Wrześniowy Patch Tuesday 2026: dwie luki Windows atakowane

Wrześniowy Patch Tuesday przypadł na 8 września 2026. W tym wydaniu dwie luki wymagają uwagi przed wszystkimi innymi, bo według Microsoft Security Response Center ktoś już ich używa. Poniżej znajdziesz, których systemów dotyczą, którą aktualizację zainstalować i na co uważać na serwerach z usługami pulpitu zdalnego.

1. Dwie luki, które już są wykorzystywane

CVE-2026-85880 to przepełnienie bufora na stercie w Windows Advanced Local Procedure Call (ALPC), mechanizmie komunikacji między procesami systemu. Microsoft opisuje, że atakujący, który uruchomi kod w izolowanym kontenerze AppContainer o niskich uprawnieniach, może wyjść z tej piaskownicy i uzyskać uprawnienia SYSTEM. Luka ma klasyfikację CWE-122 i CWE-908.

CVE-2026-81963 to błąd w usłudze Windows Update Stack. System niewłaściwie rozwiązuje dowiązania przed dostępem do pliku (CWE-59), więc lokalnie uwierzytelniony atakujący też dochodzi do uprawnień SYSTEM, bez żadnej interakcji użytkownika.

Obie luki mają ocenę CVSS 3.1 równą 7.8, wagę „Important” i status „Exploitation Detected”. Żadna nie została wcześniej ujawniona publicznie. Obie wymagają lokalnego dostępu, więc atakujący musi najpierw mieć możliwość uruchomienia kodu na komputerze. Dopiero wtedy przejmuje przez nie pełną kontrolę nad systemem.

2. Których wersji Windows dotyczą

Luki dzielą systemy niemal na pół. Dane z MSRC Security Update Guide wskazują, że CVE-2026-85880 dotyczy starszych wersji, a CVE-2026-81963 nowszych.

System	Luka	Aktualizacja z 8 września	Build po aktualizacji
Windows Server 2012	CVE-2026-85880	KB5123065	6.2.9200.26349
Windows Server 2012 R2	CVE-2026-85880	KB5123066	6.3.9600.23398
Windows 10 1607, Windows Server 2016	CVE-2026-85880	KB5123099	10.0.14393.9512
Windows 10 1809, Windows Server 2019	CVE-2026-85880	KB5122876	10.0.17763.9245
Windows 10 21H2 i 22H2	CVE-2026-85880	KB5122878	10.0.19044.7725 i 10.0.19045.7725
Windows Server 2022	CVE-2026-85880	KB5122882	10.0.20348.5622
Windows 11 23H2	CVE-2026-81963	KB5122880	10.0.22631.7582
Windows 11 24H2 i 25H2	CVE-2026-81963	KB5124008	10.0.26100.9445 i 10.0.26200.9445
Windows 11 26H1	CVE-2026-81963	KB5124012	10.0.28000.2954
Windows Server 2025	CVE-2026-81963	KB5122871	10.0.26100.33438

Każda z tych aktualizacji wymaga ponownego uruchomienia. BleepingComputer opisuje KB5122878 jako aktualizację Windows 10 w ramach programu Extended Security Updates. Build sprawdzisz poleceniem winver.

3. Dlaczego ocena „Important” nie oznacza, że możesz poczekać

Waga „Important” i CVSS 7.8 wynikają z tego, że luki wymagają dostępu lokalnego. Te oceny nie mówią nic o tym, czy luka jest wykorzystywana. O tym informuje status „Exploitation Detected” w MSRC oraz wpis w katalogu Known Exploited Vulnerabilities.

CISA dodała obie luki do katalogu KEV 8 września 2026, razem z lukami w Adobe Commerce i N-able N-central. Dla federalnych agencji USA termin usunięcia to 22 września 2026, na podstawie dyrektywy BOD 26-04. Termin nie obowiązuje firm prywatnych, ale wpis do KEV wymaga dowodów wykorzystania luki w atakach.

Luki podnoszące uprawnienia do SYSTEM są zwykle drugim krokiem ataku. Pierwszy krok daje atakującemu dostęp z ograniczonymi prawami, drugi usuwa te ograniczenia. Łatając CVE-2026-85880 i CVE-2026-81963, zamykasz drogę od zwykłego konta do pełnej kontroli nad systemem.

4. Ile luk naprawdę załatano

Serwisy branżowe podały po tym wydaniu co najmniej pięć różnych liczb. Nie wynika to z błędów, tylko z liczenia różnych zakresów. Microsoft nie publikuje jednej oficjalnej sumy, a każdy serwis liczy na podstawie danych z Security Update Guide.

Malwarebytes podaje 964 i wyjaśnia, że Microsoft wymienia w wydaniu 974 identyfikatory CVE, ale 10 z nich dotyczy usług chmurowych, które Microsoft poprawia sam. BleepingComputer podaje 966 i zaznacza, że nie wlicza 204 luk poprawionych wcześniej w tym miesiącu poza cyklem, między innymi w Azure, Copilot i Entra ID.

Najwyższą liczbę, 1169, podaje Senserva. To suma wszystkich wpisów w surowych danych MSRC, w tym pakietów Azure Linux, które nie mają artykułu KB i zwykle nie są wliczane do klasycznego Patch Tuesday. Liczby 963 i 973 pojawiły się w innych serwisach bez opisu sposobu liczenia, więc nie da się ich jednoznacznie porównać z pozostałymi.

5. Znany problem z RDS po aktualizacji

Wrześniowe aktualizacje zepsuły Remote Desktop Services. Microsoft w opisie poprawki KB5129237 potwierdza, że po instalacji KB5122882 usługa RDS może działać niestabilnie. Efektem są nieudane połączenia RDP i logowania, a czasem serwer przestaje odpowiadać podczas konfiguracji pulpitu zdalnego.

Według BleepingComputer problem dotykał też konsoli MMC, narzędzia RDS Licensing Diagnoser, Eksploratora plików i strony Windows Update. Microsoft wydał 14 września 2026 poprawki poza cyklem. Dla Windows Server 2019 to KB5129238, dla Windows Server 2022 KB5129237, a dla Windows Server 2025 KB5129235. Windows 10 21H2 i 22H2 dostał KB5129236, Windows 11 24H2 i 25H2 KB5129195, a Windows 11 26H1 KB5129194.

Poprawka dla Windows Server 2022 jest zbiorcza i zawiera wszystko z KB5122882, więc możesz zainstalować ją zamiast wersji z 8 września. Microsoft podaje, że jest dostępna tylko w Microsoft Update Catalog, więc na serwerach pobierasz ją ręcznie albo importujesz do WSUS.

6. Kolejność działań dla administratora

Najpierw ustal, które komputery mają wersje z tabeli w sekcji 2, i sprawdź ich build. Serwery z rolą Remote Desktop Session Host albo innymi rolami RDS aktualizuj od razu poprawkami z 14 września, bo zawierają zarówno łatki na obie luki, jak i naprawę RDS. Pozostałe serwery i stacje robocze dostają aktualizacje z 8 września.

Ponieważ obie luki wymagają lokalnego dostępu, w pierwszej kolejności aktualizuj maszyny, na których pracują użytkownicy i otwierają pliki z zewnątrz, oraz serwery terminalowe z wieloma zalogowanymi osobami. Po instalacji sprawdź, czy build zgadza się z tabelą, i dopiero wtedy uznaj system za załatany.

7. Podsumowanie

Wrześniowy pakiet jest pilny mimo umiarkowanej oceny CVSS, bo obie luki już działają w realnych atakach, a obejścia nie ma. Na Windows 10 i starszych serwerach liczy się CVE-2026-85880, na Windows 11 i Windows Server 2025 CVE-2026-81963. Jeżeli używasz RDS, instaluj od razu wydanie z 14 września.