Lipcowa aktualizacja bezpieczeństwa Microsoftu z 2026 roku brzmi groźnie: co najmniej 570 poprawek, prawie 60 luk krytycznych, trzy zero-day i dwie podatności oznaczone przez Microsoft jako już wykorzystywane. Rozsądny wniosek nie brzmi jednak „panika”. Brzmi: potrzebna jest lepsza priorytetyzacja.

Spokojny panel bezpieczeństwa z priorytetami aktualizacji Microsoft

Na początku kolejki są CVE-2026-56155, podniesienie uprawnień w Active Directory Federation Services, oraz CVE-2026-56164, podniesienie uprawnień w Microsoft SharePoint Server. Microsoft oznacza obie jako exploited. Zero Day Initiative podkreśla praktyczny sens: AD FS jest blisko tożsamości firmowej, a luka w SharePoint Server dostępna przez sieć może być pilna nawet przy umiarkowanym wyniku CVSS.

Co zostało opublikowane

KrebsOnSecurity pisał o co najmniej 570 załatanych problemach. Dane Microsoftu potwierdzają kluczowe flagi: CVE-2026-56155 i CVE-2026-56164 są wykorzystywane; CVE-2026-50661, obejście zabezpieczeń BitLocker, jest publicznie ujawnione, ale nie oznaczone jako aktywnie wykorzystywane; CVE-2026-48561 to krytyczna zdalna egzekucja kodu w Microsoft Copilot z oceną bazową 9,6.

Łączna liczba może różnić się między źródłami, bo jedne zestawienia uwzględniają zależności, komponenty przeglądarkowe, chmurę lub Linux, a inne nie. Dla zespołu bezpieczeństwa ważniejsze jest, czy luka jest wykorzystywana, dostępna z sieci, wymaga akcji użytkownika i czy dotyczy produktu używanego w środowisku.

Najpierw exploited i exposed

Organizacja korzystająca z AD FS powinna znaleźć serwery, sprawdzić wskazówki Microsoftu i wdrożyć poprawkę w oknie odpowiednim do roli systemu uwierzytelniania. Organizacja z lokalnym SharePoint Server powinna przesunąć CVE-2026-56164 na początek. Nie należy automatycznie mieszać SharePoint Online z SharePoint Server; decydują advisory, produkt i wersja.

Następnie trzeba przejrzeć krytyczne RCE w usługach faktycznie osiągalnych. DHCP, Exchange, Defender, SQL Server, Office, Copilot i składniki Windows mają różne znaczenie w różnych sieciach. CVSS pomaga, ale nie zna topologii, ekspozycji ani krytyczności biznesowej.

Wątek AI

Microsoft łączy większy wolumen z odkrywaniem i analizą podatności wspomaganymi przez AI. To nie znaczy, że AI stworzyła te błędy. To znaczy, że więcej problemów szybciej staje się widocznych. Dla obrony to dobra wiadomość, ale operacyjnie oznacza więcej decyzji: łatać natychmiast, wdrażać falami, łagodzić, monitorować albo zaakceptować krótkie ryzyko z właścicielem i datą.

Atakujący po publikacji advisory też mogą analizować szybciej. Okna patchowania zaprojektowane dla ludzkiego tempa mogą być za długie przy systemach wystawionych na sieć. Odpowiedź jest praktyczna: inwentaryzacja, kopie zapasowe, wdrożenia etapami, monitoring, plan wycofania i wyjątki z datą.

Spokojna kolejność

Najpierw AD FS i lokalny SharePoint Server, szczególnie jeśli są wystawione lub wysoko uprzywilejowane. Potem krytyczne RCE w dostępnych usługach. Następnie publicznie ujawnione, lecz niepotwierdzone jako wykorzystywane problemy, takie jak obejście BitLocker, zgodnie z modelem zagrożeń. Stacje robocze powinny iść przez reprezentatywne grupy pilotażowe. Na końcu trzeba potwierdzić wdrożenie telemetrią, skanem podatności i rejestrem wyjątków.

Dla użytkowników domowych i małych zespołów rada jest prosta: robić kopie zapasowe, nie wyłączać Windows Update i nie odkładać restartów tygodniami. Liczba 570 nie jest powodem, by zatrzymać aktualizacje; jest powodem, by utrzymanie systemów było regularne.

Ten Patch Tuesday ostrzega przed większym wolumenem i tempem, ale nie jest syreną paniki. Najlepiej poradzą sobie zespoły, które szybko oddzielają podatności wykorzystywane, wystawione i krytyczne biznesowo od reszty, łatają je jako pierwsze i spokojnie kończą pozostałe prace.