Microsoft opravil rekordních 1 400 zranitelností, mezi nimi i aktivně zneužívaný zero-day

Microsoft vydal 13. října 2026 v rámci pravidelného Patch Tuesday mimořádně rozsáhlou dávku bezpečnostních oprav, která zahrnuje více než 1 400 zranitelností. Jde o dosud nejvyšší počet oprav vydaných společností v jediném balíčku aktualizací a výrazně tak překonává dosavadní rekord téměř 1 000 oprav zaznamenaný v září 2026. Meziměsíční nárůst o stovky zranitelností upozorňuje na rostoucí tlak na bezpečnostní týmy, které musí stihnout vyhodnotit a nasadit opravy v krátkém čase.

Mezi opravenými chybami se nachází i zranitelnost evidovaná jako CVE-2026-96951, kterou Microsoft označil za takzvaný zero day – tedy chybu, která byla veřejně známá nebo aktivně zneužívaná ještě před vydáním opravy. Zranitelnost se týká operačních systémů Windows 10 a Windows 11, stejně jako některých verzí Windows Server. Přesný rozsah zneužití chyby v praxi Microsoft podrobněji nespecifikoval, uživatelům a administrátorům však doporučuje nasadit aktualizaci co nejdříve.

Z celkového počtu oprav bylo klasifikováno jako kritické nejméně 78 zranitelností. Kritické označení znamená, že úspěšné zneužití chyby by útočníkovi umožnilo spustit na zranitelném systému libovolný kód, často bez nutnosti další interakce ze strany uživatele. Tyto typy zranitelností představují z pohledu bezpečnosti nejvyšší riziko, protože mohou vést k úplnému převzetí kontroly nad napadeným zařízením nebo serverem.

Aktualizace přichází v době, kdy Microsoft prodloužil podporu pro Windows 10 do října 2027, což znamená, že systém bude i nadále dostávat bezpečnostní opravy navzdory tomu, že jeho oficiální životní cyklus měl původně skončit dříve. Vzhledem k tomu, že Windows 10 stále používá značná část uživatelů a firem, má pravidelné záplatování tohoto systému i nadále zásadní význam pro celkovou bezpečnost digitálního prostředí.

Zajímavostí letošního říjnového balíčku je i to, že obsahuje opravu pro CVE-2020-1261, tedy zranitelnost evidovanou ještě z roku 2020. Její zařazení do aktuální aktualizace naznačuje, že Microsoft průběžně doplňuje a reviduje starší chyby, které mohou mít dopad i na současné systémy nebo komponenty, jež jsou stále v provozu.

Bezpečnostní experti upozorňují, že letošní rok bude z hlediska počtu vydaných oprav rekordní. Podle odhadů by celkový počet CVE záznamů vydaných Microsoftem mohl do konce roku 2026 přesáhnout 4 000, což by znamenalo výrazný nárůst oproti předchozím letům. Tento trend podle odborníků odráží jak rostoucí komplexnost softwaru, tak zlepšující se schopnosti bezpečnostních výzkumníků identifikovat zranitelnosti dříve, než je zneužijí útočníci.

Satnam Narang, bezpečnostní expert ze společnosti Tenable, upozornil na to, že objem letošních oprav klade na firmy zvýšené nároky na prioritizaci záplat. Podle něj je nezbytné, aby organizace nejprve řešily zranitelnosti s nejvyšším rizikem zneužití, než aby se snažily nasadit všechny opravy najednou.

Podobný názor zastává i Tyler Reguly ze společnosti Fortra, který zdůraznil, že množství vydaných oprav samo o sobě nemusí být tím nejdůležitějším ukazatelem rizika. „Security leaders should focus on exploitable risk...“, uvedl Reguly s tím, že klíčové je zaměřit se na zranitelnosti, které jsou skutečně zneužitelné v praxi, nikoliv pouze na celkový počet oprav.

V kontextu letošního roku bylo do katalogu známých zneužívaných zranitelností KEV (Known Exploited Vulnerabilities), který spravuje americká agentura CISA, zařazeno již 26 zranitelností souvisejících s produkty Microsoftu. Tento katalog slouží jako seznam chyb, u kterých bylo prokázáno aktivní zneužití útočníky, a jeho záznamy jsou pro organizace často vodítkem při stanovování priorit v rámci záplatování.

Součástí říjnové aktualizace je také oprava zranitelnosti CVE-2026-108398 týkající se .NET Frameworku, což je vývojová platforma využívaná širokou škálou aplikací postavených na technologiích Microsoftu. Vzhledem k rozšířenosti .NET Frameworku napříč firemním i vládním sektorem doporučují odborníci věnovat nasazení této opravy zvýšenou pozornost.