Microsoft v říjnu 2023 opravil rekordní počet zranitelností včetně kritických RCE chyb

Microsoft v říjnu 2023 vydal jednu z dosud největších bezpečnostních aktualizací v rámci svého pravidelného cyklu Patch Tuesday. Balík oprav tehdy zahrnoval mimořádně vysoký počet záplatovaných zranitelností napříč celým portfoliem produktů společnosti, od operačního systému Windows přes kancelářský balík Office až po serverové aplikace a cloudové služby. Rozsah aktualizace přitáhl pozornost bezpečnostních odborníků i firemních administrátorů, kteří museli rychle vyhodnotit, které ze stovek chyb představují pro jejich prostředí nejvyšší riziko a vyžadují okamžitou instalaci.

Mezi opravenými zranitelnostmi se objevily i případy, které umožňovaly obejít existující bezpečnostní mechanismy. Takzvané bypassy zabezpečení jsou nebezpečné tím, že útočníkovi dovolují obejít ochranné bariéry, jež mají za normálních okolností zabránit neoprávněnému přístupu nebo spuštění škodlivého kódu. Pokud se útočníkovi podaří tyto mechanismy obejít, otevírá se mu cesta k dalším fázím útoku, které by jinak byly výrazně složitější nebo zcela znemožněné. Právě proto bezpečnostní komunita tento typ chyb považuje za obzvlášť citlivý, protože často slouží jako odrazový můstek pro kombinaci s dalšími zranitelnostmi.

Nejzávažnější kategorií v rámci říjnové aktualizace byly chyby umožňující neautentizované spuštění vzdáleného kódu, známé jako RCE. Tyto zranitelnosti jsou pro útočníky nejhodnotnější, protože k jejich zneužití není potřeba žádné předchozí přihlášení ani znalost přístupových údajů oběti. Útočník tak může ovládnout systém na dálku, aniž by musel překonávat autentizační bariéry, což dramaticky snižuje náročnost útoku a zvyšuje počet potenciálních cílů. Právě kombinace neautentizovaného přístupu a možnosti spuštění libovolného kódu patří dlouhodobě mezi nejnebezpečnější typy zranitelností, jaké mohou být v softwaru nalezeny.

Bezpečnostní experti doporučovali organizacím nasadit opravy co nejrychleji, zejména u systémů přístupných z internetu nebo u serverů, které zpracovávají citlivá data. V praxi totiž platí, že jakmile je zranitelnost veřejně zdokumentována formou záplaty, útočníci začnou analyzovat rozdíly mezi starou a novou verzí softwaru, aby zjistili, jak chybu zneužít ještě předtím, než ji stihnou opravit všichni uživatelé. Tento jev, označovaný jako zpětné inženýrství patchů, výrazně zkracuje čas, který mají administrátoři na reakci.

Microsoft v rámci říjnové aktualizace poskytl také doplňující informace a doporučení, jak zranitelnosti zmírnit v případech, kdy okamžitá instalace záplaty nebyla z provozních důvodů možná. U některých chyb existovaly dočasné konfigurace nebo omezení přístupu, které mohly riziko snížit, než administrátoři stihli aktualizaci plošně nasadit do produkčního prostředí. Takový postup je běžný u rozsáhlých firemních infrastruktur, kde nelze aktualizace instalovat okamžitě kvůli testování kompatibility s dalšími systémy.

Rozsah říjnové aktualizace z roku 2023 se následně stal referenčním bodem při srovnávání s dalšími měsíčními cykly oprav. Bezpečnostní komunita jej často zmiňovala jako příklad toho, jak se objem odhalených a opravených zranitelností v softwarových produktech postupně zvyšuje, což souvisí jak s rostoucí komplexitou softwaru, tak s intenzivnějším výzkumem ze strany bezpečnostních týmů i nezávislých badatelů. Tento trend pokračuje i v následujících letech, kdy Microsoft pravidelně vydává desítky až stovky oprav měsíčně, přičemž vážnost jednotlivých chyb se liší od méně kritických problémů až po zranitelnosti srovnatelné s těmi z října 2023.

Případ z října 2023 zároveň znovu potvrdil, jak důležité je pro organizace mít zavedený proces správy záplat, který umožňuje rychlé vyhodnocení rizika a prioritizaci instalace podle závažnosti jednotlivých chyb. Firmy, které disponují automatizovanými nástroji pro správu aktualizací a monitoring hrozeb, byly schopny reagovat podstatně rychleji než organizace spoléhající na manuální procesy. Bezpečnostní experti proto dlouhodobě doporučují investovat do automatizace patch managementu jako jedné ze základních obran proti zneužití nově odhalených zranitelností.