Microsoft Patch Tuesday, 2026. szeptember: két kihasznált Windows-hiba a 938 javítás élén

A kiadás röviden

A Microsoft 2026. szeptemberi Patch Tuesday-kiadása az olvasóinkat érintő 938 CVE-t fedi le. A súlyosság szerinti megoszlás: 41 kritikus, 659 magas, 236 közepes és 2 alacsony. Két sérülékenység már szerepel a CISA Known Exploited Vulnerabilities (KEV) katalógusában, és kihasználtként kezelik őket: a CVE-2026-85880, amely heap-alapú puffertúlcsordulás a Windows Advanced Local Procedure Call (ALPC) összetevőben, és a CVE-2026-81963, amely a Windows Update Stackben található, nem megfelelő hivatkozásfeloldást jelent. A CISA mindkettőre 2026. szeptember 22-i határidőt szabott.

E kettőn túl a kiadás számos kritikus besorolású távoli kódfuttatási hibát tartalmaz, többek között a Skype for Business Server, az SQL Server és több Windows-összetevő esetében, valamint egy magas súlyosságú, távoli kódfuttatást lehetővé tévő Outlook-hibát. A fennmaradó tételek a Windows, a Microsoft 365 Apps, az Exchange Server, a SharePoint Server, az Edge és más termékek körét érintik.

A legfontosabbak

Elsőként két Windows jogosultságszint-emelési hibára kell figyelni. A CVE-2026-85880 heap-alapú puffertúlcsordulás a Windows ALPC-ben; ezt egy megfelelő hozzáféréssel rendelkező támadó helyben jogosultságszint-emelésre használhatja ki. A CVE-2026-81963 a Windows Update Stack nem megfelelő hivatkozásfeloldásából eredő hiba, és ugyanilyen helyi jogosultságszint-emelést tesz lehetővé. Mindkettő szerepel a CISA KEV-listáján, a Microsoft kihasználtként jelöli őket, a CISA SSVC szerint pedig aktív kihasználás zajlik. A CISA határideje 2026. szeptember 22. volt. A CVE-2026-85880 a Windows 10-et és a Windows Server-verziókat érinti, a CVE-2026-81963 pedig a Windows 11 23H2-es és annál újabb verzióit, valamint a Windows Server 2025-öt.

A Microsoft Office Outlook esetében a CVE-2026-70125 hálózatról elérhető, 8,8-as magas besorolású, távoli kódfuttatást lehetővé tevő hiba. A kihasználás felhasználói beavatkozást igényel, a hiba nem szerepel a KEV-listán, és nem jelölték kihasználtként. Az érintett termékek közé tartozik a Microsoft 365 Apps for Enterprise, az Office LTSC 2021 és az Office LTSC 2024.

A Skype for Business Server esetében a CVE-2026-66302 egy 9,8-as kritikus, távoli kódfuttatást lehetővé tevő hiba, amelyet fájlnév vagy elérési út külső vezérlése okoz. A hiba hálózaton keresztül, hitelesítés és felhasználói beavatkozás nélkül érhető el, jelenleg azonban nem minősül kihasználtnak. Az érintett verziók közé tartozik a Skype for Business Server 2015 CU13, a 2019 CU8 és a Subscription Edition CU1.

Az SQL Server két 9,8-as kritikus, heap-alapú puffertúlcsordulásból eredő távoli kódfuttatási hibát tartalmaz. A CVE-2026-67631 az SQL Server 2017, 2019, 2022 és 2025 verziókat érinti a CU- és GDR-csatornákon egyaránt. A CVE-2026-67643 az SQL Server 2022 és 2025 verziókat érinti. Egyiket sem jelölik kihasználtként.

A Windows-összetevőkben is találhatók kritikus, hálózatról elérhető hibák. A CVE-2026-68839 heap-alapú puffertúlcsordulás az USB Mass Storage Class Driverben, súlyossága 9,8. A CVE-2026-69276 egészszám-alulcsordulás az UxTheme kódtárban, súlyossága 9,8. Egyiket sem jelölik kihasználtként.

Javítási sorrend

1. Először a kihasznált Windows-hibák javításait telepítse: CVE-2026-85880 és CVE-2026-81963. Mindkettő szerepel a CISA KEV-listáján 2026. szeptember 22-i határidővel, és a Microsoft, valamint a CISA SSVC is kihasználtként jelöli őket. A CVE-2026-81963 javításához telepítse a következő buildet: Windows 11 10.0.22631.7582 (23H2), 10.0.26100.9445 (24H2), 10.0.26200.9445 (25H2), 10.0.28000.2954 (26H1) vagy Windows Server 2025 10.0.26100.33438. A CVE-2026-85880 esetében használja a megfelelő Windows karbantartási frissítést; a javított buildek közé tartozik a Windows 10 22H2 10.0.19045.7725 és a Windows Server 2022 10.0.20348.5622.

1. Ezután javítsa a Skype for Business Servert: a CVE-2026-66302 egy 9,8-as kritikus, hálózaton keresztül, hitelesítés és felhasználói beavatkozás nélkül kihasználható távoli kódfuttatási hiba. A javított buildek: 6.0.9319.885 (2015 CU13), 7.0.2046.569 (2019 CU8) és 7.0.2046.879 (Subscription Edition CU1).

1. Javítsa az SQL Servert. A CVE-2026-67631 és a CVE-2026-67643 egyaránt 9,8-as kritikus, távoli kódfuttatási hiba. A CVE-2026-67631 esetében a javított buildek közé tartoznak a következők: SQL Server 2017 CU 31 14.0.3550.4 vagy GDR 14.0.2130.4; 2019 CU 32 15.0.4490.9 vagy GDR 15.0.2190.7; 2022 CU 26 16.0.4275.2 vagy GDR 16.0.1200.5; 2025 CU8 17.0.4085.5 vagy GDR 17.0.1135.8. A CVE-2026-67643 javított buildjei: SQL Server 2022 CU 26 16.0.4275.2 vagy GDR 16.0.1200.5, valamint SQL Server 2025 CU8 17.0.4085.5 vagy GDR 17.0.1135.8.

1. Telepítse a Windows-összetevők javításait. A CVE-2026-68839 és a CVE-2026-69276 9,8-as kritikus, hálózatról elérhető távoli kódfuttatási hibák az USB Mass Storage Class Driverben, illetve az UxTheme kódtárban. Használja a saját buildjéhez illeszkedő Windows karbantartási frissítést, például a Windows 11 24H2 10.0.26100.9445 vagy a Windows Server 2025 10.0.26100.33438 buildhez tartozó frissítést.

1. Javítsa a Microsoft Office Outlookot. A CVE-2026-70125 8,8-as magas súlyosságú, távoli kódfuttatási hiba, amely felhasználói beavatkozást igényel. Alkalmazza az Office Security Releases oldalon elérhető frissítést a Microsoft 365 Apps, az Office LTSC 2021 vagy az Office LTSC 2024 esetében.

1. Ezután telepítse a kiadás összes fennmaradó szeptemberi frissítését, és részesítse előnyben az internet felől elérhető és a magas súlyosságú rendszereket.

A javításon túl

Ez a fajta kiadás kezelhető, ha a két kihasznált Windows-hibát elkülöníti a hálózatról elérhető kritikus problémák szélesebb körétől. A Menedzselt kiberbiztonsági felügyelet (MDR) észlelési és reagálási lefedettséget nyújt a kihasznált Windows ALPC- és Windows Update Stack-tevékenységhez, míg a Virtuális CISO szolgáltatás (vCISO) segít felderíteni és lezárni azokat a kitett szolgáltatásokat, amelyektől a Skype for Business és az SQL Server hibáinak kihasználása függ.