Microsoft wydał największą w historii aktualizację Patch Tuesday, usuwającą 622 podatności CVE w całym portfolio produktów.
Sama skala wydania jest znacząca, ale najpilniejszy priorytet jest oczywisty: dwie luki w zabezpieczeniach są już wykorzystywane w atakach.
Obie to błędy podnoszenia uprawnień, które dotyczą cennej infrastruktury korporacyjnej:
- CVE-2026-56164 w lokalnie instalowanym SharePoint Server
- CVE-2026-56155 w Active Directory Federation Services
Żadna z nich nie jest najwyżej ocenioną luką umożliwiającą zdalne wykonanie kodu w tym wydaniu, ale obie dotyczą systemów o ogromnym znaczeniu dla bezpieczeństwa przedsiębiorstw: platform współpracy i infrastruktury tożsamości.
Dwie luki zero-day, którymi należy zająć się w pierwszej kolejności
Pierwsza wykorzystywana luka, CVE-2026-56164, dotyczy SharePoint Server.
Microsoft informuje, że błąd pozwala nieuwierzytelnionemu atakującemu podnieść uprawnienia przez sieć. Oznacza to, że nie są potrzebne ani ważne dane uwierzytelniające, ani interakcja użytkownika.
W organizacjach korzystających z samodzielnie hostowanego SharePointa należy traktować tę aktualizację jako najwyższy priorytet.
SharePoint pozostaje cennym celem, ponieważ często zawiera poufne dokumenty, wewnętrzne procesy, dokumentację biznesową i materiały związane z uwierzytelnianiem. Szczególnie narażone są serwery SharePoint dostępne z internetu.
Microsoft zaznacza również, że włączenie AMSI w trybie Full Mode może pomóc zmniejszyć ryzyko ataku.
Luka w AD FS również jest wykorzystywana
Druga wykorzystywana luka, CVE-2026-56155, dotyczy Active Directory Federation Services.
Microsoft opisuje ją jako lokalną lukę umożliwiającą podniesienie uprawnień, wynikającą ze słabych mechanizmów kontroli dostępu. Atakujący musi być już uwierzytelniony, ale system, którego to dotyczy, sprawia, że ta podatność jest szczególnie istotna.
Reszta środowiska ufa usłudze AD FS w zakresie wydawania i weryfikowania tokenów uwierzytelniających.
Oznacza to, że eskalacja uprawnień na serwerze AD FS może mieć konsekwencje daleko wykraczające poza lokalną maszynę. Nawet jeśli luka jest określona jako „lokalna”, obrońcy nie powinni jej lekceważyć.
Infrastrukturę tożsamości należy zawsze traktować jak infrastrukturę krytyczną.
Oceny istotności to za mało
Ten Patch Tuesday jest wyraźnym przypomnieniem, że oceny istotności nie powinny być jedyną podstawą ustalania priorytetów wdrażania poprawek.
Dwie wykorzystywane luki niekoniecznie należą do najgłośniejszych błędów krytycznych w tym wydaniu. Są jednak już używane w atakach.
Dlatego są pilniejsze niż wiele luk o wyższej ocenie, które wciąż pozostają teoretyczne.
Zespoły bezpieczeństwa powinny ustalać priorytety w oparciu o:
- znany status wykorzystywania luki w atakach
- ekspozycję w internecie
- krytyczność dla biznesu
- wpływ na tożsamość lub uwierzytelnianie
- możliwość wykorzystania w rzeczywistych środowiskach
- wytyczne producenta
- sygnały z katalogu KEV i danych o zagrożeniach
W tym miesiącu „już wykorzystywana” znaczy więcej niż wartość CVSS.
Kolejny błąd w SharePoint przerywa łańcuch ataku
SharePoint otrzymał także inną istotną poprawkę: CVE-2026-55040, czyli lukę umożliwiającą obejście uwierzytelniania JWT.
Rapid7 ujawnił ten problem po badaniach związanych z Pwn2Own Berlin. Według doniesień lukę można połączyć z odrębnym błędem zdalnego wykonania kodu, aby uzyskać nieuwierzytelnione RCE na podatnych serwerach SharePoint.
Część łańcucha odpowiadająca za RCE ma zostać naprawiona później, ale lipcowa aktualizacja przerywa część z obejściem uwierzytelniania.
Dlatego ta poprawka jest ważna, nawet jeśli istnieją rozbieżności co do oceny istotności.
W praktyce obrońcy powinni potraktować aktualizację SharePointa jako pilną w tym miesiącu.
Ujawniono też obejście BitLockera
Trzecia luka zero-day, CVE-2026-50661, została publicznie ujawniona, ale obecnie nie jest zgłaszana jako wykorzystywana.
Dotyczy ona BitLockera i wymaga fizycznego dostępu do urządzenia.
Oznacza to, że dla większości organizacji nie jest to zdalna sytuacja awaryjna, ale mimo to trzeba ją załatać w ramach standardowego utwardzania stacji roboczych.
Luki wymagające fizycznego dostępu zwykle nie wyprzedzają aktywnie wykorzystywanych luk zdalnych lub związanych z tożsamością, ale mają znaczenie w przypadku urządzeń wysokiego ryzyka, kadry zarządzającej, laptopów podróżnych oraz systemów narażonych na kradzież lub manipulację.
Utwardzanie Kerberos RC4 może zablokować logowanie
Ten Patch Tuesday kończy też kolejną ważną zmianę w zabezpieczeniach: utwardzanie Kerberos RC4 wprowadzane przez Microsoft.
Lipcowa aktualizacja usuwa przełącznik wycofania zmian, który pozwalał administratorom opóźnić fazę wyłączenia RC4.
Po tej aktualizacji RC4 będzie działać tylko dla kont, które zostały jawnie skonfigurowane tak, by na to zezwalać.
Może to powodować problemy operacyjne.
Jeśli starsze konta usługowe nadal żądają biletów Kerberos z RC4, uwierzytelnianie po zainstalowaniu poprawek może przestać działać.
Administratorzy powinni przeprowadzić audyt użycia RC4, zidentyfikować dotknięte konta usługowe, w razie potrzeby zmienić hasła tak, aby wygenerowane zostały klucze AES, oraz naprawić starsze systemy lub konfiguracje, które nadal zależą od RC4.
Nie jest to problem, który bezpośrednio prowadzi do włamania, ale pominięcie go może spowodować awarie.
Dlaczego ten Patch Tuesday jest tak duży
Lipiec zwykle nie jest najobfitszym miesiącem aktualizacji zabezpieczeń Microsoftu, co czyni to wydanie wyjątkowo godnym uwagi.
622 podatności CVE obejmują wiele rodzin produktów, w tym:
- Windows
- Office
- Microsoft Edge
- Developer Tools
- SharePoint Server
- Azure
- SQL Server
- Defender
- Exchange Server
Największy udział ma Windows, natomiast SharePoint zawiera kilka luk o wysokim priorytecie. Ważne poprawki otrzymały również Microsoft Edge, Office, SQL Server, Defender i Exchange.
Skala wydania odzwierciedla zmieniający się krajobraz podatności. Coraz więcej zautomatyzowanych metod wykrywania, większa aktywność badaczy i coraz częstsza analiza wspierana przez AI zwiększają liczbę zgłaszanych i łatanych luk.
AI zmienia zarządzanie poprawkami
Microsoft wcześniej ostrzegał klientów, by spodziewali się większej liczby aktualizacji zabezpieczeń wraz z doskonaleniem wykrywania luk wspomaganego przez AI.
Stawia to obrońców pod presją.
Znajduje się więcej luk, ale atakujący mogą też szybciej odtwarzać poprawki metodą inżynierii wstecznej. Po wydaniu aktualizacji cyberprzestępcy mogą porównać wersje załatane i niezałatane, aby ustalić, co się zmieniło, i opracować exploity.
Tradycyjne podejście polegające na odczekaniu tygodnia przed instalacją poprawek coraz trudniej uzasadnić w przypadku systemów wystawionych na zagrożenia lub o wysokiej wartości.
Okna wdrażania poprawek się kurczą.
W przypadku infrastruktury krytycznej odstęp między Patch Tuesday a wykorzystaniem luki przez atakujących może być teraz liczony w dniach, a nie w tygodniach.
Co zespoły bezpieczeństwa powinny zrobić teraz
Organizacje powinny w pierwszej kolejności skupić się na wykorzystywanych lukach.
Natychmiastowe działania powinny obejmować:
- pilne załatanie lokalnie instalowanego SharePoint Server
- szybkie załatanie systemów AD FS
- włączenie SharePoint AMSI Full Mode tam, gdzie to możliwe
- przegląd ekspozycji SharePointa w internecie
- monitorowanie serwerów AD FS pod kątem podejrzanej aktywności lokalnej
- audyt użycia Kerberos RC4 przed szerokim wdrożeniem
- załatanie obejść BitLockera w ramach bieżącej konserwacji stacji roboczych
- przegląd logów SharePointa i aktywności IIS
- monitorowanie prób eskalacji uprawnień
- ustalanie priorytetów na podstawie wykorzystania luk w atakach, a nie tylko CVSS
Zespoły powinny też zrewidować procesy selekcji poprawek. Wydania z ponad 600 podatnościami CVE nie da się skutecznie obsłużyć wyłącznie na podstawie oceny istotności.
Podsumowanie
Lipcowy Patch Tuesday Microsoftu jest nie tylko duży. Ma też znaczenie strategiczne.
Dwie aktywnie wykorzystywane luki umożliwiające podniesienie uprawnień dotyczą systemów o kluczowym znaczeniu dla bezpieczeństwa przedsiębiorstw: SharePointa i AD FS.
Jednocześnie SharePoint otrzymał kolejną poprawkę, która przerywa groźny łańcuch obejścia uwierzytelniania, a utwardzanie Kerberos RC4 wprowadza ryzyko operacyjne w środowiskach, które nadal polegają na starszych mechanizmach uwierzytelniania.
Zarządzanie poprawkami się zmienia. Zespoły bezpieczeństwa potrzebują szybszej selekcji, lepszego ustalania priorytetów i silniejszego skupienia na rzeczywistym wykorzystywaniu luk w atakach.
W miesiącu z ponad 600 podatnościami CVE najważniejsze pytanie brzmi nie „Który błąd ma najwyższą ocenę?”
Brzmi ono: „Który błąd jest już wykorzystywany i który system daje atakującym największą przewagę?”
