Zaktualizuj Windowsa. Wydano październikowe poprawki

Poprawki do Windowsów zwyczajowo łatają te same komponenty, które wydają się być przez to najeżone wręcz nieskończoną liczbą błędów. Nie inaczej jest i tym razem, gdy kolejny miesiąc (rok?) z rzędu łatane są Microsoft Message Queue (CVE-2026-100202) oraz zbiór usług dostępu i pulpitu zdalnego (CVE-2026-100218, CVE-2026-103575, CVE-2026-108458).

Wydawałoby się, że to nieunikniona konsekwencja pracy ze starym kodem, ale problemy sprawiają także implementacje obecne w systemie relatywnie od niedawna, jak QUIC (CVE-2026-100219, CVE-2026-105016) który, w przeciwieństwie do usług pulpitu zdalnego, jest obecny w systemie od pięciu lat, a nie od trzydziestu. Niestety, okazuje się podatny na zdalne wykonanie kodu.

Załatano również błędy w RPC (szynie komunikacyjnej dla procesów) i IIS (wbudowanym w Windowsa serwerze WWW), innych bardzo wiekowych składnikach Windows, notorycznie podatnych na sieciowe zagrożenia (CVE-2026-102203, CVE-2026-83910, CVE-2026-70024). Po krótkiej przerwie wróciły błędy w samym podsystemie LSA (CVE-2026-96219), umożliwiające nieuwierzytelnionemu użytkownikowi zdalne wykonanie kodu na prawach usługi.

Potężny zestaw poprawek zaserwowano dla komponentu Text Shaping, zajmującego się przetwarzaniem złożonych tekstów Unicode. Jeszcze w zeszłym miesiącu nazwa tego komponentu była nieużywana w komunikacji z Microsoftu, w notatkach MSRC pada po raz pierwszy. Tymczasem aktualizacja dotyczy nawet wersji 2012. To nieco podejrzana sytuacja. Firmie często zdarzało się błędnie rozwijać własne akronimy w notatkach MSRC, a opisy poprawek są zdumiewające. Dotyczą wysyłania pakietu do jakiejś usługi(?), a także ponownie błędnie uznają podatność za zdalną, mówiąc, że wymaga pobrania pliku.

Jak już parokrotnie informowaliśmy, na takiej zasadzie każda podatność jest zdalna, bo przecież potencjalny włamywacz nie znajduje się wewnątrz systemu. Ta błędna klasyfikacja, uskuteczniana przez Microsoft od lat i niemal całkowicie ignorowana przez branżę, zawyża powagę łatanych problemów, wadliwie przypisując im wysokie numeracje CVSS. Oberwało się w ten sposób, na przykład, komponentowi libarchive (CVE-2026-69639).

Zastrzeżenia dotyczące jakości MSRC nie ustają, bo spada ona od bardzo dawna. W tym miesiącu opisy poprawek pojawiły się z dwugodzinnym opóźnieniem ze względu na nieznane problemy techniczne. Strona przewodnika w dalszym ciągu niepoprawnie sortuje i przewija wyniki, przez co łatwiej pobrać plik Excel (60 tysięcy linii, generujący się przez dobrych kilka minut) i dokonywać analizy za jego pomocą. Nadchodzące miesiące roztyją listę poprawek jeszcze bardziej, biorąc pod uwagę AI.

Rozmiar aktualizacji dla najnowszego Windowsa przekroczył już pięć gigabajtów, choć większość to od kilku miesięcy lokalne modele sztucznej inteligencji (Windows Workflows). W przypadku ich nieobecności aktualizacja jest znacznie mniejsza. Instaluje się dość szybko, choć może wymagać czterech restartów. Póki co, restartów mogą uniknąć tylko wybrani klienci korporacyjni.