Zaktualizuj Windowsa. Wydano sierpniowe poprawki

Ciągnąca się na wiele stron lista aktualizacji, posortowana według identyfikatorów podatności z usunięciem tych niemożliwych do wykorzystania zdalnie, staje się znacznie krótsza. Znajduje się na niej około trzydziestu podatności. Niektóre z nich są "stałymi bywalcami" comiesięcznych pakietów aktualizacji i chodzi tu o RRAS (routing, VPN itp.) oraz RDP (zdalny pulpit).

Choć technologie te, dość wiekowe, wydają się być idealnymi źródłami dziur w zabezpieczeniach, można już obecnie zastanawiać się, jak długo będą jeszcze poprawiane zanim skończą się w nich dziury należące co miesiąc niemal do tej samej kategorii. W sierpniu są to CVE-2026-62824 i CVE-2026-62819.

Kolejny zestaw kłopotów dostarcza nam serwer DNS, który jest podatny na szereg ataków z sieci. Wysłanie złośliwych żądań pozwala na zdalne wykonanie kodu na serwerze z maksymalnymi uprawnieniami. Aby to osiągnąć, konieczne jest wygranie tzw. wyścigu (race condition), co wymaga skoordynowanego ataku w precyzyjnie ustalonych ramach czasowych, a także nieopisanych szerzej, pozostałych okoliczności sprzyjających.

Błędy tego typu były w praktyce niewykrywane kilka dekad temu, co widać dobitnie w kontekście tego, że problem dotyczy wszystkich obsługiwanych wersji Windows. Oznacza to, że znajdował się w serwerze DNS od co najmniej czternastu lat (CVE-2026-62778, CVE-2026-62817, CVE-2026-62820, CVE-2026-62878, CVE-2026-65789).

Serwerowych problemów jest więcej. Dziury znajdują się w obsłudze LDAP (CVE-2026-62785, CVE-2026-62795), iSCSI (CVE-2026-65679, CVE-2026-65791), TFTP (CVE-2026-62893), a także DHCP (CVE-2026-62823). Zidentyfikowano więcej problemów w usługach Active Directory, klasyfikując je jako zdalne i niewymagające uwierzytelnienia, ale zapoznanie się ze szczegółami pozwala odkryć, że jest to klasyfikacja błędna. Problemy tego typu towarzyszą biuletynom zabezpieczeń z Redmond już od lat i niewiele się na tym polu zmienia.

Niepokojące podatności znajdują się w obsłudze protokołów. O ile większość usług serwerowych jest wyłączona lub nieobecna w klienckich Windowsach, obsługa protokołów sieciowych jest już wspólna. Zdarzają się osobliwości, jak PGM RMCAST (MSMQ, CVE-2026-62816) który domyślnie jest niezainstalowany. Nie każdy korzysta też z VPN stosującego systemowe SSTP (CVE-2026-62889). Ale już protokół SMB jest znacznie popularniejszy. Na szczęście, wykorzystanie go w niecny sposób wymaga uwierzytelnienia (CVE-2026-62800, CVE-2026-62790).

O wiele większy problem stanowią protokoły fundamentalne, jak TCP/IP (CVE-2026-62792). Wykorzystanie dziury w nim nie wymaga uwierzytelnienia ani żadnej słuchającej usługi, a systemowa zapora także przed niczym nie ochroni, bo pracuje na tym samym stosie. Co ciekawe, inne podstawowe problemy sieciowe, z QUIC i NAT (CVE-2026-62815 i CVE-2026-56179) dotyczą wyłącznie nowych wersji Windows 11.

Najnowsza aktualizacja do Windows (KB5121003) waży już łącznie ponad 5,4 gigabajta, co stanowi ponad połowę rozmiaru całego ISO instalacyjnego. Warto mieć na uwadze, że wlicza to moduł SSU, aktualizację "stopgap" (KB5043080) oraz modele AI, a te elementy na wielu systemach nie będą potrzebne. Odliczając je, poprawka waży poniżej dwóch gigabajtów, typowo dla Windowsów już od bardzo wielu lat.