Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które pracują na komputerach z Windows 11 lub serwerach z Windows Server 2025. Werdykt: jeśli któraś maszyna nie ma wrześniowej aktualizacji zabezpieczeń z 8 września 2026 roku, zainstaluj ją dziś, bo luka w mechanizmie aktualizacji Windows pozwala zwykłemu kontu zdobyć pełne uprawnienia systemu, a Microsoft i CISA potwierdzają ataki.
Amerykańska agencja CISA 8 września 2026 roku, w dniu publikacji poprawki, dopisała CVE-2026-81963 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w Windows Update Stack, części systemu odpowiedzialnej za instalację aktualizacji. Microsoft oznaczył lukę jako wykorzystywaną przed wydaniem poprawki (zero-day), a według Tenable to pierwszy taki przypadek w tym komponencie od 2022 roku.
Luka pozwala osobie, która ma już zwykłe konto na komputerze, zdobyć uprawnienia SYSTEM, najwyższe w Windows. Microsoft nie opisał, jak była wykorzystywana, i nie podaje obejścia. Termin naprawy wg CISA mija 22 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-81963 |
Data dodania do CISA KEV | 2026-09-08 |
Termin naprawy wg CISA | 2026-09-22 |
Produkt | Microsoft Windows, komponent Windows Update Stack |
Wersje zagrożone | Windows 11 23H2, 24H2, 25H2 i 26H1 (x64 i ARM64) oraz Windows Server 2025, także Server Core, bez wrześniowej aktualizacji. Wymagane zwykłe konto na komputerze. Microsoft nie wymienia Windows 10 ani starszych Windows Server |
Wersje bezpieczne | Windows 11 23H2: kompilacja 22631.7582 (KB5122880); 24H2: 26100.9445 i 25H2: 26200.9445 (KB5124008); 26H1: 28000.2954 (KB5124012); Windows Server 2025: 26100.33438 (KB5122871). Każda późniejsza aktualizacja zbiorcza zawiera poprawkę |
Typ podatności | Lokalne podniesienie uprawnień przez podążanie za dowiązaniem do pliku; CWE-59 i CWE-284 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft; ocena czasowa 7.2). Atak lokalny, niskie uprawnienia, bez udziału użytkownika, pełny wpływ. Waga wg Microsoft: Important. NVD nie podaje własnej oceny |
Wyobraź sobie firmę, w której serwisant z pełnym dostępem do wszystkich pomieszczeń codziennie odbiera paczki z częściami z półki w korytarzu i zanosi je tam, gdzie wskazuje etykieta. Nie sprawdza jednak, kto nakleił etykietę. Pracownik magazynu może więc podmienić etykietę i serwisant sam wniesie „paczkę” do serwerowni albo gabinetu zarządu.
Tak działa ta luka. Mechanizm aktualizacji Windows działa z najwyższymi uprawnieniami i wykonuje operacje na plikach. Przez błąd można go skierować do innego pliku, niż powinien, a osoba ze zwykłym kontem wykorzystuje to, żeby zdobyć pełną kontrolę nad komputerem. Z internetu nie da się jej użyć bezpośrednio: napastnik musi już mieć dostęp do konta.
💡 Windows Update Stack to zestaw komponentów systemu, które pobierają i instalują aktualizacje. Konto SYSTEM to najwyższy poziom uprawnień w Windows. Dowiązanie to plik lub skrót, który wskazuje na inne miejsce na dysku. Zero-day to luka wykorzystywana przez przestępców, zanim producent wydał poprawkę. Podniesienie uprawnień to drugi krok typowego włamania: po wejściu na zwykłe konto napastnik zdobywa pełną kontrolę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Szkodnik z załącznika na koncie pracownika | Ma ograniczone prawa | Zdobywa uprawnienia SYSTEM |
Program antywirusowy | Zwykłe konto nie może go wyłączyć | Napastnik z SYSTEM może go wyłączyć |
Serwer z Windows Server 2025 i kontami wielu użytkowników | Każdy widzi tylko swoje zasoby | Jedno przejęte konto daje kontrolę nad serwerem |
Kopie zapasowe na dysku sieciowym | Chronione przed zwykłym kontem | Mogą zostać usunięte |
Komputer z Windows 10 | Nie jest wymieniony przez Microsoft jako podatny na tę lukę | Bez zmian, ale nadal wymaga bieżących aktualizacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo Microsoft nie ujawnił szczegółów ataków. Luka nie daje wejścia z internetu: napastnik musi mieć kod uruchomiony na zwykłym koncie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wyłudzone hasło lub przejęty laptop | Kod na koncie zwykłego pracownika |
2. Podniesienie uprawnień | T+minuty | Wykorzystanie luki w Windows Update Stack | Uprawnienia SYSTEM |
3. Wyłączenie obrony | T+kilkanaście minut | Zatrzymanie ochrony antywirusowej, czyszczenie dzienników | Komputer bez nadzoru |
4. Kradzież haseł | T+godziny | Odczyt zapisanych haseł i tokenów | Dostęp do kolejnych maszyn i usług |
5. Rozprzestrzenienie | T+dni | Wejście na serwery, kradzież danych, usuwanie kopii zapasowych | Przygotowanie do szantażu |
Słowo „lokalny” w opisie luki usypia czujność. Napastnicy zdobywają zwykłe konta codziennie, a ta luka zamienia takie zdarzenie w pełne przejęcie komputera. Dotyczy najnowszych wersji Windows 11 i Windows Server 2025, czyli sprzętu, który firmy uważają za najlepiej zabezpieczony, a Microsoft wskazuje, że istnieje działający exploit.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte komputery i serwery, konieczność ich odbudowy | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów i danych klientów | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, utracona sprzedaż, możliwy szantaż | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Informacja o incydencie dla klientów i kontrahentów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windows 11 (23H2 do 26H1) i Windows Server 2025
bez aktualizacji z września 2026
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo ataki są potwierdzone, a pierwszy krok (zwykłe konto) napastnicy zdobywają rutynowo; wpływ jest wysoki, a nie maksymalny, bo luka sama nie otwiera drogi z internetu i według CISA nie da się jej zautomatyzować.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować listę komputerów z Windows 11 i serwerów z Windows Server 2025 bez aktualizacji z 8 września 2026 lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować KB5122880, KB5124008, KB5124012 lub KB5122871 (zależnie od wersji) i zrestartować maszyny | Dziś | Administrator |
3 | 🟠 PILNIE | Sprawdzić osobno laptopy pracowników mobilnych i pracujących z domu | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Zweryfikować serwery z Windows Server 2025, na które loguje się wielu użytkowników | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe mają kopię niedostępną do zapisu z komputerów w sieci | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Ograniczyć liczbę kont z uprawnieniami administratora na komputerach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić cotygodniowy raport maszyn bez bieżących aktualizacji | Do 30 dni | Kierownik IT |
Microsoft wydał poprawki 8 września 2026 roku i nie podaje obejścia ani złagodzenia. Poniższe środki ograniczają skutki, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie uruchamiania nieznanych programów (AppLocker, WDAC) | Średnia | Średnia do trudnej |
Uwierzytelnianie dwuskładnikowe dla poczty, VPN i pulpitu zdalnego | Średnia: utrudnia pierwszy krok ataku | Łatwa do średniej |
Kopia zapasowa offline lub niezmienialna | Wysoka wobec utraty danych, nie zapobiega włamaniu | Średnia |
Ograniczenie logowania wielu użytkowników na serwerach Windows Server 2025 | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zwykłe konto po kliknięciu w załącznik | Może stać się kontem SYSTEM | Zostaje ograniczone |
Laptopy mobilne | Zaległości w aktualizacjach | Zaktualizowane i objęte raportem |
Serwery Windows Server 2025 | Bez wrześniowej poprawki | KB5122871 zainstalowana |
Kopie zapasowe | Dostępne do zapisu z sieci | Kopia offline |
Logowanie do poczty i VPN | Samo hasło | Hasło i drugi składnik |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: Exploitation Detected, luka wykorzystywana jako zero-day |
Grupy przestępcze | Brak publicznych informacji; wg BleepingComputer lukę przypisano Romainowi Deperne i Microsoft Threat Intelligence Center (MSTIC) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft); ocena czasowa 7.2; waga Microsoft: Important |
PoC dostępny publicznie? | Brak publicznych informacji; luka nie była wcześniej ujawniona, a ocena Microsoft wskazuje na istnienie działającego exploita |
Liczba atakowanych firm | Brak publicznych informacji |
Kontekst wydania | Rekordowe wrześniowe poprawki Microsoft: 966 luk wg BleepingComputer, 964 wg Tenable; drugi zero-day to CVE-2026-85880 w Windows ALPC |
Nowość zagrożenia | Wg Tenable pierwsza luka w Windows Update Stack wykorzystana jako zero-day spośród siedmiu załatanych od 2022 roku |
Sygnały zagrożenia dla CVE-2026-81963
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Waga Microsoft Important ████████████░░░░░░░░ nie krytyczna
Działający exploit (E:F) TAK ████████████████████ wg Microsoft
Automatyzacja (SSVC) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga dostępu lokalnego
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-09-08 Microsoft publikuje poprawki, luka oznaczona jako wykorzystywana
2026-09-08 Publikacja CVE-2026-81963
2026-09-08 CISA dodaje lukę do katalogu KEV
2026-09-11 Microsoft aktualizuje podziękowania w biuletynie
2026-09-15 Kolejna informacyjna aktualizacja biuletynu
2026-09-22 Termin naprawy wg CISA (za 5 dni)
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2026-81963 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-81963 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać liczbę komputerów z Windows 11 i serwerów z Windows Server 2025 bez wrześniowej aktualizacji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe aktualizacje i restarty, także w godzinach pracy | CTO | DZISIAJ |
3 | Ustalić, kto odpowiada za aktualizacje laptopów pracowników mobilnych | CTO | DO JUTRA |
4 | Potwierdzić istnienie kopii zapasowej offline i datę ostatniego testu odtworzenia | CTO | DO JUTRA |
5 | Zarezerwować budżet na uwierzytelnianie dwuskładnikowe, jeśli go brakuje | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanych systemów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów z Windows 11 i serwerów z Windows Server 2025 nie ma aktualizacji z 8 września 2026? | [liczba] | 🔴 |
2 | Kiedy wrześniowa aktualizacja trafiła na wszystkie maszyny? | [data] | 🔴 |
3 | Czy laptopy pracowników pracujących z domu mają wrześniowe poprawki? | TAK / NIE | 🔴 |
4 | Jakie kompilacje Windows 11 i Windows Server 2025 raportuje konsola zarządzania? | [wersja] | 🟠 |
5 | Czy użytkownicy pracują na kontach z uprawnieniami administratora? | TAK / NIE | 🟠 |
6 | Czy mamy kopię zapasową, której nie da się usunąć z komputera w sieci? | TAK / NIE | 🟠 |
7 | Czy poczta, VPN i pulpit zdalny wymagają drugiego składnika logowania? | TAK / NIE | 🟡 |
CVE-2026-81963 w Windows Update Stack pozwala zwykłemu kontu na Windows 11 i Windows Server 2025 zdobyć uprawnienia SYSTEM, a Microsoft i CISA potwierdzają, że luka była wykorzystywana przed wydaniem poprawki. Obejścia nie ma, więc instalacja wrześniowej aktualizacji zbiorczej na wszystkich maszynach, także laptopach mobilnych, to zadanie na dziś, na długo przed terminem CISA z 22 września.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.