Říjnové bezpečnostní aktualizace Microsoft Patch Tuesday pro rok 2026 přinesly rekordní počet oprav. Server PCWorld uvádí 1 416 opravených zranitelností, Infosecurity Magazine, BleepingComputer a ITdaily shodně 1 411. Podle PCWorld jde o první měsíc, kdy Microsoft překonal tisíc oprav, a zároveň o více chyb, než firma odstranila za celý rok 2025 (něco málo přes 1 100).
Redakce se rozcházejí i v počtu kritických chyb. PCWorld jich napočítal 85, z toho 67 se vzdáleným spuštěním kódu (RCE). Infosecurity Magazine a ITdaily uvádějí 70 kritických zranitelností, respektive 57 RCE mezi kritickými.
Co přinesl Microsoft Patch Tuesday v říjnu 2026
Opravy se týkají Windows, Office, Exchange Serveru, SQL Serveru, Hyper-V, Skype for Business, Microsoft Defenderu,.NET Frameworku, Visual Studia a cloudových služeb Microsoftu. Podle PCWorld označil Microsoft 42 chyb ve Windows za kritické, z toho 30 RCE. V produktech Office opravil 194 zranitelností včetně 25 kritických RCE, v Exchange Serveru sedm chyb, mezi nimi kritickou RCE CVE-2026-70571. Kritická chyba pro zvýšení oprávnění CVE-2026-102866 je i v SharePointu a podle PCWorld ji lze zneužít bez přihlášení uživatele.
Infosecurity Magazine upozornil na RCE chybu CVE-2026-70242 v podokně náhledu Outlooku se skóre CVSS 9.8. Server Automox k ní uvedl: „Pečlivě vytvořený e-mail spustí přetečení vyrovnávací paměti na haldě ve chvíli, kdy jej Outlook zobrazí v podokně náhledu. Příjemce zprávu neotevře ani na nic neklikne. Žádné ověření, žádná interakce uživatele.“
Podle Infosecurity Magazine souvisí nárůst počtu chyb s nasazením umělé inteligence, konkrétně technologie MDASH pro vícenásobné skenování. Aktualizace Microsoft Edge 155.0.4283.45 z 8. října řeší 247 chyb v Chromiu, které se do celkového součtu nezapočítávají.
Zneužívaná zranitelnost CVE-2026-96951
Jednu z oprav už útočníci zneužívají v praxi. Chyba CVE-2026-96951 v Windows Shell obchází ochranu Mark of the Web a umožňuje zamaskovat původ spustitelného souboru z internetu. Podle Infosecurity Magazine má skóre CVSS 8.8, nízkou složitost útoku a nevyžaduje ověření ani předchozí oprávnění. Jack Bicer, ředitel výzkumu zranitelností ve společnosti Action1, uvedl: „Útočníci mohou šířit speciálně vytvořené soubory prostřednictvím phishingových e-mailů, instantních zpráv nebo škodlivých webů, přičemž ke zneužití stačí pouze interakce uživatele.“
Veřejně známé před vydáním aktualizace byly další dvě chyby: CVE-2026-108398 (obcházení bezpečnostní funkce.NET Framework) a CVE-2026-92707 (odepření služby v MessagePack-CSharp).
Konec podpory Windows 11 24H2
Podle ITdaily dostaly Windows 11 24H2 Home a Pro poslední bezpečnostní aktualizaci, další už nedostanou. PCWorld doporučuje přejít na Windows 11 25H2 nebo 26H2. Poslední aktualizaci dostal také Windows Enterprise LTSB 2016 a podpora Windows 11 23H2 Enterprise a Education skončí po příštím měsíci. Aktualizace pro Windows 11 nese označení KB5127646.
PCWorld uvádí, že program rozšířené podpory Windows 10 byl prodloužen do 12. října 2027, podle ITdaily mohou jednotlivci používat Windows 10 bez placení za bezpečnostní aktualizace do října 2027.
Podle výzkumu společnosti Socura si 22 procent britských ředitelů pro informační bezpečnost (CISO) vzalo neschopenku nebo dovolenou, aby se vyhnuli Patch Tuesday. Další Patch Tuesday je naplánován na 10. listopadu 2026.