Rekordowy Patch Tuesday: ponad 1400 poprawek i luka, która zdejmuje z plików ostrzeżenie Windows

Microsoft załatał we wtorek 13 października 2026 roku ponad 1400 luk w swoich produktach — to największy pakiet poprawek w historii comiesięcznych aktualizacji. Wśród nich jest jedna podatność, którą napastnicy wykorzystywali jeszcze zanim poprawka powstała: CVE-2026-96951 w powłoce Windows, pozwalająca obejść mechanizm Mark of the Web, czyli znacznik, dzięki któremu system wie, że plik przyszedł z internetu.

Dla przeciętnego użytkownika najważniejsze jest to drugie zdanie, nie pierwsze. Rekordowa liczba robi wrażenie, ale realne ryzyko niesie konkretny błąd, który zdejmuje z pobranego pliku ostrzeżenie — i to taki, który do zadziałania potrzebuje tylko jednego kliknięcia z Twojej strony.

W tym tekście wyjaśniamy, czym jest Mark of the Web i dlaczego atakujący od lat szukają sposobów na jego obejście, jak samodzielnie sprawdzić znacznik na pobranym pliku i co jeszcze zmieniło się 13 października — bo tego samego dnia wsparcie straciły Windows 11 w wersji 24H2 oraz pakiet Office LTSC 2021.

Ponad 1400 poprawek i cztery różne liczby. Dlaczego?

Jeśli przeglądałeś doniesienia z ostatnich dwóch dni, mogłeś zobaczyć cztery różne liczby: 1407, 1411, 1413 i 1415. Żadna z nich nie jest błędna, a mimo to tylko jedna może pasować do Twojej definicji „załatanych luk w październiku”.

Różnice biorą się z metodologii liczenia. Firma Tenable podaje 1407 identyfikatorów CVE w 301 produktach i komponentach, z czego 69 oznaczono jako krytyczne. SecurityWeek pisze o 1413 lukach, w tym 1102 w samym Windows, 134 w pakiecie Office i 36 w SharePoint Server.

Rozbieżność wynika z tego, co się wlicza do miesięcznego zestawienia. Część analityków pomija luki w komponentach rozwijanych poza Microsoftem, ale publikowanych przez firmę w jej biuletynie — na przykład w silniku Chromium używanym przez przeglądarkę Edge albo w bibliotekach open source wbudowanych w platformę .NET. Inni dodają poprawki opublikowane w ciągu miesiąca, ale poza samym wtorkiem. Jeszcze inni liczą luki ogłoszone wcześniej, którym w październiku zaktualizowano opis.

Dlatego w tym tekście piszemy „ponad 1400”. To uczciwsza odpowiedź niż wybranie jednej liczby i udawanie, że jest ostateczna.

CVE-2026-96951: luka, którą już wykorzystywano

Jedyna podatność z tego zestawu, o której Microsoft potwierdza aktywne wykorzystanie, to CVE-2026-96951 — obejście funkcji zabezpieczającej w powłoce Windows, z oceną CVSS 8.8. Microsoft klasyfikuje ją jako „ważną”, nie krytyczną, bo do ataku potrzebne jest działanie użytkownika.

Scenariusz opisany przez producenta w biuletynie MSRC jest przyziemny: napastnik musi nakłonić Cię do otwarcia spreparowanego pliku, dostarczonego pocztą elektroniczną albo komunikatorem. Nie ma tu zdalnego przejęcia komputera bez Twojego udziału. Jest natomiast coś gorszego pod względem psychologicznym — plik, który otwierasz, nie wygląda na podejrzany, bo system nie pokazuje ostrzeżenia, które normalnie by się pojawiło.

Amerykańska agencja CISA dopisała tę lukę do katalogu podatności aktywnie wykorzystywanych już 13 października, wyznaczając instytucjom federalnym trzy dni na załatanie. To bardzo krótki termin, stosowany tylko wtedy, gdy ryzyko uznaje się za bieżące, a nie teoretyczne.

Warto odnotować kontekst: według zestawienia Tenable jest to trzecia luka w powłoce Windows wykorzystywana w atakach w 2026 roku, po CVE-2026-21510 z lutego oraz CVE-2026-32202 z kwietnia. Ten sam obszar systemu trafia pod ostrzał po raz kolejny, co samo w sobie coś mówi o tym, gdzie napastnicy widzą najlepszy zwrot z inwestycji.

Microsoft nie opublikował szczegółów technicznych ataków, nie wskazał grupy odpowiedzialnej ani nie udostępnił wskaźników kompromitacji. To standardowa praktyka, gdy łatka dopiero się rozchodzi.

Czym właściwie jest Mark of the Web

To najważniejsza część tego tekstu, bo mechanizm, o którym mowa, chroni Cię codziennie, a prawie nikt nie wie, że istnieje. Serwis Help Net Security zwraca uwagę, że to właśnie dlatego obejścia tego mechanizmu są tak chętnie wykorzystywane.

Niewidoczna etykietka doklejana do pliku

Kiedy pobierasz cokolwiek z internetu — instalator, dokument Worda, arkusz, archiwum ZIP — Windows nie zapisuje tylko samego pliku. Do pliku doklejany jest dodatkowy, niewidoczny strumień danych o nazwie Zone.Identifier. To możliwość systemu plików NTFS zwana alternatywnym strumieniem danych: do jednego pliku można dołączyć dodatkową zawartość, której nie widać ani w Eksploratorze, ani w rozmiarze pliku.

W tym strumieniu zapisana jest informacja o strefie pochodzenia. Strefa 3 oznacza internet, strefa 4 — witrynę jawnie uznaną za niezaufaną. Nowsze wersje Windows dopisują tam także adres, z którego plik przyszedł, i adres strony, która do niego odsyłała.

Potocznie całość nazywa się Mark of the Web, w skrócie MOTW — „znak sieci”. Znacznik dokleja przeglądarka, klient poczty albo komunikator. Firefox, Chrome, Edge, Thunderbird czy Outlook robią to automatycznie. Robi to również dobrze zachowujący się menedżer pobierania i większość archiwizatorów przy rozpakowywaniu — na przykład 7-Zip przenosi znacznik z archiwum na wypakowane z niego pliki.

Co ten znacznik uruchamia

Sam w sobie znacznik niczego nie blokuje. Jest sygnałem, na który reagują inne mechanizmy — i to właśnie dlatego jest tak cenny.

• SmartScreen sprawdza reputację pliku, zanim pozwoli go uruchomić. Nieznany instalator zatrzymuje się na niebieskim ekranie z komunikatem „System Windows ochronił Twój komputer”.

• Widok chroniony w pakiecie Office otwiera dokument z internetu w trybie tylko do odczytu, z wyłączonymi makrami i bez połączeń zewnętrznych, dopóki sam nie klikniesz „Włącz edytowanie”.

• Blokada makr w plikach Office pochodzących z internetu działa właśnie na podstawie znacznika — i od czasu jej wprowadzenia praktycznie wyeliminowała całą kategorię ataków przez załączniki z makrami.

• Pole wyboru „Odblokuj” we właściwościach pliku pozwala świadomie zdjąć znacznik, gdy wiesz, co robisz.

• Zasady kontroli aplikacji w środowiskach firmowych potrafią traktować pliki ze znacznikiem inaczej niż te utworzone lokalnie.

Dlaczego to ulubiony cel atakujących

Zauważ, że cała powyższa lista opiera się na jednej informacji: „ten plik przyszedł z zewnątrz”. Usuń ją, a wszystkie zabezpieczenia zbudowane na niej milkną jednocześnie. Makra uruchomią się bez pytania, Widok chroniony się nie włączy, SmartScreen nie zapyta o zdanie.

Dla napastnika to wyjątkowo ekonomiczny cel. Nie musi łamać zabezpieczenia — wystarczy, że sprawi, by nigdy się nie włączyło. Dlatego obejścia MOTW pojawiają się regularnie od lat i dlatego każde z nich traktuje się poważnie, nawet jeśli formalna ocena nie jest „krytyczna”.

Dla porządku: nie opisujemy tu, jak takie obejście działa technicznie ani jak zdjąć znacznik z pliku. To nie jest wiedza, która komukolwiek pomaga się bronić.

Co to oznacza dla Ciebie w praktyce

Najprościej: przez jakiś czas brak ostrzeżenia nie znaczył, że plik jest bezpieczny. Ostrzeżenia, na które przywykliśmy polegać, w konkretnych warunkach mogły się nie pojawić.

Po zainstalowaniu październikowej aktualizacji ten konkretny sposób obejścia przestaje działać. To jest cały powód, dla którego warto ją zainstalować od razu, a nie odłożyć na weekend — niezależnie od tego, jak ostrożnie korzystasz z komputera.

Jak sprawdzić znacznik na pobranym pliku

Możesz to zrobić w kilka sekund, bez żadnego dodatkowego programu:

• Kliknij pobrany plik prawym przyciskiem myszy i wybierz Właściwości.

• Na dole karty Ogólne poszukaj komunikatu o tym, że plik pochodzi z innego komputera, oraz pola wyboru Odblokuj.

• Jeśli pole tam jest — znacznik działa i system traktuje plik jako przybysza z zewnątrz. Tak powinno być.

A jeśli pola nie ma? To samo w sobie nie jest dowodem ataku. Znacznika nie będzie, gdy plik powstał na Twoim komputerze, przyszedł z dysku sieciowego, z pendrive’a sformatowanego w systemie plików FAT32 lub exFAT (te nie obsługują alternatywnych strumieni danych), albo gdy pobrałeś go narzędziem, które znacznika nie dokleja. Część klientów BitTorrent, w tym qBittorrent, domyślnie go nie dodaje, bo pliki trafiają na dysk ze zdecentralizowanej sieci, a nie z adresu HTTP.

Wniosek jest więc odwrotny do intuicyjnego: brak pola „Odblokuj” oznacza, że akurat na tym pliku nie zadziałają żadne z opisanych wyżej zabezpieczeń. Taki plik wymaga większej, a nie mniejszej ostrożności.

Czego SmartScreen nie robi

Warto rozbroić jedno złudzenie. SmartScreen to mechanizm reputacyjny, nie skaner antywirusowy. Sprawdza, czy dany plik i jego podpis cyfrowy są mu znane i czy mają historię bezpiecznych pobrań.

Z tego wynikają dwa ograniczenia. Po pierwsze, świeżo skompilowany złośliwy plik, którego nikt wcześniej nie widział, nie ma żadnej reputacji — SmartScreen pokaże ostrzeżenie o nieznanym wydawcy, ale nie zablokuje pliku twardo. Po drugie, Microsoft wprost zaznacza w dokumentacji, że SmartScreen nie chroni przed plikami z lokalizacji wewnętrznych i udziałów sieciowych.

Dlatego prawdziwą obroną pozostaje źródło pobrania. Instalator wzięty ze strony producenta albo ze sprawdzonego katalogu jest bezpieczny nie dlatego, że przeszedł przez SmartScreen, tylko dlatego, że nikt go po drodze nie podmienił. Porównanie sumy kontrolnej SHA-256 kosztuje chwilę i rozstrzyga sprawę ostatecznie.

Jeżeli masz podejrzenie, że coś już się na komputerze zadomowiło, skan drugą opinią ma sens — Malwarebytes dobrze znajduje adware i niechciane programy przepuszczone przez podstawową ochronę, a AdwCleaner sprząta po porywaczach przeglądarki.

Dwie pozostałe luki warte uwagi

CVE-2026-108398 to obejście zabezpieczenia w platformie .NET Framework, również z oceną CVSS 8.8. Pozwala obejść mechanizm Windows Defender Application Control, czyli zasady określające, jakiemu kodowi wolno się uruchomić. Luka została upubliczniona, zanim powstała łatka, choć Microsoft ocenia jej wykorzystanie jako mało prawdopodobne. Dotyczy przede wszystkim firm stosujących kontrolę aplikacji.

CVE-2026-92707 to z kolei błąd typu odmowa usługi w bibliotece MessagePack-CSharp, używanej między innymi w Visual Studio i w SignalR. Niewielka porcja zagnieżdżonych danych potrafi wymusić ogromne przydziały pamięci i zatrzymać proces. Też była znana publicznie przed poprawką. Jeśli piszesz kod w Visual Studio Code lub utrzymujesz aplikację na .NET, zaktualizuj zależności, a nie tylko system.

Tego samego dnia skończyło się wsparcie kilku produktów

13 października to była także data graniczna dla kilku wersji oprogramowania. Wtorkowa aktualizacja była dla nich ostatnią.

Wersji systemu nie musisz zgadywać. Naciśnij klawisz Windows razem z literą R, wpisz winver i naciśnij Enter — w okienku zobaczysz numer wersji. Jeśli widnieje tam 24H2 i masz edycję Home albo Pro, Twój komputer od wtorku nie dostaje już poprawek bezpieczeństwa.

Microsoft kieruje użytkowników domowych do wersji 26H2, udostępnianej od września 2026 roku jako pakiet aktywacyjny. Aktualizacja rozchodzi się falami i na większości gotowych komputerów pobierze się sama, kończąc się jednym ponownym uruchomieniem. Można ją przyspieszyć, włączając w ustawieniach Windows Update opcję otrzymywania najnowszych aktualizacji, gdy tylko będą dostępne. Daty potwierdza tabela cyklu życia Windows 11, a dla pakietu biurowego — osobna strona dla Office LTSC 2021.

Jeżeli żegnasz się ze starym pakietem biurowym i nie chcesz przechodzić na abonament, darmową alternatywą pozostaje LibreOffice, a do samego czytania dokumentów PDF wystarczy lekki Sumatra PDF.

A co z Windows 10 w Polsce?

Program bezpłatnych rozszerzonych aktualizacji bezpieczeństwa dla użytkowników domowych, czyli consumer ESU, został przedłużony o drugi rok i według zapisu Microsoftu trwa do 12 października 2027 roku. Zapisać się można w dowolnym momencie przed tą datą.

Co możemy potwierdzić dla Polski: Polska należy do Europejskiego Obszaru Gospodarczego, a to w tym obszarze Microsoft — po interwencji organizacji konsumenckich — uprościł warunki. W EOG do bezpłatnego udziału wystarczy zalogowanie się kontem Microsoft; nie trzeba włączać kopii zapasowej ustawień w OneDrive ani zbierać punktów Microsoft Rewards, co jest wymagane w pozostałych regionach jako jedna z dwóch bezpłatnych ścieżek.

Czego nie potwierdzimy: Microsoft nie publikuje listy krajów z nazwami, więc opieramy się na definicji EOG i na doniesieniach o ustaleniach z organizacjami konsumenckimi. Warunek pozostawania zalogowanym kontem Microsoft obowiązuje przez cały czas trwania programu — dłuższa przerwa w logowaniu przerywa dostarczanie aktualizacji do czasu ponownego zalogowania.

Program wymaga Windows 10 w wersji 22H2 z aktualnymi poprawkami i dotyczy wyłącznie urządzeń prywatnych. Komputery w domenie firmowej lub zarządzane centralnie nie kwalifikują się.

Skąd nagle tyle poprawek?

Pytanie jest uzasadnione: w październiku Microsoft załatał więcej luk niż przez cały 2025 rok, a licznik za 2026 przekroczył już cztery tysiące.

Najczęściej powtarzane wyjaśnienie wskazuje na sztuczną inteligencję wykorzystywaną do wyszukiwania błędów. Dustin Childs z Zero Day Initiative formułuje to precyzyjnie: AI nie tworzy nowych luk, tylko skraca czas między powstaniem błędu a jego znalezieniem. Te same podatności istniałyby w kodzie tak czy inaczej — po prostu leżałyby nieodkryte dłużej. SecurityWeek również przypisuje wzrost głównie automatycznemu wykrywaniu, przywołując własne programy Microsoftu i innych dostawców.

Ciekawostka potwierdzająca ten trend: wśród podmiotów, którym przypisano zgłoszenie CVE-2026-96951, wymieniane są firmy Fujitsu i Anthropic oraz niezależny badacz.

Stąd wniosek, który łatwo przeoczyć w nagłówkach: większa liczba nie oznacza automatycznie gorszego miesiąca. Oznacza, że więcej błędów zostało znalezionych i naprawionych, zanim ktoś zdążył je wykorzystać. Miesiąc z pięcioma lukami wykorzystywanymi w atakach jest gorszy niż miesiąc z tysiącem czterystoma poprawkami i jedną taką luką. Sam Microsoft zaczął zresztą grupować podatności w „kohorty ryzyka”, żeby administratorzy mieli od czego zacząć ustalanie priorytetów.

Co zrobić w tym tygodniu

• Zainstaluj aktualizację. Ustawienia, Windows Update, Sprawdź dostępność aktualizacji, a następnie uruchom komputer ponownie. Bez restartu łatka nie zaczyna działać.

• Sprawdź wersję systemu poleceniem winver. Jeśli to 24H2 w edycji Home lub Pro, zaplanuj przejście na 26H2.

• Zaktualizuj przeglądarkę i klienta poczty — to one doklejają znacznik MOTW. Pomoże Firefox i Thunderbird w bieżących wydaniach.

• Przejrzyj folder Pobrane i usuń to, czego nie zamierzasz użyć. Mniej plików to mniej okazji do pomyłkowego kliknięcia.

• Przy nowym instalatorze porównaj sumę SHA-256 z podaną przez producenta. W Windows wystarczy polecenie certutil, a wygodny podgląd właściwości plików daje Microsoft PowerToys.

• Jeśli używasz Windows 10, sprawdź w Windows Update, czy jesteś zapisany do programu ESU.

• Wykonaj kopię zapasową przed większą aktualizacją systemu. Nośnik ratunkowy przygotujesz programem Rufus.

Najczęstsze pytania

Czy muszę coś zrobić, jeśli mam włączone automatyczne aktualizacje?

Zwykle nie, ale warto sprawdzić ręcznie i upewnić się, że komputer został ponownie uruchomiony. Automatyczne aktualizacje potrafią czekać kilka dni na dogodny moment, a przy aktywnie wykorzystywanej luce te dni mają znaczenie.

Czy mogę rozpoznać plik, który obszedł Mark of the Web?

Nie w sposób pewny — i na tym polega problem. Dlatego zamiast szukać oznak po fakcie, lepiej ograniczyć sytuacje, w których otwierasz pliki z nieoczekiwanych wiadomości, i pobierać programy ze strony producenta albo z katalogu, który podaje sumy kontrolne.

Czy mogę sam usunąć znacznik z pliku, który na pewno znam?

Tak, służy do tego pole wyboru „Odblokuj” we właściwościach pliku. Rób to jednak świadomie i tylko wtedy, gdy znasz źródło pliku — zdejmujesz w ten sposób kilka zabezpieczeń naraz.

Czy Windows 11 w wersji 24H2 przestanie działać?

Nie, system będzie działał normalnie. Nie będzie natomiast dostawał poprawek bezpieczeństwa, więc każda kolejna luka znaleziona w listopadzie i później pozostanie na takim komputerze otwarta. Przejście na wersję 26H2 jest bezpłatne.

Czy przy ponad 1400 lukach warto w ogóle czytać o każdej z osobna?

Nie. Dla użytkownika domowego sensowna strategia to instalować pakiet w całości i zwracać uwagę tylko na podatności opisane jako wykorzystywane w atakach. W październiku 2026 taka jest jedna — i to właśnie o niej jest ten tekst. Jeśli dopiero porządkujesz komputer po aktualizacji, przyda się nasze zestawienie darmowych programów na Windows 11, a do szybkiego przeglądania zdjęć i zrzutów ekranu — niezmiennie lekki IrfanView.