Aktualizace opravuje rekordních 1 411 chyb ve Windows najednou. Tři z nich už hackeři aktivně zneužívali proti vám

Microsoft vydal historicky největší bezpečnostní balík, a jedna z opravených chyb už útočníkům umožňovala obejít varování Windows.

Zdroj fotografie: PxHere

Patch Tuesday z 13. října 2026 přinesl opravy 1 411 zranitelností. Předchozí rekord drželo září s 966 chybami, říjen ho tak překonal o 445. V balíku se nacházejí také tři takzvané zero-day zranitelnosti, tedy chyby, pro které v době jejich odhalení ještě nebyla dostupná oprava. Jednu z nich útočníci podle Microsoftu aktivně zneužívali, zatímco další dvě byly veřejně známé ještě před vydáním záplaty. První z nich se přitom týká každého, kdo si někdy stáhl soubor z internetu a spoléhal na to, že ho Windows upozorní, pokud by mohl být nebezpečný.

Tři zero-day chyby: jedna aktivní, dvě veřejně známé

Nejprve je potřeba upřesnit, co se přesně stalo, protože rozdíl mezi jednotlivými chybami je důležitý.

Aktivně zneužívaná byla chyba CVE-2026-96951, která umožňuje obejít bezpečnostní mechanismus Mark of the Web ve Windows Shell. Mark of the Web označuje soubory stažené z internetu, aby Windows mohl při jejich otevření zobrazit bezpečnostní varování. Útočníci dokázali tuto ochranu obejít, takže škodlivý soubor mohl být otevřen bez obvyklého upozornění. Podle Rapid7 mohlo k útoku stačit, aby uživatel otevřel podvržený soubor nebo navštívil web pod kontrolou útočníka.

Další dvě zero-day chyby nebyly potvrzeny jako aktivně zneužívané, ale před vydáním opravy o nich už bylo veřejně známo:

• CVE-2026-108398 – chyba umožňující obejít bezpečnostní mechanismy v .NET Frameworku, konkrétně WDAC/App Control for Business. Útočník, který už měl přístup k počítači, mohl za určitých podmínek spouštět nepovolený kód.
• CVE-2026-92707 – chyba v knihovně MessagePack-CSharp, která mohla způsobit vzdálené shození zranitelné aplikace .NET, tedy útok typu odepření služby.

Pro běžné uživatele představuje největší bezprostřední riziko první z těchto chyb, protože souvisí se zabezpečením souborů stažených z internetu. Zbylé dvě mají význam zejména pro organizace a provozovatele aplikací postavených na .NET.

Proč najednou tak obrovské číslo

Číslo 1 411 vychází z počtu zranitelností zahrnutých do říjnového Patch Tuesday podle konkrétní metodiky. Jiné zdroje, například Rapid7, uvádějí 1 413 chyb, protože jednotlivé přehledy se mohou lišit v tom, které zranitelnosti započítávají přímo Microsoftu a které souvisejí s produkty třetích stran. Zdroje se však shodují, že jde o mimořádně vysoký počet oprav.

Rozdělení podle typu zranitelnosti je výmluvné. BleepingComputer uvádí 70 kritických chyb a následující počty podle kategorií:

Typ zranitelnosti	Počet
Zvýšení oprávnění (EoP)	677
Vzdálené spuštění kódu (RCE)	317
Únik informací	254
Odepření služby (DoS)	73
Obcházení bezpečnostních funkcí	40
Spoofing	28

Opravy se netýkají pouze Windows. Zasahují také Office, SharePoint, Outlook, .NET, PowerShell, DNS nebo OpenSSH pro Windows. Samostatně vyšly říjnové bezpečnostní aktualizace pro Excel 2016, SharePoint Server a Office Online Server.

Proč počet oprav tak výrazně narostl? Microsoft v dubnu 2026 veřejně popsal, že jeho bezpečnostní centrum MSRC využívá umělou inteligenci k rychlejšímu vyhledávání zranitelností. V říjnu pak MSRC představilo experiment s takzvanými risk cohorts, tedy seskupováním chyb podle společného rizikového profilu. Cílem je lépe určovat priority v situaci, kdy už nestačí posuzovat každou zranitelnost izolovaně. Nejde tedy nutně o jednu mimořádnou chybu v jediném modulu, ale o souhrn zranitelností napříč širokým portfoliem produktů Microsoftu.

Co hrozí, když aktualizaci nemáte

Bez říjnové záplaty zůstává zranitelný také mechanismus Mark of the Web. Škodlivý soubor, například falešná faktura nebo dokument stažený z podvodného webu, tak může obejít běžné bezpečnostní upozornění Windows. Uživatel ho pak může otevřít v domnění, že je bezpečný.

Říjnový balík podle uvedených informací obsahuje také pět zranitelností v Outlooku umožňujících vzdálené spuštění kódu přes podokno náhledu, a to bez nutnosti další interakce uživatele. Pokud se tato klasifikace potvrzuje u všech pěti chyb, jde zejména pro firemní prostředí o závažný důvod k rychlé instalaci aktualizací.

Aktualizace pro podporované verze Windows se distribuují automaticky prostřednictvím Windows Update. Ručně je lze vyhledat také v Microsoft Update Catalog. Podle uvedených informací se opravy týkají Windows 11 ve verzích 24H2, 25H2 a 26H2 i podporovaných verzí Windows 10, včetně zařízení zapojených do programu ESU a edice LTSC 2021.

Důležitý detail: 13. října 2026 zároveň končí podpora Windows 11 24H2 v edicích Home a Pro a bezplatná podpora Windows 10 Enterprise LTSB 2016. U zařízení, která přestanou dostávat bezpečnostní aktualizace, je proto nutné řešit také přechod na podporovanou verzi systému.

Jak moc se bát a co udělat hned

Říjnový Patch Tuesday není jen rekordní statistika. Kombinace jedné aktivně zneužívané zranitelnosti, několika chyb umožňujících vzdálené spuštění kódu a desítek kritických problémů je dostatečným důvodem neodkládat instalaci oprav. České bezpečnostní úřady sice k tomuto konkrétnímu vydání nemusely vydat samostatné upozornění, NÚKIB však dlouhodobě varuje před riziky spojenými s nepodporovanými a neaktualizovanými systémy.

Otevřete Nastavení → Windows Update → Vyhledat aktualizace a nainstalujte dostupné bezpečnostní opravy. Zabere to jen několik minut, zatímco zneužití některých zranitelností může mít mnohem závažnější následky.