Újabb rekord: több mint 1400 hibát javított a Microsoft – egy Windows-hibát már támadnak

Mi történt az októberi Patch Tuesday-ben?

Minden hónap második keddjén – angolul Patch Tuesday, magyarul gyakran „frissítőkedd” – a Microsoft egyszerre adja ki az adott hónapra összegyűjtött biztonsági javításait. Idén októberben ez a rutinesemény történelmi méretet kapott: a javított sérülékenységek száma átlépte az 1400-at, és a Microsoft eddigi legnagyobb csomagja lett. A hibák 301 terméket és komponenst érintenek.

A Tenable elemzése szerint a megoszlás a következő: 69 kritikus, 1337 fontos, egy alacsony besorolású hiba. Típus szerint a legnagyobb csoport a jogosultság-kiterjesztés (a hibák közel 48 százaléka), ezt követi a távoli kódfuttatás (22 százalék). A legtöbb javítást a Microsoft Excel (69 hiba) és a DNS-kiszolgáló szerepkör (52 hiba) kapta.

Otthoni felhasználóként ebből a számhalmazból egyetlen dolog tényleg sürgős: a három zero-day közül az egyiket már támadják. Erről mindjárt részletesen is szó lesz, a lényeg viszont elöl: érdemes még ma lefuttatni a Windows Update-et.

Miért nem ugyanazt a számot látod mindenhol?

Ha több helyen is utánanézel, legalább háromféle számmal fogsz találkozni: 1407, 1411 és 1413. Egyik sem téves – a különbség a számlálás módszeréből adódik, és érdemes tudni, mi van mögötte.

• A Tenable 1407 CVE-t számol, a Microsoft saját, aznapi advisory-listája alapján.

• A BleepingComputer 1411-et ír, és külön jelzi, hogy ebbe nem számolja bele azt a 348 hibát, amelyet a Microsoft október folyamán, a Patch Tuesday előtt javított.

• A SecurityWeek 1413-at közöl, és termékenként is bontja: 1102 Windows, 134 Office, 61 fejlesztői eszköz, 36 SharePoint Server.

A gyakorlati következtetés ugyanaz mindhárom számból: ez a csomag önmagában nagyobb, mint a Microsoft teljes 2025-ös éve, és 2026-ban a cég már négyezer fölötti sérülékenységet javított.

A három zero-day: melyik mennyire sürgős?

A zero-day (nulladik napi) hiba olyan sérülékenységet jelent, amelyről a javítás megjelenése előtt már nyilvánosan tudni lehetett, vagy amelyet a támadók már a folt kiadása előtt kihasználtak. Az októberi csomag hármat javít, de csak az egyik igényel azonnali reakciót.

CVE-2026-96951: a Windows Shell hibája, amit már támadnak

Otthoni gépen ez a hónap egyetlen igazán sürgős tétele. Egy Windows Shell biztonsági funkciót megkerülő hiba, CVSS-pontszáma 8,8, és a Microsoft megerősítette, hogy a támadók már a javítás előtt kihasználták.

A működése egyszerű, és épp ezért kellemetlen. A támadó készít egy fájlt, amely kihasználja a hibát, majd eljuttatja hozzád: e-mailben, csevegőprogramban, Teamsen vagy Slacken, esetleg ráveszi, hogy töltsd le egy weboldalról. Ha megnyitod, a Windows kihagyja azt a védelmet, amelyet normál esetben az internetről származó fájlokra alkalmaz. Felhasználói beavatkozás tehát kell hozzá – a fájlt meg kell nyitnod –, de semmi egzotikus nem szükséges.

Két dolog teszi súlyosabbá. Az egyik, hogy a CISA, az amerikai kiberbiztonsági hatóság már október 13-án felvette a hibát az aktívan kihasznált sérülékenységek listájára, és október 16-i határidőt adott a szövetségi szerveknek a javításra. A másik, hogy a Tenable szerint ez már a harmadik Windows Shell-hiba 2026-ban, amelyet élesben kihasználtak: megelőzte a februári CVE-2026-21510, majd az áprilisi CVE-2026-32202. Az elsőt az Akamai elemzése kötötte az APT28 néven ismert támadói csoporthoz, a másodikat pedig ugyanennek a hibának a hiányos javítása szülte. Arról egyelőre nincs megerősített információ, hogy a mostani hiba is ugyanennek a sornak a folytatása-e.

A hibát három oldalról, egymástól függetlenül jelentették a Microsoftnak: a Fujitsu kutatói, az Anthropic, valamint egy független szakértő.

Apró, de a számok értelmezésénél hasznos részlet: a Tenable összesítése csak két zero-dayt sorol fel, mert a harmadik nem a Microsoft saját kódjában, hanem egy külső komponensben van. A BleepingComputer, a SecurityWeek és a Zero Day Initiative hármat számol.

CVE-2026-108398: megkerülhető alkalmazásvédelem

Ez a hiba a .NET Framework biztonsági funkcióját kerüli meg, és a javítás előtt nyilvánosságra került. Egy bejelentkezett támadó egy erre a célra készített .NET-szerelvényt (assembly) helyezhet a gépre, és ezzel kijátszhatja a Windows Defender Application Controlt, vagyis azt a védelmet, amely eldönti, milyen program futhat egyáltalán. Felhasználói beavatkozás nem kell hozzá.

A hibát James Forshaw, a Google Project Zero kutatója találta meg. A Microsoft értékelése szerint a kihasználása nem valószínű, és mivel bejelentkezett hozzáférést igényel, otthoni gépen ez a három közül a legkisebb gond. Vállalati környezetben, ahol az alkalmazásvezérlés komoly védelmi réteg, már érdemesebb figyelni rá.

CVE-2026-92707: szolgáltatásmegtagadás a MessagePack-CSharpban

A harmadik zero-day a MessagePack-CSharp nevű adatsorosító könyvtárat érinti, és szolgáltatásmegtagadást tesz lehetővé: egy hálózati támadó képes megakasztani az érintett szolgáltatást. Ez is nyilvánosságra került a javítás előtt, a kihasználhatóságát a Microsoft még nem értékelte. Ez a tétel elsősorban fejlesztőket és üzemeltetőket érint, nem a hétköznapi Windows-használót.

Mi az a Mark of the Web, és miért érdekel ez téged?

Érdemes külön kiemelni, mert a hónap aktívan támadott hibája pontosan ezt a védelmet kapcsolja ki – és ez az a mechanizmus, amellyel minden letöltés után találkozol.

Amikor a böngésződ letölt egy fájlt az internetről, a Windows egy apró megjelölést fűz hozzá: ez a Mark of the Web (röviden MotW), magyarul a webes eredet jelzése. Nem a fájl tartalmáról mond semmit, csak annyit rögzít, hogy a fájl nem a saját gépedről származik. Ebből a jelzésből nő ki három védelmi lépés:

• Figyelmeztetés megnyitás előtt. A Windows rákérdez, biztosan meg akarod-e nyitni a fájlt, mert ismeretlen helyről jött.

• Védett nézet. A Word, az Excel és a PowerPoint az ilyen dokumentumot csak olvasható módban, makrók futtatása nélkül nyitja meg.

• Blokkolás. A kockázatosabb fájltípusokat a rendszer egyáltalán nem engedi elindulni.

Ez a három dolog a gyakorlatban rengeteg kártevőt megállít – pontosan ezért érdemes a támadónak megkerülnie. Ha egy hiba leszedi a fájlról a webes eredet jelzését, akkor a csatolmány vagy a letöltött telepítő úgy indul el, mintha mindig is a saját gépeden lett volna.

Két gyakorlati tanács ebből. Az egyik: a letöltött fájl tulajdonságainál (jobb gombos kattintás, „Tulajdonságok”) néha látsz egy Blokkolás feloldása jelölőnégyzetet – ezt ne pipáld be reflexből, csak akkor, ha tényleg tudod, honnan jött a fájl. A másik: a megjelölés csak akkor segít, ha eleve hivatalos forrásból töltesz le. Arról, hogyan ismerhetők fel a megtévesztő letöltőoldalak, külön cikkben írtunk: hamis letöltőoldalak, amelyek valódi linket mutatnak, aztán máshová visznek.

Hogyan jutottunk 206-ról 1400 fölé néhány hónap alatt?

Ez a szám nem a semmiből jött. Érdemes egymás alá tenni az idei hónapokat, mert a tendencia beszédesebb, mint bármelyik egyedi adat:

• 2026. június: 206 javított hiba – akkor ez volt a rekord.

• 2026. július: 622 hiba a teljes CVE-listát nézve. Erről akkor külön cikkben írtunk.

• 2026. augusztus: 421 hiba.

• 2026. szeptember: 964 hiba, köztük 104 kritikus – ez ismét rekord volt.

• 2026. október: 1400 fölött.

A havi számok különböző elemzők összesítéseiből származnak, ezért inkább a nagyságrendet mutatják, mint a tizedesre pontos összehasonlítást; a rekordokat viszont minden összesítés egyformán jelzi.

A magyarázatot maga a Microsoft adta meg: a mesterséges intelligenciával végzett hibakeresés. A cég nyári közlése szerint a sérülékenységek felfedezésének tempóját megváltoztatja az AI fejlődése, és ahogy Pavan Davuluri, a Windows vezetője fogalmazott: ahogy az AI segít a védőknek több hibát megtalálni, úgy a felhasználók is több biztonsági frissítést fognak látni. A Microsoft automatizált, AI-alapú eszközökkel fésüli át a saját kódbázisát, és ezek jóval több hibát találnak meg, mint a hagyományos módszerek.

Egy dolgot viszont érdemes pontosan érteni: a Microsoft arányt nem közölt. Nincs olyan nyilvános bontás, amely megmondaná, a javított hibák mekkora része származik AI-alapú keresésből, így a konkrét számokra vonatkozó becslések már az elemzők értelmezései.

A fejlemény kétélű. Jó hír, hogy a hibák nagy részét házon belül találják meg és csendben javítják, mielőtt bárki kihasználhatná. Ugyanakkor a kis Patch Tuesday-ek kora láthatóan lejárt, és ahogy az AI-alapú hibakeresés a támadói oldalon is terjed, a frissítések azonnali telepítése értékesebb lesz, mint valaha.

Melyik frissítést kell telepítened?

A CVE-számokkal a legtöbb felhasználónak nem kell foglalkoznia – elég tudni, melyik csomag tartozik a saját rendszeréhez:

• Windows 11: a KB5127648 jelű kumulatív frissítés, amely a 26H2, a 25H2 és a 24H2 verzióra egyaránt települ. Az eredmény 26H2-n a 26300.9711-es, 25H2-n a 26200.9711-es, 24H2-n a 26100.9711-es build.

• Windows 10: a KB5126657 csomag, amely a 19045.7807-es, illetve a 19044.7807-es buildre hozza a rendszert. Fontos: a 22H2-es (19045-es) fogyasztói gépek ezt csak az ESU-programba beiratkozva kapják meg – a 19044-es build a hosszú támogatású LTSC-kiadásokat érinti, amelyek még rendes támogatás alatt állnak. Ha még Windows 10-et használsz, és nem vagy beiratkozva, az itt felsorolt javítások nem jutnak el hozzád.

• Windows 11 23H2 (vállalati kiadások): ezekre a KB5126653 csomag települ, 22621.7652-es buildre.

• Vállalati környezet: a frissítések a Microsoft Update Catalogból és WSUS-on keresztül is elérhetők.

A Windows 10-es ESU-beiratkozás Magyarországon ingyenes, és 2027 októberéig ad biztonsági frissítéseket. A feltételeket és a lépéseket itt szedtük össze: a Windows 10 nem halt meg: 2027 októberéig kapsz hozzá biztonsági frissítést.

Így telepítsd a frissítést lépésről lépésre

1. Nyisd meg a Gépházat (Beállítások) a Start menüből, vagy a Windows + I kombinációval.

2. Windows 11-en válaszd a bal oldali menü alján a Windows Update pontot; Windows 10-en a Frissítés és biztonság, majd a Windows Update utat.

3. Kattints a Frissítések keresése gombra, és várd meg a letöltést.

4. A telepítés végén indítsd újra a gépet. A javítások jelentős része csak újraindítás után lép életbe.

5. Ellenőrzésként nyisd meg a Frissítési előzmények oldalt: ha ott szerepel a KB5127648 (vagy Windows 10-en a KB5126657) „Sikeresen telepítve” állapottal, készen vagy.

Kinek jár le most a támogatása?

Az októberi csomag néhány rendszernek az utolsó. Ezt érdemes egyszer megnézni, mert innentől a frissítések egyszerűen nem jönnek többé:

• Windows 11 24H2 (Home és Pro): ez volt az utolsó frissítés. Aki ezen a verzión van, annak a 25H2-re vagy a 26H2-re kell lépnie. A részletekről és arról, hogyan nézd meg a saját verziószámodat, külön cikkünk szól, a 26H2-ről pedig itt írtunk.

• Office 2021 és Office LTSC 2021: ezek támogatása is október 13-án járt le, a magánszemélyeknek szánt Office 2021-é is. Innentől nincs hozzájuk technikai támogatás, hibajavítás és biztonsági frissítés. A Microsoft a Microsoft 365-ös alkalmazásokra, vállalati gépen pedig az Office LTSC 2024-re való átállást ajánlja. Ha otthon Office 2021-et használsz, ez legalább annyira érint, mint a Windows-oldali határidők.

• Windows 10 Enterprise LTSB 2016: szintén megkapta az utolsó frissítését, és ugyanezen a napon zárult le a Windows Server 2012 és 2012 R2 kiterjesztett támogatása (ESU) is.

• Windows 11 23H2 (Enterprise, Education, IoT Enterprise): ezeknél a következő hónapban áll le a biztonsági frissítés.

Ha a géped Windows 10-en van, és még nem döntötted el, merre tovább, a négy reális lehetőséget végigvettük itt: vége a Windows 10 támogatásának – mit tegyél?

Újdonság: mik azok a kockázati kohorszok?

Az októberi kiadáshoz a Microsoft bevezetett egy kísérleti fogalmat, amely a hatalmas hibaszámra adott válasz. A kockázati kohorsz (risk cohort) olyan CVE-k csoportja, amelyek ugyanazt a kérdést vetik fel a felhasználó környezetével kapcsolatban – nem feltétlenül közös a kiváltó hibájuk vagy a pontszámuk. A cél, hogy ezer hiba helyett néhány csoportot kelljen végiggondolni, és ne a CVE-k átolvasásával induljon a rangsorolás.

A Microsoft októberre 15 ilyen csoportot tett közzé példaként, és több megszorítást is kimondott: ezek nem hivatalos Microsoft-sérülékenységkategóriák, nem váltják le a CVE-szintű értékelést, és a cég nem vállalta, hogy minden hónapban közzéteszi őket. Azt is hangsúlyozza, hogy ez csak kiindulópont, nem végső döntés: az aktív kihasználást, a súlyosságot és a támadási vektort továbbra is érdemes egyedileg megnézni. Otthoni felhasználóként ebből semmit nem kell tenned – ez a rendszergazdáknak szánt könnyítés.

Gyakori kérdések

Mennyire sürgős ez a frissítés?

Sürgős. A csomag egy olyan hibát javít, amelyet a támadók már élesben kihasználnak, és amelyet a CISA is felvett az aktívan támadott sérülékenységek listájára. A javítások megjelenése után a támadók jellemzően napokon belül visszafejtik a foltokat, és tömegesen keresik a frissítetlen gépeket.

Veszélyes-e egy ekkora frissítés? Elronthatja a gépemet?

A kumulatív frissítések ritkán okoznak kompatibilitási gondot, és a hibaszám nagysága ezt nem növeli: a csomag mérete nem a Windowson végzett átalakítás mértékét jelzi, hanem a javított hibák számát. Ha mégis probléma lép fel, a frissítés a Gépház, Windows Update, Frissítési előzmények útvonalon eltávolítható. Az aktívan támadott hiba miatt a mérleg egyértelmű: a halasztás kockázata nagyobb.

Honnan tudom, hogy telepítve van?

A Gépház, Windows Update, Frissítési előzmények oldalon látod a telepített csomagokat. Ellenőrizheted a buildszámot is: nyomd le a Windows + R kombinációt, írd be a winver szót, és hasonlítsd össze a fenti buildekkel.

Windows 10-et használok. Megkapom ezt a javítást?

Csak akkor, ha beiratkoztál az ESU-programba. Magyarországon ez ingyenes, Microsoft-fiókos bejelentkezéssel, és 2027. október 12-ig ad biztonsági frissítéseket. Beiratkozás nélkül a géped ezekből a javításokból kimarad.

Mit jelent az, hogy egy hibát „aktívan kihasználnak”?

Azt, hogy a hibára már létezik működő támadás, és azt valódi áldozatok ellen használják – nem csupán elméleti lehetőségről van szó. Ez a legnyomósabb érv az azonnali frissítés mellett.

Elég a vírusirtó a frissítés helyett?

Nem. A vírusirtó a kártevők egy részét elkapja, de nem foltozza be magának az operációs rendszernek a hibáit. A kettő egymást kiegészíti; ha pedig ingyenes megoldást keresel, összehasonlítottuk a legjobbakat.

Miért javít a Microsoft hónapról hónapra ennyi hibát?

A Microsoft hivatalos magyarázata az AI-alapú, automatizált hibakeresés, amely jóval több sérülékenységet talál meg, mint a korábbi módszerek. Pontos arányt a cég nem közölt. A gyakorlati következtetés viszont világos: a havi frissítések tartósan nagyobbak lesznek, és a naprakészen tartás még fontosabbá válik.

A böngészőmet is frissítenem kell?

Igen, és ez független a Windows-frissítéstől. Ugyanebben a körben a Chrome és a Firefox együtt több mint száz hibát javított. Mindkettő automatikusan frissül, de a „Névjegy” oldal megnyitásával kikényszerítheted az ellenőrzést.

Források: a Microsoft Security Update Guide hivatalos közleményei és a Microsoft támogatási oldalai (KB5127648, KB5126657), valamint a Tenable, a BleepingComputer, a SecurityWeek és a Zero Day Initiative elemzései (2026. október 13–14.), az APT28-kapcsolatnál pedig az Akamai kutatása. Az eltérő összesítéseket a cikkben jelezzük; a tényeket több, egymástól független forrás alapján állítottuk össze.