Ano ang nangyari
Sa Patch Tuesday noong Setyembre 8, 2026, inayos ng Microsoft ang 964 CVE, ang pinakamalaking release sa rekord, ayon sa Tenable. 104 ang critical at 860 ang important. Ang elevation of privilege ay 44.7% at ang remote code execution ay 26.8%.
Ang dalawang zero-day
- CVE-2026-81963 (Windows Update Stack): link-following flaw na nagpapataas ng pribilehiyo hanggang SYSTEM. CVSS 7.8. Una itong Update Stack EoP na inabuso bilang zero-day mula 2022.
- CVE-2026-85880 (Windows ALPC): pag-akyat sa SYSTEM, CVSS 7.8. Ikalawang ALPC zero-day mula CVE-2023-21674.
Parehong nangangailangan ng local access, pero ito mismo ang ikinakadena ng mga attacker pagkatapos ng phishing.
Iba pang uunahin
- CVE-2026-69730 (Windows DNS Server): RCE na walang authentication, CVSS 9.8.
- CVE-2026-69525 (Remote Desktop Services): use-after-free RCE, CVSS 9.8.
- CVE-2026-69676 (Kerberos): RCE, CVSS 8.8.
- CVE-2026-69380 (Exchange Server): maaaring ma-access ng authenticated user ang ibang mailbox; CVSS 8.1.
Ano ang gagawin
- I-apply ang cumulative updates ng Setyembre, simula sa mga computer ng user na nagba-browse sa internet.
- Unahin ang DNS servers, RDS hosts at domain controllers.
- I-automate ang patching at gamitin ang KEV ng CISA para sa pagkakasunod-sunod.