Apa yang berlaku
Pada Patch Tuesday 8 September 2026, Microsoft membaiki 964 CVE, keluaran terbesar dalam rekod, mengatasi Julai, menurut Tenable. 104 kritikal dan 860 penting. Peningkatan keistimewaan merangkumi 44.7% dan pelaksanaan kod jauh 26.8%.
Dua zero-day
- CVE-2026-81963 (Windows Update Stack): kelemahan link following yang membolehkan peningkatan ke SYSTEM. CVSS 7.8. EoP Update Stack pertama dieksploitasi sebagai zero-day sejak 2022.
- CVE-2026-85880 (Windows ALPC): peningkatan ke SYSTEM, CVSS 7.8. Zero-day ALPC kedua sejak CVE-2023-21674.
Kedua-duanya memerlukan akses tempatan, tetapi inilah jenis kelemahan yang dirangkai penyerang selepas pancingan data.
Kelemahan lain untuk diutamakan
- CVE-2026-69730 (Windows DNS Server): RCE tanpa pengesahan, CVSS 9.8.
- CVE-2026-69525 (Remote Desktop Services): RCE use-after-free, CVSS 9.8.
- CVE-2026-69676 (Kerberos): RCE, CVSS 8.8.
- CVE-2026-69380 (Exchange Server): pengguna disahkan boleh mengakses peti mel lain; CVSS 8.1.
Apa yang perlu dilakukan
- Pasang kemas kini kumulatif September, bermula dengan komputer pengguna yang melayari internet.
- Utamakan pelayan DNS, hos RDS dan pengawal domain.
- Automasikan tampalan dan gunakan katalog KEV CISA untuk menentukan susunan.