Januar donosi ažuriranje utorka veće od kasnog iz Redmonda, ali se u ovo doba godine često očekuje porast u otkrivanju podataka
By
- Alex Scroxton,Security Editor
Objavljeno: 13 Jan 2026 21:32
Microsoft je pokrenuo ispravke za 112 uobičajenih ranjivosti i izloženosti (CVEs) u prvoj zakrpi u utorak 2026., među njima i niz nedostataka nultog dana koji su bili ili javno otkriveni ili aktivno iskorištavani prije zakrpe, i ne manje od osam kritičnih grešaka.
Iako je ovo naglo povećanje u odnosu na nedavne zakrpe utorkom – u decembru 2025. Microsoft je zakrpio samo 56 nedostataka – važno je napomenuti da je praznična sezona često mirnije vrijeme za zakrpe, ponekad po dizajnu, a januar često donosi porast u otkrivanju podataka. Ipak, primijetio je Jack Bicer, direktor istraživanja ranjivosti u firmi za upravljanje zakrpama Action1, obim popravki u posljednjem ažuriranju naglašava “rastući pritisak” na sigurnosne timove.
„Ovo je u suprotnosti sa širim trendom: 2025. godine prijavljene ranjivosti su porasle za 12% u odnosu na 2024., nastavljajući uzlaznu putanju otkrivenih sigurnosnih nedostataka“, rekao je Bicer.
Najvažniji među ovim nedostacima je CVE-2026-20805, ranjivost u otkrivanju informacija u Desktop Window Manageru, koju su otkrili Microsoft-ovi vlastiti centri za obavještavanje o prijetnjama i sigurnosne reakcije.
Iako ima relativno nisku ocjenu Common Vulnerability Scoring System (CVSS) od samo 5,5, aktivna eksploatacija CVE-2026-20805 je uočena u divljini, navodi Microsoft.
„Manja propušta memorijsku adresu sa udaljenog ALPC-a [Asynchronous Local Procedure Call] luka. Ova vrsta ranjivosti otkrivanja informacija se često koristi da bi se poništila randomizacija rasporeda adresnog prostora [ASLR] – sigurnosna karakteristika u modernim operativnim sistemima dizajnirana za zaštitu od prekoračenja bafera i drugih eksploatacija koje se oslanjaju na manipuliranje memorijom pokrenute aplikacije,” rekao je Immersive viši direktor istraživanja sajber prijetnji, Kev Breen.
“Kada saznaju gdje se kod nalazi u memoriji, mogu ga povezati zasebnom greškom u izvršavanju koda kako bi teško eksploataciju pretvorili u pouzdanu. Microsoft ne daje nikakve informacije o tome koje druge komponente taj lanac može uključivati – što otežava braniteljima da traže prijetnje u potrazi za potencijalnim pokušajima eksploatacije, što znači da je brzo zakrpanje za sada jedino ublažavanje.”
Potpredsjednik Ivantija za upravljanje sigurnosnim proizvodima, Chris Goettl, složio se s ovom ocjenom: „Ranjivost utiče na sve trenutno podržane i proširene verzije Windows OS-a koje podržavaju sigurnosna ažuriranja, [so] metodologija određivanja prioriteta zasnovana na riziku opravdava tretiranje ove ranjivosti kao veće ozbiljnosti od dodijeljene ocjene dobavljača ili CVSS rezultata.”
Sljedeća je greška zaobilaženja sigurnosnih funkcija (SFB) u isteku certifikata za sigurno pokretanje, praćena kao CVE-2026-21265. Takođe ima relativno nizak CVSS rezultat i Microsoft ga ocenjuje samo kao Važan. Međutim, rekao je Goettl, to je javno objavljeno i sigurnosni timovi bi bilo mudro da to ispitaju.
“Popravka pruža upozorenje u vezi sa certifikatima koji će isteći 2026. godine i detalje o radnjama koje su potrebne za obnavljanje certifikata prije njihovog isteka uz ažuriranje”, rekao je. “Preporučuje se da počnete istraživati koje radnje vaša organizacija treba poduzeti kako bi spriječila potencijalnu upotrebljivost i sigurnost nakon isteka certifikata.”
Preostale stavke na listi nultog dana – ponovo obe javno objavljene, ali za koje se ne zna da su eksploatisane, datiraju od tri, odnosno četiri godine. I jedno i drugo je nedostatak privilegija (EoP) koji utiče na drajvere mekog modema koji se isporučuju sa podržanim Windows operativnim sistemima.
Stariji od ova dva, CVE-2023-31096, nalazi se u Agere Soft Modem Driver-u, a noviji, CVE-2024-55414 u Windows Motorola Soft Driver-u za modem. Microsoftovo rešenje je da ukloni zahvaćene drajvere, agrsm64.sys i arsm.sys u prvoj instanci i smserl64.sys i smserial.sys u drugoj, kao deo januarskog kumulativnog ažuriranja.
To znači da će hardver mekog modema koji zavisi od njih sada prestati da radi na Windows-u. Microsoft je rekao da bi administratori trebali brzo djelovati kako bi uklonili sve postojeće ovisnosti o pogođenom hardveru.
Kritične greške
Kritički ocijenjeni nedostaci u patch zakrpi u utorak iz januara 2026. uključuju šest problema s daljinskim izvršavanjem koda (RCE) i dva EoP problema.
RCE nedostaci utiču na Microsoft Excel, Microsoft Office i uslugu podsistema lokalnog bezbednosnog autoriteta Windows (LSASS). Dodijeljene su im oznake CVE-2026-20854, CVE-2026-20944, CVE-2026-20952, CVE-2026-20953, CVE-2026-20955 i CVE-2026-20957.
EoP nedostaci su CVE-2026-20822, koji utiče na Windows grafičku komponentu, i CVE-2026-20876, koji utiče na Windows Virtualization-Based Security (VBS) Enklavu.
Mike Walters, predsjednik i suosnivač kompanije Action1, rekao je da je VBS mana vrijedna posebne pažnje jer “probija sigurnosnu granicu dizajniranu da zaštiti sam Windows, omogućavajući napadačima da se popnu na jedan od najpouzdanijih izvršnih slojeva sistema”.
Walters je upozorio na ozbiljan rizik za organizacije koje se oslanjaju na VBS kako bi zaštitile vjerodajnice i druge tajne, ili osjetljiva radna opterećenja, jer ako se uspješno iskoristi, napadač bi mogao zaobići sigurnosne kontrole, postići postojanost, izbjeći otkrivanje i pogoditi sisteme za koje sigurnosni timovi vjeruju da su jako izolovani.
“Iako eksploatacija zahtijeva visoke privilegije, utjecaj je ozbiljan jer kompromituje samu sigurnost zasnovanu na virtuelizaciji. Napadači koji već imaju uporište mogli bi iskoristiti ovu manu da poraze naprednu odbranu, čineći brzo zakrpe od suštinskog značaja za održavanje povjerenja u sigurnosne granice Windowsa”, rekao je. “Ako se zakrpa ne može odmah primijeniti, ograničite administrativni pristup, nametnite snažno upravljanje privilegijama i nadgledajte abnormalne aktivnosti koje uključuju VBS ili procese povezane s enklavama.”
Pročitajte više o zahtjevima za sigurnost aplikacije i kodiranje
-
SolarWinds RCE greška se nalazi na Cisa listi kako se eksploatacija širi
Autor: Alex Scroxton
-
Kratak pregled vijesti: Zakrpi kritične i ozbiljne ranjivosti sada
Autor: Izvještaj osoblja
-
Microsoft je zakrpio preko 1.100 CVE-a 2025
Autor: Alex Scroxton
-
Korisnici Microsofta upozorili su na propust u podizanju privilegija
Autor: Alex Scroxton