Luka w Windows omija ostrzeżenia o plikach z internetu (CVE-2026-96951)

W październikowym zestawie poprawek (Patch Tuesday, 13 października) Microsoft załatał lukę CVE-2026-96951 w powłoce systemu Windows (Windows Shell). Luka pozwala ominąć mechanizm Mark of the Web - to właśnie on sprawia, że pliki pobrane z internetu albo z poczty otwierają się z ostrzeżeniem i w trybie ograniczonego zaufania. Microsoft oznaczył ją jako „wykryto wykorzystanie”, co znaczy, że była używana w atakach jeszcze przed wydaniem poprawki. Trafiła też od razu do katalogu aktywnie wykorzystywanych podatności amerykańskiej agencji CISA.

Co to jest Mark of the Web

Kiedy pobierasz plik z internetu albo zapisujesz załącznik z poczty, Windows oznacza go niewidoczną etykietą „pochodzi z sieci” (ang. Mark of the Web, w skrócie MOTW). To ta etykieta uruchamia dodatkowe zabezpieczenia:

• Widok chroniony w Office - żółty pasek „Włącz edytowanie”, który blokuje makra i aktywną zawartość do czasu, aż użytkownik świadomie na nie pozwoli,
• SmartScreen - ostrzeżenie przed uruchomieniem nieznanego lub niebezpiecznego programu,
• dodatkowe pytania przy otwieraniu plików pobranych z sieci.

Mark of the Web to jedna z ważniejszych barier przeciwko atakom przez załączniki i pobrane pliki. Luka CVE-2026-96951 pozwala atakującemu tak spreparować plik, że Windows nie traktuje go jako pochodzącego z sieci. W efekcie groźny dokument czy archiwum otwiera się bez żółtego paska i bez ostrzeżenia - tak, jakby pracownik sam utworzył go na swoim komputerze.

Kogo dotyczy

Każdego, kto korzysta z Windows. Typowy scenariusz ataku wygląda tak: ofiara dostaje e-mail lub wiadomość z załącznikiem albo linkiem do pliku, otwiera go - i zabezpieczenia, które normalnie by zareagowały, milczą. Według dostępnych analiz do zadziałania luki potrzebne jest działanie użytkownika (otwarcie pliku), a samo wyświetlenie go w okienku podglądu nie wystarcza. Nie zmienia to jednak tego, że jeden klik nieświadomego pracownika wystarczy.

Techniczne parametry: Microsoft ocenia lukę jako „ważną” (Important) w skali CVSS 3.1 na 8,8. Dokładny mechanizm nie został upubliczniony, co jest typowe dla luk już wykorzystywanych w atakach - producent nie podaje szczegółów, żeby nie ułatwiać kolejnych napastników.

Co zrobić

1. Nałóż październikowe aktualizacje zbiorcze na wszystkie stacje i serwery z Windows. Na pojedynczym komputerze: Ustawienia → Windows Update → Sprawdź aktualizacje. Poprawka jest częścią zbiorczej aktualizacji z 13 października, więc instaluje się wraz z pozostałymi łatkami.
2. Sprawdź, czy aktualizacje objęły wszystkie urządzenia - w firmie z centralnym zarządzaniem (WSUS, Intune, inne narzędzie) upewnij się, że dystrybucja się powiodła i że nie ma komputerów, które „wypadły” z zarządzania: maszyny magazynowe, rzadko używane laptopy, stanowiska produkcyjne.
3. Zajmij się Windows 10. Wsparcie standardowe Windows 10 już się zakończyło i ta poprawka trafia tylko do komputerów objętych płatnym programem przedłużonych aktualizacji (ESU). Jeśli masz jeszcze stacje na Windows 10 bez ESU, od teraz mają znaną, niezałataną lukę - zaplanuj migrację na Windows 11 albo wykup ESU jako rozwiązanie przejściowe.
4. Przypomnij zespołowi o zasadzie ograniczonego zaufania. Skoro ostrzeżenie systemu może nie zadziałać, tym ważniejsze jest, by pracownicy nie otwierali niespodziewanych załączników i weryfikowali nadawcę inną drogą. To dobry moment na krótkie przypomnienie lub symulację phishingu.

Dlaczego warto zareagować teraz

To nie jest luka, którą można odłożyć „na najbliższy przegląd”. Jest już wykorzystywana w atakach, a działa dokładnie tam, gdzie firmy są najbardziej narażone: w poczcie i w plikach od obcych nadawców. Co gorsza, podważa zabezpieczenie, na którym opiera się część szkoleń - „jak system ostrzega, to nie klikaj”. Tu system może nie ostrzec.

Przy okazji warto potraktować to jako test własnego procesu aktualizacji: czy październikowe łatki faktycznie dotarły na wszystkie komputery w firmie i czy w ogóle wiecie, ile maszyn wciąż działa na Windows 10. Jeśli odpowiedź nie jest pewna, sama ta luka jest dobrym powodem, żeby to uporządkować.

Źródła

Opracowano na podstawie komunikatu Microsoft (MSRC) dla CVE-2026-96951, katalogu aktywnie wykorzystywanych podatności CISA (KEV) oraz branżowych analiz październikowego Patch Tuesday. Szczegóły techniczne mogą być jeszcze aktualizowane.