Patch Tuesday של ספטמבר: Microsoft תיקנה כמעט אלף חולשות, שתיים כבר נוצלו

Microsoft פרסמה ב-8 בספטמבר 2026 את חבילת האבטחה החודשית שלה, Patch Tuesday. זו החבילה הגדולה ביותר בתולדות החברה: כמעט אלף חולשות. תוקפים כבר ניצלו שתיים מהן בתקיפות אמיתיות לפני שהתיקון יצא. שתי פרצות היום-אפס (חולשות שתוקפים מנצלים לפני שיש להן תיקון) יושבות ב-Windows עצמה. הן מאפשרות לתוקף שכבר חדר למחשב לקבל הרשאות SYSTEM, הדרגה הגבוהה ביותר במערכת.

שתי פרצות ב-Microsoft Patch Tuesday שכבר בשימוש: Windows Update ו-ALPC

הראשונה, CVE-2026-81963, יושבת ברכיב שאחראי על התקנת העדכונים של Windows (Windows Update Stack). לפי Tenable, זו חולשה מסוג link following. התוקף משתמש בקישורים במערכת הקבצים. כך הוא גורם לרכיב בעל הרשאות גבוהות לפעול על קבצים או תיקיות שהוא בחר. ציון החומרה שלה 7.8 מתוך 10. Tenable מציינת שמאז 2022 תוקנו שבע חולשות דומות באותו רכיב. אבל זו הפעם הראשונה שתוקפים מנצלים אחת מהן כיום-אפס.

השנייה, CVE-2026-85880, יושבת ב-ALPC. זה מנגנון פנימי שדרכו תהליכים ב-Windows מתקשרים זה עם זה. גם היא בציון 7.8, וגם היא מובילה להרשאות SYSTEM. לפי Tenable, זו פרצת היום-אפס השנייה ב-ALPC מאז ינואר 2023. בפרסומים שבדקנו אין פרטים על מי ניצל את שתי החולשות ונגד מי.

חשוב להבין את הסוג: אלה חולשות להעלאת הרשאות, לא לפריצה מרחוק. התוקף צריך תחילה דריסת רגל במחשב, למשל קבצים זדוניים שנפתחו או סיסמה שנגנבה. אבל זה בדיוק השלב השני בכמעט כל מתקפת כופר. תוקפים נכנסים עם הרשאות של משתמש רגיל. אחר כך הם מטפסים להרשאות מנהל, כדי לנטרל את האנטי-וירוס ולהתפשט ברשת.

הסכנות לשרתים ב-Microsoft Patch Tuesday: DNS, Remote Desktop ו-Exchange

מעבר לשתי פרצות היום-אפס, כמה חולשות מצדיקות תשומת לב מיוחדת אצל מי שמנהל שרתים:

• CVE-2026-69730 בשרת ה-DNS של Windows: ציון 9.8. תוקף לא מזוהה יכול להריץ קוד מרחוק באמצעות חבילת רשת שנבנתה במיוחד. Microsoft מסמנת אותה כבעלת סיכוי גבוה לניצול. לפי Krebs on Security, היא משפיעה על Windows Server מגרסת 2012 ואילך. Tenable מונה עוד שמונה חולשות הרצת קוד בשרת ה-DNS באותה חבילה.
• CVE-2026-69525 ב-Remote Desktop Services: ציון 9.8, גם היא בהערכת ניצול סביר. שרת עם RDP שפתוח לאינטרנט הוא יעד טבעי.
• CVE-2026-69829 ב-Windows Shell: ציון 9.8, בלי צורך בהרשאות ובלי פעולה של המשתמש, לפי Krebs.
• CVE-2026-69676 ב-Kerberos: ציון 8.8, עקיפת אימות במנגנון ההזדהות של רשתות Windows ארגוניות.
• CVE-2026-69380 ב-Exchange Server: ציון 8.1. משתמש שמחובר עם תיבת דואר רגילה יכול לגשת לתיבות של אחרים. הוא יכול גם לשלוח ולקבל מיילים בשמם ולפתוח את הקבצים המצורפים. Microsoft מעריכה שניצול פחות סביר, אבל בשרתי Exchange מקומיים זו לא סיבה לדחות.

למה פתאום אלף חולשות בחודש

המספר המדויק תלוי במי שסופר. Krebs on Security מונה לפחות 974, GBHackers מונה 973 ו-Tenable מונה 964. לפי הספירה של Tenable, 104 מהן בדרגה קריטית. בכל מקרה, השיא הקודם היה 570 חולשות ביולי 2026. לפי Krebs, Microsoft כבר סגרה מתחילת 2026 מעל 2,600 חולשות. זה כפול ויותר מהשיא השנתי של 2020.

הסיבה העיקרית היא כלי AI שמאתרים באגים בקצב שלא היה קיים בעבר. Krebs מציין שגם Adobe, Cisco, Google, Mozilla ו-Oracle מייחסות את הזינוק בתיקונים למחקר בסיוע AI. סאטנאם נאראנג (Satnam Narang) מ-Tenable מסביר שהכמות לא אומרת שהסיכון גדל באותו יחס. לדבריו, הגילוי בסיוע AI מגדיל את ערימות השחת, אבל לא בהכרח את מספר המחטים. המשמעות המעשית היא שצוותי IT צריכים לבדוק אילו חולשות רלוונטיות לסביבה שלהם. עליהם לבדוק גם אילו מהן נגישות לתוקף, ולתעדף לפי זה.

עוד ב-GEEKLIK: Chrome 153 סוגרת פרצת יום-אפס מנוצלת, ו-Google עוברת לגרסה חדשה כל שבועיים

מה הלאה

אם המגמה תימשך, חבילות Patch Tuesday של Microsoft עם מאות חולשות יהפכו לשגרה ולא לחריג. ארגונים שעדיין מתקינים עדכונים פעם ברבעון, או כשמתפנה זמן, יגלו שהפער מול התוקפים רק גדל. כדאי לבנות תהליך קבוע: חלון תחזוקה חודשי, קבוצת בדיקה ורשימה מעודכנת של המערכות שחשופות לאינטרנט. כך יהיה ברור בסבב העדכונים הבא מה מעדכנים ראשון.