TL;DR: Majowy Patch Tuesday to ponad 100 poprawek od Microsoftu, w tym 16 krytycznych. Najważniejsze to luki w Netlogon (przejęcie kontrolera domeny) i wtyczce SSO do Atlassian (przejęcie Jira/Confluence). Po raz pierwszy od prawie dwóch lat nie ma aktywnie wykorzystywanych luk 0-day. Obserwujemy jednak zalew poprawek od wszystkich głównych dostawców (Apple, Mozilla), co jest prawdopodobnie efektem użycia AI do audytu kodu. Polskie zespoły IT muszą przygotować się na stały, wysoki wolumen łatek do wdrożenia.

[CALLOUT] “W skrócie: Załataj w pierwszej kolejności kontrolery domeny (CVE-2026-41089) i wtyczkę Microsoft SSO dla Atlassian (CVE-2026-41103). Następnie przygotuj się na więcej, bo era audytów kodu wspomaganych przez AI właśnie się zaczęła.”

Chwila oddechu i nowe wyzwania

Majowy cykl aktualizacji bezpieczeństwa, znany jako Patch Tuesday, przyniósł poprawki dla około 120 unikalnych luk w produktach Microsoftu [^1][^2][^3]. Z tej puli, szesnaście zostało oznaczonych jako krytyczne [^2][^4], co oznacza, że ich wykorzystanie może prowadzić do zdalnego wykonania kodu (RCE — Remote Code Execution) bez interakcji ze strony użytkownika [^5].

Co jednak niezwykłe, to pierwszy Patch Tuesday od prawie dwóch lat, w którym Microsoft nie musiał gasić pożarów związanych z lukami typu zero-day, czyli takimi, które są już aktywnie wykorzystywane w atakach [^6]. Nie załatano również żadnych podatności, które zostały wcześniej publicznie ujawnione [^7]. To daje administratorom rzadką chwilę wytchnienia w porównaniu do kwietnia, kiedy to Microsoft załatał blisko rekordowe 167 luk [^8].

Ten pozorny spokój jest jednak mylący. Analizując kluczowe poprawki, widzimy zagrożenia o najwyższym priorytecie, które wymagają natychmiastowej reakcji w każdej polskiej firmie korzystającej z ekosystemu Microsoft.

Krytyczne luki, które wymagają natychmiastowej uwagi

Spośród szesnastu krytycznych podatności, trzy wyróżniają się potencjalnym wpływem na infrastrukturę korporacyjną. Zespół Rapid7 odegrał znaczącą rolę w identyfikacji części z nich [^9].

CVE-2026-41089: Przejęcie kontrolera domeny

To krytyczna luka typu przepełnienie bufora na stosie w usłudze Windows Netlogon [^10]. Pomyślne wykorzystanie tej podatności może dać atakującemu uprawnienia na poziomie SYSTEM na kontrolerze domeny [^10]. Mówiąc wprost: to klucze do królestwa w każdej sieci opartej o Active Directory. Co najgorsze, atak nie wymaga żadnych uprawnień ani interakcji użytkownika, a jego złożoność oceniono jako niską [^11]. Poprawki są dostępne dla wszystkich wersji Windows Server od 2012 wzwyż [^12]. Dla każdej polskiej firmy, której tożsamością zarządza lokalne AD, ta łatka powinna mieć priorytet zero.

CVE-2026-41103: Ominięcie uwierzytelniania w Jira i Confluence

To prawdopodobnie najciekawsza luka w tym miesiącu, oceniona na 9.1 w skali CVSS (Common Vulnerability Scoring System — skala 0-10 oceniająca powagę luki) [^13]. Dotyczy krytycznego błędu eskalacji uprawnień we wtyczce Microsoftu do obsługi SSO (Single Sign-On — logowanie do wielu systemów jednym kontem) dla produktów Atlassian – Jira i Confluence [^13].

Luka może pozwolić nieautoryzowanemu atakującemu na podszycie się pod istniejącego użytkownika przez przedstawienie sfałszowanych poświadczeń, omijając w ten sposób mechanizmy weryfikacji tożsamości Entra ID [^14]. Atak jest możliwy do przeprowadzenia przez sieć, nie wymaga uprawnień ani interakcji użytkownika [^15]. Pomyślne wykorzystanie może dać dostęp do środowiska Jira lub Confluence z podwyższonymi uprawnieniami [^16]. Sam Microsoft ocenia prawdopodobieństwo wykorzystania jako wysokie [^17][^15]. To bezpośredni cios w polskie software house’y, działy R&D i każdą organizację, która opiera swoje procesy o te popularne narzędzia.

CVE-2026-41096: RCE w kliencie DNS

Trzecia warta uwagi luka to krytyczne RCE w implementacji klienta DNS (Domain Name System — system tłumaczący nazwy domen na adresy IP) w systemie Windows [^18]. Chociaż Microsoft ocenia prawdopodobieństwo jej wykorzystania jako „mniej prawdopodobne” [^19], luki w tak fundamentalnym komponencie systemu operacyjnego nigdy nie powinny być ignorowane. Dotyczy to praktycznie każdej stacji roboczej i serwera z systemem Windows.

Szerszy obraz: Potop łatek napędzany przez AI

Liczby z tego miesiąca, choć wysokie, są częścią szerszego trendu. Obserwujemy, że najwięksi dostawcy oprogramowania, tacy jak Apple, Google, Microsoft, Mozilla i Oracle, naprawiają rekordowe liczby błędów i przyspieszają cykl wydawniczy [^20]. Skąd ten nagły wzrost?

Odpowiedzią wydaje się być sztuczna inteligencja. Okazuje się, że platformy AI, choć same mogą być podatne na manipulacje [^21], są niezwykle skuteczne w znajdowaniu luk bezpieczeństwa w kodzie napisanym przez ludzi [^22].

Kluczową rolę odgrywa tu „Project Glasswing”, inicjatywa firmy Anthropic, do której wczesny dostęp uzyskało kilkudziesięciu gigantów technologicznych, w tym Microsoft [^23]. Efekty widać gołym okiem:

  • Mozilla: W zeszłym miesiącu wydała przeglądarkę Firefox 150, która naprawiała aż 271 luk, rzekomo odkrytych podczas ewaluacji w ramach Glasswing [^24]. Od tego czasu Mozilla przeszła na bardziej agresywny, cotygodniowy cykl wydawania poprawek bezpieczeństwa.
  • Apple: Firma, która również brała udział w projekcie [^25], zazwyczaj łatała średnio 20 luk w aktualizacjach iOS. Jednak 11 maja wydała poprawki dla co najmniej 52 podatności [^26], co stanowi ponad dwukrotny wzrost.

To zjawisko to miecz obosieczny. Z jednej strony, więcej znalezionych i załatanych luk może oznaczać bezpieczniejsze oprogramowanie dla wszystkich. Z drugiej, generuje to ogromną presję na zespoły IT i działy bezpieczeństwa, które muszą przetworzyć, przetestować i wdrożyć setki poprawek w krótkim czasie.

Co to oznacza dla polskiego administratora i CISO?

Nowa rzeczywistość, w której AI masowo odkrywa podatności, wymusza zmianę podejścia do zarządzania łatkami, szczególnie w kontekście polskiego rynku.

  1. Koniec przewidywalności: Comiesięczny, rytualny Patch Tuesday przestaje być jedynym punktem odniesienia. Polskie firmy muszą być gotowe na częstsze, większe i nieregularne paczki aktualizacji od wszystkich kluczowych dostawców.

  2. Priorytetyzacja to przetrwanie: Przy setkach łatek miesięcznie, próba wdrożenia wszystkiego na raz jest nierealna, zwłaszcza w sektorze MŚP. Kluczowe staje się błyskawiczne zidentyfikowanie tych 2-3 luk, które stanowią realne, bezpośrednie zagrożenie dla organizacji – jak wspomniane podatności w Netlogon i wtyczce SSO.

  3. Presja regulacyjna: Dla podmiotów kluczowych i ważnych w rozumieniu dyrektywy NIS2 (unijna dyrektywa o bezpieczeństwie sieci), terminowe zarządzanie podatnościami jest obowiązkiem prawnym. Zalew łatek znacząco podnosi poprzeczkę w zakresie utrzymania zgodności i wymaga posiadania sprawnych, częściowo zautomatyzowanych procesów.

Co zrobić w 24-48h — plan działania

Biorąc pod uwagę powagę zagrożeń, rekomendujemy następujące kroki:

  • Priorytet 0: Kontrolery Domeny. Natychmiastowe wdrożenie poprawki dla CVE-2026-41089. Ryzyko kompromitacji całej domeny Active Directory jest zbyt wysokie, by czekać. Należy potraktować to jako incydent i działać poza standardowym oknem serwisowym.

    • Priorytet 1: Jira/Confluence. Przeprowadzić audyt w poszukiwaniu wtyczki Microsoft SSO for Atlassian. Jeśli jest używana, należy bezwzględnie zainstalować zaktualizowaną wersję, by załatać CVE-2026-41103.

  • Priorytet 2: Stacje robocze i serwery. Zweryfikować, czy mechanizmy automatycznych aktualizacji (Windows Update, WSUS, itp.) działają poprawnie i dystrybuują poprawki do całej floty urządzeń. Dotyczy to m.in. luki w kliencie DNS (CVE-2026-41096).

  • Krok strategiczny: Przegląd procesów. Potraktujmy ten miesiąc jako dzwonek alarmowy. To dobry moment, by zadać sobie pytanie: czy nasze obecne procesy zarządzania podatnościami są gotowe na erę, w której co miesiąc będziemy otrzymywać setki łatek od wielu dostawców? Jeśli nie, czas zacząć je przeprojektowywać.

Powyższe rekomendacje stanowią sugerowane podejście i nie zastępują pełnej analizy ryzyka ani konsultacji z ekspertami ds. bezpieczeństwa.

Zobacz też