ב-8 בספטמבר הוציאה Microsoft את חבילת העדכונים הגדולה שלה אי פעם. Tenable סופרת בה 964 חולשות, מהן 104 בדירוג קריטי; ספירות אחרות הגיעו ל-973 ול-974. שתי החולשות היחידות שתוקפים כבר מנצלים בשטח אינן ביניהן. שתיהן מדורגות Important, שתיהן קיבלו ציון 7.8, ושתיהן דורשות שהתוקף כבר יהיה על המחשב.

סקירה כללית

הראשונה יושבת ברכיב שמתקין את עדכוני Windows. שירות בעל הרשאות גבוהות עומד לכתוב לקובץ, מישהו מחליף אותו ברגע הנכון בהפניה שמובילה למקום אחר, והכתיבה מתבצעת שם, בהרשאות של השירות. לזה קוראים link following, CWE-59, וזו CVE-2026-81963.

השנייה יושבת ב-ALPC, המנגנון שדרכו תהליכים ב-Windows מדברים זה עם זה. תהליך של משתמש רגיל שולח הודעה שגורמת לצד המקבל לכתוב לזיכרון יותר ממה שהקצה, והעודף דורס את מה ששכן שם. זו heap-based buffer overflow, CWE-122, וזו CVE-2026-85880.

מעניין יותר איפה כל אחת פוגעת. לפי NVD, CVE-2026-81963 נוגעת ל-Windows 11 ול-Server 2025, ואילו CVE-2026-85880 נוגעת ל-Windows 10 ולשרתי 2012 עד 2022. ארגון שמריץ תחנות חדשות לצד מכונות ישנות שנשארו בשירות חשוף לשתיהן, בשני חלקים שונים של הרשת שלו.

מזהה: CVE-2026-81963 ו-CVE-2026-85880
סוג: הסלמת הרשאות מקומית. link following (CWE-59) ו-heap-based buffer overflow (CWE-122)
מוצר: Windows Update Stack ו-ALPC של Windows
גרסאות מושפעות: Windows 11 23H2 עד 26H1 ו-Server 2025 בראשונה; Windows 10 1607, 1809, 21H2 ו-22H2 ושרתי 2012 עד 2022 בשנייה
גרסה מתוקנת: לפי NVD, בין השאר 10.0.26100.9445 ל-Windows 11 24H2 ו-10.0.19045.7725 ל-Windows 10 22H2
ניצול בפועל: כן. שתיהן נכנסו לקטלוג ה-KEV של CISA ב-8 בספטמבר 2026

ציר זמן

מ-2022 ועד היום: שבע חולשות הסלמת הרשאות תוקנו ב-Windows Update Stack, ולפי Tenable אף אחת לא נוצלה לפני שפורסמה.
8 בספטמבר 2026: Microsoft מפרסמת את שתי החולשות ומאשרת ששתיהן נוצלו כיום-אפס.
8 בספטמבר 2026: CISA מכניסה את שתיהן לקטלוג ה-KEV.
22 בספטמבר 2026: המועד שנקבע לגופים הפדרליים בארצות הברית לסיים את התיקון.

איך הניצול עובד

בשני המקרים השלב הראשון כבר קרה. מישהו פתח קובץ או שסיסמה דלפה, ולתוקף יש הרצת קוד בהרשאות של משתמש רגיל. משם הוא צריך את הקפיצה ל-SYSTEM, החשבון שמעליו אין כלום ב-Windows. ב-link following הוא מנצל את הפער שבין הרגע שבו רכיב העדכונים פותר נתיב לרגע שבו הוא כותב אליו; ב-heap-based buffer overflow הוא שולח ל-ALPC הודעה שהצד המקבל מפרסר לפי הנחת גודל שגויה. שתי הדרכים נוחתות באותו מקום.

ניתוח ציון ה-CVSS

ציון CVSS: 7.8

הציון לא מטפס גבוה יותר מסיבה אחת: התקיפה מקומית, והתוקף חייב חשבון קיים על המכונה. וזה בדיוק מה שהופך אותו למדד חלקי, כי CVSS מודד חולשה בפני עצמה בעוד שתוקף קונה מקום בשרשרת.

איפה למצוא Proof of Concept (PoC)

אין PoC פומבי לאף אחת מהשתיים, וזה סביר יום אחרי הפרסום. הניתוח הטכני שזמין כרגע הוא הסקירה של Tenable ל-Patch Tuesday של ספטמבר.

7.8 הוא ציון שקל לדחוף לתחתית רשימת המשימות, ובחודש עם 104 חולשות קריטיות הפיתוי גדול. שתי אלה הן היחידות בחבילה שכבר משתמשים בהן.