Microsoft Patch Tuesday — czerwiec 2026: 206 podatności, w tym 3 zero-day. Musisz to załatać

Czerwcowa fala łat — rekordowy Patch Tuesday

9 czerwca 2026 Microsoft opublikował największy w tym roku pakiet bezpieczeństwa. Łącznie załatano 206 podatności, z czego 23 sklasyfikowano jako krytyczne, a 3 były już znane publicznie (zero-day) w momencie wydania łat. To najwięcej poprawek w jednym miesiącu od października 2025.

Wśród załatanych luk znajdują się podatności w kluczowych komponentach Windows: stosie DHCP, jądrze systemu, usłudze HTTP.sys, Active Directory oraz Hyper-V. Poniżej analiza najgroźniejszych z nich.

🔴 Krytyczne RCE (CVSS 9.8) — łataj natychmiast

1. CVE-2026-44815 — Windows DHCP Client RCE

CVSS: 9.8 | Typ: Stack-based buffer overflow | Autoryzacja: nie wymaga

Podatność w kliencie DHCP systemu Windows pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu. Wystarczy, że urządzenie ofiary otrzyma spreparowaną odpowiedź DHCP od złośliwego serwera w sieci lokalnej.

Kogo dotyczy: Wszystkie wersje Windows z włączonym klientem DHCP (domyślnie). Szczególnie narażone: laptopy w sieciach publicznych (kawiarnie, lotniska, hotele).

Wektor ataku: Atakujący w tej samej sieci LAN/WiFi rozgłasza fałszywe oferty DHCP → ofiara automatycznie akceptuje → wykonanie kodu na hoście.

2. CVE-2026-45657 — Windows Kernel RCE

CVSS: 9.8 | Autoryzacja: nie wymaga | Skutek: wykonanie kodu na poziomie SYSTEM

Krytyczna podatność w jądrze Windows umożliwiająca zdalne wykonanie kodu bez interakcji użytkownika. Atakujący może przejąć pełną kontrolę nad systemem — instalować programy, przeglądać i modyfikować dane oraz tworzyć nowe konta.

3. CVE-2026-47291 — HTTP.sys RCE

CVSS: 9.8 | Autoryzacja: nie wymaga

Podatność w sterowniku stosu HTTP systemu Windows (HTTP.sys). Serwery IIS oraz inne aplikacje korzystające z HTTP.sys są podatne na zdalne wykonanie kodu poprzez wysłanie specjalnie spreparowanego żądania HTTP.

🟠 Ważne podatności (CVSS 8.0-8.8)

CVE	Komponent	CVSS	Typ
CVE-2026-45648	Windows Active Directory	8.8	RCE
CVE-2026-47652	Windows Hyper-V	8.2	RCE (heap overflow)
CVE-2026-47654	Remote Desktop Client	8.1	RCE
CVE-2026-42987	Windows Deployment Services	8.1	RCE
CVE-2026-48574	Windows Media	8.1	RCE (heap overflow)

🔵 Zero-day wykorzystywane w atakach

Trzy z załatanych podatności były znane publicznie i wykorzystywane w atakach przed wydaniem łat:

CVE-2026-45636 — Windows NTFS RCE. Podatność w systemie plików umożliwiająca zdalne wykonanie kodu przez spreparowany obraz dysku lub montowanie złośliwego woluminu.
CVE-2026-47281 — Visual Studio Code EoP (CVSS 9.6). Podniesienie uprawnień przez rozszerzenia VS Code.
CVE-2026-45653 — Windows Kernel EoP (CVSS 7.0). Eskalacja uprawnień w jądrze.

🎯 Co to oznacza dla polskich użytkowników?

Wiele polskich firm i instytucji wciąż działa na niezałatanych systemach. Szczególnie narażone są:

Serwery DHCP w firmach — podatność CVE-2026-44815 pozwala na przejęcie całej sieci przez jednego zainfekowanego klienta
Kontrolery domeny (AD) — CVE-2026-45648 to RCE w Active Directory, sercu infrastruktury Windows
Serwery IIS — CVE-2026-47291 (HTTP.sys) dotyczy każdego serwera WWW na Windows
Hyper-V hosty — podatność w hypervisorze może pozwolić na ucieczkę z maszyny wirtualnej

✅ Co robić?

Zainstaluj łatki — przejdź do Windows Update (Ustawienia → Aktualizacja i zabezpieczenia) i kliknij „Sprawdź aktualizacje”. Dla firm: użyj WSUS lub Windows Update for Business.
Zweryfikuj DHCP — upewnij się, że w sieci LAN nie ma nieautoryzowanych serwerów DHCP (DHCP snooping na switchach).
Segmentacja sieci — komputery gościnne i IoT powinny być w osobnych VLAN-ach, aby ograniczyć wektor ataku DHCP.
Monitoruj logi — sprawdź czy nie ma prób wykorzystania tych podatności (IDS/IPS, Windows Event Log).
Zablokuj RDP z zewnątrz — jeśli nie jest niezbędny, wyłącz Remote Desktop na firewallu lub używaj tylko przez VPN.

📋 Ściąga dla administratora

# Sprawdź wersję Windows i poziom łat
systeminfo | findstr /B /C:"OS Name" /C:"OS Version"

# Lista zainstalowanych poprawek (KB)
wmic qfe list brief /format:texttable

# Dla zaawansowanych: sprawdź konkretne łatki
dism /online /get-packages | findstr "KB5044"

# PowerShell: lista brakujących poprawek (moduł PSWindowsUpdate)
Get-WUInstall -MicrosoftUpdate -AcceptAll -AutoReboot

🔗 Źródła

Podsumowanie

Czerwiec 2026 przynosi jeden z największych pakietów łat w historii Microsoftu. Trzy podatności CVSS 9.8 w kluczowych komponentach Windows (DHCP, Kernel, HTTP.sys) oznaczają, że każdy admin Windows powinien priorytetowo zainstalować te łatki. Szczególnie narażone są sieci LAN firmowe i serwery publiczne.

Nie czekaj na weekend — aktualizacja zajmuje 15 minut, a ryzyko jest realne.