Microsoft on julkaissut syyskuun Patch Tuesday -tietoturvapäivitykset, jotka korjaavat yhteensä 973 uutta haavoittuvuutta. Määrä on yli kaksinkertainen edelliskuuhun verrattuna ja PCWorldin mukaan uusi ennätys. Korjauksia tuli Windowsin ja Officen lisäksi esimerkiksi Defenderiin, Exchange Serveriin, Hyper-V:hen, Skype for Businessiin, Visual Studioon ja Microsoftin pilvipalveluihin.
Haavoittuvuuksista 113 on luokiteltu kriittisiksi, ja niistä 83 mahdollistaa etäkoodin suorituksen. Kaksi Windowsiin liittyvää korkean riskin aukkoa on jo havaittu käytössä hyökkäyksissä. Lähdetietojen perusteella päivityskierros on poikkeuksellisen laaja, ja etenkin saatavilla olevien suojauspäivitysten asentamiseen on tavallista painavampi syy.
Ennätys korostuu Windowsissa
Yli 700 korjauksista koskee yhä tietoturvapäivityksiä saavia Windows 10-, Windows 11- ja Windows Server -versioita. Windowsin haavoittuvuuksista 77 on Microsoftin luokituksessa kriittisiä, ja niihin sisältyy 56 etäkoodin suorittamiseen liittyvää tapausta.
Yksi kriittisistä Windows-aukoista sijaitsee Remote Desktop Service -palvelussa. CVE-2026-69525 voi lähdetietojen mukaan mahdollistaa koodin etäsuorituksen ilman tunnistautumista tai käyttäjän toimia.
Aiemmin Bittiblogi huomasi, että Bittiblogi huomasi: Windows 11:n elokuun päivitys rikkoi Teamsin ja Outlookin Arm-tietokoneilla.
Kahdesta aukosta on jo hyökkäyshavaintoja
Toinen jo käytössä havaituista haavoittuvuuksista on Windows Updaten päivityspinossa oleva CVE-2026-81963. Se voi nostaa hyökkääjän käyttöoikeuksia, ja yhdessä etäkoodin suorittamiseen tarkoitetun haavoittuvuuden kanssa sitä voidaan hyödyntää järjestelmätason oikeuksien saavuttamiseen.
Toinen aukko, CVE-2026-85880, liittyy Windowsin Advanced Local Procedure Call -toimintoon ja myös käyttöoikeuksien korottamiseen. Hyökkäyskoodi on kätkettävä asiakirjaan, jonka käyttäjä käynnistää. Hyökkäysten laajuudesta ei ole lähdetietojen mukaan varmuutta.
Office ja biometriset palvelutkin saivat korjauksia
Microsoft korjasi Office-tuotteista 137 haavoittuvuutta, joista 22 kriittistä tapausta liittyy etäkoodin suorittamiseen. Viisi niistä koskee Exceliä. Kriittisissä Office-tapauksissa myös esikatseluruutu voi lähteen mukaan toimia hyökkäysreittinä, joten haitallista tiedostoa ei aina tarvitse avata erikseen.
Windows Hellosta löytyi yhdeksän haavoittuvuutta, joista kahdeksan on kriittisiä käyttöoikeuksien korottamiseen liittyviä tapauksia. Microsoft korjasi lisäksi 64 biometrisessä palvelussa ollutta haavoittuvuutta. Exchange Serveriin puolestaan tuli yhdeksän korkean riskin korjausta, joista kaksi liittyy etäkoodin suorittamiseen.
Syyskuun päivityskierroksen keskeiset luvut
- Korjattuja haavoittuvuuksia on 973, mikä on enemmän kuin kaksinkertainen määrä elokuuhun nähden.
- Kriittisiksi on luokiteltu 113 haavoittuvuutta, joista 83 liittyy etäkoodin suorittamiseen.
- Yli 700 korjauksista kohdistuu tuettuihin Windows-versioihin.
- Kaksi korkean riskin Windows-haavoittuvuutta on havaittu käytössä hyökkäyksissä.
Päivityskierroksen koko ei yksin kerro yksittäisen käyttäjän riskistä, mutta jo käytössä olevat hyväksikäytöt tekevät tilanteesta tavallista kiireellisemmän. Microsoftin tietoturvapäivitykset kannattaa siksi asentaa, kun ne ovat omalle laitteelle tai organisaation järjestelmille saatavilla.
Seuraava Microsoftin Patch Tuesday on lähdetietojen mukaan 13. lokakuuta 2026.
Lisätietoa: CVE-2026-81963 · CVE-2026-85880
Tietolähteet
PCWorld: Microsoft's September updates fix a record 973 security flaws
Tämä artikkeli on luotu tekoälyavusteisesti ja koottu julkisista lähteistä.
Lue lisää BittiBlogin tietoturvaoppaisiin ja turvallisuusvinkkeihin.
Bittiblogi seurasi: Microsoft esti Windows 11:n helpon paikallisen tilin kiertotavan
Bittiblogi nostaa esiin: Microsoft julkisti Surface Laptop Ultran ja RTX Spark Dev Boxin
Bittiblogi löysi: Microsoft esitteli Windowsin uudistuvan hakutoiminnon
