Microsoft biztonsági frissítés: 165 kritikus rés javítva
A Microsoft április 14-én kiadta a vállalat történetének második legnagyobb havi Patch Tuesday frissítését. Ez a Microsoft biztonsági frissítés egyetlen napon 165 sebezhetőséget foltozott be, köztük egy aktívan, éles támadásokban kihasznált SharePoint zero-day hibát, amelyet az amerikai kiberbiztonsági hatóság (CISA) azonnal felvett a kötelezően javítandó sebezhetőségek listájára. Mutatjuk, mi történt, és miért érint ez minden vállalkozást, amelyik Microsoft-szoftvereket használ.
Mit fogsz megtudni ebből a cikkből
A számok, amelyek megrázzák az IT-világot
Ha egy szóval kellene jellemezni a 2026. áprilisi Patch Tuesday-t, az a „rekord” lenne. A Trend Micro Zero Day Initiative (ZDI) elemzője, Dustin Childs szerint ez a Microsoft történetének második legnagyobb havi biztonsági kiadása. A számok önmagukért beszélnek.
A 165 javított hibából 92 jogosultság-emelési (EoP), 20 távoli kódfuttatási (RCE) sebezhetőség, a maradék pedig spoofing, információkiszivárgás és szolgáltatás-megtagadási hibák között oszlik meg. Ha a harmadik féltől származó CVE-ket is hozzászámoljuk (főleg Chromium-alapú Edge javítások), a teljes csomag 247 sebezhetőséget tartalmaz.
A két zero-day közelről
A 165 hiba közül kettő érdemel kiemelt figyelmet. Mindkettő zero-day, vagyis a támadók már a javítás megjelenése előtt ismerték és használták őket.
CVE-2026-32201 – SharePoint Server (aktívan kihasználják)
Ez a hiba a Microsoft SharePoint Server bemenetellenőrzési hibájából fakad. Egy hitelesítés nélküli támadó hálózaton keresztül spoofingot hajthat végre: olyan kéréseket küldhet, amelyek megbízható SharePoint-komponensektől érkezőnek tűnnek. A támadó így érzékeny adatokhoz férhet hozzá, módosíthatja azokat, és további támadásokhoz, például session cookie-k lopásához vagy ransomware bevezetéséhez használhatja.
Érintett verziók: SharePoint Enterprise Server 2016, SharePoint Server 2019, SharePoint Server Subscription Edition. A CVSS-pontszám csak 6.5, ami papíron közepes súlyosság, viszont a hiba pre-autentikációs jellege és az aktív kihasználás miatt minden szakértő sürgős javítást javasol.
CVE-2026-33825 – Microsoft Defender (BlueHammer)
A második zero-day név szerint „BlueHammer”, és különösen pikáns: maga a védelem volt sebezhető. A Microsoft Defenderben található jogosultság-emelési hiba lehetővé teszi, hogy a támadó SYSTEM-szintű hozzáférést szerezzen egy gépen. A nyilvános proof-of-concept exploit kódja már április 3-án megjelent GitHubon, jóval a hivatalos javítás előtt.
Ez a kombináció veszélyes: ha egy támadó megvet a lábát a hálózatodban, ezzel a hibával teljes uralomra tehet szert az érintett gépeken. Adatlopás, biztonsági eszközök kikapcsolása, oldalirányú mozgás, mind elérhetővé válik. A CVSS-pontszám 7.8.
A csendes gyilkos: CVE-2026-33824
Bár nem zero-day, érdemes megemlíteni a Windows IKE Service kritikus RCE-hibáját is, ami CVSS 9.8-as pontszámot kapott. Ez egy hitelesítés nélküli, féregszerűen terjedő sebezhetőség azon Windows-rendszereken, ahol az IKE v2 engedélyezve van. Ha a UDP 500-as és 4500-as portjaid nyitva vannak az internet felé, ez akut kockázat.
Miért nő rohamosan a sebezhetőségek száma?
Egyetlen szó: AI. A ZDI elemzője szerint a beérkező sebezhetőségi jelentések száma megháromszorozódott az utóbbi hónapokban, és ennek fő oka az AI-alapú sebezhetőségkutatás térnyerése. Olyan eszközök, amelyek korábban hetek alatt találtak meg egy hibát, ma órák alatt végeznek a feladattal.
2026 első negyedévében minden hónapban felbukkant aktívan kihasznált zero-day: februárban egy SmartScreen bypass, márciusban egy CVSS 9.8-as, AI-eszközzel talált RCE. Az AI tehát kétélű kard: a védőknek és a támadóknak is segít. A különbség az, hogy a támadók gyakran gyorsabbak.
Mit jelent ez a Microsoft biztonsági frissítés a cégednek?
Itt jön a lényeg, és sokakat nem fog kellemesen érinteni: a 165 javítást csak az kapja meg, akinek a szoftverei támogatott állapotban vannak. Ha lejárt a támogatás, vagy ha a licenced nem érvényes, kívülről nézed a biztonsági kört.
Konkrét forgatókönyvek, amelyekben ma sok magyar kkv ül:
- Windows 10 felhasználó vagy? 2025. október 14. óta nem kapsz hivatalos patch-et. ESU programmal 2026. október 13-ig vásárolhatsz extra évet, utána viszont egyedül maradsz. A Patch Tuesday rekord-frissítései téged már nem védenek.
- Office 2021-et használsz? 2026. október 13-án a Microsoft leállítja a támogatást. Innentől minden új sebezhetőség javítatlan marad.
- SharePoint Server 2016-ot futtatsz? A mostani CVE-2026-32201 még megkapta a javítást, de a verzió támogatása is a vége felé jár. Migrálnod kell.
- SQL Server 2016-ot használsz? 2026. július 14-én végleg kifut. Az adatbázisaid vagy frissülnek, vagy védtelenek lesznek.
A helyzet egyszerű, ha őszinték vagyunk: aki ma elhalasztja a licenc- és infrastruktúra-frissítést, az lényegében magára vállalja a következő nagy kibertámadás kockázatát. És nem, ez nem üres riogatás. A 1 370+ sebezhető SharePoint szerver közül napokon belül több százat fognak támadni.
A támogatás vége: aki nem kap frissítést, mit tesz?
A Microsoft termékeinek életciklusa rendszerezve van. Ha 2026-ot tervezel, ezeket a dátumokat tartsd a fejedben:
- 2026. július 14. – SQL Server 2016 extended support vége
- 2026. október 13. – Office 2021, Office LTSC 2021 vége + Windows 10 ESU vége (fogyasztói)
- 2027. január 12. – SharePoint Server 2016 / 2019 vége, Windows Server 2016 vége
A naptárad mostantól patch-naptár is. Ha a céged 5+ alkalmazottat foglalkoztat, és van legalább egy szerver vagy SharePoint installáció, ez nem elnapolható téma.
5 lépés, amit most azonnal meg kell tenned
Itt a gyakorlati teendőlista, amit ma délután elkezdhetsz:
- Frissítsd az összes támogatott Microsoft-rendszert. Nyisd meg a Windows Update-et, a SharePoint admin paneljét, a SQL Server konfigurációs eszközét. Ne halaszd el „a következő karbantartási ablakra”.
- Audit minden Microsoft-szoftverlicencet. Mit használsz? Eredeti? Támogatott? Lejár 2026-ban? Ha bármelyikre nem tudsz biztosan válaszolni, az IT-csapatnak holnapra kell listát.
- Vizsgáld meg az internetre nyitott szervereket. Különösen a SharePoint, Exchange, Remote Desktop és VPN végpontokat. Ha valami a publikus interneten lóg felesleges okból, zárd be.
- Tervezd meg a 2026-os EOL-átállásokat. Office 2021 cseréjét, Windows 10 helyett Windows 11 migrációt, SQL Server frissítést. Tedd be a Q2 költségvetésbe most, ne ősszel.
- Vásárolj eredeti, jogtiszta licenceket. Csak támogatott szoftver kap patch-et. Csak támogatott szoftver biztonságos. A „valami olcsóbb forrásból” típusú megoldások 2026-ban már nem sebezhetőség, hanem sebezett pont.
Forrásaink és további olvasmány
A cikk az alábbi források alapján készült: a Microsoft Security Response Center hivatalos frissítési útmutatója, a Trend Micro Zero Day Initiative blogja, a BleepingComputer és a Security Affairs elemzései, valamint a Shadowserver Foundation telemetriai adatai.
További cikkeink, amik segíthetnek a tervezésben: nézd meg Windows 11 licenc kínálatunkat, az Office 2024 megoldásokat, illetve SQL Server 2022 licencjeinket, ha 2026-os átállást tervezel.
Ne légy te a következő áldozat
165 sebezhetőség. 1 370 javítatlan szerver. 2 zero-day, amit ma is használnak támadók. A védelmi vonalad annyira erős, amennyire a leggyengébb licenced. Ha bármelyik Microsoft-szoftvered közelít az életciklus végéhez, vagy bizonytalan a licenced eredete, most kell lépned.
Vásárolj nálunk audit-biztos, EGT-n belülről származó eredeti Microsoft licenceket teljes körű garanciával, magyar nyelvű támogatással, akár pár perc alatt aktiválható kulcsokkal.
Vásárolj Most Jogtiszta Szoftvert