Aktualizacja miała zamknąć drzwi
Wrześniowy Patch Tuesday Microsoftu z 2026 roku przyniósł poprawkę dla CVE-2026-69525, luki w usługach Pulpitu zdalnego ocenionej na 9.8 na 10 w skali CVSS, czyli ocenę zarezerwowaną dla błędów, które obcy w internecie może wykorzystać bez hasła. Specjalnie spreparowany pakiet wysłany na port 3389 mógł wywołać błąd use-after-free i uruchomić kod z uprawnieniami usługi, bez potrzeby logowania.
Administratorzy, którzy zainstalowali aktualizację zgodnie z harmonogramem, czyli odpowiedzialny wybór według każdego normalnego standardu, zrobili dokładnie to, o co zespoły bezpieczeństwa proszą co miesiąc.
Potem Pulpit zdalny zaczął się sam wywracać
Kilka godzin po instalacji KB5122876 na Server 2019, KB5122882 na Server 2022 lub KB5122871 na Server 2025 usługi Pulpitu zdalnego zaczęły zawodzić. Połączenia, które działały zaraz po starcie, kilka godzin później przestawały działać. Istniejące sesje nie mogły poprawnie się wylogować. Nowe próby połączenia zawieszały się i ostatecznie kończyły się limitem czasu, a w najgorszych przypadkach jedynym rozwiązaniem był twardy restart serwera.
Jeden z administratorów opisał ten wzorzec wprost: działa na początku, ale po pierwszym wylogowaniu usługa się wywraca i żaden kolejny użytkownik nie może się zalogować. Badacz śledzący usterkę wskazał na zakleszczenie między procesem Pulpitu zdalnego a Local Session Manager, diagnozę, której Microsoft nie potwierdził.
Co i gdzie się zepsuło
| Wersja Windows Server | Aktualizacja | Objaw |
|---|---|---|
| Server 2019 | KB5122876 | RDS zawodzi kilka godzin po starcie |
| Server 2022 | KB5122882 | Sesje zawieszają się przy wylogowaniu |
| Server 2025 | KB5122871 | Nowe połączenia przekraczają limit czasu |
Microsoft potwierdził jedynie, że wie o zgłoszeniach i prowadzi dochodzenie. Nie potwierdził przyczyny ani nie podał daty poprawki.
Dlaczego to ma znaczenie
Dlaczego to ma znaczenie: To nie jest abstrakcyjna debata o zarządzaniu łatkami, to realny wybór stojący przed każdym zespołem, który prowadzi Windows Server z Pulpitem zdalnym wystawionym na zewnątrz, a w europejskich i brytyjskich firmach z pracownikami zdalnymi, zewnętrznymi wykonawcami lub oddziałami to większość z nich. Wycofanie aktualizacji ponownie otwiera na tych samych serwerach lukę o wadze 9.8, możliwą do wykorzystania bez danych logowania. Pozostawienie jej może sprawić, że sam dostęp zdalny, czyli powód istnienia tych serwerów, przestanie działać bez ostrzeżenia.
Tak, ale
Tak, ale: Żadna z dwóch opcji nie jest w rzeczywistości jedynym wyjściem. Administratorzy, którzy nie mogą ryzykować ani pełnego wycofania, ani zepsutego dostępu zdalnego, ograniczają zamiast tego ekspozycję RDP na poziomie sieci, zawężając port 3389 do VPN lub hosta pośredniczącego zamiast otwartego internetu, co pozwala zachować zainstalowaną łatkę, zamyka najłatwiejszą drogę do naprawionej luki i daje czas na oficjalną poprawkę bez stawiania na którykolwiek ze scenariuszy awarii.
Najważniejsze
Najważniejsze: "Łatać wszystko natychmiast" i "czekać tydzień dla bezpieczeństwa" to oba złe odruchy w tym przypadku, bo prawdziwa decyzja nie dotyczy szybkości, tylko ekspozycji. Testujcie każdą zbiorczą aktualizację na małej grupie pilotażowej, zanim trafi na wszystkie serwery, i ograniczajcie dostęp sieciowy do wszystkiego, czego aktualizacja może dotyczyć, tak by wadliwa łatka psuła garstkę maszyn zamiast wszystkich sesji Pulpitu zdalnego w firmie naraz.
Czytaj dalej: Szok po zmianie CEO Apple w 2011 roku kosztował 12 razy więcej niż w 2026 | Zwrot Xboksa dotyczył marketingu, a nie gier
