We wrześniowych aktualizacjach 2026 Microsoft naprawił dwa zero-daye zgłoszone jako exploited: CVE-2026-81963 (Windows Update Stack, link following) i CVE-2026-85880 (ALPC, heap-based buffer overflow). Oba mają CVSS 7.8 High, oba wymagają wcześniejszego lokalnego dostępu i oba trafiły do CISA KEV 8 września 2026. To świetny przykład, dlaczego zdanie „to tylko local privilege escalation” bywa błędną decyzją priorytetyzacyjną.
Lokalny exploit nie musi być initial access
Attack chain często wygląda tak:
W tym modelu oba CVE nie konkurują z initial-access CVE — one je uzupełniają. Dlatego exploitability trzeba oceniać także przez pozycję w chainie. CVSS 7.8 mówi: local, low complexity, low privileges, no user interaction, wysoki impact CIA. KEV dodaje kluczowy fakt: this path is being used in real attacks. To zmienia priorytet z „important hardening” na „post-compromise escalation path currently weaponized”.
Łączyć findings, nie scalać CVE
Nie należy automatycznie łączyć obu CVE w jeden finding — mają inne komponenty i root causes. Warto natomiast utworzyć wspólną kampanię remediation (np. September 2026 Windows exploited EoP campaign) i osobno zachować CVE-2026-81963 oraz CVE-2026-85880. Dzięki temu deployment jest jeden, a verification per-CVE pozostaje śledzalne.
Asset context i granice compensating controls
Najwyższy priorytet: privileged workstations, admin jump hosts, VDI z szerokim dostępem, developer workstations z secrets, serwery, gdzie low-priv service account może zostać przejęty, oraz systemy z aktywną powierzchnią initial-access (przeglądarka). EDR, application control i least privilege zmniejszają szansę zdobycia footholdu (initial foothold probability ↓), ale nie usuwają samego LPE (LPE root cause fixed to co innego) — ważna różnica przy risk acceptance.
Weryfikacja i „nie wszystkie High są równe”
Verification: właściwy OS/build, odpowiedni cumulative/security update, reboot jeśli wymagany, runtime build po restarcie, coverage wszystkich rings, failure rate aktualizacji, urządzenia offline, brak rollbacku na niezałatany image; przy active exploitation — hunting post-exploitation telemetry. Dwa findings mogą mieć ten sam CVSS 7.8, ale A: no exploit evidence i B: CISA KEV, active exploitation to nie to samo. Lepszy model: priority = severity + exploit maturity + known exploitation + asset context + chain utility + remediation readiness.
Powiązane na blogu
- Chrome: Medium, ale exploited — exploitation evidence jako osobny wymiar
- Check Point: dwa 9.8, różny blast radius — dlaczego identyczny score to nie identyczny finding
Źródła
- Microsoft — CVE-2026-81963 — msrc.microsoft.com
- Microsoft — CVE-2026-85880 — msrc.microsoft.com
- CISA KEV Catalog — cisa.gov
Nota redakcyjna: stan informacji 10 września 2026. CVE-2026-81963 i CVE-2026-85880 (oba CVSS 7.8) są w CISA KEV od 08.09.2026. Artykuł omawia pozycję lokalnego EoP w attack chainie oraz łączenie findings w kampanię remediation bez scalania rekordów CVE.