Aktívan kihasználják a Windows Shell hibáját, javítást sürget a CISA

A Microsoft leírása szerint a Windows Shell nem megfelelően kezeli a parancsokban használt speciális elemeket. Ez a parancsinjekciós hiba lehetővé teszi, hogy egy jogosulatlan támadó hálózaton keresztül megkerüljön egy biztonsági funkciót.

A sebezhetőség CVSS-pontszáma 8,8, ami magas súlyosságot jelent, nem kritikust. Ez a mutató a műszaki súlyosságot értékeli; a tényleges kihasználást külön jelzi a Microsoft és a CISA nyilvántartása. A zsarolóvírusos támadásokban való felhasználásról nincs ismert adat.

Az érintett rendszerek között a Windows 10 21H2 és 22H2, valamint a Windows 11 23H2, 24H2, 25H2 és 26H1 is szerepel. A felsorolás régebbi Windows 10-verziókat is tartalmaz.

A szerveroldali listán a Windows Server 2012 R2, 2016 és 2019 szerepel, ezek Server Core telepítéseivel együtt. A Microsoft több javítócsomagot rendel a hibához, ezért az adott rendszerhez tartozó frissítést a gyártó biztonsági útmutatója alapján kell kiválasztani.

A CISA 2026. október 13-án vette fel a hibát a bizonyítottan kihasznált sebezhetőségek listájára. Az előírt javítási határidő 2026. október 16., de ez nem magyarországi kötelezettség: az amerikai szövetségi szerveknek szól.

A CISA a gyártói intézkedések alkalmazását és az egyes eszközök internetes kitettségének felmérését írja elő. Magyar üzemeltetőként az aktív kihasználás miatt indokolt haladéktalanul alkalmazni a megfelelő javítást, nem az amerikai határidő miatt.