Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Microsoft opravuje viac ako 200 zraniteľností v rámci Patch Tuesday

Microsoft v rámci júnového „Patch Tuesday“ vydal opravy pre viac ako 200 zraniteľností [1][2]. Najzávažnejšie z nich sú opísané nižšie, úplný prehľad všetkých zraniteľností vrátane dostupných opráv je uvedený na [1] v detailoch jednotlivých záznamov.

Windows HTTP.sys - RCE (CVE-2026-47291)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu integer overflow/wraparound v komponente Windows HTTP.sys umožnené prostredníctvom špeciálne upraveného sieťového paketu spustiť ľubovoľný kód na zraniteľnom systéme [3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows Kernel - RCE (CVE-2026-45657)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu use after free v jadre Windows umožnené prostredníctvom špeciálne upravenej sieťovej prevádzky spustiť ľubovoľný kód, potenciálne so systémovými oprávneniami [4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows DHCP Client Service - RCE (CVE-2026-44815)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je vo Windows DHCP Client Service umožnené prostredníctvom špeciálne upravenej DHCP prevádzky spustiť ľubovoľný kód na zraniteľnom systéme [5].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Remote Desktop Client - RCE (CVE-2026-42985)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybnej správe pamäte v Remote Desktop Client umožnené po pripojení používateľa ku škodlivému RDP serveru spustiť ľubovoľný kód na klientskom systéme [6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows HTTP.sys - DoS (CVE-2026-49160)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nekontrolovanej spotrebe prostriedkov pri spracovaní HTTP/2 požiadaviek v HTTP.sys umožnené vykonať útok DoS [7].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows Collaborative Translation Framework - eskalácia oprávnení (CVE-2026-45586)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu link-following vo Windows Collaborative Translation Framework umožnené eskalovať svoje oprávnenia a získať oprávnenia SYSTEM [8].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows BitLocker - obídenie bezpečnostnej funkcie (CVE-2026-50507)
CVSS 6.8 (Medium)

Neautentizovanému lokálnemu útočníkovi s fyzickým prístupom k zariadeniu je prostredníctvom zraniteľnosti v ochrane BitLocker umožnené obísť šifrovanie disku, najmä pri systémoch spoliehajúcich sa iba na TPM-only ochranu, a získať prístup k šifrovaným dátam na systémovom úložisku [9].

CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Windows Active Directory Domain Services - RCE (CVE-2026-45648)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu stack-based buffer overflow vo Windows Active Directory Domain Services umožnené prostredníctvom špeciálne upravených vstupov spustiť ľubovoľný kód [10].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Microsoft Outlook, Microsoft Word - RCE (CVE-2026-45456)
CVSS 8.4 (High)

Neautentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu type confusion v Microsoft Office umožnené prostredníctvom špeciálne upraveného obsahu spracovaného aplikáciami Outlook/Word spustiť ľubovoľný kód [11].

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Azure Kubernetes Service - RCE (CVE-2026-32193)
CVSS 8.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu path traversal v Azure Kubernetes Service umožnené prostredníctvom nedôveryhodného kontajnera s host network konfiguráciou zasielať špeciálne upravené požiadavky na host-level službu a lokálne spustiť škodlivý kód [12].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

  • CVE-2026-32193 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 10. 6. 2026.

CESNET, z.s.p.o. Logo