Stručně
- Microsoft 13. 10. 2026 opravil chybu CVE-2026-96951 ve Windows Shell. Podle Microsoftu je už zneužívaná.
- Chyba umožňuje obejít varování u souborů stažených z internetu. Útok začíná podvrženou přílohou nebo odkazem.
- Oprava je v říjnových aktualizacích pro Windows 10, Windows 11 i Windows Server. Nainstalujte ji co nejdřív.
- Aktualizace pro Windows 11 zároveň zapíná přísnější režim pro NTLMv1. Ověřte, že funguje firemní Wi-Fi a VPN.
Co Microsoft opravil
Microsoft 13. října 2026 vydal pravidelné měsíční bezpečnostní aktualizace. Mezi opravami je chyba ve Windows Shell s označením CVE-2026-96951. Microsoft u ní uvádí, že je už zneužívaná. Americký úřad CISA ji týž den zařadil do svého katalogu aktivně zneužívaných chyb a federálním úřadům dal na opravu tři dny.
Chyba umožňuje obejít ochranu Mark of the Web. Windows tak označuje soubory stažené z internetu nebo z e-mailu. Díky tomu u nich zobrazí varování, nebo je Office otevře v omezeném režimu. Když útočník ochranu obejde, varování se neobjeví a uživatel spustí škodlivý soubor bez povšimnutí.
Jak útok vypadá
Podle Microsoftu útočník pošle upravený soubor e-mailem nebo přes chat. Nikoho ale nedonutí soubor otevřít. Musí ho přesvědčit, aby klikl na odkaz nebo otevřel přílohu. Jde tedy o klasický phishing, jen bez varování, na které jsou lidé zvyklí. Proto pomáhá i školení. Nejlepší ochrana je podezřelou přílohu vůbec neotevřít.
Kterých systémů se to týká
Microsoft uvádí jako zasažené prakticky všechny podporované verze:
- Windows 11 (23H2, 24H2, 25H2, 26H1 a 26H2),
- Windows 10 (22H2 a verze LTSC),
- Windows Server 2012 R2 až 2025.
Pro Windows 11 24H2, 25H2 a 26H2 je oprava v aktualizaci KB5127648. Windows 10 už běžnou podporu nemá. Opravu dostanou jen počítače zapojené do programu rozšířených aktualizací. Více v článku Windows 10: skončil první rok placených aktualizací ESU.
Pozor na změnu u NTLMv1
Aktualizace KB5127648 mění jedno výchozí nastavení. Windows teď blokuje vytváření přihlašovacích údajů odvozených z NTLMv1 pro jednotné přihlášení. Dřív tento stav jen zaznamenával. Podle Microsoftu se změna týká počítačů s vypnutou funkcí Credential Guard, kde správce sám nenastavil hodnotu BlockNtlmv1SSO.
Microsoft upozorňuje, že to může ovlivnit připojení k Wi-Fi, k síti přes kabel a VPN, pokud používají ověřování MS-CHAPv2. To se ve firmách vyskytuje u starších nastavení podnikové Wi-Fi a VPN. Pokud se po aktualizaci lidé nemohou připojit, je to první místo, kde hledat.
Co udělat teď
- Zkontrolujte, že je říjnová aktualizace nainstalovaná na všech počítačích a serverech. Ve správě přes Intune nebo jiné MDM to uvidíte v přehledu, jinak v Nastavení v části Windows Update.
- Vyzkoušejte firemní Wi-Fi a VPN na jednom aktualizovaném počítači dřív, než aktualizaci pustíte na všechny.
- Najděte počítače s Windows 10 bez ESU. Tuto opravu nedostanou a měly by přejít na Windows 11.
- Připomeňte lidem, ať neotevírají nečekané přílohy, ani když Windows nic nehlásí.
Jak aktualizace ve firmě řídit, aby nic nezdržovaly a nic se nerozbilo, popisujeme v článku Aktualizace ve firmě bez stresu.
Časté otázky
Jaká chyba Windows se v říjnu 2026 aktivně zneužívá?
CVE-2026-96951 ve Windows Shell. Umožňuje obejít ochranu Mark of the Web, takže Windows u škodlivého souboru nezobrazí varování. Microsoft ji opravil 13. října 2026.
Které aktualizace chybu opravují?
Říjnové bezpečnostní aktualizace Windows z 13. 10. 2026. Pro Windows 11 24H2, 25H2 a 26H2 je to KB5127648.
Proč po aktualizaci nefunguje Wi-Fi nebo VPN?
KB5127648 zapíná přísnější režim pro NTLMv1. Podle Microsoftu to může ovlivnit Wi-Fi, kabelovou síť a VPN s ověřováním MS-CHAPv2 na počítačích bez Credential Guard.
Dostane opravu i Windows 10?
Jen počítače zapojené do programu rozšířených bezpečnostních aktualizací (ESU). Běžná podpora Windows 10 skončila v říjnu 2025.