Rekordní Patch Tuesday a zneužívaná chyba v Mark of the Web: co to znamená pro stahované soubory

Microsoft v úterý 13. října 2026 vydal zdaleka největší balík bezpečnostních oprav ve své historii – podle různých zdrojů přes 1 400 zranitelností najednou. Mezi nimi je jedna jediná, u které sám Microsoft potvrzuje, že ji útočníci už zneužívají: CVE-2026-96951, chyba ve Windows Shellu, která obchází Mark of the Web, tedy tu neviditelnou značku, kterou Windows označují každý soubor stažený z internetu.

Pro nás na stahovacím portálu je to ta nejdůležitější zpráva měsíce, protože se týká přesně toho, co děláte, když si odsud nebo odkudkoli jinud stáhnete instalátor. V tomhle článku si projdeme, co se vlastně stalo, proč se počty opravených chyb v jednotlivých médiích liší, co Mark of the Web ve skutečnosti je, jak si ho sami zkontrolujete – a co z toho všeho plyne pro běžného člověka, který prostě jen potřebuje nainstalovat program.

Kolik chyb Microsoft opravil? Záleží na tom, kdo počítá

Každý říjnový přehled uvádí trochu jiné číslo. Tenable napočítal 1 407 CVE napříč 301 produkty a komponentami. BleepingComputer uvádí 1 411, jiné servery píší o 1 413 nebo 1 415. Nejde o chybu v jednom z nich – jde o to, že každý počítá něco trochu jiného.

Hlavní rozdíl dělají zranitelnosti třetích stran, které Microsoft přebírá a znovu vydává pod svým jménem. Velkou část dnešního objemu tvoří opravy open-source balíčků v Azure Linuxu (dříve Mariner) – chyby v Apache HTTP Serveru, GnuTLS, CUPS, knihovnách jazyka Go nebo v MIT Kerberu. Tyto CVE nevznikly u Microsoftu, jen je Microsoft distribuuje svým zákazníkům. Někdo je do celkového součtu započítá, někdo ne.

Druhý rozdíl dělá časové vymezení. Microsoft vydává opravy i mimo druhé úterý v měsíci – cloudové služby, Azure, Exchange. Jeden přehled započítá jen to, co vyšlo přesně 13. října, druhý sečte celý měsíc. A do třetice se liší zacházení se zranitelnostmi v Chromiu, které se promítají do Edge.

Praktický závěr pro čtenáře je jednoduchý: přesné číslo nehraje roli. Ať je to 1 407 nebo 1 415, na vašem počítači se stejně nainstaluje jeden kumulativní balíček. Důležité je, co v něm je – a tam se všechny zdroje shodují naprosto přesně.

Jediná aktivně zneužívaná chyba: CVE-2026-96951

Z celého toho obrovského množství je zneužívaná jen jedna jediná. Microsoft ji ve svém katalogu vede jako „Windows Shell Security Feature Bypass Vulnerability“ se základním skóre CVSS 8.8 a stavem „Exploitation Detected“, tedy zneužití bylo zaznamenáno v praxi.

Microsoftův vlastní popis je technicky střízlivý: jde o nesprávné ošetření speciálních znaků v příkazu (command injection) ve Windows Shellu, které neoprávněnému útočníkovi umožní obejít bezpečnostní funkci po síti. V doplňujících otázkách pak Microsoft dodává to podstatné – úspěšný útočník obejde ochranu Mark of the Web.

A jak se útok odehraje? Opět citujeme Microsoft: útočník nejspíš pošle speciálně připravený soubor e-mailem nebo v rychlé zprávě. Microsoft výslovně zdůrazňuje, že nemůže oběť donutit, aby si obsah zobrazila – musí ji přesvědčit, aby sama klikla na odkaz nebo otevřela přílohu. Útok tedy vyžaduje interakci uživatele. To je dobrá zpráva i varování zároveň.

Žádné technické detaily zneužití ani ukázkový kód tu uvádět nebudeme a nebudeme ani popisovat, jak se značka ze souboru odstraňuje. Pro vás je relevantní jen riziko a obrana.

Co je Mark of the Web a proč je to důležitější, než to zní

Neviditelná vlaječka v souborovém systému

Když si cokoli stáhnete z internetu, Windows k tomu souboru připojí poznámku, že nepochází z vašeho počítače. Technicky jde o alternativní datový proud souborového systému NTFS s názvem Zone.Identifier – malý přívěsek k souboru, který v Průzkumníku nevidíte a který se do velikosti souboru nepočítá.

Uvnitř je uloženo číslo zóny: 0 znamená tento počítač, 1 místní síť, 2 důvěryhodné servery, 3 internet a 4 servery s omezeným přístupem. Pro stažené soubory je to typicky trojka. Microsoft tento mechanismus podrobně popisuje ve své dokumentaci k blokování maker.

Důležité omezení: značka funguje jen na NTFS. Na flash disku naformátovaném na FAT32 se nikam nezapíše, protože ten formát alternativní datové proudy neumí. To není chyba, to je prostě vlastnost.

Co ta značka spustí

Sama o sobě nic neblokuje. Je to vstupní informace pro ostatní ochrany, a těch je celá řada.

• SmartScreen u spustitelných souborů zobrazí modré okno „Systém Windows ochránil váš počítač“ s tlačítkem, pod kterým se teprve skrývá možnost soubor přesto spustit.

• Chráněné zobrazení v Office otevře dokument v režimu jen pro čtení, bez maker a bez aktivního obsahu.

• Makra z internetu se blokují úplně – uživatel nedostane tlačítko „Povolit obsah“, jen varovný pruh.

• Ve vlastnostech souboru se objeví zaškrtávátko „Odblokovat“ s textem, že soubor pochází z jiného počítače a může být z bezpečnostních důvodů zablokován.

• Řada aplikací, včetně skriptovacích hostitelů a instalátorů, se podle zóny chová opatrněji.

Mark of the Web je tedy něco jako razítko „cizí zboží, zkontrolovat“. Když razítko zmizí, všechny následné kontroly se chovají, jako by soubor vznikl u vás na disku.

Proč se ji útočníci snaží obejít roky

Právě proto, že jediná neviditelná vlaječka drží v chodu několik vrstev ochrany najednou, je to pro útočníky mimořádně atraktivní cíl. Historie posledních let je přehlídkou pokusů o její obcházení: distribuce malwaru v souborech ISO a VHD, které se ve Windows připojí jako disková jednotka a soubory uvnitř značku nedostanou. Archivy zpracované tak, aby se při rozbalení značka nepřenesla na jednotlivé soubory. Různé nekonzistence v tom, které komponenty systému značku správně předávají dál.

Microsoft tyhle cesty postupně zavírá a archivační nástroje je reflektují – moderní verze 7-Zipu umí značku při rozbalení propagovat na vybalené soubory, což je chování, které doporučujeme mít zapnuté. Útočníci zase hledají nové mezery. CVE-2026-96951 je jen poslední kolo téhle hry.

A co to znamená konkrétně pro vás? Že soubor, který by vám systém jinak označil jako podezřelý, se otevře bez jediného varování. Nepřijde modré okno SmartScreenu, dokument se neotevře v chráněném zobrazení, makro se nezablokuje. Útočník tím nezíská automatické spuštění kódu – pořád vás musí přesvědčit, abyste soubor otevřeli. Získá ale to nejcennější: ticho.

Jak si značku zkontrolujete sami

Tohle je užitečný návyk bez ohledu na aktuální chybu. Klikněte na stažený soubor pravým tlačítkem, zvolte Vlastnosti a podívejte se na spodek karty Obecné.

Pokud tam je zaškrtávátko Odblokovat, značka na souboru je a systém ví, že soubor přišel zvenčí. To je normální a správný stav. Zaškrtnutí políčka značku odstraní – dělejte to jen u souborů, kterým skutečně důvěřujete, a ideálně vůbec.

Pokud tam zaškrtávátko není, značku soubor nemá. Nemusí to být nic zlého – typicky to platí pro soubory, které jste si sami vytvořili, pro soubory ze synchronizovaného OneDrivu, pro soubory z místní sítě nebo pro cokoli, co přišlo přes FAT32 flash disk. Ale pokud vám soubor dorazil jako příloha e-mailu nebo přes messenger a značku nemá, je to signál, který stojí za zpozornění.

Stejnou kontrolu dělejte i po rozbalení archivu. Právě tam se historicky značka nejčastěji ztrácela a právě tam má smysl se podívat, jestli ji váš archivační program předává dál.

Co SmartScreen umí a co neumí

Řada lidí má SmartScreen za antivirus. Není. Je to reputační filtr: ptá se Microsoftu, jestli už tenhle konkrétní soubor nebo tenhle podpis někdo v minulosti viděl a jak dopadl.

Co umí dobře: zastavit malware, který už někde koluje a má špatnou pověst. Varovat u nepodepsaných souborů od neznámých vydavatelů. Blokovat známé phishingové adresy v Edge.

Co neumí: rozpoznat úplně nový, čerstvě zkompilovaný škodlivý soubor, který ještě nemá žádnou reputaci. Prohlédnout podepsaný instalátor, pod kterým se skrývá něco jiného. A pochopitelně nic nezmůže ve chvíli, kdy se k němu dotyčný soubor vůbec nedostane, protože obešel Mark of the Web.

Proto SmartScreen nikdy nepovažujte za jedinou vrstvu. Rezidentní ochranu nechte na Microsoft Defenderu nebo na alternativě typu Avast Free Antivirus, a když máte pocit, že se v počítači něco usadilo, pusťte si kontrolu na vyžádání nástrojem Malwarebytes, který se s Defenderem nepere.

„Stáhl jsem to z oficiálního webu“ je ta skutečná obrana

Všechny tyhle technické vrstvy jsou záchranná síť. Hlavní obrana je o patro výš: nestahovat soubory z míst, kde nevíte, kdo je tam dal.

Falešné instalátory jsou dnes nejběžnější cesta, jak se malware dostane k běžnému uživateli – podrobně jsme o nich psali v článku Falešné instalátory: jak poznat podvodný web dřív, než něco spustíte. Klon oficiální stránky, nakoupená reklama ve vyhledávači, instalátor, který vypne Windows Update a Defenderu zapíše výjimky pro celé složky. Mark of the Web by takový soubor označil – ale jen pokud značka funguje.

U nás v katalogu proto u každého programu vedeme odkaz na stránku výrobce a na jeho vlastní soubory, u každé položky uvádíme, zda výrobce kontrolní součty vůbec zveřejňuje – řada z nich totiž žádné nenabízí – a u instalátorů, které se pokoušejí něco přibalit, to píšeme natvrdo. U programů jako Google Chrome nebo Mozilla Firefox vždy směřujeme na oficiální zdroj – u prohlížečů to platí dvojnásob, protože ty se samy aktualizují a prostředníka nepotřebují. Jak si ověřit, že máte opravdu opravenou verzi prohlížeče, rozebíráme v článku o letošních zero-day chybách v Chromu.

Praktický tip na závěr téhle části: na otevírání PDF z e-mailu je rozumné mít něco minimalistického. SumatraPDF je drobný, rychlý a má výrazně menší plochu k útoku než plnotučné kancelářské balíky.

Dvě další zveřejněné chyby

Kromě aktivně zneužívané chyby byly v říjnu veřejně známé ještě dvě další, u kterých ale Microsoft zneužití nepotvrdil.

CVE-2026-108398 je chyba v .NET Frameworku: nedůvěryhodná cesta pro vyhledávání knihoven umožní přihlášenému útočníkovi lokálně obejít Windows Defender Application Control. Microsoft ji hodnotí jako „Exploitation Less Likely“ a běžného domácího uživatele se prakticky netýká, protože WDAC je podniková technologie.

CVE-2026-92707 v knihovně MessagePack-CSharp dovoluje nepřihlášenému útočníkovi po síti vyvolat odepření služby nekontrolovanou alokací paměti. Skóre 5,3, hodnocení Moderate. Opět spíš starost pro provozovatele serverů než pro domácnost.

Třináctého října skončila podpora dalších produktů

Ten samý den Microsoft ukončil podporu několika věcí najednou. Podle oficiální stránky životního cyklu dosáhly konce servisu edice Windows 11 verze 24H2 Home a Pro (Microsoft uvádí 14. října 2026, 6:59 PT – říjnová aktualizace je tedy pro tuto verzi poslední). Edice Enterprise a Education mají ještě rok navíc.

Prakticky to znamená, že pokud máte Home nebo Pro na verzi 24H2, musíte na 25H2 nebo novější. Přechod obvykle proběhne sám přes Windows Update jako povolovací balíček, tedy bez dlouhé reinstalace. Svou verzi zjistíte zadáním winver do nabídky Start.

Stejným dnem skončila také podpora balíků Office LTSC 2021, jak potvrzuje stránka životního cyklu, a spolu s ním i Visio LTSC 2021 a Project LTSC 2021. Programy dál fungují, jen už nedostávají bezpečnostní opravy – a to u kancelářského balíku, který denně otevírá cizí dokumenty, není dobrý nápad.

Uživatelů Windows 10 se tohle netýká. Bezplatný program rozšířených aktualizací zabezpečení pro domácnosti běží dál až do 12. října 2027, ale je nutné se k němu přihlásit – postup krok za krokem máme v článku Windows 10 rok po konci podpory.

Proč počty záplat v roce 2026 explodovaly

Ještě loni byl Patch Tuesday s osmdesáti chybami normální. Letos jsme šli od 113 v lednu přes 198 v červnu a 569 v červenci až k 964 v září a dnešním 1 400 a víc. To je nárůst, který si zaslouží vysvětlení.

Nejčastěji citovaným důvodem je hledání zranitelností s pomocí umělé inteligence. Zdůrazňujeme ale, že jde o výklad analytiků, ne o oficiální stanovisko Microsoftu. Dustin Childs z Zero Day Initiative to pro Help Net Security shrnul tak, že umělá inteligence chyby nevytváří – jen zkracuje dobu mezi tím, kdy chyba existuje, a tím, kdy ji někdo najde. Podle něj objevování předbíhá zneužívání, a proto se má řadit podle zneužitelnosti, ne podle počtu CVE.

Druhým faktorem je způsob počítání, který jsme popsali na začátku: sdružování oprav open-source komponent z Azure Linuxu dokáže součet nafouknout o stovky položek, aniž by se čehokoli na vašem počítači dotklo.

Správný závěr zní: větší číslo není automaticky horší měsíc. Říjen 2026 má rekordní počet oprav a přitom jen jednu potvrzeně zneužívanou chybu. Zářijový balík měl o čtyři stovky položek méně, ale pro uživatele nemusel být o nic bezpečnější. Co se počítá, je zneužívanost, ne objem.

Co udělat tento týden

• Nainstalujte říjnové aktualizace. Nastavení → Windows Update → Vyhledat aktualizace, pak restart. Týká se to i vás, pokud podezřelé přílohy nikdy neotevíráte – opravu Mark of the Web nelze nahradit opatrností.

• Zkontrolujte svou verzi Windows. Zadejte winver do Startu. Pokud vidíte 24H2 a máte edici Home nebo Pro, naplánujte si přechod na 25H2.

• Ověřte, že se aktualizace skutečně dokončila. Historie aktualizací ukáže, jestli se balíček nainstaloval, nebo jestli skončil chybou a tiše se opakuje.

• Restartujte prohlížeče. Stažená oprava se u Chromu i Firefoxu aktivuje až po zavření a novém otevření okna.

• U nejbližšího staženého souboru se podívejte do Vlastností. Zjistíte, jak zaškrtávátko „Odblokovat“ vypadá, a budete vědět, co znamená, když tam příště nebude.

• Používáte Office LTSC 2021, Visio nebo Project 2021? Naplánujte si přechod. Bezpečnostní opravy už nepřijdou.

• Udělejte si zálohu. Nejlevnější pojistka proti čemukoli, co projde. Pokud vám po zářijové aktualizaci přestala fungovat vestavěná Historie souborů, zkontrolujte, že oprava dorazila, nebo sáhněte po Veeam Agentu zdarma a udělejte si obraz celého disku.

Časté otázky

Jsem v ohrožení, když neotevírám podezřelé přílohy?

Riziko máte výrazně nižší, ale nulové není. Microsoft popisuje scénář jako soubor doručený e-mailem nebo zprávou, jenže tyhle zprávy přicházejí i z účtů, kterým důvěřujete a které někdo převzal. Navíc tatáž aktualizace opravuje tisícovku dalších chyb. Nainstalujte ji.

Poznám, že na mě někdo tuhle chybu zkoušel?

Běžný uživatel spolehlivě ne, a to je na ní to nepříjemné. Celý smysl obejití Mark of the Web je právě v tom, že nepřijde žádné varování – soubor se otevře stejně nenápadně, jako by vznikl u vás na disku. Jediná obrana je záplata plus obezřetnost u toho, co vůbec otevíráte.

Mám zaškrtávátko „Odblokovat“ zaškrtávat?

Zpravidla ne. Dává smysl jen u souborů, u kterých si jste naprosto jistí původem a u kterých vám blokace brání v práci – typicky u vlastních dokumentů s makry nebo u nástrojů z firemní sítě. U čehokoli, co přišlo e-mailem, ho nechte být.

Proč se číslo opravených chyb liší článek od článku?

Protože se liší metodika. Někdo počítá jen opravy vydané přesně 13. října, někdo celý měsíc; někdo započítá zranitelnosti open-source komponent v Azure Linuxu, které Microsoft jen přebírá a znovu vydává, jiný je vynechá. Rozdíl pár jednotek či desítek položek na vašem počítači nic nemění.

Co když mám starší Windows 10 a aktualizace nechodí?

Pravděpodobně nejste přihlášení do bezplatného programu rozšířených aktualizací zabezpečení. Ten běží do 12. října 2027 a přihlášení neproběhne samo – návod máme v samostatném článku o ESU pro Windows 10. Pokud nabídka k přihlášení v Nastavení nevyskočí, bývá na vině chybějící účet Microsoft nebo nedoinstalovaná předchozí kumulativní aktualizace.