Microsoftin lokakuun 2026 tietoturvapäivitykset on priorisoitava todellisen altistumisen, ei pelkän haavoittuvuusmäärän perusteella. Ensimmäiseksi kannattaa selvittää, missä yrityksen laitteissa on aktiivisesti hyväksikäytetty Windows Shellin haavoittuvuus CVE-2026-96951, ja viedä korjaus näihin laitteisiin kiireellisesti mutta hallitusti.
Lokakuun 13. päivänä julkaistu kokonaisuus kattaa 1 411 haavoittuvuutta ja kolme nollapäivähaavoittuvuutta. Samaan päivään osuu myös eräiden Windows-versioiden tuen päättyminen. Yrityksen tehtävälistalla on siksi kaksi erillistä asiaa: nykyisten puutteiden korjaaminen ja sen varmistaminen, että laitteet saavat tietoturvapäivityksiä jatkossakin.
Mitä Microsoftin lokakuun päivityksissä korjattiin?
Päivityskokonaisuuteen kuuluu 70 kriittiseksi luokiteltua haavoittuvuutta. Niistä 57 liittyy etäkoodin suorittamiseen, 11 käyttöoikeuksien laajentamiseen ja kaksi huijaukseen. Kriittisyysluokka kuvaa teknistä vakavuutta, mutta yrityksen korjausjärjestykseen vaikuttavat myös hyökkäysten toteutuminen, järjestelmän saavutettavuus ja sen merkitys liiketoiminnalle.
Luku 1 411 tarkoittaa päivityspäivänä julkaistuja haavoittuvuuskorjauksia. Se ei sisällä 348:aa aiemmin lokakuussa korjattua haavoittuvuutta eikä tarkoita 1 411:tä erikseen asennettavaa päivityspakettia. Johdon raportoinnissa on tärkeämpää erottaa päivityspäivän korjaukset koko kuukauden korjauksista kuin verrata eri tavoin rajattuja kokonaismääriä.
Mitkä kolme nollapäivähaavoittuvuutta vaativat huomiota?
Yhtä korjatuista nollapäivähaavoittuvuuksista on käytetty hyökkäyksissä. Kaksi muuta oli julkistettu ennen korjausten saatavuutta. Julkistaminen ei yksin tarkoita, että haavoittuvuutta olisi jo hyödynnetty.
- CVE-2026-96951, Windows Shell: aktiivisesti hyväksikäytetty suojausominaisuuden ohitus. Haavoittuvuus mahdollistaa internetistä peräisin oleviin tiedostoihin liittyvän Mark of the Web -suojauksen ohittamisen. Korjaus on kiireellinen niissä ympäristöissä, joita haavoittuvuus koskee.
- CVE-2026-108398, .NET Framework: julkistettu paikallinen haavoittuvuus, jonka avulla tunnistautunut hyökkääjä voi ohittaa Windows Defender Application Control -sovellushallinnan rajoituksia. Arvioinnissa on tarkistettava sekä haavoittuvat ohjelmistoversiot että sovellushallinnan käyttö.
- CVE-2026-92707, MessagePack-CSharp: julkistettu palvelunestohaavoittuvuus. Tarkistukseen kuuluvat myös yrityksen sovellusten käyttämät kirjastot, sillä pelkkä työasemien päivitystilanne ei osoita sovellusriippuvuuksien olevan kunnossa.
Suomi Solutions voi auttaa yhdistämään laite- ja ohjelmistokartoituksen korjaustarpeisiin. Käytännössä tavoitteena on erottaa kiireelliset, yrityksen ympäristöön osuvat korjaukset niistä haavoittuvuuksista, joiden kohteena olevaa tuotetta yritys ei käytä.
Miten päivitystarve näkyy yrityksen arjessa?
Toimistotyöasemien lisäksi tarkistukseen kuuluvat esimerkiksi varaston työpisteet, etätyölaitteet ja Windows-palvelimet. Harvoin verkkoon kytkeytyvä laite voi jäädä päivitysjakelun ulkopuolelle, ja jatkuvassa käytössä oleva työpiste voi odottaa uudelleenkäynnistystä pitkään.
Päivityksen jakelu ei vielä todista, että haavoittuvuus on korjattu. Asennuksen onnistuminen, tarvittava uudelleenkäynnistys ja korjatun version käyttöönotto on varmistettava laitekohtaisesti. Liiketoiminnan jatkuvuuden kannalta myös keskeisten sovellusten toiminta pitää tarkistaa muutoksen jälkeen.
Suomi Solutionsin käytännön suositus on seurata kokonaismäärän sijasta erityisesti korjaamatta olevia kriittisiä laitteita, epäonnistuneita asennuksia ja sovittua aikataulua ylittäviä poikkeamia. IT-tuen avulla voidaan suunnitella rajattu pilottiryhmä ja käyttökatkot niin, että esimerkiksi tilausten käsittely ja toimitukset häiriintyvät mahdollisimman vähän.
Mitkä Windows-versiot jäivät ilman jatkopäivityksiä?
Windows 11 24H2:n Home- ja Pro-versioiden sekä Windows 10 Enterprise LTSB 2016:n tuki päättyi 13.10.2026. Lokakuun tietoturvapäivitys oli näiden versioiden viimeinen. Windows 11 24H2:n Home- ja Pro-versioita koskevaa tukipäivää ei pidä yleistää kaikkiin saman version tuoteversioihin.
Viimeisen päivityksen asentaminen korjaa sen kattamia puutteita, mutta ei jatka käyttöjärjestelmän tukea. Jokaiselle tuen päättäneelle laitteelle tarvitaan päätös: siirtyminen tuettuun versioon, laitteen uusiminen tai käytöstä poistaminen. Jos siirtyminen viivästyy sovellusriippuvuuden vuoksi, verkkoyhteyksien ja käyttöoikeuksien rajaaminen voi pienentää riskiä, mutta se ei korvaa tietoturvapäivityksiä.
Mitä yrityksen kannattaa tehdä nyt?
- Tunnista kohteet: kokoa käyttöjärjestelmien versiot ja tuoteversiot sekä haavoittuvat Microsoft-tuotteet ja sovellusriippuvuudet.
- Sovi korjausjärjestys: käsittele aktiivisesti hyväksikäytetty haavoittuvuus kiireellisesti ja arvioi muut korjaukset altistumisen sekä liiketoimintavaikutusten mukaan.
- Testaa olennaiset työnkulut: varmista esimerkiksi kirjautuminen, liiketoimintasovellukset ja tarvittavat oheislaitteet ennen laajaa käyttöönottoa.
- Todenna lopputulos: tarkista asennukset ja uudelleenkäynnistykset sekä nimeä vastuuhenkilö jokaiselle päivittämättä jääneelle laitteelle.
- Käsittele elinkaari erikseen: sovi tuen päättäneiden Windows-versioiden siirtymäaikataulu ja tarkista myös aiemmin lokakuussa julkaistut korjaukset.
Jos päivitysten kattavuus tai Windows-versioiden tukitilanne on epäselvä, Suomi Solutions voi auttaa laatimaan laitekohtaisen toimenpidelistan ja toteuttamaan siirtymisen tuettuun ympäristöön. Ota yhteyttä Suomi Solutionsiin, kun tarvitset apua korjausten, käyttökatkojen ja versiopäivitysten yhteensovittamiseen.
