Patch Tuesday červenec 2026 přinesl 127 CVE, finální vynucení Kerberos RC4 a mimořádnou opravu zero-day RoguePlanet. Přehled toho nejdůležitějšího a co s tím dnes udělat.
Druhé úterý v měsíci. Pro běžného uživatele den jako každý jiný, pro admina a CTI analytika svátek, na který se netěší, ale respektuje ho. Dnes, 14. července 2026, je Patch Tuesday červenec 2026 zas tady, tak pojďme na to, co přesně přivezl.
Co je vlastně Patch Tuesday
Microsoft s tímhle rituálem přišel v roce 2003, aby udělal pořádek v chaosu, kdy aktualizace padaly nepravidelně a admin nikdy nevěděl, kdy se má připravit na maraton restartů. Od té doby platí jednoduché pravidlo: druhé úterý v měsíci, kumulativní bezpečnostní aktualizace pro Windows, Office a další produkty. Předvídatelnost má smysl hlavně proto, že jde o hlavní mechanismus, kterým Microsoft řeší veřejně známé CVE, a čím dřív se patch nasadí, tím menší okno mají útočníci na to, aby si aktualizaci reverzovali a udělali z ní exploit. Tomuhle závodu se ostatně přezdívá „Exploit Wednesday“.
Zdroj: Zecurit – Patch Tuesday July 2026
Patch Tuesday červenec 2026 v číslech
Po červnu, kdy Microsoft nasypal rekordních 206 CVE (571 včetně Chromia a dalších bundlovaných komponent), je červencová dávka kolem 127 CVE prezentovaná jako „normalizace“. Realita je ale taková, že i tahle „normalizace“ leží nad každým předloňským měsíčním průměrem. Microsoft je na tempu přes tisíc opravených zranitelností za rok a FIRST odhaduje pro celý letošní rok 66 000 CVE napříč celým odvětvím.
Za tím stojí hlavně automatizovaný fuzzing, statická analýza a AI asistovaná analýza kódu, které nacházejí chyby rychleji, než je týmy stíhají opravovat. Microsoft to ostatně otevřeně přiznal a řekl, že tohle není dočasný výkyv, ale nová normalita.
Zdroj: byteiota – Patch Tuesday July 2026
Kerberos RC4 v Patch Tuesday červenec 2026: konec záchranné sítě
Nejdůležitější položka měsíce nemusí vypadat efektně, ale dopadne na víc firem než libovolný zero-day. Dnešní kumulativní update natvrdo odebírá kontrolu RC4DefaultDisablementPhase, tedy záchrannou síť, kterou organizace používaly od začátku roku, když Microsoft spustil postupné tvrdnutí Kerberos RC4. Pokud v prostředí zůstal jakýkoli servisní účet, který si o RC4 tickety ještě žádá, po instalaci mu může autentizace jednoduše spadnout.
Doporučený postup je audit před patchem, ne po něm. Windows Event Viewer od ledna 2026 nabízí devět auditních událostí přesně pro tenhle účel, a než se šáhne na update, má smysl projít servisní účty a vynutit jim generování AES klíčů změnou hesla.
Zdroj: byteiota – Patch Tuesday July 2026
RoguePlanet: zero-day, který předběhl Patch Tuesday červenec 2026 o pět dní
Vedlejší dějová linka měsíce patří výzkumníkovi vystupujícímu jako Nightmare-Eclipse, který si s Microsoftem od dubna 2026 užívá otevřenou při: šest windowsích zero-days za šest týdnů (RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma, MiniPlasma). Microsoft na to zareagoval nahlášením výzkumníka orgánům činným v trestním řízení, což vztahy nijak nezlepšilo.
Nejnovější přírůstek do sbírky se jmenuje RoguePlanet (CVE-2026-50656), race condition v Defenderu umožňující eskalaci na SYSTEM, s PoC kódem rovnou na GitHubu. Microsoft na to musel vydat mimořádnou opravu už 9. července, tedy pět dní před plánovaným Patch Tuesday. Výzkumník mezitím vyhrožoval „bone shattering“ dumpem dalších zero-days přímo na dnešek, pak hrozbu částečně stáhl s odkazem na vyčerpání, ale formálně ji nezrušil. Takže dnešek stojí za sledování o něco pozorněji než obvykle.
CISA navíc potvrdila, že dřívější BlueHammer už aktivně zneužívají ransomware skupiny, což je pěkná ukázka toho, jak rychle se z PoC na GitHubu stane provozní problém.
Zdroj: Help Net Security – July 2026 Patch Tuesday forecast, byteiota
Proč bude každý další Patch Tuesday jako červenec 2026: AI mění tempo
Microsoftí viceprezident pro Windows a zařízení Pavan Davuluri to shrnul otevřeně: čím víc AI pomáhá obráncům nacházet chyby, tím víc bezpečnostních oprav uvidí zákazníci v každém vydání. Jinými slovy, objem 200+ CVE měsíčně nebyl červnová anomálie, ale ukázka toho, kam to směřuje. Davuluri zároveň připomněl, že Microsoft má nástroje na automatizaci patchování a firmy, které je používají, tempo udrží.
Cynicky řečeno, je to taky docela obratná reklama na vlastní automatizační nástroje, ale fakticky se to shoduje s tím, co ukazují čísla za poslední půlrok.
Zdroj: The Register – Microsoft warns customers AI will mean busier Patch Tuesdays
Co si z Patch Tuesday červenec 2026 vzít
Při 127 nových CVE za měsíc přestává dávat smysl procházet je jednotlivě podle CVSS skóre, protože kritické nebo vysoké hodnocení má dnes přes polovinu všech CVE. Rozumnější filtr je kombinace EPSS skóre a CISA katalogu Known Exploited Vulnerabilities.
Pro tenhle měsíc konkrétně:
- Ověřit, že mimořádná oprava RoguePlanet z 9. července je nasazená.
- Provést audit Kerberos RC4 přes Event Viewer, teprve pak nasadit dnešní kumulativní update.
- Sledovat MSRC a bezpečnostní feedy dnes o něco pozorněji, kvůli nedořešené hrozbě dalšího dumpu.
- Zbytek CVE nechat na standardní patchovací cyklus podle priorit prostředí.
Patch Tuesday červenec 2026 dobře ukazuje, že tohle přestává být jednorázová událost a čím dál víc se mění na měsíční provozní zátěž, na kterou je potřeba mít proces, ne jen dobrou vůli.
