Microsoft vydal opravu zero-day zranitelnosti ve Windows, která už byla aktivně zneužívána k instalaci malwaru spojeného se skupinou Lazarus, severokorejskou státem podporovanou hackerskou skupinou. Chyba typu use-after-free umožňovala útočníkům získat hlubší přístup k napadeným systémům, než nainstalovali rootkit navržený tak, aby je tam udržel neodhalené. Pokud jste v poslední době neaktualizovali Windows, je to přesně ten druh záplaty, kterou nechcete odkládat.

Co tato zero-day zranitelnost ve Windows dělá

Ke zranitelnosti use-after-free dochází, když program nadále používá část paměti poté, co už byla uvolněna pro jiné účely. Prakticky to vytváří otvor pro útočníky, aby mohli manipulovat se způsobem, jakým systém s touto pamětí nakládá, a často jim to umožní spustit vlastní kód se zvýšenými oprávněními. Ve Windows může taková chyba znamenat rozdíl mezi tím, zda má útočník omezený přístup k počítači, nebo nad ním téměř úplnou kontrolu.

Protože tato zranitelnost byla zero-day, tedy byla aktivně zneužívána ještě předtím, než Microsoft vydal opravu, byl během doby zneužívání potenciálně vystaven každý, kdo používal nezáplatovanou verzi Windows. Zero-day chyby jsou obzvlášť nebezpečné právě proto, že nepřicházejí s předstihem. Obránci nemohou záplatovat něco, o čem nevědí, že je rozbité, a proto útočníci i bezpečnostní výzkumníci závodí, kdo tyto chyby najde dřív. Windows a jejich doprovodný prohlížeč Edge zůstávají v tomto závodě častými cíli. Na Pwn2Own Berlin 2026 výzkumníci předvedli několik funkčních exploitů proti oběma produktům, což připomíná, že nové zranitelnosti v klíčovém softwaru Microsoftu se objevují téměř neustále.

Jak ji Lazarus využívá k nasazení rootkitu

Jakmile útočníci zneužili chybu use-after-free, využili přístup, který jim poskytla, k nasazení rootkitu spojeného se skupinou Lazarus. Rootkit je kategorie malwaru vytvořená speciálně k tomu, aby se skrývala a udržovala kontrolu nad systémem na hluboké, často jaderné úrovni, takže je pro běžné antivirové nástroje nebo dokonce IT administrátory mnohem obtížnější ho odhalit. Skupina Lazarus má dlouhou historii finančně motivovaných a špionážních kampaní a její nástroje bývají sofistikované, dobře zajištěné a budované spíše pro dlouhodobý přístup než pro rychlou krádež typu „vzít a zmizet“.

Na této kombinaci záleží: zero-day poskytuje počáteční opěrný bod a rootkit je to, co z tohoto opěrného bodu udělá něco trvalého. Útočníkům nejde jen o to dostat se dovnitř, chtějí tam zůstat, potichu, co nejdéle.

Proč je persistence rootkitu větší hrozbou než běžný malware

Většina malwarových infekcí je nakonec odhalena, ať už kvůli neobvyklému chování systému, bezpečnostnímu softwaru označujícímu podezřelé soubory nebo nárůstu odchozího síťového provozu. Rootkity jsou navrženy přesně tak, aby se tomuto druhu detekce vyhnuly. Tím, že fungují na nízké úrovni operačního systému, někdy dokonce pod úrovní, kam se běžné bezpečnostní nástroje dívají, může rootkit útočníkovi umožnit sledovat aktivitu, exfiltrovat data nebo se po delší dobu pohybovat napříč sítí, aniž by spustil poplach.

Právě tato persistence odlišuje průnik založený na rootkitu od běžné malwarové nákazy. Typický malware může být odstraněn skenováním a restartem. Dobře skrytý rootkit může tyto nápravné kroky zcela přežít, a proto bezpečnostní výzkumníci považují nasazení rootkitu za vážnou eskalaci, nikoli jen za další položku ve zprávě o hrozbách.

Záplatujte ihned: Kroky k zabezpečení systému a snížení expozice

Microsoft již pro tuto zranitelnost vydal záplatu, takže nejdůležitější opatření, které může každý uživatel Windows udělat, je jednoduché: okamžitě aktualizujte. Otevřete Windows Update, zkontrolujte nejnovější bezpečnostní záplaty a bez prodlení je nainstalujte. Do budoucna by měly být zapnuté automatické aktualizace, aby budoucí opravy nezůstávaly nenainstalované.

Kromě této jediné záplaty je tento incident užitečnou pobídkou k revizi širší bezpečnostní hygieny. Udržujte nástroje ochrany koncových bodů aktivní a aktualizované, protože i když je rootkit obtížné odhalit, moderní bezpečnostní software je průběžně aktualizován, aby zachytil známé indikátory. Omezení používání účtů s právy správce pro každodenní činnosti rovněž snižuje škody, které může úspěšný exploit způsobit, protože mnoho útoků na eskalaci oprávnění závisí právě na tom, že se útočník nejprve dostane ke zvýšenému přístupu.

Co to znamená pro vás

Pro většinu domácích uživatelů a malých firem tato konkrétní kampaň Lazarus pravděpodobně není přímým cílem, ale základní ponaučení platí obecně. Zero-day chyby jsou průběžně objevovány a zneužívány a rychlé záplatování je jednou z mála obran, která funguje konzistentně téměř v každém scénáři hrozeb. Vrstvená ochrana, včetně šifrování a monitorování síťového provozu, používání renomované VPN v neznámých nebo veřejných sítích a oddělení citlivých zařízení od běžného prohlížení, to vše snižuje pravděpodobnost, že se z jediné zranitelnosti stane plnohodnotná kompromitace.

Širší souvislost je taková, že žádná jednotlivá záplata, byť sebedůležitější, není trvalým řešením. Nové zranitelnosti ve Windows a Edge jsou nadále objevovány na akcích, jako je Pwn2Own Berlin 2026, což podtrhuje, že operační systém, na který se většina lidí denně spoléhá, je pod neustálým dohledem obránců i útočníků.

Bezprostřední úkol je jednoduchý: pokud jste to ještě neudělali, okamžitě záplatujte své systémy s Windows. Kromě toho berte tento incident jako připomínku, abyste měli zapnuté automatické aktualizace, omezili zbytečná oprávnění správce a spojili dobré návyky v záplatování s vrstvenou ochranou sítě, aby se jediná zmeškaná aktualizace nestala otevřenými dveřmi.