Ostatnie łatki bezpieczeństwa Windows i Linux: co musisz zaktualizować teraz

1. Priorytety łatek: co trzeba zaktualizować „na już”

Trzy poziomy pilności: jak szybko trzeba działać

Przy aktualizacjach bezpieczeństwa liczy się nie tylko to, czy zainstalujesz łatki, ale kiedy to zrobisz. Najprostszy podział, który sprawdza się zarówno w domu, jak i w małej firmie:

• Poziom 1 – „natychmiast”: luki typu zdalne wykonanie kodu (Remote Code Execution), zero‑day, podatności w usługach wystawionych do internetu (RDP, SSH, VPN, serwery www). To są łatki, które trzeba wprowadzić jak najszybciej, często jeszcze tego samego dnia.
• Poziom 2 – „w tym tygodniu”: błędy pozwalające podnieść uprawnienia (Privilege Escalation), obejść zabezpieczenia (Security Feature Bypass), wycieki danych w specyficznych warunkach. Dają atakującemu przewagę, ale zazwyczaj wymagają już wcześniejszego dostępu do systemu.
• Poziom 3 – „przy następnym oknie serwisowym”: poprawki stabilności, wydajności, aktualizacje mniej krytycznych komponentów, np. sterowników, funkcji systemowych nie wystawionych do internetu.

W praktyce: Poziom 1 instalujesz jak tylko możesz zrestartować system; Poziom 2 planujesz na najbliższe popołudnie lub wieczór; Poziom 3 spiętrzasz przy większym, planowym oknie serwisowym.

Słowa-klucze w opisach aktualizacji, na które trzeba reagować

Nie każdy ma czas czytać pełne biuletyny bezpieczeństwa. Da się jednak szybko rozpoznać priorytet po kilku powtarzających się frazach:

• Remote Code Execution (RCE), „zdalne wykonanie kodu”, „atak bez interakcji użytkownika” – to praktycznie automatyczny Poziom 1.
• Privilege Escalation, „podniesienie uprawnień do poziomu SYSTEM/root” – zwykle Poziom 2, choć jeśli dotyczy np. usługi logowania domenowego, bywa traktowane jak krytyczne.
• VPN, RDP, SSH, HTTP/HTTPS – jeśli aktualizacja dotyczy tych usług, a masz je wystawione do internetu, podbij priorytet o jeden poziom w górę.
• Browser, Edge, Chrome, Firefox – przeglądarka z luką RCE to bardzo poważna sprawa; te łatki traktuj jak krytyczne.
• Kernel, jądro, openssl, ssh – w Linuksie to fundamenty bezpieczeństwa. Aktualizacje bezpieczeństwa tych komponentów planuj szybko, z minimalnym opóźnieniem.

Jeśli w skróconym opisie łatki widzisz połączenie „remote code execution” + „nie wymaga uwierzytelnienia” + „dotyczy usługi sieciowej”, nie ma sensu zwlekać – system wymaga natychmiastowej aktualizacji i restartu w najbliższym możliwym oknie.

Zbiorcze paczki vs. pojedyncze łatki

Na Windows większość poprawek przychodzi jako aktualizacje zbiorcze (skumulowane). Oznacza to, że jedna paczka zawiera kilkanaście lub więcej łatek bezpieczeństwa i jakościowych. W Windows Update najczęściej zobaczysz po prostu „Aktualizacja zbiorcza dla systemu Windows 10/11” – i tyle. W praktyce nie wybierasz pojedynczych CVE, tylko akceptujesz pakiet.

W Linuksie aktualizacje są zazwyczaj per pakiet (openssl, openssh, kernel, biblioteki). Menedżer pakietów pokaże listę, gdzie część pozycji ma oznaczenie „security”. Przykładowo na systemach z dnf pojawi się informacja przy aktualizacjach bezpieczeństwa.

Bez względu na system, nie odkładaj pakietów zawierających:

• łatki jądra (kernel update),
• aktualizacje dla przeglądarek,
• łatki dla klienta VPN i zdalnego pulpitu (RDP, VNC itp.),
• aktualizacje serwera SSH i OpenSSL na serwerach.

Przykład z małego biura: RDP kontra drukarka

Typowy scenariusz w polskiej mikro‑firmie: kilka komputerów z Windows, dostęp do biura po RDP z domów pracowników, do tego drukarka sieciowa. W Windows Update pojawiają się dwie rzeczy:

• aktualizacja zbiorcza z łatką RDP (zdalne wykonanie kodu),
• nowy sterownik drukarki.

Co jest naprawdę pilne? Krytyczna jest paczka z łatką dla RDP – bo RDP bywa wystawiony do internetu, a luki w tym protokole były wielokrotnie wykorzystywane w realnych atakach. Sterownik drukarki można zainstalować przy okazji, ale jeśli chcesz zminimalizować ryzyko, możesz z nim poczekać do większego okna serwisowego, kiedy w razie problemów łatwiej będzie przywrócić poprzedni stan.

Prosty schemat, który pomaga w takich wyborach: najpierw system + przeglądarki + VPN/RDP, później sterowniki, dodatki i mniej krytyczne aplikacje.

2. Windows: szybka kontrola stanu i wymuszenie krytycznych aktualizacji

Gdzie sprawdzić, czy Windows jest na bieżąco

Na komputerach z Windows 10 i 11 ścieżka jest podobna:

• Otwórz Ustawienia (skrót klawiaturowy Win + I).
• Przejdź do Aktualizacja i zabezpieczenia (Windows 10) lub Windows Update (Windows 11).
• Kliknij Sprawdź aktualizacje.

Po chwili zobaczysz listę dostępnych aktualizacji. Zwróć uwagę przede wszystkim na:

• Aktualizacje zbiorcze systemu Windows – one zwykle zawierają łatki bezpieczeństwa.
• Aktualizacje definicji dla Microsoft Defendera – powinny instalować się automatycznie, ale jeśli są opóźnione, zainstaluj je od razu.
• Aktualizacje .NET, Visual C++ – istotne, jeśli używasz aplikacji zależnych od tych komponentów, chociaż zwykle nie wymagają natychmiastowej reakcji.

Historia aktualizacji pomoże wychwycić problemy:

• W sekcji Windows Update kliknij Wyświetl historię aktualizacji.
• Sprawdź, czy przy którejś pozycji nie pojawia się status Niepowodzenie instalacji.

Jeżeli krytyczna aktualizacja zbiorcza nie zainstalowała się poprawnie, sprawa wymaga uwagi jeszcze tego samego dnia – w przeciwnym razie system nadal jest podatny.

Jak wymusić instalację ważnych łatek i czym różnią się typy aktualizacji

W Windows Update najczęściej występują trzy główne typy aktualizacji:

• Aktualizacje jakościowe zbiorcze (Cumulative Update) – zawierają poprawki bezpieczeństwa i jakości. To Twój priorytet numer jeden.
• Aktualizacje definicji dla Microsoft Defendera – ważne, ale szybkie i bezpieczne; instaluj od razu.
• Aktualizacje sterowników – istotne, lecz nie zawsze pilne. Przy krytycznych środowiskach biznesowych czasem lepiej chwilę odczekać i sprawdzić, czy nie powodują problemów.

Jeśli chcesz przyspieszyć zastosowanie poprawek bezpieczeństwa:

• W Windows Update kliknij Pobierz i zainstaluj przy dostępnych aktualizacjach.
• Gdy system poprosi o restart, nie odkładaj go o wiele dni – zaplanuj go na możliwie najbliższy wieczór lub przerwę w pracy.

W środowiskach firmowych z WSUS/SCCM/Intune polityką aktualizacji często zarządza centrala. Jeśli w Ustawieniach widzisz komunikat, że sprawdzaniem aktualizacji zarządza administrator, zwykle nie instalujesz łatek ręcznie, tylko zgłaszasz problem do osoby odpowiedzialnej za infrastrukturę. Wyjątkiem mogą być przeglądarki (Chrome, Firefox) instalowane lokalnie – te warto zaktualizować bez czekania na wsparcie IT.

Przeglądarki i aplikacje klienckie: ciche ale kluczowe cele

Aktualizacje systemu to jedno, ale w praktycznych atakach bardzo często wykorzystywane są luki w przeglądarkach i oprogramowaniu klienckim. Konkretnie:

• Edge / Chrome: przejdź do menu (trzy kropki) → Pomoc → Google Chrome – informacje lub Pomoc i opinie → Informacje o Microsoft Edge. Przeglądarka sama sprawdzi aktualizacje i poprosi o ponowne uruchomienie.
• Firefox: menu (trzy kreski) → Pomoc → O programie Firefox.
• Klient VPN: większość komercyjnych klientów ma w menu opcję Check for updates lub „Sprawdź aktualizacje”. Warto z niej korzystać przynajmniej raz na kilka tygodni, a przy głośnych podatnościach – od razu.

Przykładowy błąd z życia: domowy użytkownik korzysta z tego samego komputera do pracy zdalnej i bankowości internetowej. Przez miesiąc ignoruje powiadomienia Chrome o aktualizacjach. Pojawia się luka typu RCE w przeglądarce, aktywnie wykorzystywana przez złośliwe reklamy. Mimo aktualnego Windowsa i antywirusa, sam fakt wejścia na zainfekowaną stronę jest już potencjalnym wektorem ataku. Jedno ponowne uruchomienie przeglądarki po aktualizacji zamknęłoby ten scenariusz.

Jak zweryfikować, że system naprawdę jest załatany

Po instalacji poprawek i restarcie warto sprawdzić kilka podstawowych informacji:

• Naciśnij Win + R, wpisz winver i zatwierdź – zobaczysz wersję i kompilację systemu. Możesz ją porównać z informacjami na oficjalnej stronie „Historia aktualizacji systemu Windows 10/11”.
• Wróć do Ustawienia → Windows Update → Wyświetl historię aktualizacji i upewnij się, że ostatnia zbiorcza aktualizacja ma status „Pomyślnie zainstalowano”.
• W systemach firmowych możesz dodatkowo użyć polecenia systeminfo w wierszu polecenia, aby zobaczyć datę ostatniej instalacji poprawek.

Jeżeli po aktualizacji pojawiają się błędy lub system zachowuje się nietypowo, sprawdź Podgląd zdarzeń (Event Viewer) – szczególnie dzienniki System i Aplikacja. To szybki sposób na wykrycie konfliktów po łatkach.

3. Linux w praktyce: cztery popularne dystrybucje, jedna logika

Serwer czy stacja robocza – od tego zależy ostrożność

W Linuksie poziom ryzyka przy aktualizacjach zależy mniej od samej dystrybucji, a bardziej od roli systemu:

• Serwery produkcyjne (np. hosting strony, baza danych, VPN) – potrzebują ostrożnego planowania okien serwisowych, backupów i ewentualnych testów na maszynach wzorcowych.
• Stacje robocze użytkowników – tutaj ważniejsze jest, żeby łatki bezpieczeństwa trafiały szybko, nawet kosztem niewielkiego ryzyka drobnych problemów.
• Maszyny wirtualne – często łatwiej wykonać snapshot przed aktualizacją i w razie problemów szybko cofnąć zmiany.

W małej firmie dobry kompromis wygląda tak: najpierw aktualizujesz jedną maszynę testową (VM lub mniej krytyczny serwer), obserwujesz przez dzień, a jeśli jest stabilnie, wykonujesz aktualizacje na reszcie hostów.

Debian/Ubuntu: apt i szybki przegląd aktualizacji bezpieczeństwa

Na systemach z rodziny Debian/Ubuntu podstawowy zestaw poleceń wygląda następująco:

• Odśwież listę pakietów i zainstaluj aktualizacje:

  sudo apt update
  sudo apt upgrade
  

• Zobacz listę pakietów do aktualizacji:

  apt list --upgradable
  

W wielu konfiguracjach pakiety pochodzące z repozytorium bezpieczeństwa mają w nazwie źródła słowo security. W pliku /etc/apt/sources.list i plikach w /etc/apt/sources.list.d/ możesz sprawdzić, czy masz włączone linie z security.ubuntu.com lub odpowiednim serwerem bezpieczeństwa Debiana.

Na serwerach, gdzie priorytetem jest stabilność, administratorzy często rozdzielają aktualizacje bezpieczeństwa od reszty. Służą do tego narzędzia takie jak unattended-upgrades, które można skonfigurować tak, by samo instalowało wyłącznie łatki oznaczone jako security. Resztę pakietów aktualizuje się wtedy ręcznie w zaplanowanym oknie serwisowym. W efekcie podatności krytyczne są usuwane możliwie szybko, a ryzyko nieplanowanego przestoju po „dużej” aktualizacji pakietów jest mniejsze.

Na stacjach roboczych Ubuntu (szczególnie w wersjach LTS) mechanizm graficznych powiadomień o aktualizacjach w większości przypadków wystarcza. Jeśli jednak użytkownik regularnie odkłada komunikat „Zainstaluj teraz”, dobrym kompromisem jest comiesięczne ręczne uruchomienie:

sudo apt update
sudo apt full-upgrade

i restart systemu. To szczególnie istotne po aktualizacjach jądra oraz komponentów graficznych – dopiero ponowne uruchomienie faktycznie „zamyka” część podatności.

RHEL/CentOS/Rocky/Alma: yum/dnf i aktualizacje jądra

W rodzinie Red Hat (RHEL, CentOS Stream, Rocky Linux, AlmaLinux) podstawowy zestaw poleceń wygląda podobnie, choć narzędzia mają inną nazwę:

• Sprawdzenie i instalacja aktualizacji:

  sudo dnf check-update
  sudo dnf update
  

• Lista ostatnio zainstalowanych pakietów (do szybkiego audytu):

  sudo dnf history
  

W tych dystrybucjach wiele serwerów działa z jądrem dostarczanym przez producenta i aktualizacje kernela potrafią być konserwatywne, ale za to dobrze testowane. W praktyce dylemat wygląda tak: instalować wszystko od razu czy ograniczać się do pakietów oznaczonych jako „security”? W krytycznych systemach biznesowych często wdraża się rozwiązanie pośrednie – automatyczne łatanie kanału security i ręcznie planowane aktualizacje zbiorcze w dłuższych odstępach, z pełną procedurą rollbacku.

Drugie istotne pytanie brzmi: jak często wymuszać reboot serwerów po aktualizacji jądra. Bez narzędzi typu kpatch czy ksplice, które umożliwiają „żywe” łatki kernela, pozostaje klasyczny restart. Typowy kompromis: nie odkładać go w nieskończoność, tylko włączyć w cykliczne okna serwisowe (np. raz w miesiącu), a przy krytycznych CVE dotyczących jądra – zaplanować dodatkowe, przyspieszone okno.

Fedora, openSUSE i inne dystrybucje „z szybszym tempem”

Fedora i rolling‑release’owe warianty openSUSE (np. Tumbleweed) mają wspólny mianownik: zmiany trafiają szybciej, a więc też częściej pojawiają się nowe wersje bibliotek, sterowników i środowisk graficznych. W zamian użytkownik dostaje nowsze oprogramowanie, ale aktualizacje wymagają większej dyscypliny.

Na Fedorze kroki są proste:

sudo dnf upgrade --refresh

Z kolei w openSUSE z zypper administratorzy wykorzystują zwykle:

sudo zypper refresh
sudo zypper update

Na stacjach roboczych korzystanie z graficznych narzędzi (Discover, YaST) jest wygodne, jednak w przypadku głośnych luk bezpieczeństwa szybciej zareaguje się z poziomu terminala, szczególnie gdy trzeba obsłużyć kilka maszyn zdalnie.

Tu szczególnie przydają się snapshoty systemu plików (Btrfs z integracją w openSUSE lub ręczne snapshoty maszyn wirtualnych). Aktualizacja całego zestawu pakietów, w tym sterowników graficznych, potrafi „położyć” środowisko graficzne jednemu użytkownikowi na tysiąc. Snapshot pozwala w kilka minut wrócić do poprzedniego stanu, zamiast spędzać pół dnia na ręcznej naprawie.

4. Minimalny zestaw kroków „przed” i „po” instalacji łatek

Przed aktualizacją: krótka lista kontrolna dla zabieganych

Przy kilku maszynach w domu wystarczy zdrowy rozsądek. Przy kilkunastu–kilkudziesięciu stacjach i serwerach przydaje się powtarzalny schemat. W praktyce sprowadza się to do kilku punktów, które da się przejść w 5–10 minut na system.

• Sprawdź, co naprawdę będziesz aktualizować
  Zanim klikniesz „Zainstaluj”, przejrzyj listę:
  • Windows: Ustawienia → Windows Update → Szczegóły przy aktualizacji zbiorczej albo link „Zobacz szczegóły”.
  • Linux: wydaj apt list --upgradable, dnf check-update czy zypper list-updates i szybko przeskanuj, czy na liście są jądro, bazy danych, krytyczne usługi.

  Co wiemy? Jakie komponenty zmienią się dziś, a które mogą poczekać na większe okno serwisowe.

• Upewnij się, że backup jest świeży i sprawdzony
  Dwa kroki zamiast ogólnego hasła „rób kopie zapasowe”:
  • Backup wykonany: na serwerze – migawka VM lub backup bazy; na domowym PC – kopia najważniejszych katalogów (dokumenty, projekty) na zewnętrzny dysk lub chmurę.
  • Backup zweryfikowany: spróbuj przywrócić pojedynczy plik lub małą bazę testową. Jeżeli przywracanie działa, ryzyko po aktualizacji jest dużo mniejsze.

  Przykład: mała księgowość w biurze – przed comiesięcznymi łatkami właściciel uruchamia backup bazy programu FK i sprawdza, czy potrafi ją odtworzyć na laptopie zapasowym.

• Zanotuj wersje kluczowych komponentów
  Krótki „stan przed” pomaga w razie problemów:
  • Windows: winver + zrzut ekranu, ewentualnie systeminfo > przed_patch.txt.
  • Linux: uname -r (jądro), cat /etc/os-release (wersja dystrybucji), zapisane do pliku lub biletu w systemie helpdesk.

  Dzięki temu po awarii nie trzeba zgadywać, „co tu było tydzień temu”.

• Uprzedź użytkowników i zaplanuj restart
  Minimalny standard w firmie:
  • Komputery biurowe: komunikat mailowy / Teams „dziś po 18:00 mogą wystąpić restarty, prosimy zapisać pracę”.
  • Serwery: krótkie okno serwisowe zgłoszone z wyprzedzeniem, np. „serwer plików niedostępny 22:00–22:30”.

  W domu wystarczy świadomie wybrać porę – nie w środku ważnej wideokonferencji.

Po aktualizacji: szybka kontrola, czy wszystko działa

Sam fakt, że system się włączył, nie oznacza jeszcze, że łatki nie narobiły szkód. Kilka prostych kroków pozwala to potwierdzić.

• Sprawdź status aktualizacji i wersje
  • Windows: w Windows Update → Wyświetl historię aktualizacji zobacz, czy ostatnia poprawka ma status „Pomyślnie zainstalowano”.
  • Linux:

    uname -r          # czy nowe jądro faktycznie działa
    last reboot       # kiedy był ostatni restart
    

• Przetestuj kluczowe usługi, a nie tylko logowanie
  Zamiast ogólnego „działa/nie działa”, warto mieć krótką listę funkcjonalną:
  • W firmie: logowanie do domeny, dostęp do udziałów sieciowych, CRM/ERP, drukarki sieciowe, VPN.
  • Na serwerach: strona WWW (HTTP/HTTPS), baza danych (np. krótki SELECT), poczta (IMAP/SMTP), łącze VPN.
  • W domu: RDP/VPN do pracy, przeglądarka, klient poczty, podstawowe programy do pracy.

  W praktyce admin często ma prostą „procedurę po patchu”: łączę się przez VPN, otwieram dwa–trzy wewnętrzne adresy, sprawdzam logowanie użytkownika testowego.

• Rzuć okiem w logi po łatkach
  Kilka minut w logach potrafi uprzedzić większy problem:
  • Windows: Podgląd zdarzeń → dzienniki System i Aplikacja, filtrowanie po ostrzeżeniach/błędach z ostatniej godziny.
  • Linux:

    sudo journalctl -p 3 -xb   # błędy od ostatniego bootu
    

  Jeżeli widać powtarzające się błędy usług (np. bazy danych, serwera WWW), lepiej zareagować od razu, zanim użytkownicy zaczną składać zgłoszenia.

• Udokumentuj zmiany
  W małej firmie wystarczy prosty plik lub notatnik w systemie helpdesk:
  • data i godzina aktualizacji,
  • jakie systemy/hosty zostały zaktualizowane,
  • czy były problemy i jak je rozwiązano.

  Przy kolejnym „patch day” taka notatka skraca czas reakcji – wiemy, co zwykle sprawia kłopoty, a co przechodzi gładko.

5. Co zrobić, gdy nie możesz od razu zainstalować krytycznej łatki

Tymczasowe obejścia: co naprawdę pomaga, a co jest tylko „na pocieszenie”

Zdarza się, że poprawka bezpieczeństwa konfliktuje z krytyczną aplikacją biznesową albo wymaga dłuższego okna serwisowego. Pytanie brzmi: co wtedy można zrobić, by zmniejszyć ryzyko ataku do czasu właściwej aktualizacji?

• Ogranicz ekspozycję usługi
  Jeśli luka dotyczy konkretnego portu lub usługi:
  • zablokuj dostęp z Internetu na firewallu (zostaw tylko VPN lub sieć wewnętrzną),
  • ogranicz adresy IP, które mogą się łączyć (np. tylko biuro, brak dostępu z domu),
  • w skrajnym przypadku – tymczasowo wyłącz usługę poza godzinami pracy.

  Przykład: krytyczny błąd w RDP na serwerze, z którego korzysta kilka osób. Jeżeli nie da się od razu zainstalować łatki, rozsądne minimum to zdjęcie RDP z publicznego Internetu i pozwolenie na dostęp wyłącznie przez VPN.

• Włącz lub zaostrz dodatkowe warstwy ochrony
  Gdy poprawka musi poczekać, można:
  • w Windows Server / Pro – doprecyzować reguły Zapory systemu Windows dla zagrożonej usługi,
  • w środowiskach serwerowych – użyć WAF (Web Application Firewall) lub IDS/IPS do blokowania znanych sygnatur ataków,
  • na stacjach roboczych – upewnić się, że moduły ochrony przeglądarki/eksploita w pakiecie AV/EDR są aktywne.
• Ogranicz uprawnienia i dostęp użytkowników
  Im mniejsze uprawnienia, tym trudniej wykorzystać lukę do pełnego przejęcia systemu:
  • zredukuj liczbę kont z prawami administratora lokalnego,
  • wstrzymaj zakładanie nowych zdalnych kont do wrażliwych systemów do czasu załatania,
  • rozważ tymczasowe wyłączenie funkcji, które są bezpośrednim wektorem ataku (np. wtyczki, makra w dokumentach z nieznanych źródeł).
• Monitoruj konkretną lukę, a nie tylko nagłówki w mediach
  Jeżeli wiadomo, że podatność jest aktywnie wykorzystywana:
  • sprawdź, czy dostawca AV/EDR opublikował reguły wykrywania danego ataku (pod konkretny CVE),
  • zajrzyj do oficjalnych biuletynów (Microsoft Security Response Center, Debian/Ubuntu Security Notices, Red Hat Security Advisories) – często opisują dodatkowe obejścia konfiguracyjne,
  • w logach (Windows Event Log, journalctl, logi serwera WWW) szukaj nietypowych prób logowania lub wzorców wskazywanych w advisory.

Plan awaryjny: kiedy przyspieszyć okno serwisowe mimo niedogodności

Nawet w uporządkowanym środowisku trzeba czasem złamać dotychczasowe zasady i zaktualizować system „poza kolejką”. Sygnały, że to jest właśnie ten moment:

• podatność ma ocenę „Critical”/„High” i dotyczy usługi wystawionej do Internetu (RDP, serwer WWW, VPN, mailownik),
• producent i CERT-y informują o publicznie dostępnych exploitach,
• w logach widać gwałtowny wzrost prób ataku na dany port lub usługę.

Wtedy bardziej rozsądne jest zaplanowanie dodatkowego, nawet niewygodnego dla użytkowników okna serwisowego (np. wieczorem lub w weekend), niż liczenie na to, że „jakoś się prześlizgniemy” bez incydentu.

Najczęstszy błąd: prowizorki, które stają się „na stałe”

Tymczasowe obejścia – wyłączony port, dodatkowy firewall, ręczne ograniczenia – mają sens tylko wtedy, gdy są pilnowane. Największy problem pojawia się, gdy organizacja nigdy nie wraca do właściwej łatki, bo „na razie jest zabezpieczone”. Po kilku miesiącach nikt już nie pamięta, że gdzieś w środku sieci działa serwer z niezałatanym systemem, który miał być tylko na chwilę.

Dlatego każdą suchą „łatę zastępczą” warto dopisać do listy zadań z konkretną datą usunięcia i krótkim opisem: kiedy faktycznie zainstalować poprawkę i które obejścia wtedy cofnąć. To jedyny sposób, by prowizorka nie stała się najsłabszym punktem całej infrastruktury.

Najczęściej zadawane pytania (FAQ)

Które aktualizacje bezpieczeństwa Windows i Linux muszę zainstalować od razu?

Najwyższy priorytet („na już”) mają łatki na luki typu zdalne wykonanie kodu (Remote Code Execution, RCE), zwłaszcza gdy nie wymagają logowania użytkownika i dotyczą usług sieciowych wystawionych do internetu: RDP, SSH, VPN, serwerów WWW czy przeglądarek. Jeśli w opisie łatki widzisz połączenie „remote code execution” + „bez uwierzytelnienia” + „usługa sieciowa”, aktualizacja nie powinna czekać.

W praktyce na liście aktualizacji nie odkładaj:

• aktualizacji zbiorczych Windows (Cumulative Update),
• aktualizacji jądra w Linuksie (kernel update),
• łatek dla przeglądarek (Edge, Chrome, Firefox),
• aktualizacji dla VPN, RDP, SSH, OpenSSL na serwerach.

To są elementy, które najczęściej są wykorzystywane w realnych atakach.

Jak rozpoznać, czy dana łatka bezpieczeństwa jest krytyczna?

Najprostszy filtr to słowa-klucze w opisie aktualizacji. Krytyczne są przede wszystkim frazy: „Remote Code Execution (RCE)”, „zdalne wykonanie kodu”, „atak bez interakcji użytkownika”, a także wzmianki o usługach typu RDP, VPN, SSH, HTTP/HTTPS, jeśli są one wystawione do internetu. Aktualizacje przeglądarek z luką RCE warto traktować jak najwyższy priorytet.

Mniej pilne, choć nadal ważne, są opisy typu „Privilege Escalation” (podniesienie uprawnień), „Security Feature Bypass” czy wycieki danych w specyficznych warunkach. Takie poprawki zazwyczaj można zaplanować na najbliższe godziny lub dni, ale nie odkładać ich „na kiedyś”. Pytanie kontrolne: czy atakujący potrzebuje już dostępu do mojego systemu, żeby użyć tej luki? Jeśli nie – priorytet rośnie.

Jak sprawdzić, czy Windows 10/11 ma zainstalowane najnowsze łatki?

Na Windows 10 i 11 ścieżka jest podobna: otwórz Ustawienia (Win + I), wejdź w „Aktualizacja i zabezpieczenia” (Windows 10) lub „Windows Update” (Windows 11), a potem kliknij „Sprawdź aktualizacje”. System pokaże dostępne paczki, w tym zbiorcze aktualizacje jakościowe, definicje Defendera i ewentualne sterowniki.

Żeby zobaczyć, co już zostało zainstalowane i czy coś się nie nie powiodło, użyj „Wyświetl historię aktualizacji” w tym samym oknie. Gdy krytyczna aktualizacja zbiorcza ma status „Niepowodzenie instalacji”, system wciąż jest podatny – to sygnał, że trzeba zająć się problemem jeszcze tego samego dnia (np. ponowić instalację lub zgłosić sprawę administratorowi).

Czym różnią się aktualizacje zbiorcze Windows od pojedynczych łatek w Linuksie?

W Windows większość poprawek bezpieczeństwa przychodzi w formie aktualizacji zbiorczych (Cumulative Update). Jedna paczka zawiera naraz łatki bezpieczeństwa i poprawki jakościowe – użytkownik nie wybiera konkretnych CVE, tylko akceptuje całość. Z perspektywy bezpieczeństwa oznacza to prostą zasadę: instalujesz pakiet, żeby mieć komplet łatek.

W Linuksie aktualizacje pojawiają się zwykle jako osobne pakiety (np. openssl, openssh, kernel, biblioteki). Menedżer pakietów (dnf, apt, yum, zypper) często oznacza te związane z bezpieczeństwem, np. tagiem „security”. Co to zmienia? Administrator może szybciej podnieść tylko krytyczne komponenty (jądro, openssl, ssh), a mniej istotne pakiety zostawić na późniejsze okno serwisowe.

Co jest ważniejsze: aktualizacja RDP/SSH czy nowe sterowniki i drukarki?

Jeśli w środowisku jest zdalny dostęp (RDP, SSH, VPN), aktualizacje tych usług mają pierwszeństwo przed sterownikami i dodatkami. Przykładowy scenariusz z małego biura: Windows Update pokazuje łatkę RDP z RCE i nowy sterownik drukarki. Z perspektywy bezpieczeństwa najpierw instalujesz paczkę z RDP, a sterownik możesz wgrać przy najbliższym planowym oknie serwisowym.

Kryterium jest proste: co jest wystawione do internetu albo obsługuje treści z sieci (system, przeglądarki, VPN/RDP, serwery)? To aktualizujesz w pierwszej kolejności. Sterowniki, drukarki i mniej krytyczne aplikacje mogą poczekać – najczęstszy błąd to odwrotna kolejność.

Czy mogę odkładać aktualizacje przeglądarek, skoro system jest na bieżąco?

Odkładanie aktualizacji przeglądarki to jedna z częstszych dróg do infekcji, nawet przy aktualnym systemie i antywirusie. Luki RCE w Chrome, Edge czy Firefox są często wykorzystywane np. przez złośliwe reklamy lub strony WWW. W praktyce przeglądarka staje się „bramą” do ataku, mimo łatanych pozostałych komponentów.

Bezpieczny nawyk to ręczne sprawdzenie aktualizacji raz na jakiś czas:

• Chrome / Edge: menu (trzy kropki) → Pomoc → Informacje o…
• Firefox: menu (trzy kreski) → Pomoc → O programie Firefox.

Przeglądarka sama pobierze nową wersję i poprosi o ponowne uruchomienie. Najczęstszy błąd: użytkownik przez tygodnie ignoruje przycisk „Uruchom ponownie, aby dokończyć aktualizację”.

Jak szybko powinienem restartować komputer po instalacji krytycznych łatek?

Łatka bezpieczeństwa zaczyna realnie chronić dopiero po pełnym zastosowaniu, czyli często dopiero po restarcie. Jeśli aktualizujesz komponenty takie jak jądro systemu, RDP, VPN, przeglądarka albo kluczowe biblioteki (np. openssl), restart warto zaplanować w najbliższym możliwym oknie – tego samego dnia, wieczorem lub podczas przerwy w pracy.

Co grozi przy przeciąganiu? System wygląda na „zaktualizowany”, ale stare, podatne wersje modułów wciąż są aktywne w pamięci. To klasyczny błąd w firmach: aktualizacja jest „zainstalowana w oczekiwaniu na ponowne uruchomienie”, a restart odkładany tygodniami, co zostawia atakującym otwarte drzwi.

Kluczowe Wnioski

• Priorytet łatek ustala się w trzech poziomach: natychmiast (RCE, zero‑day, usługi wystawione do internetu), w tym tygodniu (podniesienie uprawnień, obejście zabezpieczeń) oraz przy następnym oknie serwisowym (stabilność, wydajność, mniej krytyczne komponenty).
• Kilka słów-kluczy automatycznie podnosi pilność: „remote code execution”, „nie wymaga uwierzytelnienia”, wzmianka o RDP/VPN/SSH/HTTP(S) lub przeglądarkach (Edge/Chrome/Firefox) oznacza, że aktualizacja powinna być zainstalowana w pierwszej kolejności.
• W Windows aktualizacje bezpieczeństwa przychodzą głównie jako zbiorcze pakiety, których nie rozbija się na pojedyncze luki, natomiast w Linuksie łatane są konkretne pakiety (kernel, openssl, openssh itd.) oznaczone jako „security”.
• Bez względu na system, szybki priorytet mają: aktualizacje jądra, przeglądarek, klientów VPN/RDP oraz serwerów SSH i OpenSSL; sterowniki czy dodatki aplikacyjne można zwykle przesunąć na późniejsze okno serwisowe.
• W praktycznym scenariuszu biurowym ważniejsze jest natychmiastowe załatanie RDP (szczególnie gdy jest wystawiony do internetu) niż instalacja nowego sterownika drukarki, którą można odłożyć na planowaną przerwę serwisową.
• Stan aktualności Windowsa sprawdza się w Ustawieniach → Windows Update, a problemy ujawnia „Historia aktualizacji”; nieudana instalacja krytycznej aktualizacji zbiorczej wymaga reakcji tego samego dnia.