Securitate

Securitate 106 Solutii

Actualizarea cumulativa din septembrie 2026 impacteaza RDS

Windows Update are obiceiul de a provoca probleme, iar de data aceasta este vorba despre Remote Desktop Services = Serviciul de desktop la distanță. Gazdele de sesiune funcționează fără probleme câteva ore după repornire, dar apoi conexiunile rămân blocate la „Connecting…”, utilizatorii nu se pot deconecta, iar în cele din urmă singura soluție este o resetare forțată.

Revenirea la versiunea anterioară a actualizării este adesea cea mai simplă soluție, dar versiunea lansată luna Septembrie 2026 remediază vulnerabilitatea CVE-2026-69525, o vulnerabilitate critică de tip RCE = de execuție a codului la distanță pentru Serviciile de desktop remote, cu un scor CVSS de 9,8, plus două vulnerabilități de tip zero-day care sunt deja exploatate activ. Așadar, revenirea la versiunea anterioară s-ar putea să nu fie cea mai bună opțiune.

Ce se întâmplă

Mai mulți administratori au descris același tipar de eroare si anume ca gazdele sesiunilor RDS funcționează normal după o repornire, apoi se blochează câteva ore mai târziu, când utilizatorii încep să se deconecteze.

Odată ce problema apare, noile conexiuni RDP rămân blocate la „Connecting…” și nu ajung niciodată la ecranul de autentificare. Sesiunile existente nu se pot deconecta corect. Task Manager, Setări și majoritatea instrumentelor care interacționează cu starea sesiunii intră în blocaj, deoarece nu pot obține un răspuns de la Local Session Manager (LSM). Chiar și o repornire normală se blochează. Numai o resetare forțată restabilește funcționarea gazdei.

Problema pare să fie legată de o rutină numită RDPSERVERBASE!WDLIB_Close, care este apelată în timpul închiderii sesiunii. Atunci când un anumit indicator de funcționalitate intern(3802373433) este activ, această rutină apelează funcția RtlWaitOnAddress fără limită de timp, ceea ce determină firul de execuție să aștepte pe termen nelimitat.

Deoarece LSM serializează modificările stării sesiunii printr-o singură secțiune critică, acel thread blocat blochează tot ce se află în aval de el = conexiuni noi, deconectări și solicitări către broker, până când host-ul este resetat forțat.

Acestea sunt semnăturile si avertismentele din jurnalul de evenimente care indică această eroare specifică:

  • Eveniment 20498 din TerminalServices-RemoteConnectionManager: „Remote Desktop Services has taken too long to complete the client connection”
  • Eveniment 6005 din Winlogon: „The winlogon notification subscriber SessionEnv is taking long time to handle the notification event (Disconnect)”
  • Starea TermService: StopPending în loc de Running

Problema afectează toate versiunile actuale de Windows Server prin intermediul actualizărilor cumulative din septembrie 2026.

De ce revenirea la o versiune anterioară este o soluție de ultimă instanță

Aceeași actualizare care a provocat defecțiuni la RDS a remediat și vulnerabilitatea CVE-2026-69525, o vulnerabilitate critică de execuție a codului la distanță în Serviciile de desktop la distanță, cu un scor CVSS de 9,8. Versiunea din septembrie a remediat, de asemenea, vulnerabilitățile CVE-2026-81963(Windows Update) și CVE-2026-85880 (Windows Advanced Local Procedure Call), ambele fiind vulnerabilități de tip „zero-day” deja exploatate activ și incluse în catalogul CISA al vulnerabilităților cunoscute ca fiind exploatate.

Dacă serverele RDS sunt utilizate doar intern și nu sunt expuse la internet, riscul este mai mic, iar revenirea la versiunea anterioară ar putea fi cea mai simplă opțiune. Însă, dacă serverul RDS este accesibil de pe internet, revenirea la versiunea anterioară ar trebui să fie ultima soluție.

[mai mult...]

Detecție phishing cu RAG local – reducere fals-pozitive prin bază de cunoștințe cu campanii cunoscute

Detecția de phishing cu un LLM simplu (prompt direct către model) funcționează, dar generează fals-pozitive: emailuri legitime cu ton urgent sunt marcate greșit ca phishing, iar modelul nu are context despre campaniile specifice care vizează organizația.

Această soluție adaugă un strat RAG peste detecția existentă: o bază de cunoștințe locală cu exemple de phishing confirmate, emailuri legitime cunoscute (newsletter-e interne, notificări de sistem) și politici interne. Modelul compară emailul suspect cu exemplele similare înainte de a da verdictul — rezultat: mai puține alarme false și motivare explicită bazată pe cazuri concrete.

[mai mult...]

Raport zilnic automat de sănătate a serverelor generat cu AI – interpretare Event Log și trimitere pe email

Verificarea zilnică a Event Viewer pe mai multe servere este consumatoare de timp, iar codurile de eroare Windows sunt greu de interpretat rapid. Multe probleme sunt observate abia după ce devin incidente.

Această soluție colectează evenimentele critice și de eroare din ultimele 24 de ore de pe mai multe servere, le trimite unui model AI local care le explică în limbaj uman (ce înseamnă eroarea, ce ar trebui verificat, cât de urgentă e), grupează problemele similare și trimite un raport HTML pe email — automat, în fiecare dimineață.

[mai mult...]