Wprowadzenie do problemu / definicja
Microsoft usunął błąd, który uniemożliwiał części użytkowników aktywację funkcji Smart App Control po instalacji październikowej aktualizacji zabezpieczeń dla Windows 11. Problem dotyczył mechanizmu ochronnego odpowiedzialnego za ograniczanie uruchamiania nieufnego lub potencjalnie niebezpiecznego kodu, co ma istotne znaczenie z perspektywy bezpieczeństwa stacji roboczych i punktów końcowych.
W skrócie
Smart App Control to funkcja bezpieczeństwa systemu Windows 11, która wykorzystuje mechanizmy integralności kodu oraz usługi oceny reputacji aplikacji do blokowania nieznanych, niepodpisanych lub ryzykownych plików wykonywalnych. Po instalacji aktualizacji KB5127648 część urządzeń z Windows 11 24H2 i nowszymi wersjami utraciła możliwość ręcznego włączenia tej ochrony, ponieważ opcja w interfejsie Windows Security była wyszarzona. Microsoft poinformował, że problem został naprawiony w kolejnych aktualizacjach wydanych 28 października 2026 roku i później.
Kontekst / historia
Smart App Control jest rozwijany jako dodatkowa warstwa ochrony aplikacyjnej, działająca obok takich mechanizmów jak Microsoft Defender i SmartScreen. Rozwiązanie koncentruje się na kontroli uruchamiania plików binarnych oraz aplikacji na podstawie zaufania, podpisu cyfrowego i oceny bezpieczeństwa.
W praktyce funkcja ta ma ograniczać skuteczność popularnych wektorów infekcji, takich jak uruchamianie nieznanych loaderów, dropperów, narzędzi typu LOLBin w niepożądanym kontekście czy niepodpisanych komponentów dostarczanych w kampaniach phishingowych. Problem opisany przez Microsoft był szczególnie istotny dlatego, że nie wyłączał ochrony na systemach, gdzie była już aktywna, ale blokował jej ponowne włączenie na urządzeniach, na których wcześniej została dezaktywowana.
Analiza techniczna
Zgodnie z opublikowanymi informacjami usterka pojawiła się po wdrożeniu aktualizacji KB5127648 dla Windows 11. Dotknięte urządzenia nie mogły przełączyć Smart App Control w stan aktywny z poziomu aplikacji Windows Security. Interfejs użytkownika prezentował opcję jako niedostępną, co wskazuje na problem po stronie logiki konfiguracji funkcji lub powiązanego stanu polityk systemowych.
Smart App Control bazuje na dwóch kluczowych filarach: mechanizmach code integrity w systemie Windows oraz usługach app intelligence. Model działania polega na selektywnym dopuszczaniu do uruchomienia tylko tych aplikacji i plików binarnych, które są uznane za bezpieczne albo podpisane przez zaufany urząd certyfikacji. Domyślnie blokowany jest malware, potencjalnie niechciane oprogramowanie oraz nieznany, niepodpisany kod.
Microsoft potwierdził, że problem został rozwiązany przez aktualizacje wydane 28 października 2026 roku i nowsze. Dla środowisk zarządzanych centralnie producent opisał również obejście tymczasowe. Obejmowało ono modyfikację rejestru w gałęzi FeatureManagement\Overrides lub zastosowanie odpowiednich ustawień Group Policy, a następnie restart urządzenia. Z operacyjnego punktu widzenia oznacza to, że źródłem problemu był nie tyle sam silnik egzekwowania polityki, ile stan przełączników funkcji lub warstwa konfiguracji wpływająca na możliwość aktywacji.
Konsekwencje / ryzyko
Najważniejszą konsekwencją incydentu było obniżenie zdolności części środowisk do szybkiego przywrócenia dodatkowej ochrony aplikacyjnej. W organizacjach, które korzystają z segmentacji poziomów bezpieczeństwa lub etapowo włączają funkcje ochronne, brak możliwości aktywacji Smart App Control mógł oznaczać lukę operacyjną w procesie hardeningu stacji końcowych.
Ryzyko było jednak częściowo ograniczone. Microsoft zaznaczył, że urządzenia, na których Smart App Control był już aktywny, pozostały chronione. Problem dotyczył głównie scenariusza ponownego włączenia funkcji po jej wcześniejszym wyłączeniu. Mimo to, w środowiskach o podwyższonym profilu zagrożeń każda niedostępność mechanizmu kontroli uruchamiania aplikacji może zwiększać ekspozycję na złośliwe pliki wykonywalne, szczególnie w atakach inicjowanych przez użytkownika końcowego.
Rekomendacje
Administratorzy powinni w pierwszej kolejności zweryfikować, czy podatne urządzenia otrzymały nowsze aktualizacje Windows 11 wydane po 28 października 2026 roku. W środowiskach enterprise warto potwierdzić stan funkcji zarówno z poziomu interfejsu Windows Security, jak i przez kontrolę polityk konfiguracyjnych oraz telemetrii bezpieczeństwa.
- Sprawdzić, które urządzenia mają Smart App Control wyłączony i czy jego aktywacja jest wymagana przez politykę bezpieczeństwa.
- Przetestować aktualizacje naprawcze w grupie pilotażowej przed szerokim wdrożeniem.
- Wykorzystać mechanizmy zarządzania konfiguracją do egzekwowania spójnych ustawień ochrony aplikacyjnej.
- Ograniczyć lokalne wyjątki i ręczne zmiany konfiguracji na stacjach roboczych.
- Monitorować zdarzenia związane z blokowaniem aplikacji, integralnością kodu i zmianami polityk bezpieczeństwa.
Jeżeli organizacja nie może jeszcze wdrożyć aktualizacji naprawczej, zasadne jest rozważenie tymczasowego obejścia dostarczonego przez producenta, przy zachowaniu standardowych procedur change management, kopii zapasowej konfiguracji oraz walidacji po restarcie systemu.
Podsumowanie
Opisana usterka nie była klasyczną podatnością umożliwiającą bezpośrednie przejęcie systemu, ale miała realny wpływ na dostępność jednego z mechanizmów ochronnych Windows 11. Z punktu widzenia cyberbezpieczeństwa to istotne przypomnienie, że aktualizacje bezpieczeństwa mogą czasem wpływać na działanie kontroli ochronnych i wymagają nie tylko wdrożenia, ale również walidacji funkcjonalnej po instalacji. Organizacje korzystające ze Smart App Control powinny potwierdzić stan tej funkcji na zarządzanych urządzeniach i upewnić się, że wdrożono poprawki wydane pod koniec października 2026 roku.
Źródła
- BleepingComputer — Microsoft fixes Smart App Control broken by October Windows update — https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-smart-app-control-broken-by-october-windows-update/
- Microsoft Learn — Smart App Control overview — https://learn.microsoft.com/en-us/windows/apps/develop/smart-app-control/overview