Wadliwa aktualizacja Microsoft Defender for Endpoint dla systemu Linux mogła po cichu wyłączyć ochronę antywirusową po restarcie systemu. Problem dotknął wiele środowisk serwerowych i wymaga pilnej weryfikacji konfiguracji.
Błąd aktualizacji Defendera na Linuxie
Microsoft poinformował o problemie z aktualizacją Microsoft Defender for Endpoint dla systemów Linux, który mógł prowadzić do niezamierzonego wyłączenia ochrony po ponownym uruchomieniu systemu. Incydent został ujawniony pod koniec lipca 2026 roku i dotyczył wersji platformy od 101.26042.0000 do 101.26042.0009.
W praktyce oznaczało to, że po aktualizacji lub reinstalacji jednej z wadliwych wersji usługa „mdatp” mogła zostać automatycznie wyłączona przy kolejnym restarcie – bez żadnych widocznych komunikatów dla administratora. W efekcie serwer pozostawał bez aktywnej ochrony antywirusowej, co znacząco zwiększało ryzyko kompromitacji.
Skala problemu i potencjalne ryzyko
Sytuacja jest szczególnie istotna w środowiskach korzystających z integracji Defender for Endpoint z Defender for Cloud, gdzie automatyczne aktualizacje dla systemów Linux są domyślnie włączone (m.in. w planach Defender for Servers Plan 1 i Plan 2). Oznacza to, że wiele organizacji mogło nieświadomie zainstalować wadliwą wersję oprogramowania.
Brak aktywnej ochrony na poziomie endpointu w systemach Linux może prowadzić do:
- nieautoryzowanego dostępu do systemów,
- instalacji złośliwego oprogramowania bez wykrycia,
- wykorzystania serwerów jako punktu wejścia do dalszych ataków w infrastrukturze.
Jak sprawdzić, czy system jest zagrożony
Microsoft zaleca administratorom pilne sprawdzenie stanu usługi Defender na wszystkich serwerach Linux. Weryfikację można przeprowadzić za pomocą polecenia: mdatp health. Jeśli usługa jest wyłączona, system nie jest chroniony – nawet jeśli wcześniej działał poprawnie.
Dlaczego warto działać od razu
Ten przypadek pokazuje, że nawet oficjalne aktualizacje zabezpieczeń mogą wprowadzić ryzyko operacyjne, jeśli nie są odpowiednio monitorowane. Brak widocznych komunikatów o wyłączeniu ochrony dodatkowo utrudnia wykrycie problemu, co może prowadzić do długotrwałego pozostawania systemów bez zabezpieczeń. Regularna kontrola stanu usług bezpieczeństwa, monitoring oraz szybka reakcja na komunikaty producentów to kluczowe elementy utrzymania bezpieczeństwa środowisk serwerowych – szczególnie w przypadku systemów Linux, które często pełnią krytyczne role w infrastrukturze IT.
Źródła:
O autorze: Łukasz Lein
Product manager - Opiekun marki Symantec
Od blisko 10 lat w firmie Arkanet. Bacznie śledzi ruchy cyberprzestępczości w Polsce i na świecie, dzięki czemu wie, jak pomóc klientom zabezpieczyć swoją sieć firmową przed wszelkimi atakami. Z zamiłowania, po pracy, aktywny "piłkokopacz".
