Microsoft opravil chybu, pre ktorú Windows používateľov presviedčal, že Microsoft Defender Antivirus je vypnutý, hoci ochrana v skutočnosti normálne fungovala. Falošné upozornenie sa mohlo objaviť pri štarte systému aj neskôr počas práce a nepomohlo ani vypnutie oznámení.
O samotnom falošnom poplachu Defendera sme už písali. Microsoft ho teraz v prehľade Windows release health označil ako vyriešený. Opravu obsahuje Defender vo verzii 4.18.26080.4, vydanej 17. septembra 2026.
Chyba pritom nebola naviazaná iba na jedno vydanie Windowsu. Microsoft uvádza Windows 11 vo verziách 26H1, 25H2, 24H2 a 23H2, Windows 10 vo verziách 22H2 a 21H2 vrátane Enterprise LTSC 2019 a LTSC 2016. Zo serverových systémov menuje Windows Server 2025, 2022, 2019, 2016, 2012 R2 a 2012. Všeobecnejšie dodáva, že problém sa mohol prejaviť na ľubovoľnej verzii Windowsu alebo Windows Servera s Microsoft Defender Antivirus a príslušnými aktuálnymi aktualizáciami.
Defender fungoval, Windows tvrdil opak
Najzradnejšie na celej chybe bolo práve to, že upozornenie vyzeralo úplne legitímne. Windows zobrazil hlásenie „Microsoft Defender Antivirus is turned off“, hoci Defender zostal aktívny a počítač chránil. Aj nastavenia pritom mohli ukazovať, že antivírus normálne beží.
Microsoft potvrdzuje, že upozornenie sa objavovalo pri spustení Windowsu a potom sa mohlo sporadicky vracať. Navyše ignorovalo nastavenie oznámení. Kto ich teda vypol v nádeji, že otravný poplach aspoň prestane vyskakovať, mohol ho po ďalšom štarte vidieť znova.
Microsoft vo svojom oznámení technickú príčinu podrobne nerozoberá. Zaujímavé vysvetlenie však priniesol Rudy Ooms z Patch My PC, ktorý problém analyzoval a testoval na zasiahnutých zariadeniach.
Podľa jeho zistení išlo o problém s načasovaním pri štarte. Windows Security Center, teda systémová vrstva, cez ktorú Windows zisťuje stav nainštalovaného antivírusu, mohla požiadať Defender o jeho stav skôr, než Defender dokončil inicializáciu. Ak sa správna informácia v správnom okamihu nedostala späť, Windows Security Center si mohlo ponechať nesprávny stav.
Samotný Defender už pritom o chvíľu normálne bežal. Výsledkom bol zvláštny stav: antivírus tvrdil, že je zapnutý, ale časť Windowsu, ktorá jeho stav odovzdávala ďalej, tvrdila opak.
Vo firmách nešlo iba o otravné upozornenie
Na domácom počítači bol výsledkom najmä nepríjemný falošný poplach. Vo firemnom prostredí však mohol mať nesprávny údaj podstatne väčší dopad.
Patch My PC upozorňuje, že Microsoft Intune môže pri kontrole súladu zariadenia vychádzať zo stavu hláseného cez Windows Security Center. Ak systém nesprávne oznámil vypnutý antivírus, počítač mohol skončiť ako nevyhovujúci pravidlám organizácie. Ak firma zároveň používala Conditional Access a vyžadovala vyhovujúce zariadenie, používateľovi sa mohol zablokovať prístup k firemným službám – napriek tomu, že Defender na jeho PC reálne bežal.
To je aj dôvod, prečo označenie celej veci za obyčajnú grafickú chybu nie je úplne presné. Samotná antivírusová ochrana zlyhať nemusela, chybný stav sa však mohol dostať k ďalším službám, ktoré mu dôverovali.
Oprava mení správanie Defendera pri štarte
Microsoft oficiálne potvrdzuje, že problém rieši Defender vo verzii 4.18.26080.4. Čo presne sa pod kapotou zmenilo, podrobnejšie opisuje Patch My PC na základe vlastných testov a analýzy. Nejde teda o technický popis, ktorý by Microsoft zverejnil spolu s opravou.
Podľa Patch My PC Defender po novom pri požiadavke Windows Security Center najprv skontroluje, či už dokončil inicializáciu. Ak ešte nie je pripravený, dostane na dokončenie štartu až 50 sekúnd. Ak sa počas tejto doby spustí, Windows Security Center dostane skutočný stav antivírusu.
Ak Defender ani po tomto čase pripravený nie je, podľa zistení Patch My PC dočasne nahlási Windows Security Center stav zapnutého antivírusu a po dokončení inicializácie ho nahradí skutočným stavom. Dôležitý detail: ide iba o dočasný údaj odosielaný Windows Security Center, nie o zapnutie samotnej ochrany. Ak je Defender v skutočnosti vypnutý, po inicializácii má systém dostať správnu informáciu, že je vypnutý.
Nová verzia má zároveň opakovať pokus o aktualizovanie stavu, ak prvý zápis zlyhá alebo sa počas neho stav zmení. Zjednodušene povedané, Windows už nemá byť odkázaný na jediný presne načasovaný okamih počas štartu.
Čo máte spraviť, ak sa hlásenie stále objavuje
Vo väčšine prípadov nič dramatické. Nie je potrebné preinštalovať Defender, meniť databázu Registry ani kvôli tejto chybe prechádzať na iný antivírus. Dôležité je mať platformu Microsoft Defender Antivirus vo verzii 4.18.26080.4 alebo novšej.
Verziu si môžete overiť cez PowerShell týmto príkazom:
Get-MpComputerStatus | Select-Object AMProductVersion, AMServiceVersionV položkách AMProductVersion a AMServiceVersion by sa po nainštalovaní opravy mala zobrazovať verzia 4.18.26080.4 alebo novšia.
Microsoft platformové aktualizácie Defendera distribuuje postupne a mesačné platformové balíky vedie pod označením KB4052623. Jednotlivé zariadenia ich preto nemusia dostať v rovnakom okamihu. Ak máte staršiu verziu, najprv skontrolujte Windows Update a nechajte systém nainštalovať dostupné aktualizácie.
Samotné tlačidlo na kontrolu aktualizácií v aplikácii Zabezpečenie Windows sa týka predovšetkým aktualizácií bezpečnostných informácií, teda podpisov a definícií hrozieb. Nie je preto dobré zamieňať aktualizovanú databázu hrozieb s aktualizáciou samotnej platformy Defendera.
Ak už máte verziu 4.18.26080.4 alebo novšiu a upozornenie sa objavilo iba pred aktualizáciou, nie je dôvod Defender opravovať ručne. A ak ho chcete z úplne iného dôvodu na chvíľu vypnúť, máme samostatný návod na dočasné vypnutie Defendera.
