Błąd z 2007 roku w Microsoft Excel i bibliotece Office pozwala uruchomić kod napastnika po otwarciu spreparowanego arkusza. CISA potwierdza, że nadal jest wykorzystywany. Odszukaj stare pakiety Office, Project i Visio i odetnij je od poczty.
Ten alert jest dla zarządu, CTO i CFO firm, w których na jakimkolwiek komputerze nadal działa stary pakiet Microsoft Office (2000, XP, 2003 lub Office 2004 for Mac), Project 2000 lub 2002 albo Visio 2002. Werdykt: jeśli taki program jest w użyciu, odłącz go od poczty i sieci w tym tygodniu i zaplanuj wymianę, bo spreparowany plik Excela uruchamia na nim kod napastnika, a CISA potwierdza, że luka jest wykorzystywana.
Amerykańska agencja CISA 12 sierpnia 2025 roku dopisała podatność CVE-2007-0671 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd z 2007 roku w Microsoft Excel: otwarcie specjalnie przygotowanego arkusza pozwala napastnikowi uruchomić własny kod na komputerze z uprawnieniami użytkownika.
Luka była wykorzystywana w ukierunkowanych atakach dnia zerowego już w 2007 roku (szkodnik Exploit-MSExcel.h). Microsoft ostrzegł o niej 2 lutego 2007 roku, a poprawkę o najwyższym stopniu ważności wydał 13 lutego 2007 roku w biuletynie MS07-015. Wpis do KEV po 18 latach pokazuje, że niezaktualizowane stare stanowiska nadal są atakowane. Termin naprawy wyznaczony przez CISA minął 2 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2007-0671 (biuletyn Microsoft MS07-015) |
Data dodania do CISA KEV | 2025-08-12 |
Termin naprawy wg CISA | 2025-09-02 |
Produkt | Microsoft Office, w szczególności Excel; wspólna biblioteka używana także przez Project i Visio |
Wersje zagrożone | Excel 2000, 2002 (XP), 2003 i Office 2004 for Mac bez poprawki; Project 2000 SR1, Project 2002 SP1, Visio 2002 SP2. NVD wymienia też m.in. Access, FrontPage, InfoPath, Outlook, PowerPoint i OneNote z pakietów 2000 do 2003 |
Wersje bezpieczne | Aktualizacje z MS07-015: 929062 (Office 2000 SP3), 929063 (Office XP SP3), 929064 (Office 2003 SP2), 932185 (Office 2004 for Mac). Microsoft wymienia jako niepodatne m.in. 2007 Microsoft Office System. Uwaga: wszystkie podatne pakiety od lat nie mają wsparcia producenta, więc docelowo potrzebna jest wymiana na wspieraną wersję |
Typ podatności | Zniekształcony rekord w pliku Excela prowadzący do wykonania kodu (odczyt pamięci poza przewidzianym obszarem); NVD: brak informacji do przypisania CWE |
Ocena CVSS | CISA: 8.8 (CVSS 3.1, WYSOKA): atak przez sieć, bez uprawnień, wymaga otwarcia pliku przez użytkownika. NVD: 9.3 (CVSS 2.0, WYSOKA) |
Wyobraź sobie księgową, która dostaje segregator od klienta i przepisuje dane według spisu treści na pierwszej stronie. Spis mówi „rozdział 3 ma 10 stron”, a księgowa ufa mu bez sprawdzania. Oszust wkłada segregator, w którym spis treści kłamie, i każe przeczytać „stronę 11” rozdziału, która w rzeczywistości jest kartką z poleceniem „przelej pieniądze na ten rachunek”. Księgowa wykonuje polecenie, bo tak wynikało ze spisu.
Plik Excela to też zbiór kawałków z opisem, gdzie co leży. Stary Excel wierzył tym opisom i sięgał do pamięci poza przewidziany obszar. Spreparowany arkusz decydował, co tam się znajdzie, i doprowadzał do uruchomienia kodu napastnika. Atak zaczyna się w chwili otwarcia pliku, a arkusz może wyglądać zupełnie normalnie. CERT/CC dodał ważną uwagę: blokowanie załączników po rozszerzeniu nie pomaga, bo Windows rozpoznaje dokument Office po zawartości początku pliku, a nie po nazwie.
💡 Rekord to fragment pliku opisujący jeden element arkusza (komórkę, formatowanie, dane). Atak dnia zerowego (zero-day) to atak na lukę, dla której nie ma jeszcze poprawki. Konto o ograniczonych uprawnieniach to konto użytkownika bez praw administratora, na którym szkody ograniczają się do jego plików. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otwarcie arkusza od klienta | Wyświetlają się liczby i tabele | Wyświetlają się liczby, a w tle uruchamia się kod napastnika |
Filtr załączników po rozszerzeniu | Blokuje niebezpieczne typy plików | Przepuszcza arkusz pod zmienioną nazwą, Windows i tak go otworzy |
Praca na koncie administratora | Wygodna | Napastnik przejmuje cały komputer |
Praca na koncie zwykłym | Mniej wygodna | Szkody ograniczone do plików użytkownika (czynnik łagodzący wg Microsoft) |
Stanowisko z Visio lub Project | „To nie Office” | Ta sama podatna biblioteka |
źródło: Zrzut ekranuPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by użytkownik otworzył plik, więc zaczyna się od wiadomości lub strony z arkuszem. Dotyczy wyłącznie komputerów ze starym, niezaktualizowanym pakietem Office.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przynęta | T+0 min | Wysłanie wiadomości „korekta faktury” lub „zestawienie” z arkuszem, czasem pod zmienioną nazwą pliku | Załącznik w skrzynce pracownika |
2. Otwarcie | T+minuty do godzin | Pracownik otwiera arkusz w starym Excelu | Kod napastnika działa z uprawnieniami użytkownika |
3. Instalacja | T+minuty | Pobranie narzędzia zdalnego dostępu lub programu szpiegującego | Stały dostęp do komputera |
4. Rozpoznanie | T+godziny do dni | Przegląd plików, udziałów sieciowych, zapisanych haseł | Mapa danych i systemów |
5. Kradzież lub oszustwo | T+dni | Kopiowanie danych klientów, podmiana numerów rachunków w szablonach | Wyciek lub przelew na konto oszusta |
6. Dalszy ruch | T+dni do tygodni | Przejście z tego komputera na inne w sieci | Szersze włamanie |
Program, którego nikt nie aktualizuje, nie staje się z czasem bezpieczniejszy: komputer z Office 2003 jest dziś podatny dokładnie tak samo jak w 2007 roku, a gotowe złośliwe pliki są łatwo dostępne. Stare pakiety zostają w firmach przez zgodność ze starymi programami, przyzwyczajenie albo koszty licencji. Arkusz w załączniku jest w polskiej firmie codziennością, więc przynęta nie budzi podejrzeń.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przeinstalowanie komputerów, wymiana starego oprogramowania w trybie awaryjnym | Dni | 10 tys. do 100 tys. PLN (praca IT, licencje, przestój) |
Bezpieczeństwo danych | Wyciek danych klientów i dokumentów z zaatakowanego stanowiska i udziałów sieciowych | Godziny do dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelewy na podmienione rachunki, koszty specjalistów | Dni do tygodni | 20 tys. do 500 tys. PLN, zależnie od przelewów |
Reputacyjny | Klienci dowiadują się, że ich dane wyciekły przez przestarzałe oprogramowanie | Miesiące | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie oprogramowania bez wsparcia utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera ze starym Office bez poprawki
i dostępem do poczty
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu z uprawnieniami użytkownika, pełna kontrola przy koncie administratora), a prawdopodobieństwo wysokie dla komputerów, które odbierają pocztę (EPSS około 0,42, percentyl powyżej 0,98); firma bez starych pakietów Office jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wyszukać komputery z Office 2000, XP, 2003, Office 2004 for Mac, Project 2000 lub 2002 i Visio 2002 (także w magazynie i na zapasowych laptopach) | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Na znalezionych komputerach wyłączyć otwieranie załączników z poczty i dostęp do internetu | Dziś | Administrator IT |
3 | 🟠 PILNIE | Jeśli stary pakiet musi zostać: zainstalować aktualizację z MS07-015 i wszystkie późniejsze dostępne poprawki | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Przenieść użytkowników tych komputerów na konta bez uprawnień administratora | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Włączyć w poczcie skanowanie zawartości załączników zamiast samego filtra po rozszerzeniu | Do 7 dni | Administrator poczty |
6 | 🟡 WAŻNIE | Zastąpić stare pakiety wspieraną wersją Office lub odizolować stanowisko, jeśli wymaga tego stary program | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Stworzyć spis oprogramowania na wszystkich stanowiskach z numerami wersji | Do 30 dni | CTO |
Microsoft wydał poprawki w 2007 roku, ale podatne pakiety od lat nie mają wsparcia, więc nie dostaną poprawek dla nowszych luk. Poniższe miary ograniczają ryzyko do czasu wymiany. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie komputera ze starym Office od poczty i internetu | Wysoka | Łatwa, jeśli stanowisko nie musi odbierać plików z zewnątrz |
Praca na koncie bez uprawnień administratora (czynnik łagodzący wg Microsoft) | Średnia: ogranicza skutki do plików użytkownika | Łatwa |
Nieotwieranie arkuszy z nieznanych źródeł i niespodziewanych od znanych nadawców (obejście wg Microsoft) | Niska do średniej: zależy od dyscypliny | Łatwa |
Skanowanie zawartości załączników w poczcie | Średnia | Średnia |
Filtr załączników po rozszerzeniu | Niska: CERT/CC wskazuje, że go ominięto | Łatwa, ale daje złudne poczucie bezpieczeństwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stare pakiety Office | Nikt nie wie, gdzie są | Spisane, odizolowane lub wymienione |
Otwarcie złośliwego arkusza | Uruchamia kod napastnika | Nowy Office nie jest podatny na tę lukę |
Uprawnienia użytkowników | Konta administratora | Konta zwykłe |
Ochrona poczty | Filtr po rozszerzeniu | Skanowanie zawartości |
Stanowiska z Visio i Project | Pominięte | Objęte spisem i aktualizacjami |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Już w 2007 roku wykorzystywana w ukierunkowanych atakach dnia zerowego (Exploit-MSExcel.h) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA (CVSS 3.1); 9.3 WYSOKA wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Złośliwe pliki wykorzystujące lukę krążyły w atakach od 2007 roku; brak informacji o opublikowanym kodzie demonstracyjnym w analizowanych źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Platformy | Windows i Mac OS X (wg CERT/CC) |
Prognoza EPSS | Około 0,42, percentyl powyżej 0,98 (wg analizy źródłowej) |
Dwie oceny CVSS nie są sporem: NVD liczyła w starszej skali 2.0, CISA w nowszej 3.1, która osobno obniża wynik za konieczność działania użytkownika.
Sygnały zagrożenia dla CVE-2007-0671
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS ~0,42 ████████░░░░░░░░░░░░ percentyl >0,98
CISA KEV TAK ████████████████████ ataki potwierdzone
Wiek luki 18 lat ████████████████████ bez znaczenia łagodzącego 2007-02-02 Microsoft publikuje ostrzeżenie o ataku dnia zerowego
2007-02-03 Publikacja CVE-2007-0671
2007-02-13 Biuletyn MS07-015 z poprawkami (ważność: krytyczna)
... 18 lat
2025-08-12 CISA dodaje lukę do katalogu KEV
2025-09-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft MS07-015 z listą aktualizacji: learn.microsoft.com/en-us/security-updates/securitybulletins/2007/ms07-015 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2007-0671 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać wprost: czy gdziekolwiek w firmie działa Office starszy niż 2007, Project 2000 lub 2002, Visio 2002? | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie takich komputerów od poczty i internetu | CTO | DZISIAJ |
3 | Ustalić, dlaczego stary pakiet jest nadal używany (stary program, przyzwyczajenie, licencje) | CTO | DO JUTRA |
4 | Oszacować koszt licencji na wspieraną wersję Office dla tych stanowisk | CFO | DO JUTRA |
5 | Zdecydować o losie starego sprzętu w magazynie: wyczyszczenie i utylizacja zamiast „na wszelki wypadek” | CFO | DO JUTRA |
6 | Przypomnieć działowi finansów o weryfikacji telefonicznej zmian numerów rachunków | CFO | DO JUTRA |
7 | Zlecić spis oprogramowania na wszystkich stanowiskach | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek komputerze jest Office 2000, XP, 2003 lub Office 2004 for Mac? | TAK / NIE, [liczba] | 🔴 |
2 | Czy na którymkolwiek komputerze jest Project 2000, Project 2002 lub Visio 2002? | TAK / NIE, [liczba] | 🔴 |
3 | Czy te komputery mają dostęp do poczty i internetu? | TAK / NIE | 🔴 |
4 | Czy zainstalowano na nich aktualizacje z biuletynu MS07-015? | TAK / NIE, [data] | 🟠 |
5 | Czy użytkownicy tych komputerów pracują na kontach administratora? | TAK / NIE | 🟠 |
6 | Czy poczta skanuje zawartość załączników, czy tylko blokuje rozszerzenia? | [opis] | 🟠 |
7 | Czy mamy spis oprogramowania z wersjami na wszystkich stanowiskach? | TAK / NIE, [data aktualizacji] | 🟡 |
CVE-2007-0671 to błąd z 2007 roku w Excelu i wspólnej bibliotece Office, przez który otwarcie spreparowanego arkusza uruchamia kod napastnika, a CISA w 2025 roku potwierdziła, że nadal jest wykorzystywany. Poprawki istnieją od lutego 2007 roku, ale podatne pakiety nie mają wsparcia, więc odnalezienie i odizolowanie starych instalacji Office, Project i Visio to zadanie na ten tydzień, a ich wymiana na najbliższy miesiąc.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.