Błąd w jądrze Win32k pozwala zwykłemu kontu przejąć Windows 10 1507/1607 lub Windows Server 2008 do 2016 z uprawnieniami SYSTEM. Wykorzystywany przed poprawką. Sprawdź kompilacje i zainstaluj łatki z marca 2025.
Ten alert jest dla zarządu, CTO i CFO firm, w których wciąż działają starsze systemy Windows: Windows 10 w wersji pierwotnej lub 1607 albo Windows Server 2008, 2008 R2, 2012, 2012 R2 lub 2016. Werdykt: jeśli taka maszyna nie ma poprawek z marca 2025 roku, zainstaluj je dziś albo odizoluj maszynę, bo luka pozwala intruzowi, który już jest na komputerze, przejąć go z uprawnieniami SYSTEM, a wykorzystywano ją, zanim ktokolwiek o niej napisał.
Amerykańska agencja CISA 11 marca 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-24983 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w podsystemie jądra Win32 (Win32k), który obsługuje grafikę i okna w najbardziej uprzywilejowanej części Windows. Program korzystał z pamięci, którą już zwolnił, co pozwala zwykłemu kontu awansować do konta SYSTEM.
Microsoft oznaczył lukę jako wykorzystywaną w atakach i nieujawnioną publicznie przed poprawką. Zgłosił ją Filip Jurcacko z firmy ESET. Termin naprawy wg CISA minął 1 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24983 (w europejskiej bazie: EUVD-2025-6323) |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 (21 dni od wpisu) |
Produkt | Microsoft Windows, podsystem jądra Win32 (Win32k) |
Wersje zagrożone | Wyłącznie starsze systemy: Windows 10 (wydanie pierwotne 1507 i 1607), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2 i 2016, bez poprawek z marca 2025 roku. Windows 11 i Server 2019, 2022, 2025 nie są na liście |
Wersje bezpieczne | Kompilacje: Windows 10 1507: 10.0.10240.20947; Windows 10 1607 i Server 2016: 10.0.14393.7876; Server 2008 R2 SP1: 6.1.7601.27618; Server 2012: 6.2.9200.25368; Server 2012 R2: 6.3.9600.22470; Server 2008 SP2: marcowa poprawka 2025 wg biuletynu. Aktualizacje: KB5053594, KB5053618, KB5053620, KB5053627, KB5053886, KB5053887, KB5053888, KB5053995. Część systemów wymaga płatnego programu przedłużonych aktualizacji |
Typ podatności | Lokalne podniesienie uprawnień przez użycie pamięci po zwolnieniu; CWE-416 |
Ocena CVSS | 7.0/10 (CVSS 3.1, WYSOKA, ocena Microsoft w NVD); ocena czasowa producenta 6.5. Atak lokalny, wysoka złożoność (wyścig), wymaga konta o niskich uprawnieniach, bez udziału użytkownika |
Wyobraź sobie szatnię, w której szatniarz wydaje numerki. Klient oddaje numerek przy wyjściu, ale przez chwilę jeszcze trzyma rękę przy wieszaku. W tym samym momencie szatniarz przydziela ten wieszak komuś nowemu, np. dyrektorowi z kluczami do całego budynku. Kto dobrze wyczuje ten ułamek sekundy, sięga do kieszeni płaszcza, który już do niego nie należy.
Tak działa ta luka. Win32k oddaje fragment pamięci, a chwilę później nadal z niego korzysta. Napastnik, który jest już na komputerze choćby jako zwykły użytkownik, stara się, by w tym miejscu znalazły się jego dane. Musi trafić w wąskie okno czasu, ale nieudaną próbę może powtarzać do skutku. Ponieważ Win32k działa w jądrze systemu, efektem jest od razu konto SYSTEM, czyli pełna władza nad maszyną.
💡 Podniesienie uprawnień to przejście od zwykłego konta do konta z pełną władzą nad komputerem. SYSTEM to wbudowane konto Windows silniejsze od administratora. Jądro systemu to najbardziej uprzywilejowana część Windows. Use-after-free to błąd użycia pamięci po jej zwolnieniu. Wyścig (race condition) to sytuacja, w której wynik zależy od kolejności dwóch równoczesnych operacji. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik uruchamia złośliwy plik | Szkody ograniczone do jego konta | Napastnik może przejąć cały serwer lub komputer |
Oprogramowanie ochronne | Działa, zwykłe konto go nie wyłączy | Z poziomu SYSTEM da się je wyłączyć |
Kopie zapasowe wykonywane z tej maszyny | Chronione przed zwykłym kontem | Mogą zostać usunięte razem z oryginałami |
Nieudana próba ataku | Zniechęca | Można ją powtarzać wielokrotnie |
Windows 11, Server 2019 i nowsze | Nie dotyczy | Nie dotyczy, lista obejmuje tylko starsze systemy |
źródło: Pexels, BOOM PhotographyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: napastnik musi najpierw uzyskać jakikolwiek dostęp do maszyny, np. przez złośliwy załącznik, skradzione hasło lub inną lukę. Nie da się jej wykorzystać przez skanowanie internetu, dlatego służy jako drugi krok w celowych atakach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Zdobycie zwykłego konta: phishing, hasło z wycieku, dostęp zdalny | Napastnik na maszynie z niskimi uprawnieniami |
2. Rozpoznanie | T+minuty | Sprawdzenie wersji Windows i obecności marcowych poprawek 2025 | Potwierdzenie podatności |
3. Wyścig | T+minuty do godzin | Wielokrotne próby wywołania błędu w Win32k, aż do trafienia w okno czasu | Kod napastnika w jądrze systemu |
4. Przejęcie | T+po udanej próbie | Uzyskanie uprawnień SYSTEM | Pełna kontrola nad maszyną |
5. Zacieranie śladów | T+godziny | Wyłączenie ochrony, instalacja mechanizmu przetrwania restartu, kradzież haseł | Trwała obecność, dane logowania do innych systemów |
6. Dalszy atak | T+dni | Usunięcie kopii zapasowych, przejęcie kolejnych serwerów | Kradzież danych lub szyfrowanie |
Krótka lista podatnych systemów wygląda uspokajająco, ale opisuje dokładnie ten sprzęt, który w małych firmach stoi najdłużej i najrzadziej jest aktualizowany, bo działa na nim aplikacja, której nie da się łatwo wymienić. Luka nie otwiera drzwi, ale decyduje o rozmiarze szkód po wejściu intruza.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer, utracone kopie zapasowe, zatrzymana kluczowa aplikacja | Godziny do dni od wejścia | 30 tys. do 300 tys. PLN (odtworzenie, przestój, pilna migracja) |
Bezpieczeństwo danych | Kradzież dokumentów i haseł, wyłączona ochrona | Godziny | 20 tys. do 200 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Koszty incydentu, możliwy okup, koszt przedłużonych aktualizacji lub wymiany | Dni do tygodni | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów lub pacjentów | Miesiące | 20 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie systemu bez wsparcia utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 10 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla starszego Windows lub Windows Server
bez poprawek z marca 2025 roku
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad serwerem), ale prawdopodobieństwo średnie, bo atak wymaga wcześniejszego dostępu do maszyny i wygrania wyścigu, a EPSS jest niski (ok. 1,3%); dla serwera dostępnego dla wielu użytkowników i bez poprawek ryzyko rośnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać maszyny z Windows 10 1507 lub 1607 i Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016 oraz odczytać numery kompilacji | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować poprawki z marca 2025 roku (lub nowsze) tam, gdzie są dostępne | Dziś | Administrator IT |
3 | 🟠 PILNIE | Dla systemów bez wsparcia sprawdzić, czy firma ma przedłużone aktualizacje; jeśli nie, podjąć decyzję o zakupie lub izolacji | Do 3 dni | CTO / CFO |
4 | 🟠 PILNIE | Odizolować niezałatane maszyny: bez internetu, bez logowania z komputerów pracowników, dostęp tylko dla administratorów | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przenieść kopie zapasowe na nośnik, którego ta maszyna nie kontroluje | Do 7 dni | Administrator IT |
6 | 🟠 PILNIE | Przejrzeć alerty ochrony i logi od marca 2025 roku pod kątem wyłączania zabezpieczeń i nowych kont | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Przygotować plan migracji aplikacji ze starych systemów na wspierane | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wymienionych systemów, ale część z nich jest dostępna tylko w płatnym programie przedłużonych aktualizacji. Biuletyn nie podaje żadnego obejścia. Poniższe miary ograniczają dostęp do maszyny, który jest warunkiem ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie maszyny od internetu i poczty | Średnia do wysokiej: utrudnia pierwszy krok ataku | Łatwa |
Brak logowania na maszynę z kont pracowników, dostęp tylko dla administratorów | Wysoka wobec napastnika z przejętym kontem pracownika | Średnia: zależy od aplikacji |
Blokada uruchamiania nieznanych programów (np. AppLocker) | Średnia | Średnia |
Kopia zapasowa poza kontrolą tej maszyny | Nie zapobiega atakowi, ale ratuje dane | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stare systemy Windows | Nieznane, bez poprawek | Spisane, zaktualizowane lub odizolowane |
Skutek przejęcia zwykłego konta | Możliwe przejęcie całej maszyny | Napastnik ograniczony do uprawnień konta |
Kopie zapasowe | Na tej samej maszynie | Poza jej kontrolą |
Wsparcie producenta | Nieświadome ryzyko | Decyzja: przedłużone aktualizacje lub migracja |
Zgodność z terminem CISA | Zaległość sprzed prawie 18 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: wykorzystywana w atakach przed publicznym ujawnieniem |
Grupy przestępcze | Brak publicznych informacji w materiałach źródłowych |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.0/10 WYSOKA (CVSS 3.1, Microsoft w NVD); ocena czasowa 6.5 |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie; wg producenta działający kod ataku istniał w chwili publikacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Filip Jurcacko, ESET |
Prognoza EPSS | Ok. 1,3% (wg analizy źródłowej); niska, bo atak wymaga wcześniejszego dostępu do maszyny i nie nadaje się do masowego skanowania |
Uwaga dla działu IT: pytaj o konkretny numer kompilacji każdego serwera. Odpowiedź „aktualizacje są włączone” nie wystarczy, zwłaszcza przy systemach wymagających przedłużonych aktualizacji.
Sygnały zagrożenia dla CVE-2025-24983
CVSS 3.1 (Microsoft) 7.0/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~1,3% ░░░░░░░░░░░░░░░░░░░░ atak celowany
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak przed poprawką TAK ████████████████████ wg Microsoft
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja 2025-03-11 Microsoft wydaje poprawki (Patch Tuesday), publikacja CVE w NVD
2025-03-11 CISA dodaje lukę do katalogu KEV
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-24983 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24983 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę maszyn ze starszymi Windows i Windows Server wraz z numerami kompilacji | CTO | DZISIAJ |
2 | Potwierdzić instalację poprawek z marca 2025 roku na tych maszynach | CTO | DZISIAJ |
3 | Ustalić, które aplikacje wymagają starych systemów i kto je dostarczył | CTO | DO JUTRA |
4 | Oszacować koszt przedłużonych aktualizacji w porównaniu z migracją | CFO | DO JUTRA |
5 | Zatwierdzić izolację maszyn, których nie da się dziś zaktualizować | CTO | DO JUTRA |
6 | Zlecić sprawdzenie, gdzie leżą kopie zapasowe tych serwerów | CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje systemy bez wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn działa na Windows 10 1507/1607 lub Windows Server 2008 do 2016? | [liczba] | 🔴 |
2 | Jaki numer kompilacji ma każdy z tych serwerów? | [wersja] | 🔴 |
3 | Czy na wszystkich zainstalowano poprawki z marca 2025 roku? | TAK / NIE | 🔴 |
4 | Czy mamy przedłużone aktualizacje dla systemów bez wsparcia? | TAK / NIE | 🟠 |
5 | Czy pracownicy mogą logować się na te serwery ze swoich komputerów? | TAK / NIE | 🟠 |
6 | Czy kopie zapasowe tych serwerów są poza ich kontrolą? | TAK / NIE | 🟠 |
7 | Do kiedy przeniesiemy aplikacje na wspierane systemy? | [data] | 🟡 |
CVE-2025-24983 pozwala intruzowi, który już ma dostęp do starszego Windows lub Windows Server, przejąć maszynę z uprawnieniami SYSTEM. Luka była wykorzystywana przed wydaniem poprawki w marcu 2025 roku, a dotyczy właśnie tych systemów, które w małych firmach zostają najdłużej, więc dziś trzeba sprawdzić kompilacje, zainstalować poprawki lub odizolować maszyny i zaplanować migrację.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.