Błąd w sterowniku dzienników CLFS pozwala programowi napastnika, który już działa na komputerze z Windows, zdobyć prawa administratora. CISA potwierdza ataki. Poprawka jest od listopada 2023, sprawdź, czy mają ją wszystkie komputery.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracują komputery i serwery z systemem Windows. Werdykt: jeśli któryś komputer nie ma poprawek z listopada 2023 roku lub nowszych, zaktualizuj go w tym tygodniu, a stanowiska bez aktualizacji dziś wskaż z nazwy, bo CISA potwierdza, że luka jest wykorzystywana do przejmowania pełnej kontroli nad już zainfekowanym komputerem.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała podatność CVE-2023-36424 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w sterowniku Common Log File System (CLFS), części systemu Windows, która prowadzi dzienniki transakcyjne dla usług i aplikacji.
Luka nie wpuszcza nikogo do firmy. Służy do drugiego kroku włamania: program napastnika, uruchomiony już na komputerze z uprawnieniami zwykłego pracownika, podnosi sobie uprawnienia do poziomu administratora. Microsoft wydał poprawkę 14 listopada 2023 roku, a termin naprawy wyznaczony przez CISA minął 27 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-36424 |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-27 (14 dni od wpisu) |
Produkt | Microsoft Windows, sterownik Common Log File System (CLFS) |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022 i 2022 23H2 bez aktualizacji z 14 listopada 2023. Warunek: napastnik musi już móc uruchomić program na komputerze (zalogowany użytkownik o niskich uprawnieniach) |
Wersje bezpieczne | Windows 11 23H2: kompilacja 10.0.22631.2715 (KB5032190); 22H2: 10.0.22621.2715 (KB5032190); 21H2: 10.0.22000.2600 (KB5032192). Windows 10 22H2: 10.0.19045.3693 i 21H2: 10.0.19044.3693 (KB5032189); 1809 i Server 2019: 10.0.17763.5122 (KB5032196); 1607 i Server 2016: 10.0.14393.6452 (KB5032197); 1507: 10.0.10240.20308 (KB5032199). Server 2022: 10.0.20348.2091 (KB5032198); Server 2022 23H2: 10.0.25398.531 (KB5032202). Server 2008 i 2012: osobne pakiety z listopada 2023 w komunikacie Microsoft. Każda późniejsza aktualizacja zbiorcza również zawiera poprawkę |
Typ podatności | Podniesienie uprawnień przez odczyt poza zakresem pamięci; CWE-125 |
Ocena CVSS | Microsoft i NVD: 7.8 (CVSS 3.1, WYSOKA). Atak lokalny, niska złożoność, wymagane niskie uprawnienia, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. Microsoft nadał wagę „Important” (ważna), nie „Critical” |
Wyobraź sobie biurowiec, do którego ktoś wszedł z identyfikatorem gościa. Może chodzić po korytarzu i wejść do sali konferencyjnej, ale nie otworzy serwerowni ani gabinetu zarządu. W recepcji jest jednak urzędnik, który na prośbę gościa odczytuje „trzy pozycje z listy”, a przez brak kreski na końcu odczytuje pięć, w tym dwie z listy kodów do drzwi. Gość nie potrzebuje już fałszywej karty, zna kody.
Tak działa ta luka. Program uruchomiony przez pracownika (na przykład z zainfekowanego załącznika) ma uprawnienia tego pracownika i nie może zmienić ustawień całego komputera. Sterownik CLFS, dostępny dla zwykłych programów, czytał dane poza przydzielonym obszarem pamięci. Napastnik wykorzystuje to, żeby poznać wewnętrzne struktury systemu i podnieść uprawnienia programu z poziomu średniego do wysokiego, czyli administratora. Jeśli pracownicy i tak pracują na kontach z prawami administratora, ta bariera w ogóle nie istnieje.
💡 Podniesienie uprawnień to przejście od praw zwykłego użytkownika do praw administratora. Odczyt poza zakresem (out-of-bounds read) to błąd, w którym program czyta więcej pamięci, niż powinien. CLFS to wbudowany w Windows mechanizm dzienników, z którego korzystają usługi i aplikacje. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera zainfekowany załącznik | Złośliwy program działa z prawami pracownika | Złośliwy program może zdobyć prawa administratora |
Program próbuje wyłączyć ochronę antywirusową | System odmawia | Po podniesieniu uprawnień może to zrobić |
Program próbuje zainstalować się na stałe | Wymaga zgody administratora | Instaluje się bez pytania |
Dostęp do plików innych użytkowników komputera | Zablokowany | Możliwy |
Etykieta producenta „Important” | Planowe okno serwisowe | Luka jest już wykorzystywana, planowe okno to zbyt późno |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej wykorzystać przez samo wysłanie żądania z internetu. Napastnik musi najpierw uruchomić swój program na komputerze, zwykle przez phishing, zainfekowany plik albo przejęte konto. CISA ocenia, że ataku nie da się zautomatyzować, ale wpływ techniczny jest całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Pracownik otwiera złośliwy załącznik lub plik pobrany ze strony podszywającej się pod producenta | Program napastnika działa z prawami pracownika |
2. Rozpoznanie komputera | T+kilka minut | Sprawdzenie wersji Windows i daty ostatniej aktualizacji | Wiadomo, że komputer nie ma poprawki z listopada 2023 |
3. Podniesienie uprawnień | T+kilkanaście minut | Wykorzystanie błędu CLFS do zdobycia praw administratora | Pełna kontrola nad komputerem |
4. Wyłączenie ochrony | T+30 do 60 min | Wyłączenie lub ominięcie antywirusa, instalacja trwałego dostępu | Napastnik pozostaje niezauważony |
5. Kradzież haseł i ruch w sieci | T+godziny do dni | Odczyt zapisanych haseł i przejście na serwery i inne komputery | Dostęp do zasobów firmowych |
6. Skutek | T+dni do tygodni | Kradzież danych lub szyfrowanie | Wyciek, przestój, żądanie okupu |
Szkolenia i program antywirusowy chronią przed pierwszym krokiem ataku, ale żadna ochrona nie jest szczelna. O skali szkód decyduje drugi krok: czy napastnik zostanie na jednym koncie, czy przejmie cały komputer i ruszy dalej. Aktualny system operacyjny to tania i skuteczna bariera na tym drugim etapie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte komputery i serwery do odtworzenia, praca działu stoi | Dni od wejścia | 20 tys. do 250 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów i danych klientów z przejętych komputerów | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwe nieautoryzowane przelewy przy kradzieży haseł bankowych | Dni do tygodni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Informacja o wycieku do klientów i partnerów | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows
bez aktualizacji z listopada 2023
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo luka daje pełną kontrolę nad komputerem, a prawdopodobieństwo średnie, bo napastnik musi najpierw uruchomić program na komputerze; w firmie, w której pracownicy mają prawa administratora albo komputery nie są aktualizowane od lat, ryzyko jest wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować listę komputerów i serwerów Windows z numerem kompilacji i datą ostatniej aktualizacji | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na każdym komputerze starszym niż kompilacje z sekcji 1 | Do 3 dni | Administrator / partner IT |
3 | 🟠 PILNIE | Wskazać serwery i komputery z systemami bez wsparcia (Windows Server 2008 i 2012, stare wydania Windows 10) i zaplanować ich wymianę lub izolację | Do 7 dni | CTO |
4 | 🟠 PILNIE | Sprawdzić, którzy pracownicy mają prawa administratora na swoich komputerach, i je odebrać tam, gdzie nie są potrzebne | Do 7 dni | Administrator systemów |
5 | 🟠 PILNIE | Zmienić zasady opieki IT tak, aby poprawki dla luk z katalogu KEV instalowano niezależnie od etykiety „Important” | Do 14 dni | CTO |
6 | 🟡 WAŻNIE | Włączyć automatyczne raportowanie stanu aktualizacji (np. przez narzędzie do zarządzania komputerami) | Do 30 dni | Kierownik IT |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom zasady postępowania z załącznikami i nieznanymi plikami | Do 30 dni | Kierownik IT / HR |
Microsoft wydał poprawki dla wszystkich wymienionych systemów w listopadzie 2023 roku i nie podaje żadnego obejścia ani ustawienia, które zastąpiłoby aktualizację. Poniższe miary tylko ograniczają skutki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odebranie pracownikom stałych praw administratora | Średnia: nie usuwa luki, ale zmniejsza zasięg innych ataków i skutki pomyłek | Średnia: wymaga obsługi wyjątków dla programów branżowych |
Blokada uruchamiania nieznanych programów (np. AppLocker, reguły ograniczające) | Średnia do wysokiej: utrudnia pierwszy krok ataku | Trudna |
Filtrowanie załączników i blokada makr w dokumentach z internetu | Średnia | Łatwa do średniej |
Odłączenie od sieci komputerów, których nie da się zaktualizować | Wysoka dla reszty sieci | Średnia: zależy od roli komputera |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje Windows | Część komputerów bez poprawek z listopada 2023 | Wszystkie komputery na aktualnych kompilacjach |
Wiedza o stanie aktualizacji | „Komputery aktualizują się same” | Lista komputerów z numerem kompilacji i datą |
Prawa pracowników | Część osób z prawami administratora | Prawa administratora tylko tam, gdzie są potrzebne |
Skutek kliknięcia w złośliwy załącznik | Możliwe przejęcie całego komputera | Szkody ograniczone do jednego konta |
Zgodność z terminem CISA | Zaległość od 27 kwietnia 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Komunikat Microsoft, według analizy źródłowej, nadal oznacza lukę jako niewykorzystywaną, co odzwierciedla jedynie obserwacje producenta |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft i NVD) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Anonimowy badacz za pośrednictwem programu SSD Secure Disclosure |
Prognoza EPSS | Około 12% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 95% znanych podatności (wg analizy źródłowej) |
Etykieta producenta i ocena CVSS nie oddają tego, że luka jest już w użyciu. Dla decyzji biznesowej liczy się wpis w katalogu CISA:
Sygnały zagrożenia dla CVE-2023-36424
CVSS 3.1 (Microsoft, NVD) 7.8/10 ████████████████░░░░ WYSOKA
Waga Microsoft Important ██████████████░░░░░░ ważna
EPSS (próba w 30 dni) ~12% ██░░░░░░░░░░░░░░░░░░ wyżej niż 95% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2023-11-14 Microsoft publikuje poprawkę (listopadowe aktualizacje)
2023-11-14 Publikacja CVE-2023-36424 w NVD
2026-04-13 CISA dodaje lukę do katalogu KEV
2026-04-27 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-07 Ostatnia aktualizacja komunikatu Microsoft (wg analizy źródłowej)
... prawie 3 lata od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat Microsoft z listą pakietów aktualizacji: msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36424 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-36424 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić o listę wszystkich komputerów i serwerów Windows z numerem kompilacji | CTO | DZISIAJ |
2 | Wskazać z nazwy komputery bez aktualizacji z listopada 2023 lub nowszych | CTO | DZISIAJ |
3 | Zatwierdzić instalację aktualizacji poza planowym oknem serwisowym | CTO | DZISIAJ |
4 | Ustalić, ile osób pracuje na kontach z prawami administratora | CTO | DO JUTRA |
5 | Wskazać systemy bez wsparcia producenta i oszacować koszt ich wymiany | CTO / CFO | DO JUTRA |
6 | Sprawdzić w umowie z partnerem IT, czy obejmuje instalację poprawek oznaczonych jako „Important” | CFO | DO JUTRA |
7 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące aktualności systemów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów Windows nie ma aktualizacji z listopada 2023 lub nowszych? | [liczba] | 🔴 |
2 | Kiedy ostatnio zainstalowano aktualizację zbiorczą na najstarszym komputerze w firmie? | [data] | 🔴 |
3 | Czy mamy serwery z Windows Server 2008 lub 2012? | TAK / NIE, [liczba] | 🔴 |
4 | Ilu pracowników ma prawa administratora na swoim komputerze? | [liczba] | 🟠 |
5 | Czy poprawki oznaczone jako „Important” instalujemy od razu, czy czekają na okno serwisowe? | [od razu / okno serwisowe] | 🟠 |
6 | Czy mamy narzędzie, które pokazuje stan aktualizacji wszystkich komputerów w jednym miejscu? | TAK / NIE | 🟠 |
7 | Czy blokujemy uruchamianie nieznanych programów i makr z dokumentów z internetu? | TAK / NIE | 🟡 |
CVE-2023-36424 w sterowniku CLFS systemu Windows pozwala programowi napastnika, który już działa na komputerze, zdobyć prawa administratora. Poprawka jest dostępna od listopada 2023 roku, CISA potwierdza wykorzystanie luki, a termin CISA minął 27 kwietnia 2026 roku, więc wskazanie i zaktualizowanie komputerów bez tej poprawki to zadanie na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.