Wykorzystywana luka w mechanizmie ALPC pozwala napastnikowi na komputerze z Windows 10 lub Windows Server 2012-2022 zdobyć uprawnienia SYSTEM. Zainstaluj aktualizację z 8 września 2026.
Ten alert jest dla zarządu, CTO i CFO firm, które nadal używają komputerów z Windows 10 lub serwerów z Windows Server 2012, 2016, 2019 i 2022. Werdykt: jeśli któraś maszyna nie ma wrześniowej aktualizacji zabezpieczeń z 8 września 2026 roku, zainstaluj ją do końca tygodnia, bo Microsoft i CISA potwierdzają ataki z użyciem tej luki.
Amerykańska agencja CISA 8 września 2026 roku, w dniu publikacji poprawki, dopisała CVE-2026-85880 do katalogu KEV, czyli listy podatności wykorzystywanych w prawdziwych atakach. Błąd dotyczy ALPC, wewnętrznego mechanizmu komunikacji między programami w Windows. Napastnik, który już uruchomił kod na komputerze, nawet w mocno ograniczonym środowisku, może zdobyć uprawnienia SYSTEM, najwyższe w Windows.
Microsoft oznaczył lukę jako wykorzystywaną w atakach przed wydaniem poprawki. Zgodnie z doniesieniami odkrycie przypisano firmie Volexity i badaczom z Proofpoint, ale szczegóły ataków nie zostały ujawnione. Termin naprawy wg CISA to 22 września 2026 roku, czyli za pięć dni.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-85880 |
Data dodania do CISA KEV | 2026-09-08 |
Termin naprawy wg CISA | 2026-09-22 |
Produkt | Microsoft Windows, mechanizm Advanced Local Procedure Call (ALPC) |
Wersje zagrożone | Wg Microsoft: Windows 10 w wersjach 1607, 1809, 21H2 i 22H2; Windows Server 2012, 2012 R2, 2016, 2019 i 2022 (także instalacje Server Core). Windows 11 i Server 2025 nie są wymienione. Wymagana wcześniejsza możliwość uruchomienia kodu na komputerze |
Wersje bezpieczne | Kompilacje z aktualizacji z 8 września 2026: Windows 10 21H2/22H2: 19044/19045.7725 (KB5122878); 1809 i Server 2019: 17763.9245 (KB5122876); 1607 i Server 2016: 14393.9512 (KB5123099); Server 2022: 20348.5622 (KB5122882); Server 2012: 6.2.9200.26349 (KB5123065); Server 2012 R2: 6.3.9600.23397 (KB5123066). Aktualizacja KB5122878 dla Windows 10 jest wg doniesień rozszerzoną aktualizacją zabezpieczeń (ESU) |
Typ podatności | Lokalne podniesienie uprawnień przez przepełnienie bufora na stercie; CWE-122 i CWE-908 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft; NVD przytacza). Waga wg Microsoft: ważna. Atak lokalny, niskie uprawnienia, bez udziału użytkownika |
Wyobraź sobie bank, w którym klient w poczekalni może wrzucić kartkę do wewnętrznej poczty pneumatycznej. Kartki trafiają do skarbca, gdzie pracownik wykonuje zapisane polecenia. Jeśli za długa kartka potrafi „przelać się” na polecenie z podpisem dyrektora, klient z poczekalni wydaje rozkazy skarbcowi.
ALPC to taka wewnętrzna poczta Windows, przez którą zwykłe programy przekazują prośby usługom systemowym działającym z najwyższymi uprawnieniami. Błąd pozwala napastnikowi, który ma już kod na komputerze, na przykład w przeglądarce lub dokumencie, przejąć cały system. Microsoft opisuje, że luka pozwala wyjść nawet z piaskownicy, czyli wydzielonego, ograniczonego środowiska.
💡 ALPC (Advanced Local Procedure Call) to wbudowany mechanizm Windows do komunikacji między programami i usługami. SYSTEM to najwyższy poziom uprawnień w Windows. Piaskownica (AppContainer) to ograniczone środowisko, w którym Windows uruchamia np. aplikacje ze sklepu. ESU to płatny program rozszerzonych aktualizacji dla systemów po końcu wsparcia.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Szkodnik uruchomiony w piaskownicy | Nie wychodzi poza ograniczone środowisko | Wychodzi i zdobywa SYSTEM |
Program ochronny na komputerze | Zwykły proces nie może go wyłączyć | Proces z SYSTEM może go wyłączyć |
Komputer, który nie otrzymuje aktualizacji | Stara, ale ograniczona ekspozycja | Bez poprawki, podatny na stałe |
Hasła zapisane w pamięci systemu | Chronione przed zwykłym kontem | Dostępne dla napastnika |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu: Microsoft nie ujawnił, jak luka była wykorzystywana. Luka nie daje wejścia z internetu, jest drugim krokiem ataku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy dokument, strona lub wyłudzone hasło | Kod w ograniczonym procesie lub na zwykłym koncie |
2. Podniesienie uprawnień | T+minuty | Wykorzystanie CVE-2026-85880 | Uprawnienia SYSTEM |
3. Wyłączenie obrony | T+kilkanaście minut | Zatrzymanie ochrony, czyszczenie dzienników | Komputer bez nadzoru |
4. Kradzież haseł | T+godziny | Odczyt haseł i tokenów administratorów | Dostęp do serwerów |
5. Cel ataku | T+dni | Szpiegostwo, kradzież danych lub przygotowanie ransomware | Straty i przestój |
Luka dotyczy właśnie tych systemów, które w wielu firmach są najstarsze i najrzadziej aktualizowane: Windows 10 i serwerów z lat 2012-2019. Poprawka dla Windows 10 trafia do firm w ramach rozszerzonych aktualizacji (ESU), więc tam, gdzie ich nie ma, maszyna zostaje bez ochrony.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte komputery i serwery do odbudowy | Dni | 30 tys. do 300 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów i danych klientów | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, możliwy okup, koszt pilnego zakupu ESU lub wymiany | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Informacja o incydencie dla klientów i partnerów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windows 10 i Windows Server
bez aktualizacji z 8 września 2026
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo ataki są potwierdzone, a pierwszy krok (kod na komputerze) napastnicy zdobywają rutynowo; wpływ jest wysoki, a nie maksymalny, bo luka sama nie otwiera drogi z internetu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować listę komputerów z Windows 10 i serwerów 2012-2022 bez aktualizacji z 8 września 2026 | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować wrześniową aktualizację zbiorczą i zrestartować maszyny, zaczynając od serwerów i serwerów terminali | Do 22 września 2026 | Administrator |
3 | 🟠 PILNIE | Sprawdzić, które komputery z Windows 10 i serwery 2012 faktycznie otrzymały wrześniowe poprawki, a jeśli nie, dlaczego (np. brak ESU) | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Dla maszyn bez ESU zdecydować: zakup ESU, aktualizacja do Windows 11 lub Server 2025, wymiana albo odłączenie | Do 7 dni | CTO |
5 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe są niedostępne do zapisu z komputerów w sieci | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport maszyn z zaległymi aktualizacjami | Do 30 dni | Kierownik IT |
Microsoft wydał poprawki 8 września 2026 roku i nie podaje obejścia. Poniższe środki ograniczają skutki, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie od sieci lub izolacja maszyn bez ESU | Wysoka dla tych maszyn | Średnia |
Ograniczenie uruchamiania nieznanych programów (AppLocker, WDAC) | Średnia | Średnia do trudnej |
Zablokowanie makr i załączników z internetu w poczcie i pakiecie biurowym | Średnia: utrudnia pierwszy krok | Łatwa |
Kopia zapasowa offline lub niezmienialna | Wysoka wobec szyfrowania, nie zapobiega włamaniu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kod szkodnika na komputerze | W kilka minut zdobywa SYSTEM | Zostaje ograniczony |
Maszyny, które nie dostają poprawek | Bez poprawek, „bo działają” | ESU, migracja lub odłączenie |
Wiedza o stanie aktualizacji | Brak raportu | Comiesięczny raport zaległości |
Kopie zapasowe | Dostępne z sieci | Kopia offline |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: „Exploitation Detected” w dniu wydania poprawki |
Grupy przestępcze | Brak publicznych informacji; odkrycie przypisano Volexity i Proofpoint, bez opublikowanych szczegółów ataków |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (Microsoft, CVSS 3.1); waga wg Microsoft: ważna |
PoC dostępny publicznie? | Brak publicznych informacji o PoC; luka nie była ujawniona przed poprawką |
Liczba atakowanych firm | Brak publicznych informacji |
Kontekst | Jedna z dwóch wykorzystywanych luk z wrześniowego Patch Tuesday (druga: CVE-2026-81963 w Windows Update Stack) |
Sygnały zagrożenia dla CVE-2026-85880
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Waga Microsoft Ważna ████████████░░░░░░░░ nie krytyczna
Automatyzacja (CISA) NIE ████░░░░░░░░░░░░░░░░ wymaga kodu na komputerze
CISA KEV TAK ████████████████████ ataki potwierdzone
Wykorzystanie (MSRC) TAK ████████████████████ przed poprawką 2026-09-04 Rezerwacja numeru CVE-2026-85880
2026-09-08 Microsoft publikuje poprawki (Patch Tuesday), luka oznaczona jako wykorzystywana
2026-09-08 Publikacja CVE, CISA dodaje lukę do KEV
2026-09-16 Microsoft koryguje wektor CVSS (zmiana informacyjna)
2026-09-17: TUTAJ JESTEŚMY
2026-09-22 Termin naprawy wg CISA Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2026-85880 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-85880 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać liczbę komputerów i serwerów bez aktualizacji z 8 września 2026 | CTO | DZISIAJ |
2 | Zatwierdzić instalację aktualizacji i restarty serwerów w najbliższym oknie | CTO | DZISIAJ |
3 | Ustalić listę maszyn z Windows 10 i Server 2012, które nie otrzymały wrześniowej poprawki | CTO | DO JUTRA |
4 | Porównać koszt ESU z kosztem migracji tych maszyn | CFO | DO JUTRA |
5 | Potwierdzić istnienie kopii zapasowej offline i datę ostatniego testu odtworzenia | CTO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące systemów bez wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn z Windows 10 i Windows Server 2012-2022 nie ma aktualizacji z 8 września 2026? | [liczba] | 🔴 |
2 | Czy serwery terminali i serwery plików są już zaktualizowane i zrestartowane? | TAK / NIE, [data] | 🔴 |
3 | Ile komputerów z Windows 10 ma aktywne ESU? | [liczba] | 🔴 |
4 | Czy mamy serwery z Windows Server 2012 lub 2012 R2 i czy zainstalowano na nich KB5123065 lub KB5123066? | TAK / NIE | 🟠 |
5 | Jaki jest plan migracji do Windows 11 i Windows Server 2025? | [data] | 🟠 |
6 | Czy blokujemy makra i uruchamianie nieznanych programów na komputerach pracowników? | TAK / NIE | 🟡 |
7 | Czy mamy kopię zapasową, której nie da się usunąć z komputera w sieci? | TAK / NIE | 🟡 |
CVE-2026-85880 w mechanizmie ALPC pozwala napastnikowi obecnemu na komputerze z Windows 10 lub Windows Server 2012-2022 zdobyć uprawnienia SYSTEM, a Microsoft i CISA potwierdzają ataki. Wrześniowa aktualizacja usuwa lukę, więc kluczowe jest jej zainstalowanie przed terminem CISA 22 września 2026 roku oraz szybka decyzja o maszynach, które poprawki nie otrzymały.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.