Błąd w platformie Microsoft Defender pozwala napastnikowi ze zwykłego konta przejąć pełną kontrolę nad komputerem. CISA potwierdza ataki, także ransomware. Sprawdź, czy wszystkie komputery mają platformę 4.18.26030.3011 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią komputery z Windows wbudowanym programem Microsoft Defender. Werdykt: sprawdź dziś, czy platforma Defendera na wszystkich komputerach ma wersję 4.18.26030.3011 lub nowszą, bo CISA potwierdza wykorzystanie tej luki, także w atakach ransomware.
Amerykańska agencja CISA 22 kwietnia 2026 roku dopisała podatność CVE-2026-33825 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Oznaczyła ją też jako używaną w kampaniach ransomware (szyfrowanie danych dla okupu).
Błąd dotyczy platformy antymalware Microsoft Defender, czyli programów i sterowników, które faktycznie skanują pliki. Nie pozwala wejść do firmy z zewnątrz. Pozwala natomiast komuś, kto już działa na zwykłym koncie użytkownika, awansować do poziomu SYSTEM, najwyższego w Windows. W praktyce to „drugi krok” typowego ataku: po zainfekowaniu komputera przez fałszywą fakturę napastnik zdobywa pełną władzę nad maszyną. Termin naprawy wg CISA minął 6 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-33825 (w publikacjach badaczy nazywana BlueHammer) |
Data dodania do CISA KEV | 2026-04-22 |
Termin naprawy wg CISA | 2026-05-06 (14 dni od wpisu) |
Produkt | Microsoft Defender, platforma antymalware (klient antymalware) |
Wersje zagrożone | Platforma Defendera do wersji 4.18.26020.6 włącznie, gdy Defender jest aktywny. Komputer z wyłączonym Defenderem (np. przy innym antywirusie) nie jest w stanie podatnym, choć skaner podatności może go tak oznaczyć |
Wersje bezpieczne | Platforma w wersji 4.18.26030.3011 i nowszej; aktualizacja instaluje się automatycznie w konfiguracji domyślnej |
Typ podatności | Podniesienie uprawnień lokalnie; CWE-1220 (niewystarczająca ziarnistość kontroli dostępu). Badacze z Huntress opisują mechanizm jako wyścig między sprawdzeniem a użyciem pliku (TOCTOU) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, ocena Microsoftu przyjęta w NVD). Microsoft: waga Important. Atak lokalny, wymaga zalogowania na zwykłe konto, bez udziału innego użytkownika |
Wyobraź sobie biurowiec, w którym ochroniarz ma pęk kluczy do wszystkich pomieszczeń, bo musi móc wejść wszędzie w razie alarmu. Zwykły pracownik ma klucz tylko do swojego pokoju. Luka polega na tym, że pracownik, a raczej ktoś, kto ukradł jego identyfikator, może w odpowiednim momencie podsunąć ochroniarzowi „zlecenie” i skorzystać z jego pęku kluczy. Od tej chwili otwiera serwerownię, archiwum i sejf.
Defender to właśnie taki ochroniarz: musi pracować z najwyższymi uprawnieniami, bo zagląda do wszystkich plików i procesów. Kiedy w takim programie zawiedzie kontrola dostępu, zdobycz napastnika jest od razu maksymalna. Konto SYSTEM może wyłączyć ochronę, skasować kopie zapasowe na komputerze, odczytać hasła i zainstalować dowolne oprogramowanie.
💡 Podniesienie uprawnień to przejście ze zwykłego konta na konto z pełną władzą nad systemem. SYSTEM to najwyższy poziom uprawnień w Windows, wyższy niż administrator. Ransomware to złośliwe oprogramowanie szyfrujące dane w celu wymuszenia okupu. PoC (proof of concept) to publicznie dostępny kod pokazujący, jak wykorzystać lukę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik | Napastnik ma zwykłe konto, nie wyłączy ochrony | Napastnik awansuje do poziomu SYSTEM |
Próba wyłączenia antywirusa | Zablokowana, wymaga uprawnień administratora | Możliwa z przejętego konta |
Dostęp do haseł zapisanych w systemie | Niedostępny dla zwykłego konta | Możliwy odczyt bazy haseł Windows |
Lokalne kopie zapasowe i kopie cieni (VSS) | Chronione przed zwykłym użytkownikiem | Mogą zostać usunięte |
Skala szkód po jednym kliknięciu | Jeden zablokowany pulpit | Punkt wyjścia do zaszyfrowania całej firmy |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy. Luka jest lokalna, więc atak nie zaczyna się od niej: napastnik najpierw musi zdobyć zwykłe konto, np. przez phishing albo przejęty dostęp VPN. Firma Huntress opisała w kwietniu 2026 roku prawdziwe włamanie, w którym narzędzie BlueHammer uruchomiono po wejściu przez przejęty dostęp FortiGate SSL VPN; w tamtym przypadku, według Huntress, próba podniesienia uprawnień najpewniej się nie powiodła.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Przejęcie zwykłego konta: złośliwy załącznik, skradzione hasło, przejęty VPN | Napastnik działa jako zwykły użytkownik |
2. Rozpoznanie | T+10 do 60 min | Sprawdzenie uprawnień i zapisanych poświadczeń na komputerze | Wiedza, czy Defender jest aktywny i podatny |
3. Podniesienie uprawnień | T+1 do 3 godz. | Uruchomienie publicznego narzędzia wykorzystującego lukę w Defenderze | Uprawnienia SYSTEM na komputerze |
4. Kradzież poświadczeń | T+3 do 6 godz. | Odczyt bazy haseł, wyłączenie ochrony, instalacja tunelu do dalszego dostępu | Hasła do innych systemów, trwały dostęp |
5. Ruch w sieci | T+1 do 7 dni | Przejście na serwery plików, kontroler domeny, systemy kopii | Kontrola nad kluczowymi systemami |
6. Szyfrowanie i szantaż | T+1 do 3 tygodni | Usunięcie kopii, zaszyfrowanie danych, żądanie okupu | Przestój firmy i żądanie zapłaty |
Większość ataków ransomware potrzebuje dwóch kroków: wejścia i przejęcia pełnych uprawnień. Pierwszego kroku nie da się wykluczyć, bo ktoś w końcu kliknie. Ta luka ułatwia drugi krok, a jest w programie, który działa na praktycznie każdym komputerze z Windows. Dobra wiadomość: poprawka zwykle instaluje się sama, więc zadaniem jest znalezienie maszyn, które zostały w tyle.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, brak dostępu do dokumentów i systemów | Dni do tygodni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł i danych klientów przed szyfrowaniem | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Żądanie okupu, nadgodziny, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie przy danych poufnych (kancelarie, biura rachunkowe, medycyna) | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera z aktywnym Defenderem
i platformą 4.18.26020.6 lub starszą
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Komputer z platformą 4.18.26030.3011 lub nowszą:
ryzyko z tej luki usunięte. Interpretacja: wpływ jest wysoki (pełne uprawnienia, ransomware potwierdzone przez CISA), a prawdopodobieństwo średnie, bo napastnik musi najpierw mieć dostęp do komputera, a poprawka instaluje się automatycznie na większości maszyn.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję platformy Defendera (klient antymalware) na wszystkich komputerach i serwerach, porównać z 4.18.26030.3011 | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Na maszynach ze starszą wersją wymusić aktualizację Defendera i sprawdzić, dlaczego nie zaktualizowała się sama | Dziś | Administrator IT |
3 | 🟠 PILNIE | Znaleźć laptopy i komputery, które długo nie łączyły się z siecią lub mają wyłączone automatyczne aktualizacje | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Przejrzeć logi dostępu VPN i alerty ochrony z kwietnia do września 2026 roku pod kątem prób wyłączenia Defendera | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy raportach skanera podatności odróżnić komputery z wyłączonym Defenderem (niepodatne) od realnie podatnych | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są poza zasięgiem uprawnień SYSTEM pojedynczego komputera (kopia odseparowana lub niezmienna) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wdrożyć stały raport wersji ochrony antywirusowej na wszystkich urządzeniach | Do 30 dni | CTO |
Producent wydał poprawkę w postaci nowej wersji platformy Defendera, która w konfiguracji domyślnej instaluje się automatycznie. Jeśli na jakiejś maszynie nie da się jej wgrać od razu, poniższe miary ograniczają ryzyko; oceny efektywności to ocena ekspercka, a nie dane producenta.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne wymuszenie aktualizacji platformy Defendera (Windows Update lub konsola zarządzania) | Wysoka: to właściwa poprawka | Łatwa |
Ograniczenie możliwości uruchamiania programów z folderów użytkownika (Pobrane, Obrazy) | Średnia: Huntress widział narzędzia ataku właśnie w takich folderach | Średnia: wymaga zasad aplikacji |
Wzmocnione MFA i przegląd dostępu VPN | Średnia: utrudnia pierwszy krok ataku | Średnia |
Odseparowane kopie zapasowe | Niska jako ochrona przed luką, wysoka dla odtworzenia po ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja platformy Defendera | Nieznana na części maszyn | Potwierdzona 4.18.26030.3011 lub nowsza wszędzie |
Skutek jednego kliknięcia w złośliwy załącznik | Możliwe przejęcie pełnych uprawnień | Napastnik zostaje na zwykłym koncie |
Raport skanera podatności | Fałszywe alarmy na maszynach z innym antywirusem | Pozycje sprawdzone i opisane |
Laptopy poza siecią | Bez kontroli aktualizacji | Na liście do regularnego sprawdzania |
Kopie zapasowe | Możliwe do skasowania z przejętego komputera | Poza zasięgiem pojedynczej maszyny |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft w swoim biuletynie (także w wersji z 30 kwietnia) oznaczył lukę jako ujawnioną publicznie, ale niewykorzystywaną; przy sprzecznych ocenach rozsądnie przyjąć tę ostrożniejszą |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. Huntress opisał włamanie z użyciem narzędzi BlueHammer, RedSun i UnDefend, z wejściem przez przejęty FortiGate SSL VPN |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft); waga producenta: Important |
PoC dostępny publicznie? | TAK: według Huntress kod BlueHammer opublikował badacz występujący jako Nightmare-Eclipse (Chaotic Eclipse) 2 kwietnia 2026 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Microsoft wymienia badaczy Yuanpei Xu z zespołem Diffract oraz Zen Dodd |
Prognoza EPSS | Około 7% szansy próby wykorzystania, co i tak plasuje lukę powyżej 93% znanych podatności (wg analizy źródłowej); niska wartość wynika z tego, że luki lokalnej nie da się atakować masowo przez internet |
Sygnały zagrożenia dla CVE-2026-33825
CVSS 3.1 (Microsoft) 7.8/10 ███████████████░░░░░ WYSOKA
EPSS (analiza źr.) ~7% █░░░░░░░░░░░░░░░░░░░ niski, ale luka lokalna
Publiczny kod ataku TAK ████████████████████ od 2 kwietnia 2026
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-04-02 Publikacja kodu BlueHammer przez badacza (wg Huntress)
2026-04-14 Microsoft publikuje biuletyn CVE-2026-33825 i poprawioną platformę Defendera
2026-04-20 Huntress opisuje użycie narzędzi w prawdziwym włamaniu
2026-04-22 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-04-30 Microsoft aktualizuje biuletyn, ocena wykorzystania bez zmian
2026-05-06 Termin naprawy wg CISA dla agencji federalnych
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-33825 . Opis włamania: raport Huntress .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport wersji platformy Defendera na wszystkich urządzeniach firmy | CTO | DZISIAJ |
2 | Uzyskać listę maszyn ze starszą wersją niż 4.18.26030.3011 i plan ich aktualizacji | CTO | DZISIAJ |
3 | Potwierdzić, że automatyczne aktualizacje Defendera są włączone w zasadach firmowych | CTO | DO JUTRA |
4 | Zlecić przegląd logów VPN i alertów ochrony od kwietnia 2026 roku | CTO | DO JUTRA |
5 | Sprawdzić, czy kopie zapasowe przetrwałyby przejęcie jednego komputera z pełnymi uprawnieniami | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najniższa wersja platformy Defendera w naszej firmie? | [wersja] | 🔴 |
2 | Ile urządzeń ma wersję starszą niż 4.18.26030.3011? | [liczba] | 🔴 |
3 | Czy automatyczne aktualizacje Defendera są gdziekolwiek wyłączone? | TAK / NIE | 🔴 |
4 | Czy mamy laptopy, które nie łączyły się z siecią firmową od ponad miesiąca? | TAK / NIE, liczba: [liczba] | 🟠 |
5 | Czy w logach od kwietnia 2026 roku widać próby wyłączenia Defendera lub nieznane pliki w folderach użytkowników? | TAK / NIE | 🟠 |
6 | Na których maszynach Defender jest wyłączony, bo działa inny antywirus? | [lista] | 🟠 |
7 | Czy kopie zapasowe da się skasować z konta SYSTEM pojedynczego komputera? | TAK / NIE | 🟡 |
CVE-2026-33825 pozwala napastnikowi, który już ma zwykłe konto na komputerze, przejąć pełną władzę nad systemem przez błąd w platformie Microsoft Defender. CISA potwierdza wykorzystanie, także w atakach ransomware, a publiczny kod ataku istnieje od kwietnia 2026 roku. Poprawka zwykle instaluje się sama, więc zadanie na dziś to potwierdzić wersję 4.18.26030.3011 lub nowszą na każdym urządzeniu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.