Błąd w Internet Explorerze 6, 7 i 8 pozwala przejąć komputer po wejściu na stronę lub zamknięciu złośliwego dokumentu. CISA potwierdza ataki, a produkt nie jest wspierany. Odetnij stare stacje od internetu i zaplanuj wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, w których nadal działają stare komputery z Internet Explorerem 6, 7 lub 8: przy maszynach produkcyjnych, w laboratoriach, w kasach, przy starych aplikacjach, których „nie da się ruszyć”. Werdykt: jeśli taki komputer ma dostęp do internetu lub poczty, dziś go odetnij, a przeglądarkę i system wycofaj z użycia, bo luka jest aktywnie wykorzystywana, a produkt nie jest wspierany.
Amerykańska agencja CISA 6 października 2025 roku dopisała do katalogu KEV lukę CVE-2010-3962 w Internet Explorerze 6, 7 i 8, czyli błąd sprzed piętnastu lat. Katalog KEV to lista luk, co do których CISA ma dowody wykorzystania w prawdziwych atakach. Błąd w przetwarzaniu arkuszy stylów (CSS) powoduje uszkodzenie pamięci i pozwala wykonać kod napastnika z uprawnieniami zalogowanego użytkownika, po wejściu na spreparowaną stronę lub przy zamknięciu złośliwego dokumentu Word.
Termin wyznaczony przez CISA agencjom federalnym minął 27 października 2025 roku. CISA zaznacza, że produkt może być po zakończeniu wsparcia i należy zaprzestać jego używania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2010-3962 |
Data dodania do CISA KEV | 2025-10-06 |
Termin naprawy wg CISA | 2025-10-27 (21 dni od wpisu) |
Produkt | Microsoft Internet Explorer 6, 7 i 8 |
Wersje zagrożone | Internet Explorer 6, 7 i 8 bez aktualizacji MS10-090 (2416400). Dotyczy komputerów, na których ta przeglądarka nadal działa lub jest używana przez inne programy |
Wersje bezpieczne | Poprawka MS10-090 (aktualizacja 2416400) z 14 grudnia 2010 roku. Ze względu na zakończenie wsparcia właściwym rozwiązaniem jest wycofanie tych wersji i przejście na wspierany system i przeglądarkę |
Typ podatności | Uszkodzenie pamięci (użycie po zwolnieniu / niezainicjowana pamięć); CWE-416 wg NVD, w katalogu KEV pole klasy błędu jest puste |
Ocena CVSS | NVD: 9.3 WYSOKA (starsza skala CVSS 2.0). CISA: 8.1 WYSOKA (CVSS 3.1), przy założeniu ataku trudnego i bez udziału użytkownika, co nie zgadza się z opisem producenta, wg którego użytkownik musi otworzyć stronę lub dokument |
Wyobraź sobie magazyniera, który pracuje według spisu: „tabele w regale 12, kartony w regale 14”. Ktoś kładzie na spisie za dużą paczkę i zamazuje ostatnią cyfrę jednego numeru. Magazynier dalej trzyma się spisu, ale idzie do regału obok, gdzie napastnik zdążył położyć własne instrukcje, i je wykonuje.
Tak działa ta luka. Internet Explorer rezerwował za mało pamięci na pewną kombinację znaczników stylów, a sąsiednie dane nadpisywały fragment adresu w wewnętrznym spisie procedur. Przeglądarka skakała pod zły adres i wykonywała kod napastnika. Nietypowe jest to, że według producenta atak może zadziałać także w chwili zamknięcia złośliwego dokumentu Word, a nie tylko przy jego otwarciu.
💡 Użycie po zwolnieniu (use-after-free) to błąd, w którym program korzysta z fragmentu pamięci, który już zwolnił lub którego nie przygotował. CSS to język opisu wyglądu stron. DEP to mechanizm systemu Windows utrudniający uruchamianie kodu z obszarów pamięci przeznaczonych na dane. Koniec wsparcia oznacza, że producent nie wydaje już poprawek. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik wchodzi na stronę | Przeglądarka wyświetla treść | Spreparowana strona uruchamia kod napastnika |
Pracownik otwiera i zamyka dokument Word | Nic się nie dzieje | Kod może wykonać się przy zamknięciu dokumentu |
Konto z prawami administratora | Wygoda obsługi starego programu | Przejęcie całego komputera |
Zgłoszenia do IT | Pojawiają się przy problemach | Brak, bo nic podejrzanego nie widać |
Poprawki | Producent usuwa nowe błędy | Stare systemy nie dostają już żadnych poprawek |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by użytkownik podatnego komputera wszedł na spreparowaną stronę albo otworzył i zamknął złośliwy dokument. CISA ocenia atak jako możliwy do zautomatyzowania, a kod wykorzystujący błąd był publicznie dostępny już w 2010 roku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Umieszczenie kodu wykorzystującego lukę na stronie lub w dokumencie Word | Gotowa pułapka |
2. Dostarczenie | T+minuty do dni | Wiadomość z linkiem lub załącznikiem, np. „CV”, „zamówienie”, „instrukcja serwisowa” | Plik lub link u pracownika |
3. Uruchomienie | T+sekundy od otwarcia strony lub zamknięcia dokumentu | Uszkodzenie pamięci IE i wykonanie kodu | Kod działa z uprawnieniami użytkownika |
4. Przejęcie komputera | T+minuty | Instalacja trwałego dostępu, przy koncie administratora pełna kontrola | Przejęta stacja, często bez objawów |
5. Dalszy atak | T+dni do tygodni | Kradzież danych, ruch do innych komputerów i maszyn w tej samej sieci | Wyciek danych, zakłócenia produkcji |
Problem nie dotyczy nowoczesnych biur, ale „zapomnianych” komputerów: przy maszynach, w laboratoriach, w oddziałach, przy starych aplikacjach branżowych. Takie stacje nie dostają poprawek, często pracują na kontach administratora i nikt ich nie monitoruje. Prognoza EPSS stawia tę lukę wśród najczęściej atakowanych, mimo wieku poprawki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty komputer przy maszynie lub starej aplikacji, przestój stanowiska | Godziny do dni | 10 tys. do 150 tys. PLN (przestój, odtworzenie stanowiska) |
Bezpieczeństwo danych | Wyciek danych przetwarzanych na stacji i dostęp do sieci | Tygodnie, zwykle wykrywany późno | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, awaryjna wymiana sprzętu i oprogramowania | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i kandydatów po wycieku | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie niewspieranego oprogramowania utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: komputer z IE 6, 7 lub 8 i dostępem do internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | ● . . . . ● komputer odcięty od internetu i poczty
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla komputera ze starą przeglądarką i dostępem do internetu prawdopodobieństwo jest bardzo wysokie (EPSS około 97%, atak automatyzowalny), a wpływ wysoki (przejęcie stacji i furtka do sieci); odcięcie takiej stacji od internetu i poczty sprowadza ryzyko z tej luki niemal do zera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wyszukać w sieci komputery z Windows XP, Vista, 7 lub starszym Windows Server i sprawdzić wersję Internet Explorera | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Odciąć takie komputery od internetu i poczty, zostawić tylko połączenia niezbędne do pracy maszyny lub aplikacji | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Sprawdzić, czy na tych komputerach zainstalowana jest MS10-090 (2416400); jeśli nie, zainstalować jako działanie przejściowe | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Przenieść pracę z tych stacji na konta bez uprawnień administratora | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Wydzielić stare stacje do osobnej sieci, bez dostępu do serwerów z danymi | Do 14 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Zaplanować wymianę systemów i przeglądarek na wspierane, także z dostawcą starej aplikacji lub maszyny | Do 90 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wprowadzić spis sprzętu i oprogramowania z datą końca wsparcia | Do 30 dni | CTO |
Poprawka MS10-090 istnieje od 2010 roku, ale Internet Explorer 6, 7 i 8 nie są już wspierane, więc kolejne luki nie zostaną naprawione. W 2010 roku producent zalecał przejściowo obejścia (m.in. własny arkusz stylów użytkownika, który mógł psuć wygląd stron, włączenie DEP dla IE 7 i czytanie poczty jako czysty tekst). Dziś liczą się miary poniżej; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie starej stacji od internetu i poczty | Wysoka: usuwa drogę dostarczenia ataku | Łatwa |
Osobna sieć dla starych stacji, bez dostępu do serwerów z danymi | Wysoka wobec skutków przejęcia | Średnia |
Praca na koncie bez uprawnień administratora | Średnia: ogranicza skutki | Łatwa do średniej, zależy od starej aplikacji |
Włączony DEP (domyślnie w IE 8 na Windows XP SP3, Vista SP1/SP2 i Windows 7 wg producenta) | Średnia: utrudnia wykorzystanie | Łatwa |
Wymiana systemu i przeglądarki na wspierane | Wysoka: jedyne trwałe rozwiązanie | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stare stacje z IE 6, 7 lub 8 | Nieznana liczba, dostęp do internetu i poczty | Spisane, odcięte od internetu i poczty |
Uprawnienia | Konto administratora „bo tak działa program” | Konto bez uprawnień administratora |
Sieć | Stare stacje obok serwerów z danymi | Osobna sieć |
Plan na przyszłość | Brak | Harmonogram wymiany i spis dat końca wsparcia |
Zgodność z zaleceniem CISA | Niewspierany produkt w użyciu | Wycofanie w toku, ryzyko ograniczone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ataki trwały już w listopadzie 2010 roku, przed wydaniem poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; Symantec opisywał w 2010 roku ataki ukierunkowane |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 WYSOKA wg NVD (CVSS 2.0); 8.1 WYSOKA wg CISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK: CERT/CC w 2010 roku odnotował publicznie dostępny kod wykorzystujący błąd |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Symantec (zgłoszone do CERT/CC przez Microsoft Security Response Center) |
Prognoza EPSS | Około 97% szansy próby wykorzystania w ciągu 30 dni, górne 0,2% wszystkich luk (wg analizy źródłowej; ENISA: 96,05%) |
Sygnały zagrożenia dla CVE-2010-3962
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
CVSS 3.1 (CISA) 8.1/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~97% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wsparcie producenta BRAK ░░░░░░░░░░░░░░░░░░░░ produkt wycofany 2010-11-03 Microsoft publikuje doradztwo 2458511 z obejściami,
CERT/CC publikuje notatkę VU#899748
2010-11-05 Publikacja CVE-2010-3962 w NVD, ataki w toku
2010-12-14 Poprawka MS10-090 (aktualizacja 2416400)
... 15 lat bez wpisu w KEV
2025-10-06 CISA dodaje lukę do katalogu KEV
2025-10-27 Termin wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Doradztwo producenta wskazane przez CISA: learn.microsoft.com, Security Advisory 2458511 . Poprawka: MS10-090 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2010-3962 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić wyszukanie wszystkich komputerów ze starym Windows i Internet Explorerem 6, 7 lub 8 | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie ich od internetu i poczty | CTO | DZISIAJ |
3 | Ustalić, jakie maszyny i aplikacje wymagają tych komputerów | CTO | DO JUTRA |
4 | Zapytać dostawców maszyn i aplikacji o wspierane wersje | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę starych stacji | CFO | DO JUTRA |
6 | Uwzględnić w planie inwestycji datę końca wsparcia sprzętu i oprogramowania | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody z niewspieranego oprogramowania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy komputerów z Internet Explorerem 6, 7 lub 8? | [liczba] | 🔴 |
2 | Czy któryś z nich ma dostęp do internetu lub poczty? | TAK / NIE | 🔴 |
3 | Czy na tych komputerach jest zainstalowana MS10-090? | TAK / NIE | 🔴 |
4 | Czy użytkownicy tych komputerów pracują na kontach administratora? | TAK / NIE | 🟠 |
5 | Czy stare stacje są w osobnej sieci niż serwery z danymi? | TAK / NIE | 🟠 |
6 | Jakie maszyny lub aplikacje uniemożliwiają wymianę systemu? | [lista] | 🟠 |
7 | Kiedy planujemy wycofanie ostatniej stacji z niewspieranym systemem? | [data] | 🟡 |
CVE-2010-3962 to piętnastoletnia luka w Internet Explorerze 6, 7 i 8, która według CISA wciąż jest wykorzystywana i pozwala przejąć komputer po wejściu na stronę lub zamknięciu złośliwego dokumentu. Produkt nie jest wspierany, dlatego odcięcie starych stacji od internetu to zadanie na dziś, a ich wymiana na najbliższe miesiące.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.