Błąd w procesie harmonogramu zadań Windows 11 24H2/25H2 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. CISA potwierdza ataki ransomware. Zainstaluj aktualizację z grudnia 2025 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO firm, które mają komputery z Windows 11 w wersji 24H2 lub 25H2 albo serwery z Windows Server 2025. Werdykt: jeśli Twoje maszyny nie mają aktualizacji z grudnia 2025 roku lub nowszej, zainstaluj ją dziś, bo luka służy w atakach ransomware do przejęcia pełnej kontroli nad komputerem.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała CVE-2025-60710 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w procesie Host Process for Windows Tasks (taskhostw), który uruchamia zadania z harmonogramu Windows. Pozwala napastnikowi, który ma już zwykłe konto na komputerze, podnieść uprawnienia do poziomu SYSTEM, czyli najwyższego konta lokalnego, mocniejszego od administratora.
Termin naprawy wyznaczony przez CISA minął 27 kwietnia 2026 roku. Ważny szczegół: poprawka z listopada 2025 roku okazała się niepełna, a Microsoft potwierdził, że dopiero aktualizacje z 9 grudnia 2025 roku usuwają lukę we wszystkich wspieranych edycjach.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-60710 |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-27 (14 dni od wpisu) |
Produkt | Microsoft Windows, komponent Host Process for Windows Tasks (taskhostw) |
Wersje zagrożone | Windows 11 24H2 (kompilacje niższe niż 10.0.26100.7462), Windows 11 25H2 (niższe niż 10.0.26200.7462), Windows Server 2025, także Server Core (niższe niż 10.0.26100.7462). Dla starszych wydań Windows 11 i Windows Server 2022 lub wcześniejszych żadne źródło nie potwierdziło podatności ani jej braku |
Wersje bezpieczne | Aktualizacja zbiorcza KB5072033 z 9 grudnia 2025 roku: kompilacje 10.0.26100.7462 i 10.0.26200.7462 lub nowsze. Dla Windows Server 2025 Datacenter: Azure Edition z hotpatchem: KB5072014, kompilacje 10.0.26100.7392 i 10.0.26200.7392. Sama poprawka listopadowa nie wystarcza |
Typ podatności | Lokalne podniesienie uprawnień przez podążanie za dowiązaniem; CWE-59 (Improper Link Resolution Before File Access) |
Ocena CVSS | Microsoft: 7.8 (CVSS 3.1, WYSOKA; ocena czasowa 6.8), waga wg producenta: ważna. Atak lokalny, wymaga zwykłego konta, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. NVD nie wystawiła własnej oceny |
Uwaga na progi w bazach: amerykańska NVD przyjmuje niższe numery kompilacji (7392, ścieżka hotpatch), a europejska baza EUVD wyższe (7462, zwykła aktualizacja). Zwykłe komputery i serwery nie dostają hotpatchy, więc dla nich właściwym celem jest kompilacja 7462.
Wyobraź sobie kierownika magazynu, który ma klucze do wszystkich pomieszczeń i co wieczór odkłada raport do skrzynki podpisanej „Raporty”. Pracownik bez żadnych uprawnień zmienia tabliczkę na skrzynce tak, że kierownik wkłada dokumenty do sejfu zarządu i przy okazji podmienia jego zawartość. Kierownik robi to, bo ma do tego klucze i nie sprawdza, dokąd naprawdę prowadzi skrzynka.
Tak działa ta luka. Proces Windows z najwyższymi uprawnieniami zapisuje coś w miejscu dostępnym dla zwykłego użytkownika. Użytkownik podmienia to miejsce na przekierowanie do pliku systemowego, a uprzywilejowany proces wykonuje zapis tam, gdzie nie powinien. Efekt: zwykłe konto zyskuje władzę nad całym komputerem.
💡 Dowiązanie (link symboliczny) to wpis w systemie plików, który po cichu przekierowuje program do innej lokalizacji. SYSTEM to wbudowane konto Windows z najwyższymi uprawnieniami. Podniesienie uprawnień oznacza przejście ze zwykłego konta na konto z pełną kontrolą. Hotpatch to poprawka instalowana bez restartu, dostępna tylko dla wybranych edycji serwerowych.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik ze zwykłym kontem | Nie instaluje programów systemowych, nie wyłącza ochrony | Może zdobyć uprawnienia SYSTEM |
Złośliwy program uruchomiony przez użytkownika | Działa z ograniczonymi prawami, łatwiej go zatrzymać | Przejmuje cały komputer, może wyłączyć zabezpieczenia |
Komputer po listopadowej aktualizacji | Uznawany za załatany | Nadal podatny, dopóki nie ma aktualizacji grudniowej |
Serwer Windows Server 2025 z interfejsem graficznym | Zadanie harmonogramu Recall działa w tle, nikt o nim nie myśli | Zadanie jest drogą do podniesienia uprawnień |
Ocena ryzyka przez IT | „Luka lokalna, niski priorytet” | Wykorzystywana w atakach ransomware wg CISA |
źródło: Pexels, Mehmet Turgut KirkgozPoniżej typowy przebieg ataku dla lokalnego podniesienia uprawnień. To scenariusz poglądowy, bo pełna sekwencja ataku na tę lukę nie została publicznie opisana. Luka nie otwiera drzwi z internetu: napastnik musi już działać na komputerze ze zwykłego konta, na przykład po otwarciu złośliwego załącznika lub zalogowaniu skradzionym hasłem. CISA ocenia atak jako nieautomatyzowalny, ale o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Uruchomienie złośliwego pliku przez pracownika lub logowanie skradzionym hasłem | Kontrola nad zwykłym kontem użytkownika |
2. Podniesienie uprawnień | T+kilka do kilkudziesięciu minut | Przygotowanie dowiązania i wykorzystanie zadania uruchamianego przez taskhostw | Uprawnienia SYSTEM na komputerze |
3. Wyłączenie ochrony | T+1 godzina | Zatrzymanie antywirusa, kradzież haseł zapisanych w pamięci | Komputer bez obrony, dane logowania innych kont |
4. Ruch w sieci | T+1 do 3 dni | Logowanie na inne komputery i serwery zdobytymi hasłami | Dostęp do serwerów plików i kopii zapasowych |
5. Szyfrowanie | T+3 do 14 dni | Uruchomienie ransomware na wielu maszynach | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
Lokalne luki bywają odkładane na później, bo „najpierw trzeba wejść do środka”. Tymczasem wejście przez złośliwy załącznik to codzienność, a ta luka zamienia drobny incydent na jednym komputerze w pełne przejęcie maszyny i punkt startowy do ataku na całą sieć. CISA oznaczyła ją jako używaną w kampaniach ransomware.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, zatrzymana praca działów | Dni od pierwszego wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów, danych klientów | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Żądanie okupu, koszty specjalistów, utracone zamówienia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windows 11 24H2/25H2 i Server 2025
bez aktualizacji z grudnia 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad komputerem, użycie w ransomware), a prawdopodobieństwo średnie, bo napastnik musi już mieć dostęp do konta na komputerze; po wejściu do firmy ta luka staje się bardzo groźna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić kompilację Windows na komputerach 24H2/25H2 i serwerach 2025: musi być co najmniej 10.0.26100.7462 lub 10.0.26200.7462 | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizację zbiorczą z grudnia 2025 roku (KB5072033) lub nowszą na maszynach poniżej progu | Dziś | Administrator IT |
3 | 🟠 PILNIE | Na Windows Server 2025 z interfejsem graficznym, gdzie aktualizacji nie da się wgrać od razu: wyłączyć zadanie \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration | Do 2 dni | Administrator serwerów |
4 | 🟠 PILNIE | Poprawić progi w skanerze podatności lub raportach zgodności, żeby zwykłe maszyny były porównywane z kompilacją 7462, nie 7392 | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Przejrzeć, czy od kwietnia 2026 roku nie było niewyjaśnionych logowań i wyłączeń ochrony na stanowiskach | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć lokalne uprawnienia użytkowników i liczbę osób logujących się na serwery | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić sprawdzanie, czy miesięczne aktualizacje faktycznie zainstalowały się na wszystkich maszynach | Do 30 dni | CTO |
Microsoft wydał kompletną poprawkę 9 grudnia 2025 roku, więc docelowo trzeba ją zainstalować. Producent podaje tylko jedno obejście, opisane niżej. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zadania Recall\PolicyConfiguration na Windows Server 2025 z interfejsem graficznym (zalecenie producenta; włączyć z powrotem dopiero po poprawce) | Wysoka dla tego wariantu serwera | Łatwa |
Ograniczenie, kto może logować się lokalnie lub przez pulpit zdalny na serwery | Średnia: zmniejsza liczbę kont, z których da się zacząć atak | Średnia |
Blokowanie uruchamiania nieznanych programów i makr z załączników | Średnia: utrudnia pierwszy krok ataku | Średnia |
Monitorowanie wyłączeń ochrony i nowych kont administratorów | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja systemu | Niższa niż 7462, często tylko z poprawką listopadową | 10.0.26100.7462 / 10.0.26200.7462 lub nowsza |
Skutek zainfekowania jednego konta | Możliwe przejęcie całego komputera | Złośliwy program zostaje z ograniczonymi prawami |
Raporty skanera | Mogą pokazywać fałszywy „stan bezpieczny” | Progi zgodne z właściwą ścieżką aktualizacji |
Serwery 2025 z interfejsem | Zadanie Recall jako droga ataku | Poprawka zainstalowana, zadanie w stanie zgodnym z zaleceniem |
Zgodność z terminem CISA | Zaległość od 27 kwietnia 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Europejska baza EUVD (EUVD-2025-93436) podaje początek obserwowanego wykorzystania na 13 kwietnia 2026 roku. Dokument Microsoftu (aktualizacja z 14 sierpnia 2026 roku) nadal mówi o braku wykorzystania i niskim prawdopodobieństwie; rozbieżność nie została wyjaśniona |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania rodziny ransomware |
Ocena CVSS | 7.8 WYSOKA wg Microsoft (CVSS 3.1), ocena czasowa 6.8 |
PoC dostępny publicznie? | Nie potwierdzono; NVD wskazuje odnośnik dokumentujący skrypt niezależny od producenta, ale Microsoft zapisuje brak znanego kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Microsoft dziękuje m.in. Filipowi Dragovićowi, Aobo Wangowi oraz badaczom z Diffract, Kunlun Lab i Uniwersytetu Nauki i Technologii Huazhong |
Prognoza EPSS | Około 4,6% szansy prób wykorzystania w 30 dni, powyżej 90. percentyla (wg analizy źródłowej); niska wartość wynika z lokalnego charakteru luki |
Sygnały zagrożenia dla CVE-2025-60710
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~4,6% █░░░░░░░░░░░░░░░░░░░ NISKA (luka lokalna)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Wymagany dostęp lokalny ██████████░░░░░░░░░░ trzeba być w środku
Mogę Ci jakoś pomóc?
2025-09-26 Rezerwacja numeru CVE
2025-11-11 Microsoft publikuje informację i listopadowe poprawki; rekord w NVD
2025-12-09 KB5072033 i KB5072014; Microsoft: dopiero te aktualizacje
usuwają lukę we wszystkich wspieranych edycjach
2026-04-13 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-04-27 Termin naprawy wg CISA dla agencji federalnych
2026-08-14 Aktualizacja dokumentu Microsoftu (nadal: brak wykorzystania)
... prawie 5 miesięcy od terminu CISA, 9 miesięcy od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z listą aktualizacji i obejściem: msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60710 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-60710 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę komputerów z Windows 11 24H2/25H2 i serwerów z Windows Server 2025 | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że każda z tych maszyn ma kompilację 7462 lub nowszą | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe wgranie aktualizacji z restartem poza godzinami pracy | CTO | DZISIAJ |
4 | Zlecić weryfikację progów w skanerze podatności i raportach zgodności | CTO | DO JUTRA |
5 | Zlecić przegląd logów pod kątem nietypowych logowań i wyłączeń ochrony od kwietnia 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wymaga terminowego instalowania poprawek | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy maszyn z Windows 11 24H2/25H2 i Windows Server 2025? | [liczba] | 🔴 |
2 | Jaka jest najniższa kompilacja Windows na tych maszynach? | [wersja] | 🔴 |
3 | Kiedy na wszystkich maszynach zainstalowano aktualizację z grudnia 2025 roku lub nowszą? | [data] | 🔴 |
4 | Czy nasz skaner podatności porównuje zwykłe maszyny z kompilacją 7462, a nie 7392? | TAK / NIE | 🟠 |
5 | Czy mamy Windows Server 2025 z interfejsem graficznym, na którym aktualizacja się opóźnia? | TAK / NIE | 🟠 |
6 | Czy zwykli użytkownicy mogą logować się na serwery lokalnie lub przez pulpit zdalny? | TAK / NIE | 🟠 |
7 | Czy dostajemy alarm, gdy na komputerze wyłączana jest ochrona antywirusowa? | TAK / NIE | 🟡 |
CVE-2025-60710 pozwala zwykłemu kontu przejąć pełną kontrolę nad Windows 11 24H2/25H2 i Windows Server 2025. CISA potwierdza użycie w atakach ransomware, a skuteczna poprawka jest dostępna od 9 grudnia 2025 roku, więc sprawdzenie kompilacji na wszystkich maszynach to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.