Otwarcie przygotowanego pliku dysku wirtualnego mogło uruchomić program napastnika na niemal każdej wersji Windows. CISA potwierdza ataki. Sprawdź, czy wszystkie komputery i serwery mają aktualizację z marca 2025 roku.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracują komputery i serwery z systemem Windows, czyli praktycznie każdej firmy. Werdykt: jeśli któraś maszyna nie ma zainstalowanej zbiorczej aktualizacji Windows z marca 2025 roku lub nowszej, zainstaluj ją dziś, bo luka w sterowniku FAT jest wykorzystywana w atakach, a producent nie podał żadnego obejścia.
Amerykańska agencja CISA 11 marca 2025 roku, w dniu comiesięcznych poprawek Microsoftu, dopisała podatność CVE-2025-24985 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w sterowniku Fast FAT, czyli części Windows obsługującej starszy system plików FAT. Otwarcie przez pracownika specjalnie przygotowanego pliku dysku wirtualnego (np. VHD) mogło pozwolić napastnikowi uruchomić własny program na komputerze.
Microsoft oznaczył lukę jako wykorzystywaną w atakach jeszcze przed publicznym ujawnieniem. Poprawka objęła praktycznie wszystkie wydania Windows, od Windows Server 2008 po Windows Server 2025 i Windows 11 24H2. Termin naprawy wg CISA minął 1 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24985 |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik systemu plików Fast FAT |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, w tym instalacje Server Core, bez aktualizacji z marca 2025 roku. Warunek ataku: użytkownik musi zamontować (otworzyć) przygotowany dysk wirtualny |
Wersje bezpieczne | Kompilacje z marcową aktualizacją 2025 lub nowsze, np. Windows 11 24H2 i Server 2025: 10.0.26100.3476 (KB5053598); Windows 11 23H2/22H2: 10.0.22631.5039 / 10.0.22621.5039 (KB5053602); Windows 10 22H2/21H2: 10.0.19045.5608 / 10.0.19044.5608 (KB5053606); Server 2022: 10.0.20348.3328 (KB5053603); Server 2019 i Windows 10 1809: 10.0.17763.7009 (KB5053596); Server 2016 i Windows 10 1607: 10.0.14393.7876; Server 2012 R2: 6.3.9600.22470 (KB5053887); Server 2012: 6.2.9200.25368 (KB5053886). Najlepiej: najnowsza aktualizacja zbiorcza |
Typ podatności | Przepełnienie liczby całkowitej prowadzące do przepełnienia bufora na stercie i wykonania kodu; CWE-190 i CWE-122 |
Ocena CVSS | 7.8/10 WYSOKA (CVSS 3.1) wg Microsoft (NVD podaje ocenę producenta); ocena uwzględniająca dostępność poprawki i działającego ataku: 7.2. Microsoft: waga „Ważna” (Important). Atak lokalny, bez uprawnień, ale wymaga działania użytkownika |
💡 Microsoft nazywa tę lukę „zdalnym wykonaniem kodu”, ale sam wyjaśnia, że „zdalny” opisuje położenie napastnika, a nie sposób ataku. Napastnik może być daleko, jednak atak wykonuje się lokalnie, na komputerze ofiary, dopiero gdy ktoś otworzy podsunięty plik.
Wyobraź sobie magazyniera, który przyjmuje paczkę i patrzy na etykietę z rozmiarem, żeby przygotować miejsce na półce. Etykieta ma za mało kratek na tak dużą liczbę, więc zamiast „1 000 000” widzi „100”. Przygotowuje małą półkę, a potem wypakowuje ogromną zawartość, która zasypuje sąsiednie regały. Kto przygotował paczkę, decyduje, co wyląduje na cudzych półkach.
Tak działał ten błąd. Plik dysku wirtualnego to paczka, a sterownik FAT to magazynier działający głęboko w systemie. Otwarcie takiego pliku jest groźniejsze niż otwarcie dokumentu, bo Windows uruchamia wtedy własny kod systemowy i każe mu zinterpretować strukturę przygotowaną przez obcą osobę. Źle policzony rozmiar kończy się zapisem danych poza przeznaczonym miejscem w pamięci, a to może pozwolić napastnikowi uruchomić własny program.
💡 Dysk wirtualny (pliki VHD, VHDX) to pojedynczy plik, który po dwukrotnym kliknięciu pojawia się w systemie jako kolejny dysk z folderami. FAT to starszy system plików, używany np. na pendrive'ach i kartach pamięci. Sterownik to część systemu operacyjnego obsługująca konkretne urządzenie lub format. Przepełnienie liczby całkowitej to błąd, w którym zbyt duża liczba „zawija się” i staje się mała.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik dostaje załącznik z „dokumentacją zamówienia” w pliku dysku | Otwiera dysk, widzi foldery, nic się nie dzieje | Samo otwarcie dysku na komputerze bez poprawki może uruchomić program napastnika |
Program antywirusowy | Sprawdza pliki w folderach | Atak dzieje się w sterowniku systemu podczas montowania dysku |
Ogniwo decydujące o sukcesie ataku | Brak ataku | Człowiek, który otworzy plik |
Nowy komputer z Windows 11 | Uważany za bezpieczny | Też podatny, jeśli nie ma marcowej aktualizacji 2025 |
Obejście od producenta | Nie jest potrzebne | Nie istnieje, jedyną ochroną jest poprawka |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie pozwala zaatakować komputera przez sieć bez udziału człowieka: napastnik musi nakłonić pracownika do otwarcia pliku. CISA ocenia, że ataku nie da się zautomatyzować, więc jest to raczej kampania wymierzona w wybrane osoby niż masowa fala.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Wybór firmy i osób, które często otwierają załączniki (obsługa klienta, księgowość, zakupy) | Lista adresatów |
2. Podsunięcie pliku | T+kilka godzin | Wysyłka wiadomości z rzekomym zamówieniem, fakturą lub dokumentacją w pliku dysku wirtualnego albo link do pobrania | Plik na komputerze pracownika |
3. Otwarcie | T+minuty do dni | Pracownik otwiera dysk, żeby sprawdzić zawartość | Program napastnika działa na komputerze |
4. Rozpoznanie | T+1 do 3 dni | Przegląd dostępnych folderów, skrzynek pocztowych i zapisanych haseł | Mapa zasobów i dane do dalszych kroków |
5. Rozszerzenie dostępu | T+3 do 14 dni | Przejście na inne komputery i serwery w sieci firmy | Kontrola nad większą częścią infrastruktury |
6. Kradzież lub szantaż | T+1 do 4 tygodni | Wyprowadzenie danych albo ich zaszyfrowanie | Wyciek, przestój, żądanie okupu |
Mogę Ci jakoś pomóc?
Luka dotyczy systemu, który stoi na niemal każdym biurku i w niemal każdej serwerowni. Wymaga udziału człowieka, ale otwieranie załączników to codzienna praca wielu działów. Nowość sprzętu nie chroni: poprawkę dostały zarówno systemy sprzed kilkunastu lat, jak i najnowsze wydania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty komputer do odtworzenia, możliwy przestój działu lub, przy dalszym ataku, całej firmy | Dni do tygodni | 10 tys. do 300 tys. PLN (odtwarzanie, przestój) |
Bezpieczeństwo danych | Dostęp do plików, poczty i haseł zapisanych na komputerze pracownika | Godziny do dni od otwarcia pliku | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwe oszustwa na przelewach, przy ransomware żądanie okupu | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli wyciekną ich dane lub korespondencja | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows
bez aktualizacji z marca 2025 roku
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu i pełna kontrola nad komputerem, ataki potwierdzone), a prawdopodobieństwo średnie, bo atak wymaga, by pracownik otworzył podsunięty plik, i nie da się go zautomatyzować; firma z aktualnymi systemami jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w systemie zarządzania aktualizacjami, które komputery i serwery nie mają aktualizacji zbiorczej z marca 2025 roku lub nowszej | Dziś | Administrator Windows |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na wszystkich brakujących maszynach, zaczynając od stanowisk otwierających dużo załączników | Dziś | Administrator Windows / partner IT |
3 | 🟠 PILNIE | Znaleźć maszyny z wyłączonymi aktualizacjami (serwery „nietykalne”, komputery produkcyjne, laptopy rzadko podłączane do sieci) i ustalić dla nich plan | Do 3 dni | Kierownik IT |
4 | 🟠 PILNIE | Zablokować w poczcie przychodzące załączniki z plikami dysków wirtualnych i obrazów dysków (np. VHD, VHDX) | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Krótko uprzedzić pracowników, że plik, który „otwiera się jako dysk”, nie jest normalnym dokumentem i trzeba go zgłosić do IT | Do 7 dni | Kierownik IT / HR |
6 | 🟡 WAŻNIE | Ustalić, czy systemy bez wsparcia producenta (np. Server 2008, 2012) są jeszcze potrzebne, i zaplanować ich wymianę | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport zgodności aktualizacji dla zarządu | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wymienionych wersji Windows i nie opublikował żadnego obejścia, więc właściwym rozwiązaniem jest instalacja poprawki. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada załączników z plikami dysków wirtualnych w poczcie | Średnia: usuwa najczęstszą drogę, nie blokuje pobrań z linków i nośników | Łatwa |
Ograniczenie możliwości montowania obrazów dysków przez zwykłych użytkowników (zasady grupy) | Średnia do wysokiej, zależnie od konfiguracji | Średnia: wymaga testów, może utrudnić pracę działu IT |
Filtrowanie pobieranych plików w bramie internetowej | Średnia | Średnia |
Szkolenie pracowników z rozpoznawania podejrzanych załączników | Niska do średniej: zależy od człowieka | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Skutek otwarcia podsuniętego pliku dysku | Możliwe przejęcie komputera | Błąd sterownika usunięty |
Stan aktualizacji | Nieznany, część maszyn pominięta | Raport z listą wszystkich maszyn i datą aktualizacji |
Załączniki z dyskami wirtualnymi | Dochodzą do pracowników | Blokowane w poczcie |
Świadomość pracowników | „To tylko folder z dokumentami” | Wiedzą, że taki plik trzeba zgłosić |
Zgodność z wymogami | Zaległość wobec terminu CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) sprzed prawie 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Microsoft). Microsoft oznaczył ją jako wykorzystywaną przed publicznym ujawnieniem; CISA ocenia atak jako niemożliwy do automatyzacji, ze skutkiem całkowitym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8/10 WYSOKA (CVSS 3.1) wg Microsoft, ocena podana też w NVD; 7.2 po uwzględnieniu dostępności poprawki |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 3,8% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej), najwięcej spośród marcowych luk w systemach plików Windows |
Luki z tego samego dnia w KEV | Tego samego dnia CISA dodała też CVE-2025-24993, CVE-2025-24991, CVE-2025-24984 (NTFS), CVE-2025-24983 (Win32k) i CVE-2025-26633 (konsola MMC, ransomware: Known) |
Sama prognoza EPSS wygląda skromnie, bo atak wymaga udziału człowieka i nie rozchodzi się masowo. Dla decyzji biznesowej ważniejsze jest, że atak jest potwierdzony, a poprawka od dawna dostępna:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-24985
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~3,8% █░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Zasięg ~wszystkie wydania Windows BARDZO SZEROKI 2025-03-11 Microsoft wydaje poprawkę (marcowe aktualizacje zbiorcze), luka oznaczona jako wykorzystywana
2025-03-11 Publikacja CVE-2025-24985 w NVD
2025-03-11 CISA dodaje lukę do katalogu KEV, ransomware: Unknown
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
... prawie 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn Microsoftu z listą systemów i aktualizacji: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-24985 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24985 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zażądać raportu: ile komputerów i serwerów Windows nie ma aktualizacji z marca 2025 roku lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację brakujących aktualizacji, także poza oknem serwisowym | CTO | DZISIAJ |
3 | Zatwierdzić blokadę załączników z plikami dysków wirtualnych w poczcie | CTO | DO JUTRA |
4 | Ustalić listę maszyn z wyłączonymi aktualizacjami i osobę odpowiedzialną za każdą z nich | CTO | DO JUTRA |
5 | Zlecić krótką informację dla pracowników o podejrzanych plikach dysków | CTO | DO JUTRA |
6 | Oszacować koszt wymiany systemów bez wsparcia producenta | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile naszych komputerów i serwerów Windows nie ma aktualizacji zbiorczej z marca 2025 roku lub nowszej? | [liczba] | 🔴 |
2 | Kiedy ostatnio wszystkie maszyny dostały najnowszą aktualizację zbiorczą? | [data] | 🔴 |
3 | Czy mamy maszyny z wyłączonymi aktualizacjami i kto za nie odpowiada? | TAK / NIE, [osoba] | 🔴 |
4 | Czy poczta blokuje załączniki z plikami dysków wirtualnych (VHD, VHDX)? | TAK / NIE | 🟠 |
5 | Czy zwykli użytkownicy mogą montować obrazy dysków na swoich komputerach? | TAK / NIE | 🟠 |
6 | Czy używamy jeszcze Windows Server 2008 lub 2012 i czy dostają poprawki? | TAK / NIE, [wersja] | 🟠 |
7 | Czy potrafimy w ciągu doby wykryć nietypowy program uruchomiony na komputerze pracownika? | TAK / NIE | 🟡 |
CVE-2025-24985 to wykorzystywana w atakach luka w sterowniku FAT, obecna w praktycznie każdym wydaniu Windows; wystarczy, że pracownik otworzy podsunięty plik dysku wirtualnego na komputerze bez marcowej aktualizacji z 2025 roku. Producent nie podał obejścia, więc sprawdzenie stanu aktualizacji na wszystkich maszynach to zadanie na dziś, a blokada takich załączników na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.