Napastnik z kontem pracownika może zmusić komputer Windows do połączenia SMB i przejąć go z uprawnieniami SYSTEM. CISA potwierdza ataki. Sprawdź aktualizacje z czerwca 2025 na wszystkich maszynach.
Ten alert jest dla zarządu, CTO i CFO firm, w których działają komputery i serwery z Windows, szczególnie w domenie firmowej. Werdykt: jeśli któraś maszyna nie ma aktualizacji zbiorczej z czerwca 2025 roku lub nowszej, zainstaluj ją dziś, bo luka pozwala zwykłemu kontu pracownika przejąć komputer z uprawnieniami SYSTEM przez sieć, a CISA potwierdza ataki.
Amerykańska agencja CISA 20 października 2025 roku dopisała podatność CVE-2025-33073 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w kliencie SMB, czyli części Windows odpowiedzialnej za łączenie się z udostępnionymi folderami i drukarkami. Napastnik ze zwykłym kontem zmusza komputer ofiary, by połączył się z serwerem napastnika i uwierzytelnił, a w efekcie uzyskuje na nim uprawnienia SYSTEM.
Microsoft wydał poprawkę 10 czerwca 2025 roku, ocenił wagę jako Important i wykorzystanie jako „mało prawdopodobne”. Cztery miesiące później CISA stwierdziła aktywne ataki. Termin naprawy wg CISA minął 10 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-33073 |
Data dodania do CISA KEV | 2025-10-20 |
Termin naprawy wg CISA | 2025-11-10 (21 dni od wpisu) |
Produkt | Microsoft Windows, klient SMB (udostępnianie plików i drukarek) |
Wersje zagrożone | Praktycznie wszystkie wspierane w czerwcu 2025 roku wydania: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, bez aktualizacji z czerwca 2025 roku |
Wersje bezpieczne | Systemy z aktualizacją zbiorczą z czerwca 2025 roku lub nowszą, np. Windows 10 22H2: KB5060533 (10.0.19045.5965), Windows Server 2019: KB5060531 (10.0.17763.7434), Windows Server 2022: KB5060526 (10.0.20348.3807), Windows 11 24H2 i Server 2025: KB5060842 (10.0.26100.4349); pełna lista poniżej |
Typ podatności | Niewłaściwa kontrola dostępu prowadząca do podniesienia uprawnień przez sieć; CWE-284 |
Ocena CVSS | 8.8/10 (CVSS 3.1, WYSOKA, ocena Microsoft w NVD). Atak przez sieć, wymaga konta o niskich uprawnieniach (np. zwykłego pracownika), bez udziału użytkownika |
Kompilacje do sprawdzenia (liczy się kompilacja równa lub wyższa; numery aktualizacji wg Microsoft, progi NVD tam, gdzie producent nie podał ich w źródle):
System | Aktualizacja | Kompilacja z poprawką |
|---|---|---|
Windows 10 1507 | czerwcowa aktualizacja 2025 | 10.0.10240.21034 (NVD) |
Windows 10 1607 / Server 2016 | czerwcowa aktualizacja 2025 | 10.0.14393.8148 (NVD) |
Windows 10 1809 / Server 2019 | KB5060531 | 10.0.17763.7434 |
Windows 10 21H2 / 22H2 | KB5060533 | 10.0.19044.5965 / 10.0.19045.5965 |
Windows 11 22H2 / 23H2 | czerwcowa aktualizacja 2025 | 10.0.22621.5472 / 10.0.22631.5472 (NVD) |
Windows 11 24H2 / Server 2025 | KB5060842 (lub hotpatch) | 10.0.26100.4349; NVD podaje próg 10.0.26100.4270 dla kanału hotpatch |
Windows Server 2022 | KB5060526 (lub hotpatch KB5060525) | 10.0.20348.3807; NVD podaje próg 10.0.20348.3745 |
Windows Server 2022 23H2 | czerwcowa aktualizacja 2025 | 10.0.25398.1665 (NVD) |
Windows Server 2008, 2008 R2, 2012, 2012 R2 | czerwcowe aktualizacje 2025 wg biuletynu Microsoft | wg biuletynu producenta |
Wyobraź sobie firmową centralę telefoniczną, w której każdy pracownik może zadzwonić do każdego. Oszust, zatrudniony jako praktykant, prosi recepcję, by oddzwoniła do niego „w sprawie dostawy”. Recepcja dzwoni i, jak każe procedura, przedstawia się pełnym kodem dostępu firmy. Oszust przekierowuje tę rozmowę z powrotem do sejfu firmy, który słyszy prawidłowy kod i otwiera się, choć otworzyć go próbuje praktykant.
Tak działa ta luka. Napastnik z dowolnym kontem w firmie zmusza komputer ofiary, by połączył się z jego serwerem i się uwierzytelnił. Następnie wykorzystuje tę rozmowę tak, że komputer ofiary przyjmuje ją jako połączenie od samego siebie, z najwyższymi uprawnieniami. Efekt: zwykłe konto zyskuje pełną władzę nad maszyną, a stamtąd napastnik idzie dalej po sieci.
💡 SMB to mechanizm Windows do udostępniania plików i drukarek w sieci; dzięki niemu dysk firmowy widać jak zwykły folder. Klient SMB to część obecna w każdym Windows, także w komputerze, który nic nie udostępnia. SYSTEM to wbudowane konto Windows silniejsze od administratora. Hotpatch to poprawka instalowana bez ponownego uruchomienia serwera. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik zdobywa hasło stażysty | Ma dostęp do kilku folderów i drukarki | Może przejąć komputery z uprawnieniami SYSTEM |
Komputer łączy się z obcym serwerem SMB | Uwierzytelnienie nie daje obcemu władzy nad komputerem | Napastnik wykorzystuje je do przejęcia komputera |
Serwer plików lub stacja robocza | Chroniona przez uprawnienia kont | Uprawnienia omijane |
Program antywirusowy | Działa i chroni | Może zostać wyłączony z poziomu SYSTEM |
Etykieta „wykorzystanie mało prawdopodobne” | Uzasadnia planowe łatanie | Nieaktualna: CISA potwierdziła ataki |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik musi najpierw mieć konto o niskich uprawnieniach, na przykład zwykłego pracownika w domenie, oraz dostęp sieciowy do komputerów ofiar. Od tego momentu nie potrzebuje żadnego kliknięcia pracownika. CISA ocenia, że ataku nie da się w pełni zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 | Wyłudzenie hasła pracownika (phishing, wyciek, zgadywanie) | Konto zwykłego użytkownika w firmie |
2. Wejście do sieci | T+godziny | Logowanie przez VPN lub z zainfekowanego komputera | Dostęp do sieci wewnętrznej |
3. Wymuszenie połączenia | T+minuty | Uruchomienie skryptu zmuszającego wybrany komputer lub serwer do uwierzytelnienia się u napastnika | Komputer ofiary „dzwoni” do napastnika |
4. Przejęcie maszyny | T+minuty | Wykorzystanie tej rozmowy do uzyskania uprawnień SYSTEM na maszynie ofiary | Pełna kontrola nad komputerem lub serwerem |
5. Kradzież haseł | T+godziny | Odczyt danych logowania zapisanych w systemie, wyłączenie ochrony | Hasła administratorów i innych pracowników |
6. Rozejście się po sieci | T+dni | Przejmowanie kolejnych serwerów, usuwanie kopii zapasowych | Kradzież danych lub szyfrowanie firmy |
Mogę Ci jakoś pomóc?
Wykradzione hasło jednego pracownika to zwykle incydent na jedno popołudnie: zmiana hasła i przegląd poczty. Przy niezałatanym kliencie SMB to samo hasło może oznaczać przejęcie dowolnego komputera lub serwera w sieci, a więc przegląd wszystkich maszyn, wymianę haseł administracyjnych i sprawdzenie kopii zapasowych. Rachunek bywa kilkanaście razy wyższy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte serwery i stacje, konieczność ich odtworzenia | Dni od wejścia | 30 tys. do 300 tys. PLN (odtwarzanie, przestój) |
Bezpieczeństwo danych | Kradzież haseł administratorów, dokumentów i baz danych | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Koszty incydentu, możliwy okup, utracone zamówienia | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla sieci Windows bez aktualizacji
z czerwca 2025 roku
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka daje uprawnienia SYSTEM na dowolnej maszynie w sieci, jest wykorzystywana i dotyczy niemal wszystkich wersji Windows; nie jest maksymalne, bo napastnik musi najpierw zdobyć konto i dostęp do sieci firmowej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić kompilacje Windows na wszystkich komputerach i serwerach, zaczynając od kontrolerów domeny i serwerów plików | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje zbiorcze z czerwca 2025 roku lub nowsze wszędzie, gdzie ich brakuje | Dziś | Administrator IT |
3 | 🟠 PILNIE | Przy audycie porównywać kompilacje z właściwym kanałem aktualizacji (zwykła aktualizacja lub hotpatch) | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Wymusić podpisywanie SMB na serwerach i stacjach, jeśli nie jest włączone (utrudnia przekazywanie uwierzytelnienia) | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Przejrzeć logi pod kątem nietypowych uwierzytelnień SMB do nieznanych adresów i nowych kont administracyjnych | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wymienić lub odizolować serwery z Windows Server 2008 i 2012, które nie są objęte wsparciem | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Włączyć logowanie wieloskładnikowe do VPN i poczty, by utrudnić pierwszy krok ataku | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wymienionych systemów i nie opublikował żadnego obejścia: jedyną naprawą jest aktualizacja. Poniższe miary tylko utrudniają atak. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymuszenie podpisywania SMB na wszystkich maszynach (dobra praktyka, nie obejście producenta) | Średnia do wysokiej wobec przekazywania uwierzytelnienia | Średnia: wymaga testów ze starszymi urządzeniami, np. drukarkami |
Blokada ruchu SMB (port 445) z sieci stacji roboczych do innych stacji roboczych | Średnia: ogranicza cele ataku | Średnia |
Blokada wychodzącego SMB do internetu na zaporze | Średnia wobec serwerów napastnika poza siecią | Łatwa |
Wieloskładnikowe logowanie do VPN | Średnia: utrudnia zdobycie punktu wejścia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Skutek wycieku hasła pracownika | Możliwe przejęcie każdej maszyny w sieci | Napastnik ograniczony do uprawnień konta |
Stan aktualizacji | Oparty na etykiecie „mało prawdopodobne” | Aktualizacje z czerwca 2025 roku lub nowsze wszędzie |
Audyt kompilacji | Mylony między kanałami aktualizacji | Porównywany z właściwym kanałem |
Podpisywanie SMB | Często wyłączone | Wymuszone |
Zgodność z terminem CISA | Zaległość sprzed ponad 10 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); w danych Microsoft z sierpnia 2026 roku pole wykorzystania nadal wskazywało brak ataków |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, Microsoft w NVD); waga wg Microsoft: Important |
PoC dostępny publicznie? | Wg Microsoft szczegóły luki ujawniono publicznie; brak w źródłach potwierdzenia gotowego, ogólnodostępnego kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Siedem niezależnych podmiotów, m.in. James Forshaw (Google Project Zero), RedTeam Pentesting, SySS, Synacktiv, GuidePoint Security, Keisuke Hirata (CrowdStrike) |
Prognoza EPSS | Ok. 4% w dniu wpisu do KEV, ok. 80% w odczycie z sierpnia 2026 roku (wg analizy źródłowej) |
Lekcja z tej sprawy: etykieta producenta „wykorzystanie mało prawdopodobne” jest prognozą z dnia wydania poprawki, a nie stanem trwałym. EPSS wzrósł dwudziestokrotnie, choć sama luka się nie zmieniła.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-33073
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS październik 2025 ~4% █░░░░░░░░░░░░░░░░░░░ niska
EPSS sierpień 2026 ~80% ████████████████░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja 2025-06-10 Microsoft wydaje poprawki (Patch Tuesday), publikacja CVE w NVD
2025-10-20 CISA dodaje lukę do katalogu KEV
2025-10-21 CISA ocenia wykorzystanie jako aktywne
2025-11-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08 EPSS ok. 80%, Microsoft nadal bez oznaczenia ataków
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-33073 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-33073 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport kompilacji Windows dla wszystkich serwerów i komputerów | CTO | DZISIAJ |
2 | Potwierdzić aktualizację kontrolerów domeny i serwerów plików | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe dla maszyn bez aktualizacji z czerwca 2025 roku | CTO | DO JUTRA |
4 | Zlecić sprawdzenie i wymuszenie podpisywania SMB | CTO | DO JUTRA |
5 | Ustalić listę serwerów bez wsparcia (2008, 2012) i koszt ich wymiany | CFO | DO JUTRA |
6 | Zlecić przegląd logów uwierzytelnień od czerwca 2025 roku | CTO | DO JUTRA |
7 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące aktualizacji i MFA | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn z Windows nie ma aktualizacji z czerwca 2025 roku lub nowszej? | [liczba] | 🔴 |
2 | Czy kontrolery domeny i serwery plików są zaktualizowane? | TAK / NIE | 🔴 |
3 | Z jakiego kanału aktualizacji korzystają serwery: zwykłego czy hotpatch? | [kanał] | 🟠 |
4 | Czy podpisywanie SMB jest wymuszone na serwerach i stacjach? | TAK / NIE | 🟠 |
5 | Czy ruch SMB wychodzący do internetu jest zablokowany? | TAK / NIE | 🟠 |
6 | Ile serwerów działa na Windows Server 2008 lub 2012? | [liczba] | 🟠 |
7 | Kiedy ostatnio przeglądano nowe konta administracyjne w domenie? | [data] | 🟡 |
CVE-2025-33073 pozwala napastnikowi z kontem zwykłego pracownika przejąć komputery i serwery Windows z uprawnieniami SYSTEM, wymuszając połączenie SMB. Poprawki istnieją od czerwca 2025 roku, obejścia producenta nie ma, a CISA potwierdza ataki, więc dziś trzeba sprawdzić kompilacje, zaktualizować brakujące maszyny i zadbać o podpisywanie SMB.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.