Pole katalogu roboczego w skrócie internetowym Windows pozwalało uruchomić kod ze zdalnego serwera WebDAV po jednym kliknięciu. Luka była wykorzystywana przed poprawką. Zainstaluj czerwcową aktualizację Windows 2025, także dodatkową poprawkę IE na starych serwerach.
Ten alert jest dla zarządu, CTO i CFO każdej firmy z komputerami i serwerami na Windows. Werdykt: jeśli komputery nie mają czerwcowej aktualizacji Windows z 2025 roku, zainstaluj ją w tym tygodniu, bo jedno kliknięcie w spreparowany skrót uruchamia program z serwera napastnika, a luka była wykorzystywana w atakach jeszcze przed wydaniem poprawki.
Amerykańska agencja CISA 10 czerwca 2025 roku dopisała podatność CVE-2025-33053 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy plików skrótu internetowego w Windows. Pole „katalog roboczy” w takim pliku pochodziło w całości od autora i nie było sprawdzane, więc mogło wskazać zdalny udział sieciowy WebDAV. Po kliknięciu Windows uruchamiał program z serwera napastnika.
Microsoft wydał poprawkę tego samego dnia, 10 czerwca 2025 roku. To, że CISA dodała lukę do KEV w dniu publikacji poprawki, oznacza, że atakujący używali jej wcześniej (luka dnia zerowego). Zgłosili ją Alexandra Gofman i David Driker z Check Point Research. Termin naprawy wyznaczony przez CISA minął 1 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-33053 |
Data dodania do CISA KEV | 2025-06-10 |
Termin naprawy wg CISA | 2025-07-01 |
Produkt | Microsoft Windows (pliki skrótu internetowego; poprawka dotyka też komponentu MSHTML) |
Wersje zagrożone | 37 pozycji: od Windows Server 2008 SP2 i 2008 R2 po Windows 11 24H2 i Windows Server 2025, bez czerwcowej aktualizacji 2025 |
Wersje bezpieczne | Systemy z aktualizacją zbiorczą z czerwca 2025 (numery od KB5060118 do KB5061078). Przykładowe kompilacje z poprawką: 10.0.19045.5965 (Windows 10 22H2), 10.0.22621.5472 (Windows 11 22H2), 10.0.26100.4270 lub 10.0.26100.4349 (Windows 11 24H2). Uwaga: na Windows Server 2008, 2008 R2, 2012 i 2012 R2 przy trybie „Security Only” trzeba dodatkowo zainstalować zbiorczą aktualizację Internet Explorera |
Typ podatności | Zewnętrzna kontrola nazwy pliku lub ścieżki, prowadząca do zdalnego wykonania kodu; CWE-73 |
Ocena CVSS | Microsoft: 8.8 (CVSS 3.1, WYSOKA; ocena czasowa 8.2). Atak przez sieć, bez uprawnień, wymaga kliknięcia użytkownika. NVD zapisało wersję bazową |
Odnośnik w wiadomości prowadzi do strony. Plik skrótu internetowego wygląda podobnie, ale to osobny plik z polami konfiguracyjnymi. Jedno z nich, „katalog roboczy”, mówi systemowi, gdzie szukać programu, który skrót ma uruchomić. Luka polegała na tym, że tę ścieżkę ustalał autor pliku, a system jej nie sprawdzał, więc mogła wskazać folder na serwerze napastnika w internecie (WebDAV).
To jak drogowskaz na rozdrożu, który wygląda jak firmowy, ale ktoś obrócił go tak, by prowadził do cudzego magazynu. Pracownik klika, ekran mruga, a w tle uruchamia się program z serwera napastnika, z uprawnieniami tego pracownika i dostępem do wszystkiego, co ma otwarte: dysku z ofertami, poczty, zapisanych haseł. W oknie poczty skrót internetowy wygląda tak samo jak zwykły link, więc nie da się ich rozróżnić na pierwszy rzut oka.
💡 Skrót internetowy to mały plik (.url) z instrukcjami, gdzie i co uruchomić, a nie zwykły odnośnik. Katalog roboczy to folder, który system traktuje jako punkt wyjścia przy uruchamianiu programu. WebDAV to protokół udostępniania plików przez internet tak, jakby leżały w lokalnym folderze. MSHTML to silnik dawnego Internet Explorera, wciąż obecny w Windows.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kliknięcie w odnośnik z wiadomości | Otwiera się strona | Może uruchomić program z serwera napastnika |
Katalog roboczy skrótu | Wskazuje lokalny, zaufany folder | Wskazuje zdalny udział WebDAV napastnika |
Widok w oknie poczty | Skrót i link wyglądają tak samo | Skrót i link wyglądają tak samo, ale skutek jest inny |
Uprawnienia | Kod działa jak kliknięty program | Kod napastnika działa z uprawnieniami pracownika |
Serwery 2008-2012 „Security Only” | Wyglądają na zaktualizowane | Bez aktualizacji IE luka pozostaje otwarta |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by użytkownik kliknął w spreparowany skrót, więc zaczyna się od wiadomości. CISA ocenia, że nie da się go w pełni zautomatyzować, właśnie z powodu potrzeby kliknięcia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przynęta | T+0 min | Wysłanie wiadomości z odnośnikiem lub załącznikiem-skrótem (np. „faktura”, „dokument do podpisu”) | Skrót w skrzynce pracownika |
2. Kliknięcie | T+minuty do godzin | Pracownik klika, myśląc, że to zwykły link | Windows sięga do udziału WebDAV napastnika |
3. Wykonanie kodu | T+sekundy | Uruchomienie programu z serwera napastnika | Kod działa z uprawnieniami pracownika |
4. Instalacja | T+minuty | Pobranie narzędzia zdalnego dostępu | Stały dostęp do komputera |
5. Kradzież danych | T+godziny do dni | Odczyt plików, poczty, haseł zapisanych w przeglądarce | Wyciek danych firmy |
6. Rozsyłanie i ekspansja | T+dni | Wysyłka kolejnych wiadomości z konta ofiary, ruch po sieci | Szersze włamanie |
Windows jest niemal na każdym komputerze w firmie, a atak wymaga tylko jednego kliknięcia w coś, co wygląda jak zwykły link. Poprawka jest darmowa, ale często niedokończona: firmy pomijają stare serwery i szczegół z aktualizacją Internet Explorera. Luka była używana, zanim powstała łatka, więc nie jest to problem teoretyczny.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie lub reinstalacja komputerów, zmiana haseł, przestój stanowisk | Dni | 10 tys. do 100 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Wyciek plików, poczty i haseł z przejętych komputerów | Godziny od kliknięcia | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na fakturach wysyłanych z przejętych skrzynek, koszty specjalistów | Dni | 20 tys. do 400 tys. PLN, zależnie od przelewów |
Reputacyjny | Kontrahenci otrzymują złośliwe wiadomości z adresów firmy | Dni | 20 tys. do 200 tys. PLN (utracone zaufanie) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Windows bez czerwcowej poprawki 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu z uprawnieniami użytkownika, dostęp do jego danych), a prawdopodobieństwo wysokie, bo luka była wykorzystywana i EPSS wynosi około 0,85; ogranicza je jedynie to, że potrzebne jest kliknięcie pracownika, dlatego liczą się zarówno aktualizacja, jak i szkolenie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy komputery i serwery mają czerwcową aktualizację Windows z 2025 roku (po numerze kompilacji) | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje, zaczynając od komputerów z dostępem do poczty i danych | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Na serwerach 2008-2012 w trybie „Security Only” doinstalować zbiorczą aktualizację Internet Explorera | Dziś | Administrator serwerów |
4 | 🟠 PILNIE | Ograniczyć lub zablokować ruch WebDAV wychodzący do internetu, jeśli firma go nie używa | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Przypomnieć pracownikom zasadę: pliki z poczty zapisujemy i otwieramy z folderu pobranych, nie z okna wiadomości | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Sprawdzić logi pod kątem połączeń WebDAV z komputerów do nieznanych adresów | Do 14 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ustawić automatyczne instalowanie krytycznych aktualizacji Windows | Do 30 dni | Administrator IT |
Microsoft wydał poprawki dla wszystkich wspieranych systemów. Poniższe miary ograniczają ryzyko tam, gdzie aktualizacja musi poczekać. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie ruchu WebDAV do internetu na zaporze | Wysoka: odcina zdalną lokalizację, z której uruchamiany jest kod | Średnia, jeśli firma nie używa WebDAV |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki do plików użytkownika | Łatwa |
Szkolenie: nie klikać w linki i skróty z niespodziewanych wiadomości | Średnia: zależy od czujności ludzi | Łatwa |
Filtrowanie i skanowanie załączników oraz skrótów w poczcie | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kliknięcie w spreparowany skrót | Uruchamia program z serwera napastnika | Nie uruchamia zdalnego kodu |
Numer kompilacji | Sprzed czerwca 2025 | Z czerwcową poprawką |
Serwery 2008-2012 | Bez aktualizacji IE, podatne | Z pełnym zestawem poprawek |
Ruch WebDAV do internetu | Dozwolony | Ograniczony lub zablokowany |
Nawyki pracowników | Otwieranie plików z okna poczty | Zapisywanie i otwieranie z folderu pobranych |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); dodana do KEV w dniu publikacji poprawki, co wskazuje na wcześniejsze ataki |
Grupy przestępcze | Brak publicznych informacji w źródłach powiązanych z wpisem KEV |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg Microsoftu (CVSS 3.1); ocena czasowa 8.2 |
PoC dostępny publicznie? | Brak jednoznacznej informacji w analizowanych źródłach; lukę opisali badacze Check Point Research |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Alexandra Gofman i David Driker (Check Point Research) |
Prognoza EPSS | 0,85, czołowy ułamek procenta wszystkich podatności (wg analizy źródłowej) |
Microsoft opisuje lukę ogólnie („zewnętrzna kontrola ścieżki”), a CISA konkretnie (WebDAV w polu katalogu roboczego). To nie sprzeczność, tylko różne role: producent nie podpowiada, jak zbudować atak, a agencja opisuje, jak rozpoznać go w dziennikach.
Sygnały zagrożenia dla CVE-2025-33053
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS 0,85 █████████████████░░░ BARDZO WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
Luka dnia zerowego TAK ████████████████████ używana przed poprawką
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-10 Microsoft wydaje poprawkę; publikacja CVE;
CISA dodaje lukę do katalogu KEV
2025-06-19 Microsoft poprawia opis i tytuł wpisu (zmiana informacyjna)
2025-07-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Dokument Microsoftu z aktualizacjami: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33053 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-33053 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport: które komputery i serwery nie mają czerwcowej aktualizacji 2025 | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację brakujących aktualizacji | CTO | DZISIAJ |
3 | Sprawdzić, czy mamy stare serwery (2008-2012) i czy mają też aktualizację Internet Explorera | CTO | DZISIAJ |
4 | Zdecydować o zablokowaniu ruchu WebDAV do internetu | CTO | DO JUTRA |
5 | Przypomnieć pracownikom zasadę bezpiecznego otwierania plików z poczty | CTO | DO JUTRA |
6 | Przypomnieć działowi finansów o weryfikacji telefonicznej zmian numerów rachunków | CFO | DO JUTRA |
7 | Sprawdzić, czy narzędzie do aktualizacji obejmuje wszystkie komputery, także te rzadko włączane | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które komputery i serwery nie mają jeszcze czerwcowej aktualizacji Windows 2025? | [lista lub liczba] | 🔴 |
2 | Jaki jest numer kompilacji na najstarszym niezaktualizowanym systemie? | [wersja] | 🔴 |
3 | Czy mamy serwery 2008-2012 w trybie „Security Only” i czy mają aktualizację IE? | TAK / NIE | 🔴 |
4 | Czy blokujemy ruch WebDAV do internetu, jeśli go nie używamy? | TAK / NIE | 🟠 |
5 | Czy pracownicy pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟠 |
6 | Czy sprawdzono logi pod kątem połączeń WebDAV do nieznanych adresów? | TAK / NIE, [data] | 🟠 |
7 | Czy automatyczne aktualizacje obejmują wszystkie komputery, także rzadko włączane? | TAK / NIE | 🟡 |
CVE-2025-33053 pozwala uruchomić program z serwera napastnika po kliknięciu w spreparowany skrót internetowy, a luka była wykorzystywana, zanim Microsoft wydał poprawkę w czerwcu 2025 roku. Termin CISA minął 1 lipca 2025 roku, więc instalacja czerwcowej aktualizacji, w tym dodatkowej poprawki IE na starych serwerach, oraz przypomnienie zasad otwierania plików z poczty to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.