Błąd typu wyścig w jądrze Windows pozwala napastnikowi, który już ma zwykłe konto na komputerze, przejąć uprawnienia SYSTEM. Microsoft wykrył go podczas ataków. Sprawdź, czy wszystkie komputery i serwery mają aktualizacje z listopada 2025.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm pracujących na komputerach i serwerach z Windows. Werdykt: jeśli choć jedna maszyna z Windows 10, Windows 11 lub Windows Server 2019/2022/2025 nie ma aktualizacji z listopada 2025 roku lub nowszej, wgraj ją dziś, bo ta luka zamienia włamanie na jeden komputer w przejęcie całej firmy, a Microsoft wykrył ją w trakcie prawdziwych ataków.
Amerykańska agencja CISA 12 listopada 2025 roku, dzień po wydaniu poprawki, dopisała podatność CVE-2025-62215 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w jądrze Windows i pozwala komuś, kto ma już zwykłe konto na komputerze, zdobyć uprawnienia SYSTEM, czyli najwyższe w systemie.
Microsoft sam wykrył lukę, badając ataki na klientów: nie była wcześniej ujawniona publicznie, a w podziękowaniach wymienione są tylko wewnętrzne zespoły producenta. Obejścia nie ma. Jedyną drogą jest aktualizacja.
Termin naprawy wyznaczony przez CISA minął 3 grudnia 2025 roku, ponad dziewięć miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-62215 |
Data dodania do CISA KEV | 2025-11-12 |
Termin naprawy wg CISA | 2025-12-03 (21 dni od wpisu) |
Produkt | Microsoft Windows (jądro systemu) |
Wersje zagrożone | Windows 10 1809, 21H2, 22H2; Windows 11 23H2, 24H2, 25H2; Windows Server 2019, 2022, 2022 23H2, 2025, bez aktualizacji z listopada 2025 |
Wersje bezpieczne | Wg Microsoftu: KB5068791 (Windows 10 1809 i Server 2019), KB5068781 (Windows 10 21H2), KB5068865 (Windows 11 23H2), KB5068787 (Server 2022), KB5068861 (Server 2025), KB5068840 i KB5068966 (hotpatch dla Server 2022 i 2025). Wg NVD minimalne kompilacje: 17763.8027, 19044.6575, 19045.6575, 22631.6199, 26100.7092, 26200.7092, 20348.4346, 25398.1965. Każda późniejsza aktualizacja zbiorcza też zawiera poprawkę |
Typ podatności | Podniesienie uprawnień; CWE-362 (wyścig) i CWE-415 (podwójne zwolnienie pamięci) |
Ocena CVSS | 7.0 WYSOKA (CVSS 3.1, Microsoft; waga wg Microsoftu: „ważna”). Atak lokalny, wysoka złożoność, wymaga zwykłego konta, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie magazyn, w którym dwóch pracowników jednocześnie dostaje polecenie zwolnienia tego samego miejsca na regale. Obaj widzą je jako zajęte, obaj wpisują „wolne”. System uznaje, że ma dwa wolne miejsca tam, gdzie jest jedno, i kolejny towar trafia na miejsce już zajęte. W pamięci komputera taki bałagan tworzy obszar, którym sprawny napastnik potrafi sterować.
Tak działa ta luka. Napastnik, który już jest na komputerze jako zwykły użytkownik, powtarza operację w pętli, aż trafi w odpowiedni moment. Wtedy dostaje konto SYSTEM: może wyłączyć antywirusa, odczytać hasła z pamięci i przejść na kolejne komputery i serwery. To nie jest pierwszy krok ataku, tylko drugi, ten, który decyduje o skali szkód.
💡 Podniesienie uprawnień to zdobycie większych praw w systemie niż te, które się ma. SYSTEM to najwyższe konto w Windows, silniejsze niż zwykły administrator. Wyścig (race condition) to błąd, w którym wynik zależy od tego, która z dwóch równoległych operacji zdąży pierwsza. KB to numer aktualizacji Microsoftu. Kompilacja (build) to dokładny numer wersji systemu widoczny w ustawieniach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik | Napastnik ma dostęp do plików i poczty tego pracownika | Napastnik zdobywa uprawnienia SYSTEM na komputerze |
Program antywirusowy | Działa i blokuje narzędzia napastnika | Może zostać wyłączony |
Hasła w pamięci komputera | Niedostępne dla zwykłego konta | Odczytywane i używane do wejścia na serwery |
Zasięg szkód | Jeden laptop do odtworzenia | Cała sieć, w tym księgowość i kopie zapasowe |
„Wysoka złożoność ataku” | Uspokaja | Program próbuje tysiące razy w kilka sekund |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez internet: wymaga wcześniejszego dostępu do komputera na zwykłym koncie. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wykradzione hasło do zdalnego pulpitu lub luka w innej aplikacji | Zwykłe konto na jednym komputerze |
2. Podniesienie uprawnień | T+kilka minut | Uruchomienie programu wygrywającego wyścig w jądrze Windows | Uprawnienia SYSTEM |
3. Wyłączenie ochrony | T+15 min | Wyłączenie antywirusa, odczyt haseł z pamięci | Dane logowania do innych maszyn |
4. Ruch w sieci | T+1 do 3 dni | Przejście na serwery plików, kontroler domeny, serwer kopii | Kontrola nad infrastrukturą |
5. Przygotowanie | T+3 do 14 dni | Kradzież danych, usuwanie kopii zapasowych | Firma bez drogi powrotu |
6. Skutek | T+2 do 4 tygodni | Szyfrowanie serwerów i żądanie okupu lub cicha kradzież | Przestój całej firmy |
Mogę Ci jakoś pomóc?
Aktualizacje na luki „tylko lokalne” często są odkładane, bo wyglądają na mniej pilne. W praktyce napastnik używa luki wejściowej i luki podnoszącej uprawnienia tego samego dnia. Brak tej poprawki zmienia incydent z jednym laptopem w kryzys całej firmy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, zatrzymana sprzedaż i produkcja | Dni do tygodni od wejścia | 50 tys. do 500 tys. PLN |
Bezpieczeństwo danych | Kradzież haseł, dokumentów, danych klientów i pracowników | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odtwarzanie systemów, nadgodziny, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania ubezpieczyciela o zaległe aktualizacje | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności, w tym zaniedbań w aktualizacjach) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów i serwerów Windows
bez aktualizacji z listopada 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne uprawnienia SYSTEM i otwarta droga do całej sieci), a prawdopodobieństwo średnie, bo luka wymaga wcześniejszego wejścia na komputer; ponieważ takie wejścia (phishing, skradzione hasła) zdarzają się w firmach regularnie, zaległa poprawka realnie zwiększa skalę każdego incydentu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować raport: które komputery i serwery nie mają aktualizacji zbiorczej z listopada 2025 lub nowszej | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Wgrać brakujące aktualizacje na serwery (kontroler domeny, pliki, terminale, kopie) | Dziś | Administrator systemów |
3 | 🔴 NATYCHMIAST | Wgrać aktualizacje na komputery zarządu, księgowości i administratorów | Dziś | Dział IT |
4 | 🟠 PILNIE | Odnaleźć i zaktualizować „zapomniane” maszyny: hala, recepcja, stare aplikacje | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Sprawdzić w historii aktualizacji każdego serwera konkretny numer KB lub kompilację, a nie ogólne „aktualne” | Do 3 dni | Administrator systemów |
6 | 🟠 PILNIE | Odebrać pracownikom zbędne uprawnienia administratora lokalnego | Do 7 dni | Dział IT |
7 | 🟡 WAŻNIE | Ustalić stały termin wgrywania comiesięcznych aktualizacji Windows (np. do 7 dni od wydania) | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wspieranych wersji i nie podaje żadnego obejścia. Poniższe miary nie usuwają luki, tylko ograniczają szansę, że napastnik w ogóle dostanie się na komputer. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie niezaktualizowanych maszyn od reszty sieci | Średnia: ogranicza ruch napastnika | Średnia |
Wyłączenie zdalnego pulpitu dostępnego z internetu, MFA dla dostępu zdalnego | Średnia: zamyka typowe wejście | Średnia |
Blokowanie uruchamiania nieznanych programów (np. kontrola aplikacji) | Średnia do wysokiej | Trudna |
Monitorowanie wyłączeń antywirusa i nietypowych logowań | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Skutek zainfekowania jednego komputera | Możliwe uprawnienia SYSTEM i ruch po sieci | Napastnik ograniczony do uprawnień pracownika |
Wiedza o stanie aktualizacji | „Wszystko jest aktualne” | Raport z numerami KB dla każdej maszyny |
Zapomniane komputery | Poza procesem aktualizacji | Zinwentaryzowane i zaktualizowane |
Uprawnienia pracowników | Często administrator lokalny | Tylko niezbędne |
Zgodność z terminem CISA | Zaległość od 3 grudnia 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: „Exploitation Detected”, wykryta przed publikacją poprawki |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.0 WYSOKA (CVSS 3.1, Microsoft), waga Microsoftu: „ważna” |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft: luka nie była ujawniona publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Wewnętrzne zespoły Microsoftu (analiza zagrożeń i reagowanie na incydenty) |
Prognoza EPSS | Około 6% (wg analizy źródłowej); typowo niska dla luk lokalnych |
Sygnały zagrożenia dla CVE-2025-62215
CVSS 3.1 (Microsoft) 7.0/10 ██████████████░░░░░░ WYSOKA
Skutek wg CISA (SSVC) total ████████████████████ CAŁKOWITY
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak przed poprawką TAK ████████████████████ zero-day
EPSS (wg źródła) ~6% █░░░░░░░░░░░░░░░░░░░ luka lokalna
Mogę Ci jakoś pomóc?
przed 2025-11 Microsoft wykrywa wykorzystanie luki u klientów
2025-11-11 Poprawka w aktualizacjach listopadowych, publikacja CVE
2025-11-12 CISA dodaje lukę do katalogu KEV
2025-12-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Microsoftu z numerami aktualizacji dla każdej wersji: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62215 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-62215 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zażądać raportu: liczba maszyn Windows bez aktualizacji z listopada 2025 lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe wgranie aktualizacji na serwery, nawet kosztem krótkiej przerwy | CTO | DZISIAJ |
3 | Potwierdzić aktualizację komputerów zarządu i księgowości | CTO | DZISIAJ |
4 | Uzyskać listę maszyn, których nie da się zaktualizować, z planem ich odcięcia lub wymiany | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę komputerów z niewspieranymi systemami | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wymaga terminowego instalowania poprawek | CFO | DO JUTRA |
7 | Ustalić stały, comiesięczny termin aktualizacji i raportowania do zarządu | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów nie ma aktualizacji zbiorczej z listopada 2025 lub nowszej? | [liczba] | 🔴 |
2 | Kiedy kontroler domeny i serwer plików dostały ostatnią aktualizację? | [data] | 🔴 |
3 | Czy mamy narzędzie, które pokazuje stan aktualizacji wszystkich maszyn w jednym miejscu? | TAK / NIE | 🔴 |
4 | Czy w firmie są komputery z niewspieranymi wersjami Windows? | TAK / NIE | 🟠 |
5 | Ilu pracowników ma uprawnienia administratora lokalnego? | [liczba] | 🟠 |
6 | Czy zdalny pulpit jest dostępny z internetu bez MFA? | TAK / NIE | 🟡 |
7 | Ile dni średnio mija od wydania aktualizacji Microsoftu do jej wgrania u nas? | [liczba dni] | 🟡 |
CVE-2025-62215 pozwala napastnikowi, który już ma zwykłe konto na komputerze z Windows, przejąć uprawnienia SYSTEM i rozszerzyć atak na całą firmę. Microsoft wykrył lukę podczas prawdziwych ataków, poprawka jest w aktualizacjach z listopada 2025 roku, a obejścia nie ma. Raport stanu aktualizacji z konkretnymi numerami KB dla każdej maszyny to najszybszy sposób, by upewnić się, że firma jest chroniona.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.