Spreparowana czcionka w dokumencie lub na stronie pozwala przejąć w trybie jądra komputer ze starym Windows bez poprawki MS11-087. CISA potwierdza ataki. Spisz stare systemy, zainstaluj poprawkę i odetnij je od poczty.
Ten alert jest dla zarządu, CTO i CFO firm, które wciąż mają gdzieś starsze komputery z Windows XP, Vista, 7 albo serwery Windows Server 2003 i 2008, na przykład przy maszynach, urządzeniach medycznych lub starym oprogramowaniu branżowym. Werdykt: jeśli taki komputer nie ma poprawki MS11-087, zainstaluj ją lub odetnij komputer od internetu i poczty jeszcze dziś, a długoterminowo zaplanuj jego wymianę, bo luka z 2011 roku znów trafiła na listę aktywnie wykorzystywanych.
Amerykańska agencja CISA 6 października 2025 roku dopisała podatność CVE-2011-3402 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd sprzed 14 lat: w 2011 roku używało go złośliwe oprogramowanie Duqu, a Microsoft wydał poprawkę w grudniu 2011 roku.
Luka siedzi w składniku Windows, który rysuje czcionki TrueType (sterownik win32k.sys). Spreparowana czcionka osadzona w dokumencie Word albo na stronie internetowej pozwala napastnikowi wykonać kod w trybie jądra, czyli z uprawnieniami wyższymi niż administrator. Wystarczy, że użytkownik otworzy dokument lub stronę.
Nowoczesne wersje Windows nie figurują na liście podatnych systemów. Problem dotyczy komputerów, które od lat nie dostają aktualizacji. Termin naprawy wyznaczony przez CISA minął 27 października 2025 roku, prawie 11 miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2011-3402 („TrueType Font Parsing Vulnerability”) |
Data dodania do CISA KEV | 2025-10-06 |
Termin naprawy wg CISA | 2025-10-27 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik trybu jądra win32k.sys (przetwarzanie czcionek TrueType); ten sam wadliwy kod poprawiano później także w Microsoft Office, .NET Framework, Silverlight i Lync |
Wersje zagrożone | Windows XP SP2 i SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2, Windows Server 2008 R2 i R2 SP1, Windows 7 bez dodatku i z SP1 (NVD), bez poprawki MS11-087. Atak wymaga otwarcia przez użytkownika dokumentu lub strony ze spreparowaną czcionką albo uruchomienia przygotowanej aplikacji przez zalogowaną osobę |
Wersje bezpieczne | Systemy z zainstalowaną aktualizacją MS11-087 (KB2639417) z 13 grudnia 2011. Dla Office, .NET Framework i Silverlight dodatkowo MS12-034 z 8 maja 2012 (aktualizowany do 6 marca 2013), dla Lync MS12-039 z 12 czerwca 2012. Nowsze wersje Windows nie są wymienione w NVD jako podatne |
Typ podatności | Zdalne wykonanie kodu przez błąd zapisu do bufora w przetwarzaniu czcionek; CWE: brak informacji (NVD: NVD-CWE-noinfo, w KEV pole puste) |
Ocena CVSS | NVD i CISA: 8.8 (CVSS 3.1, WYSOKA), atak przez sieć, bez logowania, wymaga działania użytkownika. NVD: 9.3 (CVSS 2.0, WYSOKA). Microsoft: poprawka krytyczna dla wszystkich wspieranych wówczas wydań Windows |
Wyobraź sobie drukarnię, w której zecer składa tekst według przysłanego wzoru czcionki. Wzór to nie tylko kształty liter, ale też instrukcje: „tu pogrub, tu zmniejsz odstęp”. Zecer wykonuje je bez pytania, bo tak wygląda jego praca. Ktoś przysyła wzór, w którym między instrukcjami ukrył polecenie „oddaj klucze do drukarni”. Zecer ma klucze do wszystkiego, więc wykonuje i to.
Czcionka TrueType działa podobnie: zawiera instrukcje rysowania liter, a Windows wykonuje je w najgłębszej, najbardziej uprzywilejowanej warstwie systemu. Błąd w sprawdzaniu tych instrukcji pozwalał podrzucić własny kod, który od razu działa z pełną władzą nad komputerem. Odebranie pracownikowi praw administratora nic tu nie zmienia, bo kod działa ponad wszystkimi kontami.
💡 TrueType to popularny format plików z krojami pisma. Tryb jądra to warstwa systemu zarządzająca całym komputerem, ponad programami i kontami użytkowników. Przepełnienie bufora to zapis danych większych niż przygotowane na nie miejsce w pamięci, przez co nadmiar nadpisuje sąsiednie dane. Duqu to złośliwe oprogramowanie szpiegowskie wykryte w 2011 roku, które używało tej luki. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera dokument Word z załącznika | Widzi dokument | Na komputerze bez poprawki może uruchomić się kod napastnika z uprawnieniami jądra |
Pracownik wchodzi na stronę z osadzoną czcionką | Strona się wyświetla | Tak samo, a w tle napastnik przejmuje komputer |
Pracownik bez praw administratora | Nie zainstaluje programów | Kod napastnika i tak ma pełną kontrolę |
Program antywirusowy sprawdza komputer | Wykrywa znane zagrożenia | Może zostać oszukany przez kod działający poniżej jego poziomu |
Czyszczenie po incydencie | Usunięcie złośliwego programu | Jedyne pewne rozwiązanie to instalacja systemu od zera |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa sama z internetu: ktoś musi otworzyć spreparowany dokument lub stronę na podatnym komputerze, a CISA ocenia, że ataku nie da się w pełni zautomatyzować. Microsoft opisał też trzeci wariant: zalogowany użytkownik uruchamia przygotowaną aplikację, aby wyjść poza swoje uprawnienia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Ustalenie, że w firmie działają stare komputery z Windows XP, 7 lub Server 2003/2008 | Wskazanie podatnych stanowisk |
2. Przynęta | T+godziny do dni | Wysłanie dokumentu Word z osadzoną czcionką lub linku do strony, np. jako „zamówienie” czy „dokumentacja serwisowa” | Pracownik otwiera plik lub stronę |
3. Przejęcie | T+sekundy od otwarcia | Wykonanie kodu w trybie jądra przez spreparowaną czcionkę | Pełna kontrola nad komputerem |
4. Utrwalenie | T+minuty | Instalacja narzędzi zdalnego dostępu i ukrycie ich przed programem antywirusowym | Trwały, trudny do wykrycia dostęp |
5. Rozprzestrzenienie | T+dni | Użycie przejętego komputera do ataku na inne systemy w tej samej sieci | Szerszy dostęp w firmie |
6. Skutek | T+tygodnie | Szpiegostwo, kradzież dokumentów, zakłócenie pracy maszyn obsługiwanych przez stary komputer | Wyciek danych lub przestój |
Mogę Ci jakoś pomóc?
Dla firmy z aktualnymi systemami Windows ta luka nie jest bezpośrednim zagrożeniem. Ryzyko skupia się na „zapomnianych” komputerach: stanowiskach przy maszynach, starych serwerach z oprogramowaniem, którego nie da się przenieść, i komputerach działów, których nikt nie chciał ruszać. Takie systemy od lat nie dostają aktualizacji, a przy przejęciu w trybie jądra jedyną pewną naprawą jest instalacja od zera.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój maszyny lub procesu obsługiwanego przez stary komputer, odtwarzanie systemu od zera | Dni | 20 tys. do 250 tys. PLN (przestój, odtworzenie stanowiska, serwis dostawcy) |
Bezpieczeństwo danych | Kradzież dokumentów i danych z przejętego komputera, punkt wejścia do reszty sieci | Dni do tygodni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Pilna, nieplanowana wymiana starych systemów i oprogramowania branżowego | Tygodnie do miesięcy | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Pytania klientów i ubezpieczyciela o systemy bez wsparcia producenta | Miesiące | 10 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, a używanie systemów bez aktualizacji może być oceniane jako brak odpowiednich zabezpieczeń | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy ze starym Windows (XP, 7, Server 2003/2008)
bez poprawki MS11-087; dla aktualnych systemów ryzyko nie dotyczy
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo kod działa w jądrze systemu, a prawdopodobieństwo średnie, bo atak wymaga otwarcia dokumentu lub strony na starym, niezaktualizowanym komputerze; stanowisko bez poczty i internetu przesuwa się wyraźnie w lewo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie komputery i serwery z Windows XP, Vista, 7, Server 2003 i Server 2008 (także przy maszynach i urządzeniach) | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Sprawdzić na każdym z nich, czy jest zainstalowana aktualizacja MS11-087 (KB2639417), i zainstalować ją, jeśli jej brakuje | Dziś | Administrator systemów |
3 | 🔴 NATYCHMIAST | Odciąć stare komputery od poczty i przeglądania internetu, jeśli nie jest to niezbędne do ich pracy | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić, czy na starych stanowiskach działają niezaktualizowane Office, .NET Framework, Silverlight lub Lync (poprawki MS12-034 i MS12-039) | Do 3 dni | Administrator systemów |
5 | 🟠 PILNIE | Odseparować stare systemy w osobnym segmencie sieci z dostępem tylko do tego, czego potrzebują | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Przygotować plan wymiany lub migracji systemów bez wsparcia producenta, z budżetem i terminami | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wprowadzić regularny przegląd luk z katalogu KEV, także tych dotyczących starych systemów | Do 30 dni | CTO |
Microsoft wydał poprawkę MS11-087 w 2011 roku dla wszystkich wspieranych wtedy wydań Windows, więc najpierw trzeba ją zainstalować. Jeśli na danym komputerze nie da się tego zrobić, na przykład z powodu wymagań dostawcy maszyny, pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odebranie dostępu do biblioteki t2embed.dll (obejście Microsoft z listopada 2011) | Średnia: według Microsoft chroni przed dokumentami i stronami, ale nie przed lokalną aplikacją; aplikacje z osadzonymi czcionkami mogą źle wyświetlać treść, a Office traci zapis do PDF | Średnia |
Odcięcie komputera od poczty i przeglądania internetu | Wysoka wobec ataków przez dokumenty i strony | Łatwa do średniej |
Osobny segment sieci i zakaz wnoszenia plików z zewnątrz na stanowisko | Średnia do wysokiej | Średnia |
Ograniczenie liczby osób z możliwością logowania do starego komputera | Średnia: dotyczy wariantu z lokalną aplikacją | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o starych systemach | Nikt nie wie, ile ich jest i gdzie stoją | Pełna lista z właścicielami |
Poprawka MS11-087 | Nieznany stan | Zainstalowana lub udokumentowany powód braku i obejście |
Dostęp do poczty i internetu | Stare komputery otwierają załączniki i strony | Odcięte, jeśli nie są potrzebne |
Sieć | Stare systemy w tej samej sieci co reszta firmy | Odseparowany segment |
Plan na przyszłość | Brak | Harmonogram wymiany systemów bez wsparcia |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). W 2011 roku używana przez złośliwe oprogramowanie Duqu w ograniczonych, ukierunkowanych atakach |
Grupy przestępcze | Brak publicznych informacji o sprawcach obecnych ataków; w 2011 roku Duqu, opisane przez Symantec jako prekursor kolejnego Stuxnetu |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA); 9.3 WYSOKA (CVSS 2.0, NVD) |
PoC dostępny publicznie? | W chwili wydania poprawki Microsoft nie znał opublikowanego kodu ataku; brak zweryfikowanych informacji o późniejszych publikacjach |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył | Microsoft podziękował firmie Symantec i laboratorium CrySyS |
Prognoza EPSS | Około 78% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 99,5% znanych podatności (wg analizy źródłowej) |
Ta luka pokazuje, że wiek błędu nie świadczy o jego nieszkodliwości. Liczy się to, czy w firmie wciąż stoi komputer, który go ma:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2011-3402
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
EPSS (próba w 30 dni) ~78% ████████████████░░░░ wyżej niż 99,5% luk
CISA KEV (2025) TAK ████████████████████ ataki potwierdzone
Wiek luki 14 lat ░░░░░░░░░░░░░░░░░░░░ poprawka od 2011 2011-11 Ataki Duqu z użyciem luki (wg NVD)
2011-11-03 Microsoft publikuje doradztwo 2639658 z obejściem t2embed.dll
2011-11-04 Publikacja CVE-2011-3402 w NVD
2011-12-13 Poprawka MS11-087 (KB2639417) dla Windows
2012-05-08 Biuletyn MS12-034: ten sam błąd w Office, .NET i Silverlight
2012-06-12 Biuletyn MS12-039: poprawki czcionek TrueType w Lync
2013-03-06 Ostatnia aktualizacja biuletynu MS12-034
2025-10-06 CISA dodaje lukę do katalogu KEV
2025-10-27 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
... prawie 11 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z poprawką: MS11-087 . Wpis w NVD z odnośnikami do MS12-034 i MS12-039: nvd.nist.gov/vuln/detail/CVE-2011-3402 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wszystkich komputerów i serwerów ze starymi wersjami Windows, także przy maszynach i urządzeniach | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że każdy z nich ma poprawkę MS11-087 albo jest odcięty od poczty i internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie starych stanowisk od poczty i internetu tam, gdzie nie jest to niezbędne | CTO | DZISIAJ |
4 | Poprosić dostawców maszyn i oprogramowania branżowego o informację, czy można zainstalować poprawki lub przejść na nowszy system | CTO | DO JUTRA |
5 | Oszacować koszt wymiany systemów bez wsparcia i koszt przestoju, jeśli zostaną przejęte | CFO | DO JUTRA |
6 | Sprawdzić w polisie cyberubezpieczenia zapisy o systemach bez wsparcia producenta | CFO | DO JUTRA |
7 | Wpisać wymianę starych systemów do planu budżetowego na najbliższy rok | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy komputerów i serwerów z Windows XP, Vista, 7, Server 2003 lub Server 2008? | [liczba] | 🔴 |
2 | Czy na każdym z nich jest zainstalowana aktualizacja MS11-087 (KB2639417)? | TAK / NIE, [lista wyjątków] | 🔴 |
3 | Czy te komputery mają dostęp do poczty i przeglądania internetu? | TAK / NIE | 🔴 |
4 | Czy działają na nich Office, .NET Framework, Silverlight lub Lync bez poprawek z 2012 roku? | TAK / NIE | 🟠 |
5 | Czy stare systemy są w osobnym segmencie sieci? | TAK / NIE | 🟠 |
6 | Kto poza pracownikami (podwykonawcy, serwis) może logować się na te komputery? | [lista osób i firm] | 🟠 |
7 | Kiedy planujemy wymianę lub migrację systemów bez wsparcia producenta? | [data] | 🟡 |
CVE-2011-3402 pozwala przez spreparowaną czcionkę w dokumencie lub na stronie przejąć w trybie jądra komputer ze starym Windows bez poprawki MS11-087. Luka ma 14 lat, ale CISA potwierdza jej wykorzystanie, więc spis starych systemów, sprawdzenie poprawki i odcięcie ich od poczty oraz internetu to zadania na dziś, a plan wymiany na najbliższe miesiące.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.