Błąd w Internet Explorerze (CVE-2013-3893) pozwala przejąć komputer przez spreparowaną stronę. CISA w 2025 roku potwierdziła ataki i zaleca wycofanie przeglądarki. Znajdź stanowiska z IE i odetnij je od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, w których wciąż działają stare komputery, stare systemy webowe wymagające Internet Explorera albo stanowiska, których nikt nie aktualizował od lat. Werdykt: jeśli gdziekolwiek w firmie używany jest Internet Explorer, zwłaszcza w wersjach 6 do 10, odetnij te stanowiska od internetu i zaplanuj wycofanie przeglądarki, bo CISA w 2025 roku potwierdziła ataki na tę lukę sprzed 12 lat.
Amerykańska agencja CISA 12 sierpnia 2025 roku dopisała podatność CVE-2013-3893 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd w Internet Explorerze z 2013 roku, w obsłudze przeciągania myszą (funkcja SetMouseCapture w bibliotece mshtml.dll). Spreparowana strona może uruchomić na komputerze kod napastnika z uprawnieniami osoby, która ją odwiedziła.
Microsoft wydał poprawkę w październiku 2013 roku (MS13-080). CISA zaznacza jednak, że Internet Explorer może być produktem wycofanym ze wsparcia i zaleca zaprzestanie jego używania. Termin CISA minął 2 września 2025 roku, a wskaźnik EPSS plasuje tę lukę w najwyższych 0,3% wszystkich znanych podatności.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2013-3893 (w europejskiej bazie ENISA: EUVD-2013-3825) |
Data dodania do CISA KEV | 2025-08-12 |
Termin naprawy wg CISA | 2025-09-02 (21 dni od wpisu) |
Produkt | Microsoft Internet Explorer, silnik mshtml.dll |
Wersje zagrożone | Internet Explorer 6, 7, 8, 9 i 10 bez aktualizacji MS13-080 oraz wydania przedpremierowe Internet Explorera 11 (Developer Preview i Release Preview). Microsoft potwierdził w 2013 roku celowane ataki na IE 8 i IE 9 |
Wersje bezpieczne | Zbiorcza aktualizacja zabezpieczeń MS13-080 (KB2879017) z 8 października 2013 roku, dla wydań przedpremierowych IE 11 pakiet KB2884101. CISA: produkt może być wycofany ze wsparcia, zalecenie: zaprzestać używania |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) prowadzące do zdalnego wykonania kodu. NVD i CISA w NVD: CWE-416. Katalog KEV: CWE-399 (błędy zarządzania zasobami) |
Ocena CVSS | CISA (w NVD): 8.8 (CVSS 3.1, WYSOKA), wektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H: atak przez sieć, bez uprawnień, wymaga wejścia użytkownika na stronę. NVD w skali CVSS 2.0: 9.3 (WYSOKA). ENISA: 8.8 |
Ta sama luka ma w rejestrach różne nazwy i klasy (CWE-416 w NVD, CWE-399 w KEV). W firmowej ewidencji podatności warto prowadzić ją wyłącznie po numerze CVE.
Wyobraź sobie biuro podawcze, w którym urzędnik zapisuje w zeszycie: „wszystkie dokumenty dla pana Kowalskiego kładę na biurku numer 5”. Pan Kowalski się wyprowadza, biurko numer 5 dostaje ktoś inny, ale nikt nie wykreśla wpisu z zeszytu. Kolejne dokumenty dla pana Kowalskiego trafiają na biurko nowego lokatora, który może z nimi zrobić, co zechce.
Tak działał ten błąd. Gdy użytkownik przeciąga coś myszą na stronie, przeglądarka zapisuje, który element „trzyma” kursor. Spreparowana strona usuwała ten element w trakcie, a Internet Explorer dalej wysyłał zdarzenia pod stary adres w pamięci, gdzie napastnik zdążył już podłożyć swoje instrukcje. Wystarczyło wejść na stronę i poruszyć myszą. Po 12 latach problemem nie jest brak poprawki, tylko to, że Internet Explorer nadal bywa używany na zapomnianych komputerach.
💡 Internet Explorer to stara przeglądarka Microsoft, zastąpiona przez Edge. mshtml.dll to silnik, który w Internet Explorerze wyświetla strony. Use-after-free to błąd, w którym program korzysta z pamięci, którą już zwolnił. ActiveX to stara technologia dodatków do Internet Explorera. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę branżową w IE | Strona się wyświetla | Podmieniona strona może uruchomić kod napastnika |
Przeciągnięcie suwaka myszą | Zwykła czynność | Wyzwala wykonanie złośliwych instrukcji |
Stary system webowy „działa tylko w IE” | Wygodny powód, by nie zmieniać przeglądarki | Trzyma w firmie podatny silnik |
Komputer przy maszynie z Windows sprzed lat | Działa bez zmian | Ma nieaktualny IE podłączony do sieci |
Ewidencja podatności po nazwie | Wystarcza | Ta sama luka w dwóch rejestrach pod różnymi nazwami |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby ofiara weszła na przygotowaną stronę w Internet Explorerze. CISA ocenia, że nie da się go zautomatyzować, ale kod wykorzystujący lukę jest od lat publicznie dostępny, a EPSS jest bardzo wysoki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie strony | T+0 | Umieszczenie gotowego, publicznego kodu ataku na własnej lub przejętej stronie | Pułapka dla odwiedzających z Internet Explorerem |
2. Zwabienie | T+godziny do dni | Link w e-mailu lub podmieniona strona branżowa, na którą wchodzą pracownicy | Pracownik otwiera stronę w IE |
3. Wykonanie kodu | T+sekundy | Wyzwolenie błędu przy ruchu myszą | Kod napastnika działa z uprawnieniami pracownika |
4. Utrwalenie | T+minuty | Instalacja narzędzia zdalnego dostępu na starym komputerze | Stały dostęp |
5. Ruch w głąb sieci | T+dni | Wykorzystanie starego, niemonitorowanego stanowiska do dalszych ataków | Dostęp do serwerów i danych |
6. Kradzież lub szyfrowanie | T+tygodnie | Kopiowanie danych, przygotowanie ransomware | Wyciek i przestój |
Mogę Ci jakoś pomóc?
Sama luka jest stara, ale ryzyko dotyczy tego, co zostało w firmach: zapomnianych komputerów, systemów działających tylko w Internet Explorerze i stanowisk przy maszynach. Takie urządzenia rzadko mają aktualizacje i monitoring, więc są idealnym punktem wejścia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stare stanowiska do odtworzenia, możliwy przestój systemów zależnych od IE | Dni | 20 tys. do 250 tys. PLN (odtwarzanie, migracja starych systemów) |
Bezpieczeństwo danych | Kradzież danych z przejętego komputera i sieci | Dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty incydentu, pilna migracja aplikacji wymagających IE, ewentualny okup | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Pytania klientów i ubezpieczyciela o przestarzałe oprogramowanie | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy, w której działa
Internet Explorer 6 do 10 bez MS13-080
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla stanowisk z nieaktualnym Internet Explorerem wpływ jest wysoki (wykonanie kodu po wejściu na stronę), a prawdopodobieństwo wysokie (publiczny kod ataku, EPSS około 86%, potwierdzenie CISA); firma bez Internet Explorera jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać komputery, na których uruchamiany jest Internet Explorer, z wersją przeglądarki i systemu | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Stanowiska z IE 6 do 10 lub wydaniami testowymi IE 11 odciąć od przeglądania internetu | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Tam, gdzie IE musi zostać: potwierdzić instalację MS13-080 i wszystkich późniejszych aktualizacji | Do 3 dni | Administrator Windows |
4 | 🟠 PILNIE | Ustalić, które systemy webowe wymagają IE, i zapytać dostawców o wersję działającą w nowoczesnej przeglądarce | Do 14 dni | CTO |
5 | 🟠 PILNIE | Rozdzielić przeglądanie stron zewnętrznych od pracy w systemach z danymi klientów | Do 14 dni | Dział IT |
6 | 🟡 WAŻNIE | Wprowadzić zakaz instalowania wersji testowych oprogramowania na komputerach z dostępem do danych firmy | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przygotować plan całkowitego wycofania Internet Explorera i systemów bez wsparcia | Do 30 dni | CTO / CFO |
Microsoft wydał poprawkę MS13-080 w 2013 roku, ale CISA zaleca zaprzestanie używania produktu, który może być wycofany ze wsparcia. W okresie przed wydaniem poprawki producent wskazywał obejścia, które nadal mogą ograniczać ryzyko na stanowiskach, gdzie IE jest chwilowo niezbędny. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie stanowiska z IE od internetu, dostęp tylko do niezbędnych systemów wewnętrznych | Wysoka | Średnia |
Pytanie przed uruchomieniem ActiveX i skryptów w strefach Internet i Intranet, potrzebne strony w strefie zaufanej (obejście producenta z 2013 roku) | Średnia do wysokiej | Średnia: wymaga listy dozwolonych stron i jej właściciela |
Zestaw narzędzi EMET (obejście producenta z 2013 roku) | Średnia, narzędzie historyczne | Trudna na współczesnych systemach |
Migracja do nowoczesnej przeglądarki | Wysoka i docelowa | Zależy od systemów wymagających IE |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Internet Explorer | Używany na nieznanej liczbie komputerów | Spisany, odcięty od internetu lub usunięty |
Systemy wymagające IE | „Muszą zostać” | Plan migracji uzgodniony z dostawcami |
Przeglądanie internetu | Na tych samych stanowiskach co dane klientów | Rozdzielone |
Wersje testowe programów | Instalowane przez pracowników | Zakazane na komputerach z danymi |
Zgodność z wymogami | Ponad rok po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Produkt wycofany lub odizolowany, udokumentowane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA w 2025 roku). W 2013 roku Microsoft potwierdził celowane ataki na IE 8 i IE 9 przed wydaniem poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA w NVD (CVSS 3.1); 9.3 WYSOKA wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | TAK: NVD odsyła do publicznie opublikowanego kodu ataku na IE 8 (Packet Storm) |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): wymaga wejścia ofiary na stronę |
Kto zgłosił błąd | Yoshihiro Ishikawa (LAC) |
Prognoza EPSS | 0,86 (ok. 86%), percentyl 99,7, sierpień 2026 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2013-3893
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
EPSS (prawdopodob.) ~86% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Kod ataku publiczny TAK ████████████████████ od lat
Mogę Ci jakoś pomóc?
2013-09-17 Microsoft publikuje doradztwo 2887505, ataki na IE 8 i IE 9
2013-09-18 Publikacja CVE-2013-3893 w NVD
2013-10-08 Poprawka MS13-080 (KB2879017, dla IE 11 preview KB2884101)
2013-10-15 Alert US-CERT TA13-288A (dziś treść archiwalna)
2025-08-12 CISA dodaje lukę do katalogu KEV, zalecenie: zaprzestać używania
2025-09-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA, prawie 13 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z poprawką i obejściami: learn.microsoft.com: MS13-080 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2013-3893 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o listę komputerów, na których działa Internet Explorer | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie tych stanowisk od przeglądania internetu | CTO | DZISIAJ |
3 | Ustalić, które systemy biznesowe wymagają IE i kto jest ich dostawcą | CTO | DO JUTRA |
4 | Zapytać dostawców o wersje systemów działające w nowoczesnej przeglądarce | CTO | DO JUTRA |
5 | Oszacować koszt migracji lub wymiany systemów wymagających IE | CFO | DO JUTRA |
6 | Oszacować koszt wymiany komputerów z systemami bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje szkody na oprogramowaniu wycofanym ze wsparcia | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu komputerach uruchamiany jest Internet Explorer? | [liczba] | 🔴 |
2 | Jaka jest najstarsza wersja Internet Explorera w firmie? | [wersja] | 🔴 |
3 | Czy stanowiska z Internet Explorerem mają dostęp do internetu? | TAK / NIE | 🔴 |
4 | Które systemy biznesowe działają wyłącznie w Internet Explorerze? | [lista] | 🟠 |
5 | Czy na komputerach są zainstalowane wersje testowe przeglądarek lub innych programów? | TAK / NIE | 🟠 |
6 | Czy prowadzimy ewidencję podatności po numerach CVE? | TAK / NIE | 🟡 |
7 | Kiedy planujemy całkowite wycofanie Internet Explorera? | [data] | 🟡 |
CVE-2013-3893 to luka w Internet Explorerze sprzed 12 lat, którą CISA w 2025 roku potwierdziła jako nadal wykorzystywaną, z publicznym kodem ataku i jednym z najwyższych wyników EPSS. Zadaniem na dziś jest znalezienie komputerów z Internet Explorerem i odcięcie ich od internetu, a na najbliższe tygodnie: plan wycofania przeglądarki i systemów, które jej wymagają.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.