Błąd z 2009 roku w kontrolce Video ActiveX pozwala przejąć stary komputer z Windows po otwarciu strony w Internet Explorerze. CISA potwierdza ataki. Odetnij stare systemy od internetu i zaplanuj ich wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, w których wciąż pracują stare komputery z Windows XP, Windows Server 2003, Vista lub Server 2008, np. przy maszynach produkcyjnych, kasach czy urządzeniach laboratoryjnych. Werdykt: jeśli taki komputer ma dostęp do internetu i przeglądarkę Internet Explorer, odetnij go od internetu dziś, a w ciągu kwartału zaplanuj wymianę, bo 17-letnia luka trafiła w 2026 roku do katalogu aktywnie wykorzystywanych.
Amerykańska agencja CISA 17 lutego 2026 roku dopisała CVE-2008-0015 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd z 2009 roku w kontrolce ActiveX do obsługi wideo (plik msvidctl.dll) w systemie Windows. Wystarczało, że użytkownik otworzył w Internet Explorerze spreparowaną stronę, a napastnik mógł uruchomić na komputerze własny kod z uprawnieniami zalogowanej osoby.
Microsoft wydał dwie poprawki: w lipcu 2009 roku blokadę kontrolki (MS09-032), a w sierpniu 2009 roku właściwą naprawę przyczyny (MS09-037). Termin CISA minął 10 marca 2026 roku. Wszystkie podatne systemy są od lat poza wsparciem producenta, więc nowych poprawek nie będzie.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2008-0015 |
Data dodania do CISA KEV | 2026-02-17 |
Termin naprawy wg CISA | 2026-03-10 (21 dni od wpisu) |
Produkt | Microsoft Windows, kontrolka Video ActiveX (MPEG2TuneRequest w msvidctl.dll, DirectShow), atak przez Internet Explorer |
Wersje zagrożone | Windows 2000 SP4, Windows XP SP2 i SP3 (także XP Professional x64), Windows Server 2003 SP2, Windows Vista (bez SP, SP1, SP2), Windows Server 2008 (bez SP, SP2). Windows 7 i nowsze nie figurują na liście podatnych w NVD |
Wersje bezpieczne | Systemy z zainstalowanymi obiema poprawkami: MS09-032 (14.07.2009) i MS09-037 (11.08.2009). Sama MS09-032 nie wystarcza. Docelowo: wspierana wersja Windows, bo wszystkie wymienione systemy nie mają już wsparcia |
Typ podatności | Przepełnienie bufora na stosie w funkcji CComVariant::ReadFromStream biblioteki ATL; CWE-119 wg NVD, CWE-121 wg CISA; katalog KEV nie podaje klasyfikacji |
Ocena CVSS | NVD: 9.3 WYSOKA (CVSS 2.0). CISA: 8.8 WYSOKA (CVSS 3.1). Atak przez sieć, bez uprawnień, wymaga udziału użytkownika (otwarcia strony) |
Wyobraź sobie stary magazyn, w którym od lat stoi taśmociąg z wbudowanym okienkiem do wrzucania paczek. Okienko miało służyć tylko pracownikom w środku, ale ktoś oznaczył je jako „dostępne dla dostawców z ulicy”. Taśmociąg nie sprawdza wielkości paczki, więc zbyt duża paczka rozsadza obudowę i ląduje w sterowni, gdzie może przestawić dźwignie. Pierwsza naprawa polegała na zabiciu okienka deską. Dopiero miesiąc później wymieniono sam taśmociąg, który był wadliwy także w innych miejscach magazynu.
Tak działała ta luka. Internet Explorer pozwalał stronie internetowej uruchomić kontrolkę wideo, która nigdy nie powinna być dostępna ze stron. Kontrolka nie sprawdzała, ile danych przyjmuje, więc napastnik nadpisywał pamięć i przejmował sterowanie programem. Pierwsza poprawka Microsoftu tylko zablokowała uruchamianie tej kontrolki w przeglądarce, druga naprawiła błędny kod w bibliotece, z której korzystały też inne składniki systemu.
💡 ActiveX to technologia, która pozwalała stronom internetowym uruchamiać małe programy w Internet Explorerze. Kill bit to wpis w rejestrze Windows, który zakazuje przeglądarce uruchamiania konkretnej kontrolki. Przepełnienie bufora to sytuacja, gdy program przyjmuje więcej danych, niż zmieści przygotowane miejsce w pamięci, a nadmiar nadpisuje inne informacje. Koniec wsparcia oznacza, że producent nie wydaje już poprawek bezpieczeństwa. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę hurtowni na starym komputerze | Strona się wyświetla | Przejęta strona uruchamia kod napastnika bez żadnego okna z pytaniem |
Komputer tylko z poprawką MS09-032 | „Podatność załatana” w raporcie | Blokada w przeglądarce jest, ale wadliwy kod ATL nadal siedzi w systemie |
Konto z pełnymi uprawnieniami (bo stary sterownik tego wymaga) | Wygodna obsługa maszyny | Napastnik dostaje cały komputer |
Serwer Windows 2003 z wyłączonym trybem wzmocnionych zabezpieczeń IE | Administrator szybciej pobiera pliki | Serwer z danymi firmy jest tak samo narażony jak stacja robocza |
Zakup nowej poprawki | Producent wydaje łatkę | Systemy bez wsparcia, nowych poprawek nie będzie |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by użytkownik podatnego komputera sam wszedł na spreparowaną stronę w Internet Explorerze, więc nie działa przez samo wysłanie danych do komputera. CISA ocenia, że nie da się go w pełni zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie pułapki | T-dni | Umieszczenie złośliwego kodu na przejętej stronie branżowej lub w reklamie, ewentualnie wysłanie linku w wiadomości | Strona czeka na ofiary |
2. Odwiedziny | T+0 min | Pracownik otwiera stronę w Internet Explorerze na starym Windows | Uruchomienie kontrolki wideo przez stronę |
3. Przejęcie | T+kilka sekund | Przepełnienie bufora i wykonanie kodu napastnika | Program napastnika działa z uprawnieniami użytkownika |
4. Instalacja narzędzi | T+kilka minut | Pobranie trojana lub programu do zdalnego dostępu | Stały dostęp do komputera |
5. Kradzież | T+godziny do dni | Odczyt zapisanych haseł, plików, danych z sieci lokalnej | Hasła do banku, poczty, systemów firmy u napastnika |
6. Ruch w sieci | T+dni do tygodni | Przejście ze starego komputera na inne maszyny w sieci | Włamanie do nowszych systemów firmy |
Dla firm z aktualnymi systemami ta luka nie stanowi zagrożenia. Problem dotyczy „zapomnianych” komputerów, które działają latami, bo obsługują drogą maszynę lub stary program. Taki komputer podłączony do sieci jest otwartymi drzwiami: luka jest znana, wykorzystywana i nie zostanie już naprawiona przez producenta.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęcie lub unieruchomienie stanowiska sterującego maszyną, przestój produkcji | Godziny do dni | 20 tys. do 200 tys. PLN (przestój, odtworzenie stanowiska) |
Bezpieczeństwo danych | Kradzież haseł i plików, dalsze włamanie do sieci firmy | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Kradzież z konta firmowego, pilny zakup nowego sprzętu i oprogramowania | Dni do tygodni | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Pytania klientów i audytorów o używanie systemów bez wsparcia | Miesiące | 10 tys. do 150 tys. PLN (utracone zlecenia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie systemów bez wsparcia utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka
Wpływ
5 | . . . . .
4 | ■ . . ■ . ← WYSOKIE: stary Windows z dostępem do internetu
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
↑
firma bez systemów sprzed Windows 7: ryzyko pomijalne Interpretacja: dla firmy, która ma podłączony do internetu komputer z Windows XP, 2003, Vista lub 2008, ryzyko jest wysokie (wpływ 4, prawdopodobieństwo 4, bo luka jest wykorzystywana i nie będzie już poprawek); dla firmy bez takich systemów ryzyko jest pomijalne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zinwentaryzować wszystkie komputery z Windows 2000, XP, Server 2003, Vista i Server 2008, także te przy maszynach i w laboratoriach | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Odciąć takie komputery od internetu (reguła na zaporze) i zakazać na nich przeglądania stron | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Sprawdzić, czy na każdym z nich są zainstalowane obie poprawki: MS09-032 i MS09-037 | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Wydzielić stare komputery do osobnego segmentu sieci bez dostępu do serwerów i stacji biurowych | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Zmienić hasła, które były zapisane lub używane na tych komputerach (bank, poczta, systemy firmy) | Do 7 dni | Użytkownicy / administrator |
6 | 🟡 WAŻNIE | Przygotować plan wymiany lub modernizacji stanowisk z systemami bez wsparcia, z wyceną | Do 90 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Ustalić z dostawcą maszyny, czy istnieje sterownik lub oprogramowanie dla nowszego systemu | Do 30 dni | Kierownik produkcji / CTO |
Microsoft wydał poprawki MS09-032 i MS09-037 w 2009 roku, ale wszystkie podatne systemy są dziś poza wsparciem, a jedyną trwałą ochroną jest przejście na wspieraną wersję Windows. Do tego czasu stosuj poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Całkowite odcięcie starego komputera od internetu | Wysoka: usuwa główną drogę ataku przez strony | Łatwa |
Brak przeglądarki Internet Explorer w codziennym użyciu na tych maszynach, zakaz przeglądania stron | Wysoka wobec tej luki | Łatwa |
Ustawienie kill bitów dla kontrolek z msvidctl.dll (obejście opisane przez Microsoft przed poprawką, dotyczyło 45 kontrolek) | Średnia: blokuje drogę przez przeglądarkę, nie usuwa wadliwego kodu | Średnia |
Osobny segment sieci dla starych systemów | Średnia: ogranicza skutki przejęcia | Średnia |
Praca na koncie bez uprawnień administratora | Niska do średniej: zmniejsza skutki, nie blokuje ataku | Trudna, gdy stary program tego wymaga |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o starych systemach | „Chyba jest jeden przy maszynie” | Pełna lista z lokalizacją i przeznaczeniem |
Dostęp do internetu | Otwarty, z przeglądarką IE | Zablokowany na zaporze |
Poprawki | Nieznane, możliwa tylko MS09-032 | Potwierdzone MS09-032 i MS09-037 |
Połączenie z resztą sieci | Swobodne | Osobny segment bez dostępu do serwerów |
Plan na przyszłość | Brak | Harmonogram i budżet wymiany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ataki opisywano już w lipcu 2009 roku, przed wydaniem poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 WYSOKA wg NVD (CVSS 2.0); 8.8 WYSOKA wg CISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK: NVD oznacza kilka źródeł z 2009 roku jako zawierające kod ataku (m.in. SANS ISC) |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 77% szansy prób wykorzystania, powyżej 99,5 percentyla wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2008-0015
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (analiza źr.) ~77% ███████████████░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wsparcie producenta BRAK ░░░░░░░░░░░░░░░░░░░░ nowych poprawek nie będzie 2009-07-04 Publiczne ujawnienie luki (wg analizy źródłowej)
2009-07-06 Alert US-CERT (TA09-187A), ataki trwają, brak poprawki
2009-07-07 Publikacja CVE-2008-0015 w NVD
2009-07-14 Microsoft MS09-032: blokada kontrolek (kill bity)
2009-08-11 Microsoft MS09-037: naprawa przyczyny w bibliotece ATL
2026-02-17 CISA dodaje lukę do katalogu KEV
2026-03-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft MS09-032 (archiwum wskazane przez CISA): web.archive.org, MS09-032 . Biuletyny w dokumentacji Microsoft: MS09-032 i MS09-037 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2008-0015 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę wszystkich komputerów ze starszymi systemami Windows (sprzed Windows 7) | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie ich od internetu | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie, że na tych komputerach nikt nie korzysta z przeglądarki | CTO | DO JUTRA |
4 | Ustalić, jakie maszyny lub programy wymagają starego systemu i kto jest ich dostawcą | CTO | DO JUTRA |
5 | Wstępnie oszacować koszt wymiany stanowisk i porównać go z kosztem przestoju | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody z systemów bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić, czy z tych komputerów wykonywano operacje bankowe i zlecić zmianę haseł | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie działa jakikolwiek komputer z Windows 2000, XP, Server 2003, Vista lub Server 2008? | TAK / NIE, [liczba] | 🔴 |
2 | Czy te komputery mają dostęp do internetu? | TAK / NIE | 🔴 |
3 | Czy ktoś używa na nich Internet Explorera? | TAK / NIE | 🔴 |
4 | Czy na każdym z nich są obie poprawki MS09-032 i MS09-037? | TAK / NIE, [lista braków] | 🟠 |
5 | Czy stare komputery są w osobnym segmencie sieci? | TAK / NIE | 🟠 |
6 | Na jakich kontach pracują użytkownicy tych komputerów? | [administrator / zwykły użytkownik] | 🟠 |
7 | Do kiedy planujemy wymianę lub modernizację tych stanowisk? | [data] | 🟡 |
CVE-2008-0015 to luka z 2009 roku w kontrolce wideo Windows, która pozwala przejąć komputer po samym otwarciu strony w Internet Explorerze. CISA w lutym 2026 roku potwierdziła jej wykorzystywanie, a wszystkie podatne systemy są bez wsparcia producenta. Dziś trzeba znaleźć i odciąć od internetu stare komputery z Windows, a w najbliższych miesiącach zaplanować ich wymianę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.