Błąd w silniku Microsoft Defender pozwala zwykłemu kontu uzyskać uprawnienia SYSTEM. CISA potwierdza ataki. Sprawdź, czy wszystkie komputery mają silnik 1.1.26040.8 lub nowszy.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią komputery z Windows programem Microsoft Defender (także starszym System Center Endpoint Protection lub Microsoft Security Essentials). Werdykt: luka nie otwiera drzwi z internetu, ale pozwala napastnikowi, który już jest na komputerze, przejąć nad nim pełną kontrolę, więc dziś sprawdź, czy silnik antywirusowy na wszystkich stanowiskach ma wersję 1.1.26040.8 lub nowszą.
Amerykańska agencja CISA 20 maja 2026 roku dopisała podatność CVE-2026-41091 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w Microsoft Malware Protection Engine, czyli silniku, który w Defenderze skanuje pliki i usuwa szkodliwe oprogramowanie. Zwykłe konto użytkownika może dzięki niemu uzyskać uprawnienia SYSTEM, najwyższe w Windows.
Poprawka instaluje się w większości firm automatycznie, razem z comiesięczną aktualizacją silnika, i nie wymaga ponownego uruchomienia komputera. Termin naprawy wyznaczony przez CISA minął 3 czerwca 2026 roku. Ryzyko dotyczy więc głównie komputerów, na których automatyczna aktualizacja nie działa.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-41091 |
Data dodania do CISA KEV | 2026-05-20 |
Termin naprawy wg CISA | 2026-06-03 (14 dni od wpisu) |
Produkt | Microsoft Defender, a dokładnie Microsoft Malware Protection Engine; ten sam silnik działa w starszych produktach System Center Endpoint Protection i Microsoft Security Essentials |
Wersje zagrożone | Silnik Malware Protection Engine do wersji 1.1.26030.3008 włącznie (ostatnia podatna wersja wg producenta). Komputer, na którym Defender jest wyłączony, nie jest podatny, choć skaner może go zgłaszać |
Wersje bezpieczne | Silnik 1.1.26040.8 (pierwsza wersja z poprawką) i każda nowsza; najnowszą wersję silnika pokazuje sam Defender po aktualizacji |
Typ podatności | Lokalne podniesienie uprawnień przez podążanie za dowiązaniem; CWE-59 (niepoprawne rozwiązywanie dowiązań przed dostępem do pliku) |
Ocena CVSS | 7.8/10 (CVSS 3.1, WYSOKA, ocena Microsoft opublikowana w NVD). Atak lokalny, wymaga konta o niskich uprawnieniach, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie firmowy magazyn, w którym nocny strażnik ma klucze do wszystkich pomieszczeń. Co wieczór obchodzi budynek według tabliczek na drzwiach i sprząta to, co zostawiono w pomieszczeniu z napisem „do utylizacji”. Pracownik z dostępem tylko do korytarza przewiesza tę tabliczkę na drzwi gabinetu prezesa. Strażnik, który ufa tabliczkom, wchodzi tam swoim kluczem i robi to, co ma zrobić, choć pracownik nigdy nie miałby prawa tam wejść.
Tak działa ta luka. Silnik antywirusowy pracuje z najwyższymi uprawnieniami i dotyka tysięcy plików. Napastnik ze zwykłym kontem podstawia w odpowiednim miejscu dowiązanie, czyli „tabliczkę” prowadzącą gdzie indziej. Defender podąża za nią i wykonuje operację na pliku, do którego napastnik sam nie miał dostępu. Efekt: zwykłe konto zyskuje władzę nad całym komputerem.
💡 Podniesienie uprawnień to przejście od zwykłego konta pracownika do konta z pełną władzą nad komputerem. SYSTEM to wbudowane konto Windows, silniejsze nawet od administratora: może czytać każdy plik, wyłączać zabezpieczenia i czyścić logi. Dowiązanie (link) to obiekt w systemie plików, który wygląda jak plik lub folder, ale kieruje w inne miejsce. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik | Napastnik ma dostęp tylko do plików tego pracownika | Napastnik może przejąć cały komputer z uprawnieniami SYSTEM |
Napastnik chce wyłączyć antywirus | Zwykłe konto nie ma do tego prawa | Po podniesieniu uprawnień może wyłączyć ochronę |
Hasła zapisane w systemie | Chronione przed zwykłym kontem | Dostępne do odczytu dla napastnika |
Logi zdarzeń Windows | Zapisują ślady działania | Mogą zostać wyczyszczone, co utrudnia dochodzenie |
Atak z internetu bez dostępu do komputera | Niemożliwy | Nadal niemożliwy: ta luka wymaga wcześniejszego wejścia |
źródło: Pexels, joao GuerreiroPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: napastnik musi najpierw zdobyć dowolne konto na komputerze, na przykład przez złośliwy załącznik, hasło z wycieku albo zostawiony dostęp zdalny. CISA ocenia, że ataku nie da się zautomatyzować masowym skanowaniem internetu, więc jest to drugi krok w konkretnym włamaniu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Zdobycie konta zwykłego użytkownika: phishing, skradzione hasło, dostęp zdalny | Napastnik działa na komputerze z ograniczonymi uprawnieniami |
2. Rozpoznanie | T+10 do 30 min | Sprawdzenie wersji silnika Defender i uprawnień konta | Potwierdzenie, że komputer ma podatny silnik |
3. Podstawienie dowiązania | T+30 do 60 min | Utworzenie dowiązania w miejscu, do którego sięgnie silnik antywirusowy | Pułapka gotowa na operację wykonywaną z uprawnieniami SYSTEM |
4. Przejęcie komputera | T+1 do 2 godz. | Silnik wykonuje operację na wskazanym pliku, napastnik uzyskuje uprawnienia SYSTEM | Pełna kontrola nad stacją roboczą |
5. Zacieranie śladów i kradzież haseł | T+2 do 24 godz. | Wyłączenie ochrony, odczyt zapisanych haseł, czyszczenie logów | Dane logowania do innych systemów w rękach napastnika |
6. Rozejście się po sieci | T+1 do 7 dni | Użycie zdobytych haseł na serwerach i innych komputerach | Włamanie obejmuje kolejne systemy firmy |
Luki dające wejście z zewnątrz przyciągają uwagę, ale napastnik prawie zawsze potrzebuje też drugiego kroku: zamiany zwykłego konta w pełną władzę. Ta podatność jest takim krokiem. Różnica dla firmy to różnica między jednym zainfekowanym kontem a przejętym komputerem ze wszystkimi hasłami, które na nim zapisano.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtwarzanie przejętych stacji roboczych, przestój pracowników | Godziny do dni od wejścia | 10 tys. do 80 tys. PLN (reinstalacja, nadgodziny IT) |
Bezpieczeństwo danych | Kradzież haseł i dokumentów z komputera, wyłączona ochrona antywirusowa | Godziny od wejścia | 20 tys. do 150 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Koszty obsługi incydentu, możliwe oszustwa na przejętych kontach | Dni do tygodni | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli wycieknie korespondencja lub dane | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera z silnikiem Defender
w wersji 1.1.26030.3008 lub starszej
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad komputerem), ale prawdopodobieństwo średnie, bo napastnik musi już mieć konto na maszynie, a w typowej firmie poprawka zainstalowała się automatycznie; na komputerach bez automatycznej aktualizacji ryzyko rośnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli zarządzania (np. Intune, Defender) wersję silnika na wszystkich komputerach i wskazać te poniżej 1.1.26040.8 | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wymusić aktualizację silnika na komputerach z przestarzałą wersją (nie wymaga restartu) | Dziś | Administrator IT |
3 | 🟠 PILNIE | Znaleźć komputery nietypowe: odcięte od internetu, rzadko podłączane laptopy, stanowiska przy maszynach, z wyłączoną automatyczną aktualizacją | Do 3 dni | Kierownik IT |
4 | 🟠 PILNIE | Sprawdzić, czy w firmie działają jeszcze System Center Endpoint Protection lub Microsoft Security Essentials, i zaktualizować ich silnik | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Przejrzeć alerty bezpieczeństwa od maja 2026 roku pod kątem wyłączania ochrony i nietypowych działań kont SYSTEM | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport wersji silnika antywirusowego na wszystkich stanowiskach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ograniczyć uprawnienia administratora na stanowiskach i wzmocnić ochronę przed phishingiem, czyli pierwszym krokiem ataku | Do 30 dni | CTO |
Producent wydał poprawkę w silniku 1.1.26040.8 i to ona usuwa lukę. Aktualizacja jest dostępna, więc poniższe miary mają sens tylko dla komputerów, których nie da się od razu zaktualizować, na przykład stanowisk offline. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne wgranie pakietu aktualizacji silnika na komputer offline (z nośnika) | Wysoka: usuwa lukę | Średnia: wymaga dostępu fizycznego lub lokalnej sieci |
Ograniczenie kont z możliwością logowania na danym komputerze do niezbędnego minimum | Średnia: utrudnia pierwszy krok ataku | Łatwa |
Blokada uruchamiania nieznanych programów (np. AppLocker) na stanowiskach specjalnych | Średnia | Średnia: wymaga przygotowania listy dozwolonych programów |
Monitoring wyłączania ochrony antywirusowej i czyszczenia logów | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa, jeśli firma ma centralne logi |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja silnika | Nieznana na części komputerów | Potwierdzona 1.1.26040.8 lub nowsza wszędzie |
Skutek zdobycia zwykłego konta | Możliwe przejęcie całego komputera | Napastnik zostaje z ograniczonymi uprawnieniami |
Komputery offline i rzadko podłączane | Poza kontrolą | Spisane i zaktualizowane ręcznie |
Raporty skanerów podatności | Mylące pozycje na komputerach z wyłączonym Defenderem | Wyjaśnione: podatność realna tylko tam, gdzie silnik działa |
Zgodność z terminem CISA | Zaległość sprzed ponad 3 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft także oznacza lukę jako wykorzystywaną |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8/10 WYSOKA (CVSS 3.1, ocena Microsoft w NVD) |
PoC dostępny publicznie? | Brak publicznych informacji; w rozszerzonej ocenie Microsoft oznacza, że działający kod ataku nie został publicznie dowiedziony |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA niemożliwa w formie masowej, bo napastnik musi być już na komputerze |
Prognoza EPSS | Ok. 9,6% szansy próby wykorzystania w ciągu 30 dni, percentyl ok. 95 (wg analizy źródłowej) |
Uwaga dla osób zamawiających audyty: na komputerach z wyłączonym Defenderem skanery podatności mogą nadal zgłaszać tę lukę, bo znajdują na dysku stare pliki silnika i sprawdzają tylko ich numer wersji. Podatność jest realna tam, gdzie silnik faktycznie działa.
Sygnały zagrożenia dla CVE-2026-41091
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~9,6% ██░░░░░░░░░░░░░░░░░░ NISKA SKALA MASOWA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Wymaga dostępu TAK lokalne konto na komputerze 2026-05-20 Publikacja CVE-2026-41091 w NVD, wpis Microsoft
2026-05-20 CISA dodaje lukę do katalogu KEV (7 pozycji tego dnia)
2026-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-07-24 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... ponad 3,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41091 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-41091 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać od IT raport wersji silnika Defender na wszystkich komputerach firmy | CTO | DZISIAJ |
2 | Potwierdzić, że komputery z wersją starszą niż 1.1.26040.8 zostały zaktualizowane | CTO | DZISIAJ |
3 | Ustalić listę komputerów bez automatycznych aktualizacji (offline, w hali, u przedstawicieli) | CTO | DO JUTRA |
4 | Sprawdzić, czy partner IT monitoruje wersje silnika antywirusowego w ramach umowy | CTO | DO JUTRA |
5 | Zlecić przegląd alertów bezpieczeństwa od maja 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd wykaże nieprawidłowości | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wymaga aktualnej ochrony antywirusowej na wszystkich stanowiskach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja silnika Defender na komputerach w firmie? | [wersja] | 🔴 |
2 | Czy wszystkie komputery mają silnik 1.1.26040.8 lub nowszy? | TAK / NIE | 🔴 |
3 | Ile komputerów nie ma automatycznej aktualizacji Defendera i które to są? | [liczba] | 🔴 |
4 | Czy w firmie działa jeszcze System Center Endpoint Protection lub Microsoft Security Essentials? | TAK / NIE | 🟠 |
5 | Kiedy ostatnio sprawdzano alerty o wyłączeniu ochrony lub czyszczeniu logów? | [data] | 🟠 |
6 | Czy pozycje tej luki w raporcie skanera dotyczą komputerów z działającym Defenderem? | TAK / NIE | 🟠 |
7 | Ilu pracowników ma na swoich komputerach uprawnienia administratora? | [liczba] | 🟡 |
CVE-2026-41091 pozwala napastnikowi, który już ma zwykłe konto na komputerze z Windows, przejąć go z uprawnieniami SYSTEM przez błąd w silniku Microsoft Defender. CISA potwierdza ataki, a poprawka w silniku 1.1.26040.8 instaluje się zwykle sama, dlatego kluczowe jest sprawdzenie, czy rzeczywiście dotarła na każdy komputer, zwłaszcza te nietypowe.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.