Błąd w usłudze Serwer Windows pozwala przejąć komputer z siecią bez hasła i kliknięcia. CISA potwierdza ataki w 2026 roku. Znajdź komputery z Windows XP, 2000 lub Server 2003 bez poprawki i odizoluj je dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których w sieci wciąż pracują stare komputery z Windows XP, Windows Server 2003 lub podobnymi systemami, na przykład przy maszynach, urządzeniach pomiarowych czy starym oprogramowaniu księgowym. Werdykt: jeśli taki komputer nie ma poprawki MS08-067, odizoluj go od sieci firmowej dziś, bo CISA potwierdza, że ta osiemnastoletnia luka jest nadal wykorzystywana w atakach.
Amerykańska agencja CISA 20 maja 2026 roku dopisała podatność CVE-2008-4250 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd z 2008 roku w usłudze Serwer systemu Windows (odpowiada za udostępnianie plików i drukarek). Pozwala napastnikowi z sieci przejąć komputer z najwyższymi uprawnieniami, bez hasła i bez żadnego kliknięcia użytkownika. Ten sam błąd kilka miesięcy po publikacji wykorzystał robak Conficker.
Poprawka istnieje od 23 października 2008 roku (biuletyn MS08-067). Problem dotyczy więc komputerów, które tej poprawki nigdy nie dostały, najczęściej dlatego, że ich system dawno wyszedł ze wsparcia, a stoją dalej, bo obsługują jakieś urządzenie. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 czerwca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2008-4250 (biuletyn Microsoft MS08-067, artykuł bazy wiedzy 958644) |
Data dodania do CISA KEV | 2026-05-20 |
Termin naprawy wg CISA | 2026-06-03 (14 dni od wpisu) |
Produkt | Microsoft Windows, usługa Serwer (Server service) |
Wersje zagrożone | Bez poprawki MS08-067: Windows 2000 SP4, Windows XP SP2 i SP3 (także x64), Windows Server 2003 SP1 i SP2 (x86, x64, Itanium), Windows Vista i Vista SP1, Windows Server 2008 (także instalacja Server Core), Windows 7 w wersji przedpremierowej (Pre-Beta). Na 2000, XP i Server 2003 atak nie wymaga logowania; na Vista, Server 2008 i Windows 7 Pre-Beta podatna ścieżka jest dostępna tylko dla zalogowanych użytkowników |
Wersje bezpieczne | Wymienione systemy z zainstalowaną aktualizacją MS08-067 (KB958644). Nowsze wydania Windows nie figurują na liście podatnych ani w biuletynie, ani w NVD |
Typ podatności | Przepełnienie bufora na stosie prowadzące do zdalnego wykonania kodu; NVD: CWE-94 (wstrzyknięcie kodu), CISA: CWE-119 (brak kontroli granic pamięci) |
Ocena CVSS | NVD: 10.0 (CVSS 2.0, maksimum skali). CISA: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez uprawnień i bez udziału użytkownika. Microsoft: Krytyczna dla 2000, XP, Server 2003; Ważna dla Vista i Server 2008 |
Wyobraź sobie recepcję biurowca, gdzie pracownik przyjmuje od kurierów przesyłki z adresem wewnętrznym i przepisuje go na standardowy formularz. Formularz ma miejsce na trzy linijki. Recepcjonista nie sprawdza, czy adres się zmieści, więc gdy ktoś poda adres na dwie strony, dopisuje resztę na kolejnych kartkach leżących na biurku, w tym na kartce z poleceniami dla ochrony. Ochrona wykonuje to, co tam przeczyta.
Tak działał ten błąd. Usługa Serwer w Windows przyjmuje z sieci żądania zawierające ścieżki do plików i porządkuje je do jednej postaci. Przy odpowiednio spreparowanym żądaniu system zapisywał dane poza przewidzianym miejscem w pamięci i wykonywał kod napastnika z uprawnieniami konta systemowego. Na starszych systemach wystarczyło, że napastnik lub zainfekowany komputer był w tej samej sieci.
💡 Przepełnienie bufora to sytuacja, w której program zapisuje więcej danych, niż przewidział miejsca, i nadpisuje sąsiednie informacje, w tym te sterujące jego działaniem. RPC to sposób, w jaki komputery w sieci zlecają sobie nawzajem wykonanie operacji. Robak to złośliwy program, który sam szuka kolejnych podatnych komputerów i się na nie kopiuje, bez udziału człowieka. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy komputer w sieci wysyła żądanie do udostępnionego folderu | System sprawdza uprawnienia i odrzuca nieuprawnione operacje | Spreparowane żądanie daje pełną kontrolę nad komputerem |
Serwisant podłącza zainfekowany laptop do gniazdka w firmie | Laptop nie ma dostępu do cudzych danych | Robak przejmuje wszystkie podatne komputery w tej samej sieci |
Pracownik wkłada pendrive od klienta | Najwyżej ryzyko jednego pliku | Conficker rozprzestrzeniał się także przez USB i dalej przez sieć |
Uprawnienia napastnika | Takie jak konto, które przejął | Najwyższe na komputerze (konto systemowe) |
Rola hasła i MFA | Chronią dostęp do komputera | Nie mają znaczenia, logowanie nie jest potrzebne |
źródło: Wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do portów udostępniania plików (139 i 445), więc zwykle zaczyna się od komputera, który już jest w sieci firmy (zainfekowany laptop, pendrive, przejęte konto VPN), albo od starego systemu wystawionego do internetu. CISA ocenia ten atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T+0 min | Zainfekowany laptop, nośnik USB lub przejęty dostęp zdalny trafia do sieci firmy | Napastnik lub robak w sieci lokalnej |
2. Skanowanie | T+1 do 10 min | Automatyczne wyszukiwanie komputerów z otwartym portem 445 i starym Windows | Lista podatnych maszyn |
3. Przejęcie | T+10 do 20 min | Wysłanie spreparowanego żądania RPC do usługi Serwer | Kod napastnika działa z uprawnieniami systemu |
4. Rozprzestrzenianie | T+20 min do kilku godzin | Kopiowanie się na kolejne podatne komputery i nośniki | Wszystkie niezałatane stanowiska przejęte |
5. Wykorzystanie dostępu | T+1 do 7 dni | Kradzież haseł i danych, instalacja dodatkowego złośliwego oprogramowania | Dane firmy poza organizacją, punkt wyjścia do dalszych ataków |
6. Skutek dla firmy | T+dni do tygodni | Zatrzymanie pracy stanowisk, szantaż lub sprzedaż dostępu | Przestój i koszty odtworzenia |
Większość firm nie ma już Windows XP na biurkach, ale stare systemy często przeżywają w miejscach, o których zarząd nie wie: przy obrabiarkach, urządzeniach laboratoryjnych, kasach, systemach kontroli dostępu. Taki komputer w tej samej sieci co księgowość to otwarte drzwi, które nie wymagają ani hasła, ani błędu pracownika.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymane stanowiska, maszyny i urządzenia sterowane starymi komputerami | Godziny od infekcji | 30 tys. do 300 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Przejęte hasła, dostęp do udostępnionych folderów i danych klientów | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Nadgodziny, zewnętrzni specjaliści, pilna wymiana sprzętu bez wsparcia | Dni do tygodni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Opóźnienia dostaw, pytania klientów i ubezpieczyciela o nienaprawioną lukę sprzed lat | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezałatanym Windows 2000, XP
lub Server 2003 w sieci firmowej
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: jeśli taki komputer istnieje i jest osiągalny przez sieć, ryzyko jest krytyczne (pełne przejęcie bez logowania, atak zautomatyzowany, publiczny kod ataku), a dla firmy, która ma wyłącznie aktualne i wspierane systemy Windows, ta luka praktycznie nie występuje.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zinwentaryzować wszystkie komputery z Windows 2000, XP, Vista, Server 2003 i Server 2008, także przy maszynach i urządzeniach | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić na każdym z nich, czy zainstalowana jest aktualizacja KB958644 (MS08-067) | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Zablokować z internetu porty 139 i 445 na zaporze brzegowej | Dziś | Administrator zapory |
4 | 🟠 PILNIE | Doinstalować poprawkę tam, gdzie to możliwe, a pozostałe stare komputery przenieść do osobnej, odciętej sieci | Do 3 dni | Administrator IT / partner IT |
5 | 🟠 PILNIE | Na komputerach, które niczego nie udostępniają, wyłączyć usługę Serwer | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Wydzielić osobną sieć dla gości i sprzętu serwisantów oraz jedno stanowisko do przyjmowania nośników USB | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przygotować plan wymiany systemów bez wsparcia producenta z budżetem i terminami | Do 60 dni | CTO / CFO |
Microsoft wydał poprawkę dla wszystkich wymienionych systemów już w 2008 roku, więc tam, gdzie da się ją zainstalować, to pierwszy wybór. Obejścia poniżej pochodzą z biuletynu producenta i notatki CERT/CC. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada portów 139 i 445 na zaporze, tak by nie były osiągalne z sieci niezaufanych i internetu | Wysoka wobec ataków z zewnątrz, nie chroni przed zainfekowanym komputerem w tej samej sieci | Łatwa |
Wyłączenie usługi Serwer na podatnym komputerze | Wysoka: usuwa podatną usługę | Łatwa, ale komputer przestaje udostępniać własne pliki i drukarki (nadal może korzystać z cudzych) |
Przeniesienie starego komputera do osobnej sieci bez dostępu do reszty firmy | Wysoka: ogranicza skutki do jednej maszyny | Średnia: wymaga zmian w sieci i czasem w sposobie przenoszenia danych |
Włączona zapora systemu Windows blokująca ruch przychodzący na porty udostępniania | Średnia: zależy od konfiguracji i wyjątków | Łatwa do średniej |
Aktualny program antywirusowy z sygnaturami Conficker | Niska jako jedyna ochrona, pomocna w wykryciu infekcji | Łatwa, o ile system jest jeszcze obsługiwany przez producenta antywirusa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stare komputery | Nieznana liczba, w tej samej sieci co księgowość | Spisane, załatane lub odizolowane |
Porty udostępniania plików | Potencjalnie osiągalne z internetu | Zablokowane na zaporze brzegowej |
Sprzęt gości i serwisantów | Wpinany do sieci firmowej | Osobna sieć bez dostępu do komputerów firmy |
Nośniki USB od klientów | Wkładane do dowolnego komputera | Jedno wydzielone stanowisko |
Zgodność z wymogami | Zaległość wobec terminu CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana, plan wymiany systemów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Już w październiku 2008 roku NVD odnotowało użycie przez szkodnika Gimmiv.A, a Microsoft w dniu wydania poprawki wiedział o ograniczonych, ukierunkowanych atakach |
Grupy przestępcze | Brak publicznych informacji o konkretnych grupach wykorzystujących lukę obecnie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 wg NVD (CVSS 2.0); 9.8 KRYTYCZNA wg CISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK, NVD wskazuje kilka publicznych kodów ataku w bazie Exploit-DB |
Liczba atakowanych firm | Brak publicznych danych dla obecnych ataków; w 2009 roku US-CERT ostrzegał przed powszechną infekcją robakiem Conficker |
Automatyzacja ataku | CISA: możliwa, skutek techniczny całkowity |
Sygnały zagrożenia dla CVE-2008-4250
CVSS 2.0 (NVD) 10.0/10 ████████████████████ MAKSIMUM
CVSS 3.1 (CISA) 9.8/10 ████████████████████ KRYTYCZNA
Publiczny kod ataku TAK ████████████████████ od 2008 roku
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ robak możliwy
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2008-10 Szkodnik Gimmiv.A wykorzystuje lukę (wg NVD)
2008-10-23 Microsoft wydaje poza harmonogramem biuletyn MS08-067,
ostrzega przed możliwym robakiem; publikacja CVE w NVD
2009-03-29 US-CERT ostrzega przed powszechną infekcją robakiem Conficker
2009-04-09 Wykryto nowy wariant Conficker aktualizujący wcześniejsze infekcje
2026-05-20 CISA dodaje lukę do katalogu KEV
2026-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
... ponad 3,5 miesiąca od terminu CISA, 18 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z listą systemów i obejściami: Microsoft MS08-067 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2008-4250 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać od IT listę komputerów ze starymi systemami Windows, także tych przy maszynach i urządzeniach | CTO | DZISIAJ |
2 | Potwierdzić, że porty 139 i 445 nie są dostępne z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odizolowanie komputerów bez poprawki MS08-067 | CTO | DZISIAJ |
4 | Ustalić z dostawcami urządzeń, czy ich stare komputery można załatać lub wymienić | CTO | DO JUTRA |
5 | Zatwierdzić zasadę osobnej sieci dla gości i serwisantów | CTO | DO JUTRA |
6 | Zarezerwować budżet na wymianę systemów bez wsparcia i ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody z nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie działa jakikolwiek komputer z Windows 2000, XP, Vista, Server 2003 lub Server 2008? | TAK / NIE, liczba: [ ] | 🔴 |
2 | Czy na każdym z nich jest zainstalowana aktualizacja KB958644 (MS08-067)? | TAK / NIE | 🔴 |
3 | Czy porty 139 i 445 są zablokowane na zaporze od strony internetu? | TAK / NIE | 🔴 |
4 | Czy stare komputery są w osobnej sieci, oddzielonej od księgowości i serwerów? | TAK / NIE | 🟠 |
5 | Czy sprzęt gości i serwisantów podłączamy do osobnej sieci? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio sprawdzaliśmy sieć pod kątem śladów infekcji (np. Conficker)? | [data] | 🟠 |
7 | Do kiedy planujemy wymienić lub odizolować systemy bez wsparcia producenta? | [data] | 🟡 |
CVE-2008-4250 to stara luka w usłudze udostępniania plików Windows, która pozwala przejąć komputer bez hasła i bez kliknięcia, a CISA w maju 2026 roku potwierdziła, że nadal jest wykorzystywana. Poprawka istnieje od 2008 roku, więc zadanie na dziś to znaleźć komputery, które jej nie mają, i odciąć je od reszty sieci, a w dalszej kolejności zaplanować ich wymianę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.