Błąd w sterowniku CLFS Windows (CVE-2021-43226) pozwala zamienić zwykłe konto w konto administratora. CISA potwierdza użycie w ransomware. Znajdź systemy bez aktualizacji z grudnia 2021 i zaktualizuj lub odseparuj je.
Ten alert jest dla zarządu, CTO i CFO firm, w których działają starsze komputery i serwery z Windows, zwłaszcza takie, których nikt nie aktualizował od lat. Werdykt: jeśli jakikolwiek system Windows w firmie nie ma aktualizacji z grudnia 2021 roku (lub nowszych), zaktualizuj go albo wycofaj w tym tygodniu, bo CISA potwierdza użycie tej luki w atakach ransomware.
Amerykańska agencja CISA 6 października 2025 roku dopisała podatność CVE-2021-43226 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd z 2021 roku w sterowniku Common Log File System (CLFS), składniku Windows obsługującym dzienniki systemowe. Pozwala osobie, która ma już zwykłe konto na komputerze, zdobyć pełne uprawnienia administratora.
CISA oznaczyła lukę jako używaną w kampaniach ransomware. Microsoft wydał poprawkę 14 grudnia 2021 roku i jego wpis nadal mówi, że luka nie jest wykorzystywana, ale ten wpis nigdy nie był aktualizowany. Termin CISA minął 27 października 2025 roku. Zagrożone są dziś przede wszystkim systemy bez aktualizacji z grudnia 2021 roku i systemy bez wsparcia producenta.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-43226 (w europejskiej bazie ENISA: EUVD-2021-30170) |
Data dodania do CISA KEV | 2025-10-06 |
Termin naprawy wg CISA | 2025-10-27 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik Common Log File System (CLFS) |
Wersje zagrożone | 46 wydań systemu bez aktualizacji z grudnia 2021 roku: od Windows 7 SP1, 8.1 i RT 8.1, przez Windows 10 (1507, 1607, 1809, 1909, 2004, 20H2, 21H1, 21H2), po Windows 11 21H2 oraz Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2004, 20H2 i 2022, także instalacje Server Core |
Wersje bezpieczne | Aktualizacje z 14 grudnia 2021 roku lub nowsze. Przykładowe numery kompilacji: Windows 11 21H2: 10.0.22000.376 (KB5008215); Windows 10 21H2: 10.0.19044.1415 (KB5008212 dla 2004 do 21H2); Windows 10 1809 i Server 2019: 10.0.17763.2366 (KB5008218); Windows 10 1607 i Server 2016: 10.0.14393.4825; Server 2022: 10.0.20348.405 (KB5008223); Windows 7: KB5008244 lub KB5008282 |
Typ podatności | Podniesienie uprawnień w sterowniku jądra systemu; kategoria CWE nieprzypisana (NVD: brak informacji, KEV: puste) |
Ocena CVSS | Microsoft i NVD: 7.8 (CVSS 3.1, WYSOKA), atak lokalny, niskie uprawnienia, bez udziału użytkownika, pełny wpływ. NVD w starszej skali CVSS 2.0: 4.6 (ŚREDNIA). Microsoft z oceną czasową: 6.8 |
Opisy się różnią: CISA pisze o „lokalnym, uprzywilejowanym napastniku, który omija mechanizmy bezpieczeństwa”, a Microsoft o podniesieniu uprawnień z pełnym wpływem. W obu przypadkach napastnik musi mieć już dostęp do konta na komputerze.
Wyobraź sobie biurowiec, w którym stażysta ma kartę otwierającą tylko drzwi do swojego pokoju. W piwnicy stoi jednak maszyna do dorabiania kluczy, do której każdy pracownik ma dostęp i która, odpowiednio obsłużona, wytnie klucz generalny. Stażysta nie musi włamywać się do budynku, bo już w nim jest. Wystarczy, że zejdzie do piwnicy.
Tak działa ten błąd. Włamanie do firmy zwykle zaczyna się od przejęcia zwykłego konta pracownika: przez wykradzione hasło albo zainfekowany załącznik. Takie konto ma ograniczone prawa, więc nie da się z niego wyłączyć antywirusa ani skasować kopii zapasowych. Luka w sterowniku CLFS zamienia to zwykłe konto w konto administratora komputera. To dokładnie ten krok, którego grupy ransomware potrzebują, żeby wyłączyć zabezpieczenia i zaszyfrować wszystko.
💡 Podniesienie uprawnień (privilege escalation) to zamiana konta o ograniczonych prawach w konto z pełną władzą nad systemem. Sterownik to program działający w najgłębszej, najbardziej uprzywilejowanej warstwie systemu. CLFS (Common Log File System) to składnik Windows do obsługi dzienników. Ransomware to złośliwe oprogramowanie szyfrujące dane dla okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik przejmuje konto sekretariatu | Ma dostęp tylko do jej dokumentów | Może zdobyć pełne uprawnienia na komputerze |
Próba wyłączenia antywirusa | Zablokowana bez praw administratora | Możliwa po podniesieniu uprawnień |
Lokalne kopie zapasowe | Nietykalne dla zwykłego konta | Mogą zostać skasowane przed szyfrowaniem |
Wpis producenta „nie jest wykorzystywana” | Uspokaja | Zestarzał się: CISA potwierdza ataki ransomware |
Stary serwer bez aktualizacji od lat | „Działa, nie ruszamy” | Otwarta droga do pełnej kontroli |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej wykorzystać przez samo wysłanie danych przez internet. Napastnik musi najpierw uruchomić kod na komputerze z konta użytkownika. CISA ocenia, że ataku nie da się w pełni zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Wiadomość z zainfekowanym załącznikiem albo logowanie hasłem z wycieku | Zwykłe konto pracownika pod kontrolą napastnika |
2. Rozpoznanie komputera | T+minuty | Sprawdzenie wersji Windows i brakujących aktualizacji | Wiadomo, że luka w CLFS jest otwarta |
3. Podniesienie uprawnień | T+minuty | Uruchomienie kodu wykorzystującego lukę w sterowniku CLFS | Pełne uprawnienia na komputerze |
4. Wyłączenie ochrony | T+godziny | Wyłączenie antywirusa, usunięcie lokalnych kopii zapasowych, kradzież haseł z pamięci | Komputer bez ochrony, dane logowania innych kont |
5. Rozprzestrzenienie | T+dni | Przejście na serwer plików i inne komputery przejętymi hasłami | Kontrola nad dużą częścią sieci |
6. Szyfrowanie | T+dni do tygodni | Uruchomienie ransomware na wszystkich dostępnych maszynach | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
Pierwsze wejście do firmy jest tanie i zdarza się często. Podniesienie uprawnień to krok, który decyduje, czy incydent skończy się jednym zainfekowanym komputerem, czy zaszyfrowaną firmą. Poprawka ma prawie cztery lata, więc problem dotyczy firm, które mają zapomniane lub przestarzałe systemy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, zatrzymana praca | Dni od pierwszego wejścia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież danych przed szyfrowaniem, dostęp do haseł innych kont | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odtwarzanie systemów, wymiana przestarzałego sprzętu | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, zwłaszcza przy wycieku ich danych | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z systemami Windows
bez aktualizacji z grudnia 2021
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo luka jest elementem ataków ransomware, a prawdopodobieństwo średnie, bo wymaga wcześniejszego dostępu do konta na komputerze i dotyczy tylko systemów bez aktualizacji sprzed prawie czterech lat; firma z aktualnym Windows na wszystkich maszynach jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie komputery i serwery z Windows wraz z wersją i numerem kompilacji, łącznie z maszynami przy urządzeniach produkcyjnych | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Wskazać systemy bez aktualizacji z grudnia 2021 roku oraz systemy bez wsparcia producenta (np. Windows 7, Server 2008) | Dziś | Dział IT |
3 | 🟠 PILNIE | Zainstalować brakujące aktualizacje zbiorcze, najpierw na jednym komputerze testowym (Microsoft opisał znane problemy po instalacji), potem na reszcie | Do 7 dni | Administrator Windows |
4 | 🟠 PILNIE | Systemy, których nie da się zaktualizować, odłączyć od sieci biurowej lub odseparować | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Odebrać pracownikom codzienne konta z uprawnieniami administratora | Do 14 dni | Dział IT |
6 | 🟡 WAŻNIE | Przechowywać co najmniej jedną kopię zapasową poza zasięgiem komputerów firmowych (offline lub niezmienialną) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować wymianę systemów bez wsparcia producenta | Do 30 dni | CTO / CFO |
Microsoft wydał poprawki w grudniu 2021 roku dla wszystkich wymienionych systemów i nie podał obejścia. Aktualizacja nie jest dostępna tylko dla systemów, które straciły wsparcie i nie dostały pakietu, albo dla urządzeń, na których producent maszyny zabrania aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odseparowanie niezaktualizowanego komputera od sieci biurowej | Wysoka wobec rozprzestrzeniania ataku | Średnia |
Brak kont z uprawnieniami administratora do codziennej pracy | Średnia: nie blokuje luki, ale utrudnia wcześniejsze kroki | Łatwa |
Ograniczenie, kto może się logować na takim komputerze | Średnia: luka wymaga konta na maszynie | Łatwa |
Kopia zapasowa offline lub niezmienialna | Nie chroni przed atakiem, ale ratuje dane po szyfrowaniu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Systemy Windows | Nieznana liczba bez aktualizacji z 2021 roku | Spisane, zaktualizowane lub odseparowane |
Zwykłe konto pracownika | Może stać się kontem administratora | Luka zamknięta |
Konta administratorów | Używane do codziennej pracy | Oddzielone od kont codziennych |
Kopie zapasowe | W zasięgu przejętych komputerów | Jedna kopia poza zasięgiem sieci |
Zgodność z wymogami | Prawie 11 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Wpis Microsoft z grudnia 2021 roku nadal podaje „nie”, ale nigdy nie był aktualizowany; ENISA wskazuje 6 października 2025 roku jako datę pierwszego znanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 7.8 WYSOKA wg Microsoft i NVD (CVSS 3.1); 4.6 wg NVD w CVSS 2.0 |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): wymaga wcześniejszego dostępu do komputera |
Kto zgłosił błąd | JeongOh Kyea (THEORI) |
Prognoza EPSS | ok. 3% (24 sierpnia 2026 roku), percentyl ok. 87 (wg analizy źródłowej) |
Niski EPSS przy potwierdzonym użyciu w ransomware wynika z tego, że takiej luki nie da się znaleźć skanowaniem internetu:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2021-43226
CVSS 3.1 (NVD, MS) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (prawdopodob.) ~3% █░░░░░░░░░░░░░░░░░░░ percentyl ok. 87
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Wpis Microsoft „nie” ░░░░░░░░░░░░░░░░░░░░ nieaktualizowany od 2021 2021-12-14 Microsoft publikuje poprawkę (jedyna wersja wpisu)
2021-12-15 Publikacja CVE-2021-43226 w NVD
2022-07 NVD zmienia kategorię słabości na „brak informacji”
2025-10-06 CISA dodaje lukę do KEV, ransomware: Known
2025-10-27 Termin naprawy wg CISA dla agencji federalnych
2026-08-22 Ostatnia aktualizacja wpisu w NVD
... prawie 11 miesięcy od terminu CISA, prawie 4 lata od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny wpis Microsoft z listą pakietów aktualizacji: msrc.microsoft.com: CVE-2021-43226 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-43226 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o listę systemów Windows bez aktualizacji z grudnia 2021 roku i bez wsparcia | CTO | DZISIAJ |
2 | Zatwierdzić odseparowanie od sieci systemów, których nie da się zaktualizować | CTO | DZISIAJ |
3 | Zlecić sprawdzenie, kto pracuje na co dzień z uprawnieniami administratora | CTO | DO JUTRA |
4 | Potwierdzić, że istnieje kopia zapasowa poza zasięgiem sieci firmowej | CTO | DO JUTRA |
5 | Oszacować koszt wymiany komputerów i serwerów bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody na systemach bez wsparcia | CFO | DO JUTRA |
7 | Zapytać dostawców maszyn produkcyjnych o możliwość aktualizacji dołączonych komputerów | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile systemów Windows nie ma aktualizacji z grudnia 2021 roku lub nowszych? | [liczba] | 🔴 |
2 | Czy mamy komputery z Windows 7, 8.1 lub Server 2008/2012 podłączone do sieci? | TAK / NIE | 🔴 |
3 | Jaki numer kompilacji ma nasz najstarszy serwer? | [wersja] | 🔴 |
4 | Czy pracownicy używają kont z uprawnieniami administratora do codziennej pracy? | TAK / NIE | 🟠 |
5 | Czy mamy kopię zapasową niedostępną z komputerów firmowych? | TAK / NIE | 🟠 |
6 | Czy komputery przy maszynach produkcyjnych są oddzielone od sieci biurowej? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio sprawdzaliśmy, czy wszystkie komputery dostają aktualizacje? | [data] | 🟡 |
CVE-2021-43226 pozwala zamienić zwykłe konto na komputerze z Windows w konto administratora, a CISA potwierdza jej użycie w atakach ransomware. Poprawka istnieje od grudnia 2021 roku, więc zadaniem na ten tydzień jest znalezienie systemów, które jej nie mają, ich aktualizacja lub odseparowanie oraz odebranie codziennym kontom uprawnień administratora.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.