Poniżej trzy rzeczy, które przydają się przy każdej podatności, a nie tylko przy tej jednej: dlaczego tymczasowe obejście potrafi kosztować firmę więcej niż sam atak, po co sprawdzać wersję programu u producenta, zanim skaner bezpieczeństwa wystawi rachunek za pracę, i co naprawdę mówi liczba
Poniżej trzy rzeczy, które przydają się przy każdej podatności, a nie tylko przy tej jednej: dlaczego tymczasowe obejście potrafi kosztować firmę więcej niż sam atak, po co sprawdzać wersję programu u producenta, zanim skaner bezpieczeństwa wystawi rachunek za pracę, i co naprawdę mówi liczba dopisana do starej luki w 2026 roku. Przykładem jest błąd o numerze CVE-2010-0806 w Internet Explorerze, załatany w marcu 2010 roku, a dopisany do rządowej listy pilnych napraw szesnaście lat później.
Podatność dotyczy składnika o nazwie Peer Objects, czyli biblioteki iepeers.dll. Według CERT/CC ta biblioteka odpowiada w Internet Explorerze za dwie zwyczajne funkcje: obsługę folderów sieciowych i drukowanie. Mechanizm błędu to użycie po zwolnieniu, czyli sięgnięcie przez program po wskaźnik prowadzący do obiektu, który został już usunięty z pamięci. Microsoft nazywa to uszkodzeniem niezainicjowanej pamięci i tłumaczy jako próbę dostępu do obiektu, który nie został przygotowany albo już zniknął.
Skutek opisany przez producenta jest bardzo konkretny: napastnik uzyskuje te same uprawnienia co zalogowany użytkownik. Na koncie z prawami administratora oznacza to przejęcie całej maszyny, a nie tylko przeglądarki.
Podatne wersje to Internet Explorer 6, 6 z Service Pack 1 oraz 7. Producent stwierdza wprost, że problem nie dotyczy Internet Explorera 8, Internet Explorera 5.01 z Service Pack 4, Windows 7 ani Windows Server 2008 R2. To rozróżnienie jest istotne dla firmy, która ma w sieci mieszankę systemów z różnych lat.
Kancelaria z ośmioma osobami trzyma zwykle skany umów w folderze sieciowym, do którego wszyscy mają dostęp z przeglądarki. Jeśli komputer sekretariatu ma starszą wersję przeglądarki, a pracownica ogląda w niej stronę przygotowaną przez napastnika, jedno okno wystarczy, żeby ktoś obcy uzyskał dostęp do tego samego folderu z tymi samymi prawami. Koszt to nie awaria sprzętu, tylko wyciek dokumentów objętych tajemnicą zawodową. Zamiast tego warto zacząć od spisu, który komputer ma jaką wersję przeglądarki, bo bez tego nie da się nawet ocenić, czy problem w ogóle dotyczy firmy.
Zanim producent wydał poprawkę, opublikował 9 marca 2010 roku doradztwo bezpieczeństwa 981374, a potem uzupełniał je kolejnymi wersjami. Zebrane obejścia dobrze pokazują, ile kosztuje doraźna ochrona.
Pierwsze polega na usunięciu z rejestru klucza odpowiadającego klasie peer factory. Producent zaznacza przy tym, że przestaje działać drukowanie i obsługa folderów sieciowych, a na Windows Vista i Windows Server 2008 trzeba wcześniej przejąć własność klucza. Drugie to odebranie wszystkim użytkownikom dostępu do samego pliku iepeers.dll poleceniem systemowym, w katalogu SYSTEM32 na systemach 32-bitowych i SYSWOW64 na 64-bitowych. Trzecie to włączenie mechanizmu DEP dla Internet Explorera 7, przy czym CERT/CC wyraźnie zaznacza, że DEP nie jest pełnym obejściem. Czwarte to ustawienie stref Internet i Lokalny intranet na poziom High, co blokuje kontrolki ActiveX i skrypty. Piąte to wyłączenie kontrolek ActiveX w pakiecie Office 2007 ustawieniem w Centrum zaufania.
Ostatnie zdanie tej sekcji biuletynu jest najważniejsze w praktyce: przed zainstalowaniem aktualizacji MS10-018 obejścia trzeba cofnąć. Firma, która w marcu wyłączyła drukowanie z przeglądarki, a w kwietniu zainstalowała łatkę, zostaje z niedziałającą funkcją i nikt już nie pamięta dlaczego.
Biuro projektowe, które zablokowało kontrolki ActiveX w Office, dostaje zgłoszenia typu "nie otwiera mi się formularz od inwestora" jeszcze przez rok. Godzina pomocy technicznej co drugi dzień, mnożona przez rok, kosztuje więcej niż sama aktualizacja. Rozwiązaniem jest prosty rejestr zmian: co zostało wyłączone, kiedy, z jakiego powodu i na jaki dzień zaplanowano cofnięcie. Wystarczy arkusz z pięcioma kolumnami.
Podstawowy scenariusz ataku to nakłonienie użytkownika do otwarcia spreparowanej strony, na przykład przez odnośnik w wiadomości albo w komunikatorze. Producent opisuje jednak drugi wektor: kontrolkę ActiveX oznaczoną jako bezpieczna do inicjalizacji, osadzoną w aplikacji lub dokumencie Office, który wewnątrz siebie uruchamia silnik renderujący Internet Explorera. Dokument nie musi więc wyglądać jak strona, żeby zachowywać się jak strona.
Po stronie ochronnej producent wymienia dwa ustawienia działające domyślnie. Outlook, Outlook Express i Windows Mail otwierają wiadomości w formacie HTML w strefie Witryny z ograniczeniami, która wyłącza skrypty i kontrolki. Na Windows Server 2003 i Windows Server 2008 działa dodatkowo tryb Enhanced Security Configuration, ustawiający strefę Internet na poziom High. Oznacza to, że sam podgląd poczty w programie pocztowym jest bezpieczniejszy niż kliknięcie odnośnika, które otwiera przeglądarkę.
Amerykańska baza NVD nadała tej podatności ocenę 9.3 w skali CVSS w wersji 2.0. CVSS to skala od zera do dziesięciu opisująca wagę błędu. Własnej oceny w nowszej wersji 3.1 baza nie wystawiła; wynik 8.8 dopisała tam CISA jako ocenę uzupełniającą. Klasyfikacja rodzaju błędu też się rozjeżdża: NVD podaje jako główną CWE-399, jako uzupełniającą CWE-416, czyli użycie po zwolnieniu, a wpis w katalogu CISA wymienia tylko CWE-399. CERT/CC nie używa żadnej z tych skal i przypisał swojej notatce VU#744549 własną metrykę wagi równą 28.55. Europejska baza ENISA prowadzi ten sam błąd pod numerem EUVD-2010-0832, z polami producenta i produktu wypełnionymi jako niedostępne.
Najbardziej praktyczna rozbieżność dotyczy listy wersji. Konfiguracja w NVD wymienia Internet Explorer 5.01, 6, 6 SP1, 7 i 8, a więc szerzej niż tekst opisu w tym samym rekordzie i szerzej niż biuletyn producenta, który dwie z tych wersji wprost wyklucza.
Mogę Ci jakoś pomóc?
Dla firmy z pięćdziesięcioma komputerami różnica jest wymierna. Skaner bezpieczeństwa porównujący wersje z listą w bazie zgłosi jako zagrożone także maszyny z wersją, której producent nie uznaje za podatną. Zespół spędza tydzień na aktualizowaniu czegoś, co aktualizacji nie wymaga, i traci zaufanie do narzędzia, więc przy następnym raporcie ignoruje też prawdziwe zgłoszenia. Zamiast tego przy każdym alarmie warto otworzyć biuletyn producenta i sprawdzić w nim listę wykluczonych wersji, zanim ktokolwiek zacznie coś naprawiać.
CISA prowadzi katalog Known Exploited Vulnerabilities, czyli spis błędów, o których wiadomo, że ktoś ich naprawdę używa. CVE-2010-0806 trafiło tam 20 maja 2026 roku z terminem naprawy 3 czerwca 2026, razem z sześcioma innymi pozycjami, wśród których były kolejne stare błędy Internet Explorera. Wpis zaznacza, że produkt może być po zakończeniu wsparcia i zaleca zaprzestanie jego używania, a pole o użyciu w kampaniach ransomware ma wartość Nieznane.
Do tego dochodzi EPSS, czyli szacunek prawdopodobieństwa, że ktoś spróbuje wykorzystać daną lukę w najbliższym czasie. Dla tego błędu wynosi 0,82 przy percentylu 0,996 w pomiarze z 23 sierpnia 2026 roku. Innymi słowy, po szesnastu latach od wydania łatki ten błąd nadal należy do najczęściej atakowanych.
Warto przy tym zwrócić uwagę na ocenę CISA, w której wykorzystanie oznaczono jako aktywne, wpływ techniczny jako całkowity, ale możliwość automatyzacji jako brak. Ta trzecia wartość tłumaczy charakter zagrożenia. Atak nie skanuje internetu sam z siebie, bo potrzebuje człowieka, który coś otworzy. Ochrona zaczyna się więc od tego, komu i na jakim koncie firma pozwala klikać.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA wpisała podatność CVE-2026-60137 do katalogu luk wykorzystywanych w atakach. Błąd w rdzeniu WordPressa umożliwia wstrzyknięcie SQL, a według opisu agencji w połączeniu z drugą luką pozwala przejąć serwis bez logowania. Poniżej fakty, zagrożone wersje i lista działań.
Czytaj artykułAmerykańska agencja CISA wpisała lukę CVE-2026-48282 w Adobe ColdFusion do katalogu podatności wykorzystywanych w atakach. Według katalogu termin reakcji wynosił trzy dni, a producent ocenił zagrożenie na dziesięć na dziesięć. Tekst wyjaśnia mechanizm ataku i plan reakcji dla firmy.
Czytaj artykułZwykle warunkiem ataku przez plik jest jego otwarcie. Tutaj Microsoft opisał sytuację, w której samo najechanie kursorem na plik leżący w folderze albo na udziale sieciowym wywracało powłokę systemu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.