Błąd powłoki Windows (CVE-2026-32202) pozwala ominąć ostrzeżenia przed plikami z zewnątrz. CISA potwierdza ataki, a Microsoft w lipcu wydał poprawkę ponownie. Zainstaluj lipcowe aktualizacje i zrestartuj maszyny.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy otwierają pliki od klientów i kontrahentów na komputerach z Windows. Werdykt: jeśli Twoje komputery i serwery nie mają lipcowych aktualizacji Windows z 2026 roku lub nowszych, zainstaluj je i zrestartuj maszyny w tym tygodniu, bo kwietniowa poprawka nie usunęła luki do końca, a CISA potwierdza ataki.
Amerykańska agencja CISA 28 kwietnia 2026 roku dopisała podatność CVE-2026-32202 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy powłoki Windows (Windows Shell), czyli pulpitu, eksploratora plików i ikon. W określonych warunkach mechanizm ochronny, który powinien ostrzec użytkownika przed plikiem z zewnątrz, przestaje działać, a napastnik może podszyć się pod bezpieczny plik i wydobyć część informacji.
Microsoft opisał błąd 14 kwietnia 2026 roku, ale 28 lipca 2026 roku wydał to samo CVE ponownie, żeby usunąć podatność do końca, i zalecił instalację lipcowych aktualizacji. Komputery załatane tylko w kwietniu nie są w pełni chronione. Termin CISA minął 12 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-32202 |
Data dodania do CISA KEV | 2026-04-28 |
Termin naprawy wg CISA | 2026-05-12 (14 dni od wpisu) |
Produkt | Microsoft Windows, powłoka systemu (Windows Shell) |
Wersje zagrożone | Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1), Windows Server 2012, 2012 R2, 2016, 2019, 2022 i 2025, także instalacje Server Core, bez aktualizacji z lipcowego ponownego wydania |
Wersje bezpieczne | Numery kompilacji wg Microsoft: Windows 10 22H2: 10.0.19045.7548; 21H2: 10.0.19044.7548; 1809 i Server 2019: 10.0.17763.9020; 1607 i Server 2016: 10.0.14393.9339. Windows 11 23H2: 10.0.22631.7376; 24H2: 10.0.26100.8875; 25H2: 10.0.26200.8875; 26H1: 10.0.28000.2525. Server 2022: 10.0.20348.5386; Server 2025: 10.0.26100.33158; Server 2012 R2: 6.3.9600.23291; Server 2012: 6.2.9200.26226. Lub nowsze |
Typ podatności | Podszywanie się (spoofing) przez awarię mechanizmu ochronnego; CWE-693 (zawodność mechanizmu ochronnego) |
Ocena CVSS | Microsoft: 4.3 (CVSS 3.1, ŚREDNIA), 4.0 po uwzględnieniu dostępności poprawki. Atak przez sieć, bez uprawnień, ale wymaga działania użytkownika (otwarcia pliku); skutek: ograniczony dostęp do poufnych informacji, bez zmiany danych i bez wpływu na dostępność |
Uwaga praktyczna: w połowie sierpnia 2026 roku baza NVD podawała niższe numery kompilacji (np. 10.0.19045.7184 dla Windows 10 22H2), czyli stan sprzed lipcowego ponownego wydania. Skaner porównujący wersje z NVD może uznać komputer za bezpieczny, choć Microsoft uważa inaczej.
Wyobraź sobie biuro, w którym recepcjonistka ma zasadę: każdą przesyłkę bez nadawcy odkłada na bok i dzwoni do działu IT. Pewnego dnia ktoś nakleja na paczkę nalepkę „wewnętrzna poczta firmowa”. Recepcjonistka widzi znajomy znaczek, więc przekazuje paczkę dalej bez telefonu. Zasada nadal obowiązuje, tylko przestała działać, i nikt tego nie zauważył.
Tak działa ten błąd. Windows oznacza pliki pobrane z internetu lub z poczty i pokazuje ostrzeżenie przed ich otwarciem. W opisanych warunkach ta ochrona odpada po cichu. Pracownik biura rachunkowego, który dziennie otwiera kilkadziesiąt załączników, widzi plik wyglądający zwyczajnie i nie dostaje sygnału, że powinien się zatrzymać.
💡 Spoofing (podszywanie się) to atak, w którym coś złośliwego udaje coś zaufanego. Powłoka Windows to warstwa systemu, którą widzi użytkownik: pulpit, okna eksploratora, ikony. CVSS to punktowa skala od 0 do 10 opisująca wagę luki, a EPSS to szacowane prawdopodobieństwo jej wykorzystania. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera załącznik z poczty | Windows ostrzega, że plik pochodzi z internetu | Ostrzeżenie może się nie pojawić |
Plik udaje fakturę lub skan | Ukryte rozszerzenie i ostrzeżenie dają szansę na zatrzymanie | Plik wygląda wiarygodnie, brak sygnału ostrzegawczego |
Kwietniowa aktualizacja zainstalowana | Uważana za zamknięcie sprawy | Nie wystarcza, potrzebne są aktualizacje z lipca 2026 |
Raport skanera podatności | Pokazuje rzeczywisty stan | Może pokazać „bezpieczne” na podstawie nieaktualnych numerów z NVD |
Kolejka łatek sortowana po CVSS | Lukę 4.3 odkłada się na koniec | Odkładana jest luka, którą atakuje się naprawdę |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Microsoft opisuje warunek wprost: napastnik musi przesłać ofierze złośliwy plik, a ofiara musi go otworzyć. CISA ocenia, że ataku nie da się zautomatyzować, więc nie rozchodzi się sam po sieci jak robak. Celem są ludzie, którzy otwierają pliki, a nie serwery bez użytkowników.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Wybór firm, które z natury otwierają dużo załączników (księgowość, kadry, sprzedaż) | Lista adresów e-mail |
2. Przygotowanie pliku | T+godziny | Przygotowanie pliku omijającego ostrzeżenia Windows, np. udającego fakturę | Wiarygodnie wyglądający załącznik |
3. Wysyłka | T+1 dzień | Wiadomość podszywająca się pod klienta lub kontrahenta | Plik w skrzynce pracownika |
4. Otwarcie | T+minuty do dni | Pracownik otwiera plik bez ostrzeżenia systemowego | Mechanizm ochronny ominięty |
5. Wydobycie informacji | T+natychmiast po otwarciu | Pozyskanie części poufnych informacji z komputera ofiary | Dane przydatne do dalszego ataku |
6. Dalsze kroki | T+dni | Wykorzystanie zdobytych informacji, często razem z innymi lukami | Głębsze włamanie lub kradzież danych |
Mogę Ci jakoś pomóc?
Sama ocena 4.3 sugeruje błąd drugorzędny. Rzeczywistość jest inna: Microsoft oznaczył lukę jako wykorzystywaną przed publikacją poprawki, CISA wpisała ją do KEV, a EPSS wynosi około 64%, więcej niż u 99% znanych podatności. Skutek pojedynczego ataku jest ograniczony (dostęp do części informacji), ale luka zwykle jest jednym z ogniw większego włamania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Sama luka nie zatrzymuje systemów; przestój możliwy, gdy staje się pierwszym krokiem większego ataku | Dni do tygodni | 10 tys. do 150 tys. PLN (odtwarzanie, reinstalacja stacji) |
Bezpieczeństwo danych | Ujawnienie części informacji z komputera pracownika, ułatwienie dalszych ataków | Minuty od otwarcia pliku | 20 tys. do 150 tys. PLN (analiza incydentu) |
Finansowy | Koszty obsługi incydentu, nadgodziny IT, ewentualne straty z dalszego ataku | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Pytania klientów, jeśli wyciekną ich dokumenty | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy bez lipcowych aktualizacji Windows
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (potwierdzone ataki, EPSS około 64%, Windows jest wszędzie), a wpływ średni, bo sama luka daje ograniczony dostęp do informacji i wymaga otwarcia pliku przez pracownika; ryzyko rośnie, gdy staje się elementem większego ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy komputery i serwery mają aktualizacje zbiorcze z lipca 2026 roku lub nowsze (porównać numer kompilacji z tabelą w sekcji 1) | Dziś | Administrator Windows |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje, zaczynając od stacji osób otwierających dużo załączników (księgowość, kadry, sprzedaż, sekretariat) | Do 2 dni | Administrator Windows / partner IT |
3 | 🟠 PILNIE | Zrestartować maszyny po instalacji; każda z tych poprawek wymaga ponownego uruchomienia | Do 3 dni | Administrator Windows |
4 | 🟠 PILNIE | Zaktualizować serwery, także Server Core, po sprawdzeniu, które usługi startują automatycznie | Do 7 dni | Administrator serwerów |
5 | 🟠 PILNIE | Zweryfikować, czy skaner podatności korzysta z aktualnych danych Microsoft, a nie z nieaktualnych numerów z NVD | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Włączyć pokazywanie pełnych rozszerzeń plików na stacjach roboczych | Do 14 dni | Administrator Windows |
7 | 🟡 WAŻNIE | Zmienić zasadę kolejności łatek: najpierw luki z katalogu KEV, potem według CVSS | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wymienionych wersji i nie podaje obejść zastępujących aktualizację. Poniższe miary tylko zmniejszają ryzyko do czasu instalacji; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Filtrowanie załączników w poczcie (blokada nietypowych i wykonywalnych formatów) | Średnia: ogranicza główną drogę dostarczenia pliku | Średnia |
Otwieranie plików z nieznanych źródeł w odizolowanym środowisku | Średnia do wysokiej, zależnie od dyscypliny użytkowników | Trudna |
Pokazywanie pełnych rozszerzeń plików | Niska: pomaga rozpoznać podejrzany plik | Łatwa |
Krótkie przypomnienie dla pracowników o ostrożności z załącznikami | Niska, ale tania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Ochrona przed plikami z zewnątrz | Może zniknąć bez ostrzeżenia | Działa zgodnie z założeniem |
Stan aktualizacji | Kwietniowa poprawka, „sprawa zamknięta” | Lipcowe aktualizacje lub nowsze, zweryfikowane numerem kompilacji |
Restart maszyn | Odkładany, łatka nieaktywna | Wykonany, łatka aktywna |
Raport skanera | Może pokazywać fałszywe „bezpieczne” | Oparty na danych producenta |
Kolejność łatek | Po punktacji CVSS | Najpierw luki potwierdzone w atakach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft oznaczył lukę jako wykorzystywaną w atakach, zanim poprawka została opublikowana |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.3 ŚREDNIA wg Microsoft (CVSS 3.1); 4.0 po uwzględnieniu dostępności poprawki |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft ocenia dojrzałość metody ataku jako działającą (functional) |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): atak wymaga udziału ofiary |
Kto zgłosił błąd | Blaž Satler (ACROS Security) i Maor Dahan (Akamai), niezależnie |
Prognoza EPSS | 0,637 (ok. 64% szansy próby wykorzystania), wyżej niż 99% znanych podatności (wg analizy źródłowej) |
Ten wpis dobrze pokazuje, dlaczego sama punktacja CVSS nie wystarcza do ustalania kolejności prac:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-32202
CVSS 3.1 (Microsoft) 4.3/10 █████████░░░░░░░░░░░ ŚREDNIA
EPSS (prawdopodob.) ~64% █████████████░░░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak przed poprawką TAK ████████████████████ wg Microsoft
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-04-14 Microsoft publikuje poprawkę w kwietniowym wydaniu zbiorczym
2026-04-27 Microsoft koryguje wpis: flaga wykorzystania i wektor CVSS
2026-04-28 CISA dodaje lukę do katalogu KEV
2026-05-12 Termin naprawy wg CISA dla agencji federalnych
2026-07-28 Microsoft wydaje CVE ponownie, zaleca lipcowe aktualizacje
2026-08 NVD nadal podaje numery kompilacji sprzed ponownego wydania
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny wpis Microsoft z listą systemów i poprawek: msrc.microsoft.com: CVE-2026-32202 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-32202 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o raport: ile komputerów i serwerów nie ma aktualizacji z lipca 2026 roku | CTO | DZISIAJ |
2 | Zatwierdzić instalację aktualizacji w pierwszej kolejności na stacjach księgowości, kadr i sprzedaży | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na restart serwerów | CTO | DO JUTRA |
4 | Sprawdzić, skąd skaner podatności bierze numery wersji | CTO | DO JUTRA |
5 | Wprowadzić zasadę: luki z katalogu KEV instalujemy w 14 dni niezależnie od punktacji | CTO | DO JUTRA |
6 | Oszacować koszt nadgodzin lub wsparcia partnera IT przy restartach poza godzinami pracy | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wymaga terminowego instalowania poprawek | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile naszych komputerów i serwerów ma aktualizacje z lipca 2026 roku lub nowsze? | [liczba / wszystkie] | 🔴 |
2 | Jaki numer kompilacji mają stacje w księgowości i kadrach? | [wersja] | 🔴 |
3 | Czy po instalacji wszystkie maszyny zostały zrestartowane? | TAK / NIE | 🔴 |
4 | Kiedy zrestartowano serwer plików po ostatniej aktualizacji? | [data] | 🟠 |
5 | Czy skaner podatności korzysta z danych Microsoft czy z NVD? | [źródło] | 🟠 |
6 | Czy mamy w firmie komputery z Windows bez wsparcia producenta? | TAK / NIE | 🟠 |
7 | Czy kolejność instalowania łatek uwzględnia katalog KEV? | TAK / NIE | 🟡 |
CVE-2026-32202 ma niską punktację, ale jest wykorzystywana w atakach i wymaga lipcowych aktualizacji Windows z 2026 roku, bo kwietniowa poprawka nie zamknęła jej do końca. Sprawdzenie numerów kompilacji, instalacja brakujących aktualizacji i restart maszyn to zadanie na ten tydzień, zaczynając od stanowisk, na których otwiera się najwięcej plików z zewnątrz.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.