Spreparowany plik Office oszukuje blokadę niebezpiecznych kontrolek OLE. Microsoft i CISA potwierdzają ataki. Zaktualizuj Office 2016 i 2019, a aplikacje Microsoft 365 uruchom ponownie, żeby ochrona zadziałała.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, w których pracownicy otwierają załączniki Word, Excel lub PowerPoint. Werdykt: jeśli na komputerach działa Office 2016 lub 2019 bez aktualizacji ze stycznia 2026 roku albo aplikacje Microsoft 365 nie były od tamtej pory ponownie uruchamiane, zaktualizuj i uruchom je ponownie dziś, bo luka jest wykorzystywana w atakach przez złośliwe dokumenty.
Amerykańska agencja CISA 26 stycznia 2026 roku, w dniu publikacji biuletynu Microsoftu, dopisała CVE-2026-21509 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd pozwala obejść wbudowaną w Office blokadę niebezpiecznych kontrolek OLE: spreparowany dokument „przedstawia się” jako nieszkodliwy i blokada go przepuszcza. Microsoft oznaczył lukę jako wykorzystywaną (Exploitation Detected), a holenderski zespół reagowania opisał ją jako zero-day.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 16 lutego 2026 roku, ponad siedem miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21509 |
Data dodania do CISA KEV | 2026-01-26 |
Termin naprawy wg CISA | 2026-02-16 (21 dni od wpisu) |
Produkt | Microsoft Office: Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024, Microsoft 365 Apps for Enterprise (32 i 64 bity) |
Wersje zagrożone | Wymienione wersje bez poprawki. Atak wymaga, by ofiara otworzyła złośliwy plik Office; wg producenta okienko podglądu w poczcie nie jest drogą ataku. CISA ostrzega, że część wersji może być po zakończeniu wsparcia |
Wersje bezpieczne | Office 2016: aktualizacja KB5002713, kompilacja 16.0.5539.1001. Office 2019: kompilacja 16.0.10417.20095. Office LTSC 2021, LTSC 2024 i Microsoft 365 Apps: ochrona przez zmianę po stronie usługi i aktualizacje Click to Run, działa dopiero po zamknięciu i ponownym otwarciu aplikacji Office |
Typ podatności | Obejście funkcji bezpieczeństwa: poleganie na niezaufanych danych przy decyzji bezpieczeństwa; CWE-807 |
Ocena CVSS | 7.8/10 WYSOKA (CVSS 3.1, producent), 7.2 po uwzględnieniu dostępnej poprawki. Waga wg Microsoftu: Important. Atak lokalny (otwarcie pliku), bez uprawnień, wymaga działania użytkownika |
Wyobraź sobie portiernię, na której ochroniarz sprawdza gości według listy niepożądanych osób. Nie zna ich jednak z twarzy i pyta wchodzącego o nazwisko. Dopóki nikt nie kłamie, system działa. Wystarczy podać cudze nazwisko, żeby wejść legalnie, bez wyłamywania drzwi i bez alarmu.
Tak działała ta luka. Dokumenty Office mogą osadzać obce elementy (kontrolki OLE), a część z nich jest znana jako niebezpieczna, więc Office ma blokadę, która je zatrzymuje. Blokada brała jednak na wiarę informację zapisaną w samym dokumencie o tym, czym jest osadzony element. Spreparowany plik podawał się za coś nieszkodliwego i przechodził. Wystarczy, że pracownik otworzy załącznik wyglądający jak faktura.
💡 OLE to mechanizm osadzania w dokumentach Office obcych elementów, np. wykresu czy formularza. Kontrolka to mały program zarejestrowany w systemie, uruchamiany przez dokument. Obejście funkcji bezpieczeństwa oznacza, że zabezpieczenie nie zostało złamane, tylko oszukane. Widok chroniony to tryb Office otwierający pliki z internetu bez możliwości edycji i uruchamiania aktywnej zawartości. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera załącznik z osadzoną groźną kontrolką | Blokada Office nie pozwala jej uruchomić | Dokument podaje się za nieszkodliwy i blokada go przepuszcza |
Podgląd wiadomości w programie pocztowym | Bez ryzyka | Wg producenta nadal nie jest drogą ataku |
Microsoft 365 po zmianie po stronie usługi | Chroniony | Nadal podatny, jeśli Word i Excel nie były zamknięte i otwarte ponownie |
Office 2016 i 2019 | Chronione aktualizacjami | Wymagają ręcznej lub automatycznej instalacji aktualizacji |
Skutek dla komputera | Brak | Wg oceny CVSS możliwy pełny wpływ na poufność, integralność i dostępność |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luki nie da się wykorzystać przez samo wysłanie danych do komputera: napastnik musi dostarczyć plik i przekonać pracownika do jego otwarcia. CISA ocenia atak jako niemożliwy do pełnej automatyzacji, ale ze skutkiem technicznym całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Stworzenie dokumentu Office z osadzonym elementem, który oszukuje blokadę OLE | Złośliwy załącznik udający fakturę, umowę lub pismo |
2. Wysyłka | T+minuty | Wiadomość e-mail do wybranych pracowników, często podszywająca się pod kontrahenta | Plik w skrzynce |
3. Otwarcie | T+godziny do dni | Pracownik otwiera załącznik w Word, Excel lub PowerPoint | Blokada przepuszcza groźny element |
4. Przejęcie komputera | T+sekundy do minut od otwarcia | Uruchomienie złośliwego kodu z uprawnieniami użytkownika | Napastnik ma dostęp do stacji roboczej |
5. Rozwój ataku | T+dni | Kradzież haseł i dokumentów, ruch do innych komputerów i serwerów | Wyciek danych, przygotowanie szyfrowania |
Załączniki Office to codzienna praca każdego działu. Tej luki nie da się ominąć zakazem otwierania dokumentów, a jej wykorzystanie nie zostawia śladów łamania zabezpieczeń, bo blokada „zadziałała zgodnie z instrukcją”. Dodatkowo ochrona w Microsoft 365 wymaga ponownego uruchomienia aplikacji, co łatwo przeoczyć.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stacje robocze do odtworzenia, możliwe rozprzestrzenienie na inne komputery | Godziny do dni | 20 tys. do 200 tys. PLN (odtworzenie stanowisk, przestój) |
Bezpieczeństwo danych | Kradzież dokumentów, haseł, danych klientów z przejętego komputera | Od chwili otwarcia pliku | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Wyłudzenia z bankowości, żądanie okupu, koszty specjalistów | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Wyciek poufnych dokumentów klientów, naruszenie tajemnicy zawodowej | Tygodnie do miesięcy | 30 tys. do 400 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; w zawodach zaufania także ocena naruszenia tajemnicy | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Office bez poprawki lub nieuruchomiony ponownie
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest wykorzystywana (EPSS ponad 72%) i dotyczy codziennej czynności, a nie krytyczne, bo wymaga otwarcia pliku przez pracownika i działa w ramach uprawnień jego konta.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać komputery z Office 2016 i 2019 i sprawdzić kompilacje (16.0.5539.1001 lub nowsza dla 2016, 16.0.10417.20095 lub nowsza dla 2019) | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje (Office 2016: KB5002713) | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Wymusić zamknięcie i ponowne uruchomienie aplikacji Office lub restart komputerów z Microsoft 365, LTSC 2021 i LTSC 2024 | Dziś | Administrator IT |
4 | 🟠 PILNIE | Sprawdzić, czy na komputerach nie ma wersji Office po zakończeniu wsparcia i zaplanować ich wymianę | Do 7 dni | CTO |
5 | 🟠 PILNIE | Jeśli stosowano obejście rejestrowe: zapisać, gdzie, i wycofać je po instalacji poprawki | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Ustawić otwieranie plików z internetu w widoku chronionym i pracę na kontach bez praw administratora | Do 30 dni | Administrator IT |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom zasady ostrożności przy załącznikach od nieznanych nadawców | Do 30 dni | CTO / HR |
Microsoft wydał poprawki dla wszystkich wymienionych wersji, więc docelowo trzeba je zainstalować. Do tego czasu producent opisał obejście dla Office 2016 i 2019. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Obejście producenta: w gałęzi zgodności COM dodać podklucz {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} z wartością REG_DWORD „Compatibility Flags” = 0x400 (tylko Office 2016 i 2019, nie dla 2021 i nowszych) | Wysoka wobec opisanego wektora, nie naprawia samej blokady | Średnia: zmiana rejestru na każdym komputerze, trzeba ją potem wycofać |
Otwieranie plików z internetu w widoku chronionym, bez wyłączania ostrzeżeń | Średnia: utrudnia atak, zależy od zachowania pracownika | Łatwa |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki przejęcia | Średnia |
Filtrowanie załączników Office na bramce pocztowej | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Blokada kontrolek OLE | Oszukiwana przez spreparowany dokument | Działa poprawnie po aktualizacji |
Microsoft 365 na stale włączonych komputerach | Zmiana po stronie usługi nieaktywna | Aplikacje uruchomione ponownie, ochrona aktywna |
Office 2016 i 2019 | Bez poprawki | KB5002713 lub kompilacja 16.0.10417.20095 zainstalowana |
Obejścia w rejestrze | Rozrzucone, nieudokumentowane | Spisane i wycofane po aktualizacji |
Zgodność z terminem CISA | Ponad 7 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft: „Exploitation Detected”, holenderski zespół reagowania: zero-day |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, producent); 7.2 po uwzględnieniu dostępnej poprawki |
PoC dostępny publicznie? | Brak publicznych informacji. Dokument producenta jest niespójny: w jednym miejscu oznacza kod ataku jako funkcjonalny, w tabeli zbiorczej jako niedostępny |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Zespoły Microsoftu oraz Google Threat Intelligence Group (wg podziękowań producenta) |
Prognoza EPSS | Ponad 72% szansy próby wykorzystania w ciągu 30 dni, powyżej 99. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-21509
CVSS 3.1 (producent) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~72% ██████████████░░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga otwarcia pliku
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-26 Microsoft publikuje biuletyn; ochrona po stronie usługi
dla Microsoft 365 i Office 2021+; aktualizacje dla
Office 2016 i 2019 ogłoszone w kolejnej rewizji
2026-01-26 CISA dodaje lukę do katalogu KEV
2026-01-27 Holenderski zespół reagowania opisuje lukę jako zero-day
2026-01-29 Microsoft poprawia opis obejścia
2026-02-16 Termin naprawy wg CISA dla agencji federalnych
2026-06-25 Ostatnia aktualizacja wpisu w NVD
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com, CVE-2026-21509 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21509 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać spis wersji Office na wszystkich komputerach firmy | CTO | DZISIAJ |
2 | Potwierdzić instalację poprawek dla Office 2016 i 2019 | CTO | DZISIAJ |
3 | Zatwierdzić wymuszony restart aplikacji Office lub komputerów po godzinach pracy | CTO | DZISIAJ |
4 | Zlecić sprawdzenie, czy są komputery z Office po zakończeniu wsparcia | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę niewspieranych licencji Office | CFO | DO JUTRA |
6 | Uwzględnić w decyzjach zakupowych sposób dostarczania poprawek, a nie tylko cenę licencji | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ataków przez złośliwe załączniki | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ma Office 2016 lub 2019 i jakie mają kompilacje? | [liczba], [kompilacja] | 🔴 |
2 | Czy KB5002713 jest zainstalowana na wszystkich komputerach z Office 2016? | TAK / NIE | 🔴 |
3 | Czy aplikacje Office na komputerach z Microsoft 365 i LTSC były ponownie uruchomione po 26 stycznia 2026 roku? | TAK / NIE | 🔴 |
4 | Czy mamy w firmie wersje Office po zakończeniu wsparcia? | TAK / NIE, [liczba] | 🟠 |
5 | Czy stosowaliśmy obejście w rejestrze i czy zostało wycofane? | TAK / NIE, [data] | 🟠 |
6 | Czy pliki z internetu otwierają się w widoku chronionym na wszystkich komputerach? | TAK / NIE | 🟠 |
7 | Ilu pracowników pracuje na kontach z uprawnieniami administratora? | [liczba] | 🟡 |
CVE-2026-21509 pozwala spreparowanemu dokumentowi Office obejść blokadę groźnych kontrolek OLE po otwarciu go przez pracownika. Luka jest wykorzystywana w atakach, poprawki są dostępne od stycznia 2026 roku, ale Office 2016 i 2019 wymagają aktualizacji, a Microsoft 365 ponownego uruchomienia aplikacji, więc sprawdzenie obu rzeczy to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.