Błąd w Microsoft Management Console pozwala uruchomić złośliwy kod bez ostrzeżenia Windows. Grupa Water Gamayun używała go przed wydaniem poprawki, CISA potwierdza użycie w ransomware. Sprawdź aktualizacje z marca 2025.
Ten alert jest dla zarządu, CTO i CFO firm pracujących na komputerach i serwerach Windows. Werdykt: luka w konsoli zarządzania Windows (MMC) była wykorzystywana przez grupę przestępczą i w kampaniach ransomware, więc sprawdź w tym tygodniu, czy wszystkie maszyny mają aktualizacje z marca 2025 roku lub nowsze, a pliki .msc z zewnątrz blokuj na bramie poczty.
Amerykańska agencja CISA 11 marca 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-26633 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Oznaczyła ją jako używaną w kampaniach ransomware. Termin naprawy wg CISA minął 1 kwietnia 2025 roku.
Błąd dotyczy Microsoft Management Console (MMC), narzędzia do otwierania przystawek administracyjnych, obecnego w każdym Windows. Producent klasyfikuje go jako obejście zabezpieczenia: przy otwarciu spreparowanego pliku mechanizm ochronny, który powinien zadziałać, nie działa. Trend Micro opisał kampanię rosyjskiej grupy Water Gamayun (EncryptHub), która wykorzystywała tę lukę pod nazwą „MSC EvilTwin” do uruchamiania złośliwego kodu i kradzieży danych, zanim poprawka była dostępna.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-26633 (ZDI-25-150, „MSC EvilTwin”) |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 (21 dni od wpisu) |
Produkt | Microsoft Windows, Microsoft Management Console (mmc.exe) |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2, 2025, także Server Core, bez aktualizacji z marca 2025 roku |
Wersje bezpieczne | Aktualizacje zbiorcze z 11 marca 2025 roku lub nowsze. Minimalne kompilacje wg NVD: Windows 10 22H2 10.0.19045.5608, 21H2 10.0.19044.5608, 1809 i Server 2019 10.0.17763.7009, 1607 i Server 2016 10.0.14393.7876, 1507 10.0.10240.20947; Windows 11 22H2 10.0.22621.5039, 23H2 10.0.22631.5039, 24H2 i Server 2025 10.0.26100.3403; Server 2022 10.0.20348.3270, Server 2022 23H2 10.0.25398.1486 |
Typ podatności | Obejście zabezpieczenia przez niewłaściwą neutralizację; CWE-707 (NVD nie przypisała własnej kategorii) |
Ocena CVSS | 7.0 WYSOKA (CVSS 3.1, Microsoft). Atak lokalny (otwarcie pliku na komputerze), wysoka złożoność, bez uprawnień, wymaga działania użytkownika; pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie drzwi biura z zamkiem i czujnikiem, który po godzinach włącza brzęczyk przy każdym otwarciu. Ta luka nie wyłamuje zamka. Rozłącza brzęczyk. Ktoś, kto ma sposób, by wejść, wchodzi, a nikt się o tym nie dowiaduje.
W Windows „brzęczykiem” są mechanizmy, które przy plikach z zewnątrz ostrzegają lub blokują ich działanie. Według Trend Micro napastnicy przygotowywali złośliwą kopię pliku konsoli (.msc) w podstawionym folderze, a konsola, korzystając z mechanizmu wersji językowych, ładowała tę kopię zamiast oryginału. Pracownik otwiera plik lub instalator i nie widzi żadnego komunikatu. Nie ma decyzji do podjęcia, więc szkolenie z ostrożności nie ma na czym zadziałać.
💡 MMC (Microsoft Management Console) to narzędzie Windows do otwierania przystawek administracyjnych, zapisanych w plikach .msc. Obejście zabezpieczenia to błąd, który nie daje uprawnień wprost, ale wyłącza mechanizm ochronny. MUIPath to mechanizm Windows wskazujący pliki w wersjach językowych; według Trend Micro był nadużywany w tym ataku. Stealer to złośliwe oprogramowanie kradnące hasła i dane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera plik lub instalator z internetu | Windows ostrzega lub blokuje | Złośliwy kod może uruchomić się bez ostrzeżenia |
Szkolenie „reaguj na ostrzeżenia” | Działa | Brak sygnału, na który można zareagować |
Legalny plik .msc administratora | Otwiera właściwą przystawkę | Może zostać podmieniony na złośliwą kopię |
Hasła zapisane w przeglądarce | Bezpieczne | Mogą zostać wykradzione przez stealer |
Komputer z marcowymi poprawkami 2025 | Bezpieczny | Bezpieczny |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności, uwzględniający kampanię opisaną przez Trend Micro. To scenariusz poglądowy. Luka jest lokalna i wymaga działania użytkownika, więc atak zaczyna się od dostarczenia pliku, a wysoka złożoność oznacza pracę pod wybrany cel, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T-dni | Wybór celu, przygotowanie podpisanego instalatora lub pliku podszywającego się pod znany program | Pułapka dopasowana do ofiary |
2. Dostarczenie | T+0 min | Wiadomość, fałszywa strona z oprogramowaniem, odnośnik do pobrania | Pracownik uruchamia plik |
3. Ciche wykonanie | T+1 min | Podstawiona kopia pliku .msc ładowana przez konsolę zamiast oryginału, bez ostrzeżenia | Złośliwy kod działa na komputerze |
4. Utrwalenie i kradzież | T+godziny | Instalacja tylnych drzwi i programów kradnących hasła | Hasła, sesje, dane w rękach napastnika |
5. Rozpoznanie sieci | T+dni | Ruch w sieci firmy, przejmowanie kolejnych kont | Dostęp do serwerów i kopii zapasowych |
6. Szyfrowanie i szantaż | T+tygodnie | Usunięcie kopii, szyfrowanie danych, żądanie okupu (CISA: luka używana w kampaniach ransomware) | Przestój i żądanie zapłaty |
Luka uderza w mechanizm, na którym opiera się ostrożność pracowników. Wysoka złożoność ataku nie uspokaja: oznacza, że napastnik wybiera cel i przygotowuje się pod niego. Potwierdzone użycie w kampaniach ransomware oznacza, że problem zwykle wychodzi na jaw dopiero przy szyfrowaniu, czyli w najdroższym momencie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, odtwarzanie systemów | Tygodnie od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, sesji i dokumentów przed szyfrowaniem | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Żądanie okupu, utracone zamówienia, nadużycia bankowe | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Klienci i partnerzy dowiadują się o wycieku i przestoju | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera Windows bez aktualizacji z marca 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ wysoki (ciche uruchomienie kodu, ransomware potwierdzone przez CISA), prawdopodobieństwo średnie, bo atak wymaga przygotowania i otwarcia pliku przez pracownika; komputery z poprawkami z marca 2025 roku są poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🟠 PILNIE | Sprawdzić w raporcie aktualizacji, czy wszystkie komputery i serwery Windows mają poprawki z marca 2025 roku lub nowsze | Do 3 dni | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować maszyny, na których aktualizacje przestały się instalować | Dziś | Administrator IT |
3 | 🟠 PILNIE | Blokować na bramie poczty załączniki .msc i archiwa z takimi plikami od zewnętrznych nadawców | Do 7 dni | Administrator poczty |
4 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe są odseparowane od sieci i czy udaje się z nich odtworzyć dane | Do 7 dni | CTO / administrator |
5 | 🟠 PILNIE | Znaleźć maszyny z Windows Server 2008 lub 2012 bez aktualizacji i zaplanować ich wymianę lub izolację | Do 14 dni | Administrator IT |
6 | 🟡 WAŻNIE | Ograniczyć pracę na kontach z uprawnieniami administratora i instalowanie programów przez użytkowników | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić prosty kanał zgłaszania „dziwnych zachowań” komputera bez wyciągania konsekwencji | Do 30 dni | Zarząd / kierownik IT |
Microsoft wydał poprawkę w zwykłych aktualizacjach zbiorczych z 11 marca 2025 roku. Dla systemów, które ich nie dostaną, poniższe miary ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja aktualizacji z marca 2025 lub nowszej | Wysoka: to właściwa poprawka | Łatwa |
Blokada plików .msc i instalatorów z zewnątrz na bramie poczty i w przeglądarce | Średnia do wysokiej: odcina typowe drogi dostarczenia | Średnia |
Zasady ograniczające uruchamianie programów z folderów użytkownika | Średnia | Średnia |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki | Łatwa |
Kopie zapasowe odseparowane od sieci i testowane odtworzeniem | Nie chroni przed luką, ratuje po ataku ransomware | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje Windows | Część maszyn po cichu bez poprawek | Wszystkie z marca 2025 lub nowsze |
Pliki .msc z zewnątrz | Docierają do skrzynek | Zatrzymywane na bramie |
Ochrona pracowników | Oparta na reagowaniu na ostrzeżenia | Reguły działające bez ostrzeżeń |
Kopie zapasowe | Na dysku podłączonym do serwera | Odseparowane, sprawdzone odtworzeniem |
Zgłaszanie anomalii | Wstyd i obawa przed zarzutem | Proste i bez konsekwencji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wykorzystywana przed wydaniem poprawki |
Grupy przestępcze | Water Gamayun, znana też jako EncryptHub i Larva-208 (wg Trend Micro, grupa podejrzewana o rosyjskie pochodzenie) |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 7.0 WYSOKA (CVSS 3.1, Microsoft) |
PoC dostępny publicznie? | Szczegółowy opis techniki opublikował Trend Micro 25 marca 2025; brak informacji o gotowym publicznym narzędziu w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Narzędzia w kampanii | Wg Trend Micro: podpisane instalatory MSI podszywające się pod komunikatory, programy kradnące dane (EncryptHub stealer, Rhadamanthys, Stealc) i tylne drzwi (DarkWisp, SilentPrism) |
Prognoza EPSS | Około 30%, najwyżej spośród marcowych luk Windows z tego samego zestawu (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-26633
CVSS 3.1 (Microsoft) 7.0/10 ██████████████░░░░░░ WYSOKA
EPSS ~30% ██████░░░░░░░░░░░░░░
Znana grupa sprawców TAK ████████████████████ Water Gamayun
Ransomware (CISA) Known ████████████████████ używana
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-04 Wczesne wersje techniki obserwowane przez Trend Micro
2025-03-11 Microsoft wydaje poprawkę w aktualizacjach zbiorczych
2025-03-11 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-03-25 Trend Micro publikuje analizę kampanii Water Gamayun („MSC EvilTwin”)
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
2026-08-05 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-26633 . Analiza kampanii: Trend Micro, MSC EvilTwin . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-26633 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport: które komputery i serwery nie mają aktualizacji z marca 2025 roku lub nowszych | CTO | DZISIAJ |
2 | Zatwierdzić blokadę plików .msc z zewnątrz na bramie poczty | CTO | DO JUTRA |
3 | Zlecić test odtworzenia danych z kopii zapasowej | CTO | DO JUTRA |
4 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nieaktualnych systemów | CFO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę serwerów z systemami bez wsparcia | CFO | DO JUTRA |
6 | Ogłosić pracownikom prosty kanał zgłaszania dziwnych zachowań komputera | CTO / zarząd | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn Windows nie ma aktualizacji z marca 2025 roku lub nowszych? | [liczba] | 🔴 |
2 | Czy na którejś maszynie aktualizacje przestały się instalować bez komunikatu? | TAK / NIE | 🔴 |
3 | Czy brama poczty blokuje załączniki .msc i archiwa z takimi plikami? | TAK / NIE | 🟠 |
4 | Czy kopie zapasowe są poza zasięgiem sieci, którą można zaszyfrować? | TAK / NIE | 🟠 |
5 | Kiedy ostatnio odtworzyliśmy dane z kopii zapasowej? | [data] | 🟠 |
6 | Czy pracownicy mogą sami instalować programy pobrane z internetu? | TAK / NIE | 🟡 |
7 | Czy mamy serwery z Windows Server 2008 lub 2012? | TAK / NIE, liczba: [liczba] | 🟡 |
CVE-2025-26633 w konsoli zarządzania Windows pozwala uruchomić złośliwy kod bez ostrzeżenia, które normalnie pojawia się przy plikach z zewnątrz. Luka była wykorzystywana przez grupę Water Gamayun przed wydaniem poprawki, a CISA potwierdza jej użycie w kampaniach ransomware. Zadanie na ten tydzień: potwierdzić marcowe (2025) lub nowsze aktualizacje na wszystkich maszynach, zablokować pliki .msc z zewnątrz i sprawdzić kopie zapasowe odtworzeniem.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.