Błąd w systemie plików NTFS pozwala osobie z fizycznym dostępem do komputera odczytać przez nośnik USB fragmenty pamięci. Luka była wykorzystywana przed poprawką. Sprawdź aktualizacje Windows od marca 2025.
Ten alert jest dla zarządu, CTO i CFO firm pracujących na komputerach i serwerach z Windows, zwłaszcza tam, gdzie osoby z zewnątrz bywają przy firmowych stanowiskach. Werdykt: jeśli komputery nie mają aktualizacji Windows z marca 2025 roku lub nowszej, zainstaluj bieżące aktualizacje dziś, bo ta luka NTFS była wykorzystywana w atakach, zanim Microsoft ją ujawnił.
Amerykańska agencja CISA 11 marca 2025 roku dopisała do katalogu KEV podatność CVE-2025-24984 w systemie plików NTFS w Windows. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia Microsoft wydał poprawkę i oznaczył lukę jako wykorzystywaną w atakach.
System plików NTFS prowadzi dziennik operacji, który pozwala odtworzyć dane po nagłym wyłączeniu komputera. Błąd sprawiał, że do tego dziennika trafiały fragmenty pamięci roboczej (sterty). Napastnik, który fizycznie podłączy do komputera przygotowany nośnik USB, może odczytać te fragmenty: urywki dokumentów, adresów, a czasem danych logowania.
Luka ma najniższą ocenę spośród marcowych błędów Windows wykorzystywanych w atakach, ale ktoś jej używał, zanim świat się o niej dowiedział. Termin naprawy wyznaczony przez CISA minął 1 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24984 (EUVD-2025-6322 w europejskiej bazie ENISA) |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 (21 dni od wpisu) |
Produkt | Microsoft Windows, system plików NTFS |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, także Server Core, bez aktualizacji z marca 2025 roku. Atak wymaga fizycznego dostępu do komputera |
Wersje bezpieczne | Aktualizacje z 11 marca 2025 roku i nowsze, m.in. kompilacje: Windows 10 22H2 od 10.0.19045.5608, Windows 11 23H2 od 10.0.22631.5039, Windows 11 24H2 i Server 2025 od 10.0.26100.3476, Server 2022 od 10.0.20348.3328, Server 2019 od 10.0.17763.7009, Server 2016 od 10.0.14393.7876, Server 2012 R2 od 6.3.9600.22470 |
Typ podatności | Wstawienie danych wrażliwych do pliku dziennika, prowadzące do ujawnienia fragmentów pamięci; CWE-532 |
Ocena CVSS | 4.6 ŚREDNIA (CVSS 3.1, Microsoft; z adnotacją o działającym kodzie ataku i dostępnej poprawce). Atak fizyczny, bez logowania, bez udziału użytkownika, wpływ tylko na poufność |
Wyobraź sobie recepcję, na której leży zeszyt dyżurów. Recepcjonistka zapisuje w nim, co się dzieje, żeby zmiennik wiedział, od czego zacząć. Problem w tym, że przy okazji przepisuje do zeszytu fragmenty poufnych rozmów telefonicznych, które akurat słyszała. Zeszyt leży na ladzie, a każdy, kto przez chwilę zostanie przy niej sam, może go przekartkować.
Tak działał ten błąd. Dziennik NTFS miał zapisywać tylko informacje techniczne o operacjach na plikach, a zapisywał też przypadkowe fragmenty pamięci programu. Napastnik z przygotowanym pendrive'em, który na chwilę znajdzie się przy komputerze, mógł doprowadzić do odczytu tych zapisów. Nie dostaje całych plików, tylko urywki, ale urywek z nazwiskiem, kwotą czy fragmentem hasła bywa wystarczający.
💡 NTFS to system plików, którym Windows organizuje dane na dysku. Dziennik systemu plików to zapis operacji pozwalający uniknąć uszkodzeń po nagłym wyłączeniu. Sterta to obszar pamięci, w którym programy trzymają dane podczas pracy. Atak fizyczny wymaga dostępu do samego komputera, np. podłączenia nośnika USB. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba podłącza pendrive do komputera | Najwyżej widzi zawartość nośnika | Może doprowadzić do odczytu fragmentów pamięci systemu |
Dziennik NTFS | Zawiera tylko dane techniczne | Zawiera urywki danych z pamięci |
Komputer na recepcji | Zwykłe stanowisko | Stanowisko o podwyższonym ryzyku |
Atak z internetu | Możliwy dla wielu luk | Niemożliwy dla tej luki |
Wykrycie wycieku | Widoczne alarmy | Brak awarii i alarmów, wyciek jest cichy |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luki nie da się wykorzystać przez internet: napastnik musi fizycznie podłączyć przygotowany nośnik do konkretnego komputera. CISA ocenia, że ataku nie da się zautomatyzować, a jego skutek techniczny jest częściowy. To atak na wybraną firmę, a nie masowa kampania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Wybór firmy i stanowiska, do którego można podejść (recepcja, sala spotkań, open space) | Konkretny komputer |
2. Przygotowanie | T+godziny do dni | Przygotowanie nośnika USB wykorzystującego lukę | Gotowe narzędzie |
3. Wejście do biura | T+dni | Wizyta jako kurier, serwisant, kandydat lub gość | Chwila sam na sam z komputerem |
4. Podłączenie nośnika | T+sekundy do minut | Wetknięcie pendrive'a w niezablokowany lub pozostawiony komputer | Odczyt fragmentów pamięci z dziennika NTFS |
5. Analiza danych | T+godziny do dni | Przeszukanie urywków w poszukiwaniu haseł, nazwisk, kwot | Dane do dalszego ataku |
6. Wykorzystanie | T+dni do tygodni | Użycie danych do logowania, oszustwa lub szantażu | Wyciek, straty finansowe |
Mogę Ci jakoś pomóc?
Ocena 4.6 opisuje ryzyko w skali świata, gdzie konieczność fizycznego dostępu mocno ogranicza liczbę ataków. W konkretnym biurze wygląda to inaczej: firma z otwartą recepcją, gośćmi i serwisantami ma ryzyko wyższe, niż sugeruje liczba, a firma z komputerami za zamkniętymi drzwiami niższe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Sprawdzanie stanowisk, wymiana haseł, porządkowanie dostępu fizycznego | Dni | 5 tys. do 40 tys. PLN (prace IT) |
Bezpieczeństwo danych | Wyciek urywków dokumentów, danych klientów i danych logowania | Od chwili podłączenia nośnika | 10 tys. do 100 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Skutki użycia wykradzionych haseł lub danych, koszty specjalistów | Tygodnie | 10 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których dane mogły wyciec | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezaktualizowanym Windows
i komputerami dostępnymi dla osób z zewnątrz
Wpływ
5 | . . . . .
4 | . . . . .
3 | . ■ . . . ← ŚREDNIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest średni (wyciek fragmentów pamięci, bez zmiany danych i przestoju), a prawdopodobieństwo niskie, bo atak wymaga obecności przy komputerze i nie da się go zautomatyzować; w firmie z otwartą recepcją znacznik przesuwa się w prawo, a komputery z aktualizacjami od marca 2025 roku są poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy wszystkie komputery i serwery Windows mają zbiorcze aktualizacje z marca 2025 roku lub nowsze | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje, zaczynając od stanowisk dostępnych dla osób z zewnątrz | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zidentyfikować komputery z systemami bez wsparcia, które nie dostają już poprawek, i zaplanować ich wymianę | Do 7 dni | Administrator IT / CFO |
4 | 🟠 PILNIE | Włączyć automatyczną blokadę ekranu po krótkim czasie bezczynności na wszystkich stanowiskach | Do 7 dni | Administrator IT |
5 | 🟡 WAŻNIE | Ograniczyć możliwość podłączania nośników USB na stanowiskach ogólnodostępnych | Do 30 dni | Administrator IT |
6 | 🟡 WAŻNIE | Przestawić komputery w recepcji i salach spotkań tak, by porty nie były w zasięgu gości, i ograniczyć ich dostęp do zasobów firmy | Do 30 dni | Kierownik biura / CTO |
7 | 🟡 WAŻNIE | Zamknąć serwerownię lub szafę z serwerami i prowadzić ewidencję wejść | Do 30 dni | CTO |
Microsoft wydał poprawki 11 marca 2025 roku, a ani producent, ani CISA nie podają obejścia. Aktualizacja jest więc jedynym opisanym rozwiązaniem. Poniższe środki ograniczają dostęp fizyczny, który jest warunkiem ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokowanie portów USB dla nośników pamięci zasadami systemu | Wysoka wobec tego wektora | Średnia |
Automatyczna blokada ekranu i zasada „nie zostawiamy gości samych przy komputerach” | Średnia | Łatwa |
Fizyczne zabezpieczenie serwerów (zamknięta szafa, ewidencja wejść) | Wysoka dla serwerów | Średnia |
Wymiana komputerów bez wsparcia systemu | Wysoka | Trudna: wymaga budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje Windows | Nieznany stan, możliwe braki od marca 2025 roku | Wszystkie stanowiska i serwery aktualne |
Porty USB na stanowiskach ogólnodostępnych | Otwarte dla każdego nośnika | Zablokowane dla nośników pamięci |
Blokada ekranu | Wyłączona lub długi czas | Automatyczna po krótkim czasie |
Serwery | Dostępne dla serwisu i sprzątania | Zamknięte, z ewidencją wejść |
Zgodność z wymogami | Zaległość wobec terminu CISA z 1 kwietnia 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Microsoft, wykorzystywana przed publikacją poprawki) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.6 ŚREDNIA (CVSS 3.1, Microsoft) |
PoC dostępny publicznie? | Brak publicznego kodu ataku; Microsoft w ocenie zaznacza istnienie działającego kodu (wykorzystanego w atakach) |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA), skutek techniczny częściowy |
Kontekst | Jedna z sześciu luk Windows z marcowych aktualizacji 2025 roku oznaczonych jako wykorzystywane w atakach, z nich najniżej oceniona |
Prognoza EPSS | Około 2% (wg analizy źródłowej), wyraźnie więcej, niż zwykle mają luki wymagające fizycznego dostępu |
Sygnały zagrożenia dla CVE-2025-24984
CVSS 3.1 (Microsoft) 4.6/10 █████████░░░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~2% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wykorzystana przed TAK ████████████████████ zero-day
publikacją poprawki
Wymaga dostępu fiz. TAK ████████████████████ atak celowany
Mogę Ci jakoś pomóc?
2025-03-11 Microsoft wydaje poprawki, luka oznaczona jako wykorzystywana
2025-03-11 CISA dodaje lukę do katalogu KEV
2025-03-14 CISA doprecyzowuje ocenę: aktywna, bez automatyzacji
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
... kolejne miesięczne aktualizacje Windows zawierają poprawkę
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny opis i lista aktualizacji Microsoft: msrc.microsoft.com, CVE-2025-24984 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24984 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport stanu aktualizacji Windows na wszystkich komputerach i serwerach | CTO | DZISIAJ |
2 | Zatwierdzić instalację brakujących aktualizacji w pierwszej kolejności na stanowiskach ogólnodostępnych | CTO | DZISIAJ |
3 | Uzyskać listę komputerów z systemami bez wsparcia | CTO | DO JUTRA |
4 | Zatwierdzić blokadę nośników USB i automatyczną blokadę ekranu | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę komputerów, które nie dostają już poprawek | CFO | DO JUTRA |
6 | Sprawdzić, kto z firm zewnętrznych (serwis, sprzątanie) ma dostęp do biura i serwerowni poza godzinami pracy | CFO | DO JUTRA |
7 | Sprawdzić, czy umowy z tymi firmami zawierają zapisy o poufności | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów Windows nie ma aktualizacji z marca 2025 roku lub nowszych? | [liczba] | 🔴 |
2 | Jaka jest najstarsza kompilacja Windows w firmie? | [wersja] | 🔴 |
3 | Kiedy ostatnio zainstalowano zbiorcze aktualizacje na stanowisku w recepcji? | [data] | 🔴 |
4 | Czy stanowiska blokują się automatycznie po bezczynności? | TAK / NIE | 🟠 |
5 | Czy nośniki USB są zablokowane na komputerach ogólnodostępnych? | TAK / NIE | 🟠 |
6 | Ile komputerów działa na systemach bez wsparcia Microsoft? | [liczba] | 🟠 |
7 | Czy serwerownia lub szafa z serwerami jest zamknięta i kto ma klucz? | TAK / NIE | 🟡 |
CVE-2025-24984 pozwala osobie z fizycznym dostępem do komputera z Windows odczytać przez nośnik USB fragmenty pamięci zapisane w dzienniku NTFS. Luka ma średnią ocenę, ale była wykorzystywana przed publikacją poprawki, która jest dostępna od marca 2025 roku, więc sprawdzenie aktualizacji i ograniczenie dostępu do stanowisk to zadania na dziś i ten miesiąc.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.