Błąd w sterowniku WinSock pozwala osobie z kontem na Windows zostać administratorem. Na Server 2008 i 2008 R2 zwykły majowy pakiet go nie zamykał. CISA potwierdza ataki. Sprawdź osobne poprawki z 13 maja 2025.
Ten alert jest dla zarządu, CTO i CFO firm, które mają komputery i serwery z Windows, a szczególnie stare serwery Windows Server 2008 lub 2008 R2 w rozszerzonym wsparciu. Werdykt: na tych dwóch systemach sprawdź dziś, czy doinstalowano osobne aktualizacje z 13 maja 2025 roku, bo zwykły majowy pakiet nie zamykał luki, a na pozostałych Windows upewnij się, że aktualizacje z maja 2025 lub nowsze są zainstalowane.
Amerykańska agencja CISA 13 maja 2025 roku, w dniu publikacji poprawek, dopisała CVE-2025-32709 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w sterowniku Ancillary Function Driver for WinSock (afd.sys), przez który przechodzi komunikacja sieciowa Windows. Pozwala osobie z kontem na komputerze podnieść uprawnienia do poziomu administratora.
Pułapka dotyczy Windows Server 2008 i 2008 R2: według Microsoft zwykłe majowe pakiety dla tych systemów nie zawierały ochrony. Trzeba było doinstalować osobne aktualizacje wydane poza cyklem, nawet jeśli pakiet majowy był już zainstalowany. Termin naprawy wg CISA minął 3 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32709 |
Data dodania do CISA KEV | 2025-05-13 |
Termin naprawy wg CISA | 2025-06-03 |
Produkt | Microsoft Windows, sterownik Ancillary Function Driver for WinSock |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2, 2025 bez aktualizacji z maja 2025. Wymagane konto na komputerze (niskie uprawnienia) i dostęp lokalny |
Wersje bezpieczne | Kompilacje wg NVD: Windows 10 1507: 10240.21014; 1607 i Server 2016: 14393.8066; 1809 i Server 2019: 17763.7314; 21H2/22H2: 19044/19045.5854; Windows 11 22H2/23H2: 22621/22631.5335; 24H2 i Server 2025: 26100.3981; Server 2022: 20348.3692; Server 2022 23H2: 25398.1611. Windows Server 2008: KB5061197 lub KB5061198; Windows Server 2008 R2: KB5061195 lub KB5061196 (nie wystarczą KB5058429, KB5058449, KB5058430, KB5058454) |
Typ podatności | Lokalne podniesienie uprawnień do administratora; opis Microsoft: wyłuskanie pustego wskaźnika, klasyfikacja Microsoft i CISA: użycie pamięci po zwolnieniu (CWE-416) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft); w ocenie rozszerzonej 6.8, bo kod ataku oznaczono jako niepotwierdzony, mimo potwierdzonego wykorzystania. Atak lokalny, niska złożoność, niskie uprawnienia, bez udziału użytkownika |
Wyobraź sobie administratora budynku, który dostaje listę zadań: „wymienić zamki w maju”. Ekipa przyjeżdża, wymienia zamki z katalogu, administrator odhacza zadanie. Nikt nie doczytał dopisku drobnym drukiem, że w starym skrzydle budynku zamki z katalogu nie pasują i trzeba zamówić osobne, specjalne wkładki. Na papierze wszystko jest zrobione, a drzwi w starym skrzydle nadal otwiera stary klucz.
Tak wyglądała ta luka na Windows Server 2008 i 2008 R2. Sam błąd siedzi w sterowniku obsługującym każde połączenie sieciowe i działającym z pełnymi uprawnieniami. Napastnik z dowolnym kontem na komputerze, na przykład po kliknięciu przez pracownika w złośliwy załącznik, mógł zdobyć uprawnienia administratora: zainstalować oprogramowanie, wyłączyć ochronę, sięgnąć po cudze dane. Na nowszych systemach poprawka przyszła zwykłą drogą, na starych serwerach wymagała ręcznego doinstalowania.
💡 WinSock to warstwa Windows obsługująca komunikację sieciową programów. Sterownik jądra działa z pełnymi uprawnieniami systemu. Podniesienie uprawnień to drugi krok włamania: z konta zwykłego użytkownika do administratora. ESU (Extended Security Updates) to płatne rozszerzone wsparcie dla starych systemów; poprawki dla nich czasem wychodzą inną ścieżką. Aktualizacja poza cyklem (out-of-band) to poprawka wydana poza comiesięcznym Patch Tuesday.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Szkodnik na koncie pracownika | Ograniczone prawa | Uprawnienia administratora |
Majowy pakiet na Windows Server 2008 zainstalowany | Luka zamknięta | Luka nadal otwarta bez osobnych poprawek |
Komunikat o sukcesie aktualizacji | Oznacza ochronę | Nie oznacza ochrony przed tą luką |
Zasada „łatamy powyżej 7 punktów” | Obejmuje ważne luki | Ocena rozszerzona 6.8 mogła przesunąć lukę na później |
Stary serwer z oprogramowaniem maszyn | Instalowany raz na kwartał | Pozostaje podatny mimo wykonanej pracy |
źródło: Pexels, Andy BarbourPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia z internetu: napastnik musi mieć konto i możliwość uruchomienia kodu na komputerze. Według oceny CISA atak nie jest automatyzowalny na masową skalę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wyłudzone hasło do pulpitu zdalnego lub przejęte konto | Kod na koncie z niskimi uprawnieniami |
2. Podniesienie uprawnień | T+kilka minut | Wykorzystanie błędu w sterowniku afd.sys | Uprawnienia administratora |
3. Wyłączenie ochrony | T+kilkanaście minut | Zatrzymanie antywirusa, dodanie własnego konta administratora | Komputer pod kontrolą napastnika |
4. Kradzież | T+godziny | Odczyt danych innych użytkowników, haseł zapisanych w systemie | Dane i poświadczenia poza firmą |
5. Ruch w sieci | T+dni | Logowanie na inne serwery, szczególnie stare i słabiej chronione | Większa część sieci pod kontrolą |
6. Szantaż | T+dni do tygodni | Szyfrowanie serwerów, groźba publikacji danych | Przestój i żądanie okupu |
Największe ryzyko to fałszywe poczucie bezpieczeństwa. Serwer, który dostaje poprawki inną ścieżką niż reszta firmy, może pozostać podatny mimo wykonanej i odhaczonej pracy. Takie serwery zwykle obsługują rzeczy trudne do wymiany: maszyny produkcyjne, stare programy księgowe, systemy branżowe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie serwera sterującego produkcją lub starym systemem branżowym | Dni | 30 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Dostęp do danych wszystkich użytkowników serwera, kradzież haseł | Godziny | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracona produkcja, koszty specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Opóźnione dostawy, informacja o incydencie dla klientów | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windows Server 2008 / 2008 R2
bez osobnych poprawek z 13 maja 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (wykorzystanie potwierdzone, a pierwszy krok, czyli zwykłe konto, napastnicy zdobywają rutynowo), wpływ wysoki, ale nie maksymalny, bo luka sama nie daje wejścia z internetu; dla aktualnych systemów z włączonymi aktualizacjami ryzyko tej konkretnej luki jest już niskie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery z Windows Server 2008 i 2008 R2 | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Sprawdzić na nich obecność KB5061197/KB5061198 (2008) lub KB5061195/KB5061196 (2008 R2) albo nowszych aktualizacji zbiorczych | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Doinstalować brakujące poprawki ręcznie i zrestartować serwery | Dziś | Administrator / partner IT |
4 | 🟠 PILNIE | Na pozostałych Windows potwierdzić aktualizacje zbiorcze z maja 2025 lub nowsze | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Ograniczyć liczbę kont z możliwością logowania na starych serwerach | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Wydzielić stare serwery w osobnym segmencie sieci z ograniczonym dostępem | Do 30 dni | Administrator sieci / CTO |
7 | 🟡 WAŻNIE | Przygotować plan wymiany systemów bez podstawowego wsparcia | Do 30 dni | CTO / CFO |
Microsoft wydał poprawki dla wszystkich wymienionych systemów, a dla Windows Server 2008 i 2008 R2 w ramach rozszerzonego wsparcia (ESU). Obejścia nie ma: składnika obsługującego sieć nie da się wyłączyć bez odcięcia serwera. Systemy bez ESU nie dostaną poprawki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wydzielony segment sieci dla starych serwerów, dostęp tylko z kilku stanowisk | Średnia do wysokiej: utrudnia dotarcie do serwera | Średnia |
Ograniczenie kont z prawem logowania do minimum | Średnia: utrudnia pierwszy krok ataku | Łatwa |
Wyłączenie pulpitu zdalnego z internetu i wymuszenie VPN z drugim składnikiem | Średnia | Łatwa do średniej |
Wymiana systemu na wspierany | Wysoka | Trudna: często wymaga zmian w oprogramowaniu branżowym |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Windows Server 2008 / 2008 R2 | Zainstalowany zwykły pakiet majowy, luka otwarta | Doinstalowane osobne poprawki, luka zamknięta |
Wiedza o stanie serwerów | „Aktualizacje zrobione” | Sprawdzone numery KB na każdym serwerze |
Priorytety aktualizacji | Według liczby CVSS | Według faktu wykorzystania (CISA KEV) |
Dostęp do starych serwerów | Z całej sieci biurowej | Z wydzielonego segmentu |
Plan na przyszłość | Brak | Harmonogram wymiany systemów bez wsparcia |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft oznaczył ją jako wykorzystywaną w dniu wydania poprawki |
Grupy przestępcze | Brak publicznych informacji; Microsoft podaje zgłaszającego jako anonimowego |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (Microsoft, CVSS 3.1); 6.8 w ocenie rozszerzonej (kod ataku „niepotwierdzony”) |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft oznaczył dojrzałość kodu ataku jako niepotwierdzoną |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,021 (percentyl 0,803), czyli wyżej niż 80% znanych luk (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC) z 14 maja 2025: nie; wpływ techniczny: całkowity |
Ta luka pokazuje, dlaczego liczba CVSS nie powinna sama decydować o kolejności prac:
Sygnały zagrożenia dla CVE-2025-32709
CVSS 3.1 bazowy 7.8/10 ████████████████░░░░ WYSOKA
CVSS 3.1 rozszerzony 6.8/10 ██████████████░░░░░░ mylnie obniżony
EPSS (próba w 30 dni) ~2% ░░░░░░░░░░░░░░░░░░░░ percentyl 80
Wykorzystanie (MSRC) TAK ████████████████████ w dniu poprawki
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-05-13 Microsoft publikuje poprawki (Patch Tuesday), luka oznaczona jako wykorzystywana
2025-05-13 Osobne aktualizacje poza cyklem dla Windows Server 2008 i 2008 R2
2025-05-13 CISA dodaje lukę do katalogu KEV
2025-05-14 CISA publikuje ocenę SSVC: wykorzystanie aktywne
2025-05-15 Microsoft poprawia komunikat, dopisując edycje Server 2008 i 2008 R2
2025-06-03 Termin naprawy wg CISA dla agencji federalnych
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji i uwagą o Windows Server 2008: MSRC, CVE-2025-32709 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32709 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów z Windows Server 2008 i 2008 R2 | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie numerów KB z poprawką na każdym z nich | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na doinstalowanie poprawek i restart | CTO | DZISIAJ |
4 | Potwierdzić, że firma ma aktywne ESU dla tych serwerów | CFO | DO JUTRA |
5 | Oszacować koszt wymiany starych serwerów i oprogramowania branżowego | CFO | DO JUTRA |
6 | Zmienić zasadę priorytetów: luki z katalogu CISA KEV łatane niezależnie od liczby CVSS | CTO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące systemów bez podstawowego wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile serwerów z Windows Server 2008 lub 2008 R2 działa w firmie? | [liczba] | 🔴 |
2 | Czy każdy z nich ma KB5061195/96 (2008 R2) lub KB5061197/98 (2008) albo nowszą aktualizację? | TAK / NIE | 🔴 |
3 | Czy mamy aktywne ESU dla tych serwerów? | TAK / NIE, [data ważności] | 🔴 |
4 | Czy pozostałe Windows mają aktualizacje zbiorcze z maja 2025 lub nowsze? | TAK / NIE, [liczba zaległych] | 🟠 |
5 | Ile kont może logować się na starych serwerach? | [liczba] | 🟠 |
6 | Czy stare serwery są w wydzielonym segmencie sieci? | TAK / NIE | 🟠 |
7 | Czy lista kontrolna aktualizacji uwzględnia wyjątki z komunikatów Microsoft? | TAK / NIE | 🟡 |
CVE-2025-32709 w sterowniku WinSock pozwala osobie z kontem na komputerze zostać administratorem, a Microsoft i CISA potwierdzają ataki od maja 2025 roku. Na Windows Server 2008 i 2008 R2 zwykły majowy pakiet nie zamykał luki, więc sprawdzenie i doinstalowanie osobnych poprawek KB5061195 do KB5061198 to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.