Spreparowana prezentacja w PowerPoint 2000, 2002, 2003 lub Office 2004 dla Maca pozwala przejąć komputer. CISA w 2026 roku potwierdza ataki. Znajdź stare pakiety Office, odizoluj je i usuń.
Ten alert jest dla zarządu, CTO i CFO firm, w których mogą jeszcze działać stare wersje pakietu Microsoft Office, choćby na jednym komputerze do archiwalnych plików. Werdykt: jeśli gdziekolwiek jest PowerPoint 2000, 2002, 2003 lub Office 2004 dla Maca, odłącz te stanowiska od sieci albo usuń stary pakiet, bo CISA w styczniu 2026 roku potwierdziła, że ta luka z 2009 roku jest wykorzystywana.
Amerykańska agencja CISA 7 stycznia 2026 roku dopisała CVE-2009-0556 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. To błąd sprzed siedemnastu lat w programie PowerPoint: przygotowany plik prezentacji odsyła program do elementu, którego nie ma, co psuje pamięć i pozwala uruchomić kod napastnika z uprawnieniami zalogowanego użytkownika. Już w kwietniu 2009 roku lukę wykorzystywał szkodnik oznaczony przez Microsoft jako Apptom.
Microsoft wydał poprawkę w biuletynie MS09-017 12 maja 2009 roku, a 9 czerwca 2009 roku wydał go ponownie z pakietami dla produktów pominiętych za pierwszym razem. Wszystkie podatne wersje dawno straciły wsparcie. Termin naprawy wg CISA minął 28 stycznia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2009-0556 |
Data dodania do CISA KEV | 2026-01-07 |
Termin naprawy wg CISA | 2026-01-28 |
Produkt | Microsoft Office, program PowerPoint |
Wersje zagrożone | PowerPoint 2000 SP3, PowerPoint 2002 SP3, PowerPoint 2003 SP3 i PowerPoint w Office 2004 dla Maca, bez aktualizacji z biuletynu MS09-017. Atak wymaga otwarcia spreparowanego pliku przez użytkownika |
Wersje bezpieczne | Wymienione wersje z aktualizacjami MS09-017 (maj 2009, dla Maca czerwiec 2009). Wszystkie są od lat bez wsparcia, więc docelowo: aktualny, wspierany pakiet Office lub Microsoft 365. PowerPoint 2007 według tabeli biuletynu nie był podatny na tę konkretną lukę |
Typ podatności | Uszkodzenie pamięci przez nieprawidłowy indeks w rekordzie |
Ocena CVSS | NVD: 9.3 (CVSS 2.0, starsza skala). CISA-ADP: 8.8 WYSOKA (CVSS 3.1, atak wymaga działania użytkownika). CERT/CC (własna, inna miara): 9,28. Microsoft: krytyczna dla PowerPoint 2000, ważna dla 2002, 2003 i Office 2004 dla Maca |
Wyobraź sobie magazyniera, który dostaje zlecenie: „wydaj towar z regału numer 900”. W magazynie jest pięć regałów. Zamiast odmówić, magazynier idzie tam, gdzie mógłby stać regał 900, i wydaje to, co akurat tam leży, a napastnik wcześniej zadbał, żeby leżała tam jego paczka.
Tak działała ta luka. Plik prezentacji to nie obrazek, tylko zestaw opisów, a część z nich to odsyłacze: „weź tekst z pozycji numer X”. PowerPoint przyjmował numer bez sprawdzenia, czy taka pozycja istnieje. Spreparowany plik wskazywał poza listę, program sięgał w nieprzeznaczone do tego miejsce pamięci i w efekcie wykonywał kod napastnika. Sama wiadomość w skrzynce nic nie robiła: ktoś musiał otworzyć plik.
💡 KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach, niezależnie od ich wieku. Biuletyn bezpieczeństwa to komunikat Microsoft z listą poprawek; jego numer (MS09-017) się nie zmienia, ale wersja biuletynu może wzrosnąć, gdy producent dołoży pakiety. Uszkodzenie pamięci to sytuacja, w której program zapisuje lub czyta dane w niewłaściwym miejscu, co napastnik może wykorzystać do przejęcia sterowania.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera prezentację od kontrahenta | Wyświetlają się slajdy | Wyświetlają się slajdy, a w tle uruchamia się kod napastnika |
Uprawnienia napastnika | Brak dostępu do komputera | Takie jak zalogowany użytkownik |
Stary komputer do archiwalnych plików | „Nikomu nie przeszkadza” | Jest celem znanym z urzędowego katalogu |
Aktualizacja z maja 2009 zainstalowana | Temat zamknięty | Komputery Mac wymagały pakietu z czerwca 2009 |
Pytanie o poprawkę dziś | Producent wydaje łatki | Brak nowych łatek, wersje bez wsparcia |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie działa przez samo skanowanie sieci: ofiara musi otworzyć plik PowerPoint w starej, podatnej wersji programu. Według CISA atak nie jest automatyzowalny, bo potrzebna jest osoba otwierająca plik.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Stworzenie pliku | Złośliwa prezentacja |
2. Dostarczenie | T+godziny | Wysłanie pliku jako oferty, materiałów szkoleniowych lub z przejętej skrzynki kontrahenta | Plik w skrzynce pracownika |
3. Otwarcie | T+minuty do dni | Pracownik otwiera prezentację w starym PowerPoincie | Kod napastnika działa z uprawnieniami użytkownika |
4. Instalacja | T+minuty od otwarcia | Pobranie złośliwego programu, utrwalenie na komputerze | Stały dostęp do stanowiska |
5. Kradzież | T+dni | Kopiowanie dokumentów, list klientów, korespondencji, haseł zapisanych w systemie | Dane poza firmą |
6. Dalszy ruch | T+tygodnie | Wykorzystanie stanowiska jako punktu wejścia do sieci firmy | Szersze włamanie |
Dla firmy z aktualnym Microsoft 365 ta konkretna luka nie jest zagrożeniem. Ryzyko dotyczy miejsc, o których zapomniano: starych komputerów do archiwalnych plików, maszyn sterujących urządzeniami, stanowisk z dawnymi licencjami. Wpis do katalogu CISA w 2026 roku oznacza, że ktoś wciąż takie miejsca znajduje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie przejętego stanowiska, przegląd sieci | Dni | 5 tys. do 50 tys. PLN (praca IT, odtworzenie) |
Bezpieczeństwo danych | Wyciek dokumentów, list klientów i korespondencji z przejętego komputera | Dni od otwarcia pliku | 15 tys. do 120 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty reakcji, możliwy dalszy atak na sieć | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Informacja dla klientów o wycieku ich danych | Tygodnie do miesięcy | 20 tys. do 150 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności, zwłaszcza przy świadomym używaniu oprogramowania bez wsparcia | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla typowej firmy
(stary PowerPoint tylko na pojedynczych, zapomnianych stanowiskach)
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (przejęcie stanowiska przez jeden plik), ale dla większości firm prawdopodobieństwo jest niskie, bo podatne wersje są rzadko używane; w firmie, która nadal pracuje na Office 2000 do 2003, ten sam znacznik przesuwa się do prawej, do poziomu wysokiego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wyszukać w spisie oprogramowania wszystkie instalacje Office 2000, 2002 (XP), 2003 i Office 2004 dla Maca | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Odłączyć od sieci i poczty stanowiska, na których taki pakiet musi zostać | Dziś | Administrator |
3 | 🟠 PILNIE | Odinstalować stare pakiety i zastąpić je wspieraną wersją Office lub Microsoft 365 | Do 7 dni | Administrator / partner IT |
4 | 🟠 PILNIE | Przekonwertować archiwalne pliki | Do 7 dni | Właściciel archiwum / administrator |
5 | 🟠 PILNIE | Sprawdzić komputery Mac i starsze pakiety biurowe kupione „przy okazji”, które nie trafiły do spisu | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Wprowadzić zasadę: poprawka wraca do sprawdzenia, gdy producent podnosi wersję biuletynu | Do 30 dni | Kierownik IT |
7 | 🟡 WAŻNIE | Przyjmować pliki od zewnętrznych osób przez folder w chmurze z podglądem, zamiast otwierać załączniki | Do 30 dni | CTO |
Dla podatnych wersji Microsoft nie wyda już nowych poprawek, a biuletyn MS09-017 jest jedyną łatką. W 2009 roku, przed jej wydaniem, producent zalecał trzy obejścia, które nadal ograniczają ryzyko na maszynie, która musi zostać. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie starego pakietu i otwieranie plików | Wysoka | Łatwa do średniej (koszt licencji) |
Odłączenie stanowiska ze starym Office od internetu, poczty i sieci firmowej | Wysoka: odcina drogę dostarczenia pliku | Łatwa |
Blokada otwierania starych binarnych formatów plików (zalecenie Microsoft z 2009 roku) | Średnia do wysokiej | Średnia |
Nieotwieranie plików PowerPoint z niezaufanych źródeł na tym stanowisku (zalecenie Microsoft) | Niska do średniej: zależy od dyscypliny | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stary PowerPoint | Zapomniany na kilku stanowiskach | Usunięty lub odizolowany od sieci |
Archiwalne prezentacje | Wymagają starego programu | Przekonwertowane do nowego formatu |
Komputery Mac | Poza spisem i poza aktualizacjami | Spisane i objęte aktualizacjami |
Obieg plików od kontrahentów | Załączniki otwierane odruchowo | Folder w chmurze z podglądem |
Nadzór nad poprawkami | „Biuletyn zainstalowany” | Kontrola także nowych wersji biuletynu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA w 2026 roku); już w kwietniu 2009 roku wykorzystywana przez szkodnik Exploit:Win32/Apptom.gen, a Microsoft potwierdzał ograniczone, ukierunkowane ataki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 (NVD, CVSS 2.0); 8.8 WYSOKA (CISA-ADP, CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzonego publicznego PoC w przejrzanych źródłach; w 2009 roku działał złośliwy kod w atakach |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 0,68, powyżej 99% wszystkich znanych luk (wg analizy źródłowej) |
Wsparcie producenta | Wszystkie podatne wersje bez wsparcia, nowych poprawek nie będzie |
Trzy liczby opisujące wagę krążą wokół dziewiątki, ale pochodzą z różnych systemów i nie należy ich ze sobą porównywać:
Oceny wagi CVE-2009-0556
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ starsza skala
CVSS 3.1 (CISA-ADP) 8.8/10 ██████████████████░░ WYSOKA
CERT/CC (własna miara) 9,28 ███████████████████░ inny system
EPSS (próba w 30 dni) ~68% ██████████████░░░░░░ percentyl > 99
CISA KEV TAK ████████████████████ ataki potwierdzone 2009-04-02 Microsoft wydaje ostrzeżenie 969136 bez poprawki
2009-04-03 CERT/CC publikuje notatkę, publikacja CVE-2009-0556
2009-04 Wykorzystanie w atakach (Exploit:Win32/Apptom.gen)
2009-05-12 Biuletyn MS09-017 z poprawką dla Windows
2009-06-09 MS09-017 w wersji 2.0: pakiety dla Office na Maca i Works
2026-01-07 CISA dodaje lukę do katalogu KEV
2026-01-28 Termin naprawy wg CISA dla agencji federalnych
... prawie 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z poprawkami: MS09-017 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2009-0556 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić wyszukanie starych pakietów Office na wszystkich komputerach, także Mac | CTO | DZISIAJ |
2 | Zatwierdzić odłączenie od sieci stanowisk ze starym Office | CTO | DZISIAJ |
3 | Ustalić właściciela archiwum, które wymaga starego programu | CTO | DO JUTRA |
4 | Zatwierdzić plan usunięcia lub wymiany starych pakietów | CTO | DO JUTRA |
5 | Oszacować koszt licencji wspieranego Office dla pozostałych stanowisk | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody z oprogramowania bez wsparcia | CFO | DO JUTRA |
7 | Dopisać do budżetu rok wymiany każdego oprogramowania, które traci wsparcie | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek komputerze działa Office 2000, 2002, 2003 lub Office 2004 dla Maca? | TAK / NIE, [liczba] | 🔴 |
2 | Czy te stanowiska mają dostęp do internetu, poczty lub sieci firmowej? | TAK / NIE | 🔴 |
3 | Czy mamy pełny spis oprogramowania, łącznie z komputerami Mac? | TAK / NIE | 🔴 |
4 | Dlaczego stary pakiet jest jeszcze potrzebny i czy pliki da się przekonwertować? | [powód] | 🟠 |
5 | Kiedy stary pakiet zostanie usunięty? | [data] | 🟠 |
6 | Czy sprawdzamy ponownie poprawki, gdy producent podnosi wersję biuletynu? | TAK / NIE | 🟠 |
7 | Jakie inne programy bez wsparcia producenta działają w firmie? | [lista] | 🟡 |
CVE-2009-0556 to luka w PowerPoint 2000, 2002, 2003 i Office 2004 dla Maca, która pozwala przejąć komputer po otwarciu spreparowanej prezentacji. Poprawka istnieje od 2009 roku, ale CISA w styczniu 2026 roku potwierdziła, że luka jest nadal wykorzystywana, więc wyszukanie i odizolowanie starych pakietów Office to zadanie na dziś, a ich usunięcie na najbliższy tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.