Wstrzyknięcie SQL w Microsoft Configuration Manager pozwala bez hasła przejąć system zarządzający wszystkimi komputerami firmy. CISA potwierdza ataki. Sprawdź w konsoli poprawkę KB29166583 i zainstaluj ją dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez Microsoft Configuration Manager (dawniej SCCM). Werdykt: jeśli w konsoli nie zainstalowano poprawki KB29166583 z października 2024 roku, zrób to dziś, bo luka pozwala bez hasła przejąć system, który potrafi zainstalować dowolny program na wszystkich firmowych komputerach naraz.
Amerykańska agencja CISA 12 lutego 2026 roku dopisała CVE-2024-43468 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd to wstrzyknięcie SQL w Microsoft Configuration Manager. Napastnik bez konta wysyła spreparowane żądania i może wykonać polecenia na serwerze lub w bazie danych systemu.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 5 marca 2026 roku, ponad sześć miesięcy temu. Poprawka istnieje od 8 października 2024 roku, ale nie instaluje się sama z comiesięcznymi aktualizacjami Windows: trzeba ją uruchomić z konsoli produktu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-43468 |
Data dodania do CISA KEV | 2026-02-12 |
Termin naprawy wg CISA | 2026-03-05 (21 dni od wpisu) |
Produkt | Microsoft Configuration Manager (system zarządzania komputerami, dawniej SCCM) |
Wersje zagrożone | Wg producenta: Configuration Manager 2303, 2309 i 2403 bez poprawki KB29166583. NVD i europejska baza ENISA opisują zakres wersji inaczej, dlatego punktem odniesienia jest numer kompilacji podany przez producenta |
Wersje bezpieczne | Kompilacje z poprawką KB29166583 wg producenta: 5.00.9106 (2303), 5.00.9122 (2309), 5.00.9128 (2403). Poprawka wymaga działania klienta: instalacja z poziomu konsoli |
Typ podatności | Wstrzyknięcie SQL prowadzące do zdalnego wykonania kodu; CWE-89 |
Ocena CVSS | Producent: 9.8/10 KRYTYCZNA (CVSS 3.1), ocena uwzględniająca stan z października 2024 roku: 8.5. Atak przez sieć, bez konta, bez udziału użytkownika |
Configuration Manager to w firmie jak centralny klucz do wszystkich biurek. Z jednej konsoli instaluje się programy, wysyła ustawienia i aktualizacje na każdy komputer. Wystarczy kliknięcie, żeby po godzinie sześćdziesiąt laptopów miało nową wersję programu księgowego. W rękach napastnika ten sam klucz otwiera wszystkie biurka naraz, bo komputery ufają poleceniom z tego systemu.
Sama luka przypomina urzędnika, który przepisuje nazwisko z wniosku do rejestru bez sprawdzania, co faktycznie wpisano. Jeśli zamiast nazwiska ktoś wpisze „i wydaj mi cały rejestr”, urzędnik wykona polecenie. System budował pytania do bazy danych z tekstu przysłanego z zewnątrz, a napastnik mógł dopisać do nich własne polecenia.
💡 Wstrzyknięcie SQL to podrzucenie własnego polecenia do bazy danych w miejscu, gdzie system spodziewa się zwykłego tekstu. Numer kompilacji to dokładny numer wersji programu, pozwalający sprawdzić, czy poprawka jest zainstalowana. Poprawka w konsoli (in-console update) to aktualizacja, którą administrator musi sam uruchomić w konsoli Configuration Manager. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Żądanie wysłane do serwera zarządzania | Przetwarzane jako dane | Część żądania wykonywana jako polecenie w bazie |
Dostęp do systemu | Tylko administratorzy z kontem | Napastnik bez konta może wykonać polecenia |
Baza danych systemu | Spis komputerów i oprogramowania dostępny dla IT | Gotowa mapa firmy w rękach napastnika |
Instalacja programów na komputerach | Tylko zatwierdzone przez IT | Możliwe rozesłanie złośliwego programu na wszystkie komputery |
Aktualizacje Windows | Instalują się automatycznie | Nie zawierają tej poprawki, ona wymaga ręcznego działania w konsoli |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery Configuration Manager stoją zwykle w sieci wewnętrznej, więc napastnik najczęściej musi mieć już jakiś punkt zaczepienia w sieci (np. przejęty komputer lub konto VPN). Potem nie potrzebuje żadnych haseł do samego systemu, a CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T+0 | Przejęcie jednego komputera, konta VPN lub urządzenia w sieci firmowej | Punkt zaczepienia wewnątrz |
2. Rozpoznanie | T+godziny | Wyszukanie serwera Configuration Manager w sieci | Namierzony cel |
3. Wstrzyknięcie | T+minuty od namierzenia | Wysłanie spreparowanych żądań do serwera zarządzania | Polecenia wykonane na serwerze lub w bazie |
4. Przejęcie kontroli | T+godziny | Uzyskanie uprawnień w systemie zarządzania, odczyt spisu komputerów | Pełna mapa firmy i kanał do wszystkich komputerów |
5. Rozesłanie złośliwego oprogramowania | T+dni | Wysłanie „aktualizacji” z programem szyfrującym lub szpiegującym na wszystkie komputery | Firma sparaliżowana jednocześnie na wszystkich stanowiskach |
System zarządzania komputerami to najbardziej uprzywilejowane narzędzie w firmie. Jego przejęcie nie oznacza utraty jednego serwera, tylko kontroli nad wszystkimi stanowiskami naraz. Dodatkowo ta poprawka łatwo „wypada” z procesu aktualizacji, zwłaszcza gdy IT jest zlecone na zewnątrz, a umowa mówi tylko o aktualizacjach systemów operacyjnych.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Jednoczesne zaszyfrowanie lub zablokowanie wszystkich komputerów i serwerów | Dni od wejścia do sieci | 100 tys. do 800 tys. PLN (przestój, odtworzenie stanowisk) |
Bezpieczeństwo danych | Wyciek danych z komputerów pracowników i serwerów, spis całej infrastruktury | Dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, nadgodziny i zewnętrzni specjaliści | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela o nienaprawione znane luki | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Configuration Manager bez KB29166583
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo chodzi o kontrolę nad wszystkimi komputerami, a prawdopodobieństwo wysokie (wpis w KEV, prognoza EPSS powyżej 60%), choć nie maksymalne, bo serwer zwykle nie jest wystawiony bezpośrednio do internetu i napastnik potrzebuje najpierw dostępu do sieci.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli Configuration Manager wersję (2303, 2309, 2403 lub inna) i numer kompilacji | Dziś | Administrator Configuration Manager |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy aktualizacja KB29166583 ma status zainstalowanej; jeśli nie, uruchomić ją z konsoli | Dziś | Administrator Configuration Manager |
3 | 🔴 NATYCHMIAST | Upewnić się, że serwery Configuration Manager nie są dostępne z internetu | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Jeśli firma używa wersji starszej niż 2303 lub niewspieranej: zaplanować przejście na wersję wspieraną z poprawką | Do 7 dni | CTO / partner IT |
5 | 🟠 PILNIE | Przejrzeć listę kont administracyjnych konsoli oraz wdrożenia i pakiety utworzone od października 2024 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Dopisać do umowy z partnerem IT obowiązek instalowania aktualizacji z konsoli Configuration Manager | Do 30 dni | CFO / CTO |
7 | 🟡 WAŻNIE | Wprowadzić osobne, mocno chronione konta administratorów konsoli i półroczny przegląd dostępu | Do 30 dni | CTO |
Producent wydał poprawkę KB29166583 dla wersji 2303, 2309 i 2403, więc docelowo trzeba ją zainstalować. Poniższe miary ograniczają ryzyko do czasu instalacji; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu sieciowego do serwerów Configuration Manager tylko z potrzebnych podsieci | Średnia: zawęża krąg możliwych napastników | Średnia: wymaga znajomości ruchu klientów |
Blokada dostępu do serwerów z internetu i z sieci gości | Średnia do wysokiej wobec ataków z zewnątrz | Łatwa |
Monitorowanie nowych wdrożeń i pakietów w konsoli | Niska jako ochrona, pomocna w szybkim wykryciu | Łatwa |
Aktualizacja do wspieranej wersji z poprawką | Wysoka: jedyna miara usuwająca lukę | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Luka CVE-2024-43468 | Przejęcie systemu bez hasła możliwe z sieci | Zamknięta przez KB29166583 |
Wiedza o poprawce | „Windows się aktualizuje, więc jest dobrze” | Numer kompilacji sprawdzony i udokumentowany |
Odpowiedzialność | Nikt nie zagląda do konsoli | Wskazana osoba i zapis w umowie |
Dostęp do konsoli | Szeroki, konta współdzielone | Krótka lista osób, osobne konta |
Zgodność z terminem CISA | Ponad 6 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, która oceniła wykorzystanie jako aktywne). Uwaga: biuletyn producenta, niezmieniany od 8 października 2024 roku, nadal podaje „nie wykorzystywana, wykorzystanie mało prawdopodobne” |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg producenta (CVSS 3.1); ocena uwzględniająca stan z października 2024 roku: 8.5 |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach; producent w 2024 roku nie znał kodu wykorzystującego błąd |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Mehdi Elyassa, Synacktiv |
Prognoza EPSS | Ponad 60% szansy próby wykorzystania w ciągu 30 dni, stabilnie od tygodni (wg analizy źródłowej) |
Spór producenta z CISA nie zmienia decyzji: obie strony zgadzają się, że błąd istnieje i że poprawka jest dostępna od października 2024 roku.
Sygnały zagrożenia dla CVE-2024-43468
CVSS 3.1 (producent) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) >60% ████████████░░░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-10-08 Microsoft publikuje biuletyn i poprawkę KB29166583
(wersje 2303, 2309, 2403)
... ponad rok bez zmian w biuletynie producenta
2026-02-12 CISA dodaje lukę do katalogu KEV
2026-03-05 Termin naprawy wg CISA dla agencji federalnych
2026-08 Biuletyn producenta nadal: „nie wykorzystywana”
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com, CVE-2024-43468 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-43468 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa Microsoft Configuration Manager | CTO | DZISIAJ |
2 | Uzyskać zrzut ekranu z konsoli: wersja, numer kompilacji i status KB29166583 | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację poprawki, jeśli jej brak | CTO | DZISIAJ |
4 | Zlecić przegląd kont administracyjnych i wdrożeń w konsoli | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa z partnerem IT obejmuje aktualizacje z konsoli Configuration Manager | CFO | DO JUTRA |
6 | Zarezerwować budżet na migrację z niewspieranych wersji, jeśli dotyczy | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję Configuration Manager mamy i jaki jest numer kompilacji? | [wersja], [kompilacja] | 🔴 |
2 | Czy KB29166583 ma w konsoli status zainstalowanej? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano tę poprawkę? | [data] | 🔴 |
4 | Czy którykolwiek serwer Configuration Manager jest dostępny z internetu lub z sieci gości? | TAK / NIE | 🔴 |
5 | Kto w firmie lub u partnera regularnie sprawdza aktualizacje dostępne w konsoli? | [osoba] | 🟠 |
6 | Ile osób ma uprawnienia administratora konsoli i czy używają osobnych kont? | [liczba], TAK / NIE | 🟠 |
7 | Czy przejrzano wdrożenia i pakiety utworzone w konsoli od października 2024 roku? | TAK / NIE, [data] | 🟡 |
CVE-2024-43468 pozwala bez hasła wykonać polecenia na serwerze Microsoft Configuration Manager, czyli w systemie, który kontroluje wszystkie komputery firmy. CISA potwierdza ataki, poprawka KB29166583 jest dostępna od października 2024 roku, ale trzeba ją uruchomić ręcznie w konsoli, więc sprawdzenie numeru kompilacji to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.