CISA potwierdza, że luka w Internet Explorerze 6, 7 i 8 załatana w 2010 roku jest nadal wykorzystywana. Otwarcie spreparowanej strony może dać napastnikowi kontrolę nad komputerem. Znajdź stare stacje i odetnij je od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, w których mogą jeszcze działać stare komputery z Internet Explorerem: stacje przy maszynach, panele linii produkcyjnych, komputery przy aparaturze. Werdykt: jeśli gdzieś w firmie pracuje Internet Explorer 6, 7 lub 8 bez aktualizacji MS10-002, odetnij tę maszynę od internetu i poczty dziś, a docelowo wycofaj ją z użycia, bo CISA potwierdza aktywne wykorzystanie tej luki.
Amerykańska agencja CISA 20 maja 2026 roku dopisała do katalogu KEV podatność CVE-2010-0249 w Internet Explorerze. KEV (Known Exploited Vulnerabilities) to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Luka trafiła tam w grupie siedmiu starych podatności ogłoszonych jednym komunikatem.
To błąd sprzed ponad szesnastu lat. Microsoft załatał go 21 stycznia 2010 roku, a baza NVD wiąże go z atakami z grudnia 2009 i stycznia 2010 roku znanymi jako Operation Aurora. Sam wpis w KEV mówi jednak coś ważnego o dniu dzisiejszym: produkt może być po zakończeniu wsparcia, a użytkownicy powinni przestać go używać. Termin naprawy wyznaczony przez CISA minął 3 czerwca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2010-0249 |
Data dodania do CISA KEV | 2026-05-20 |
Termin naprawy wg CISA | 2026-06-03 (14 dni od wpisu) |
Produkt | Microsoft Internet Explorer |
Wersje zagrożone | Internet Explorer 6, 6 SP1, 7 i 8 na Windows 2000 SP4, Windows XP SP2 i SP3, Windows Server 2003 SP2, Windows Vista (bez SP, SP1, SP2), Windows Server 2008 (bez SP, SP2, R2) i Windows 7, bez aktualizacji MS10-002. Na Windows Server 2003 i 2008 atak utrudnia domyślny tryb Enhanced Security Configuration |
Wersje bezpieczne | Systemy z aktualizacją zbiorczą MS10-002 (aktualizacja 978207) z 21 stycznia 2010 roku lub nowszą. Internet Explorer jest dziś produktem po zakończeniu wsparcia (CISA: EoL/EoS), więc realnie bezpieczną drogą jest zaprzestanie jego używania |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free), prowadzące do wykonania kodu; CWE-416 |
Ocena CVSS | NVD: 8.8 (CVSS 3.1, WYSOKA) oraz 9.3 (CVSS 2.0). Microsoft: Krytyczna dla IE na Windows 2000, XP, Vista i 7, Umiarkowana na Windows Server 2003 i 2008. CERT/CC: własna metryka 41.04 (nieporównywalna z CVSS). Atak przez sieć, bez logowania, ale wymaga działania użytkownika (otwarcia strony lub dokumentu) |
Wyobraź sobie szatnię w teatrze. Oddajesz płaszcz, dostajesz numerek. Po przedstawieniu płaszcz zostaje wydany, wieszak jest wolny i szatniarz wiesza na nim płaszcz kolejnego gościa. Problem pojawia się, gdy ktoś zachował stary numerek i szatniarz, zamiast sprawdzić, czy numerek jest nadal ważny, po prostu podaje to, co akurat wisi na wieszaku. Sprytny gość może wtedy zadbać, żeby na tym wieszaku wisiało coś jego.
Tak działał ten błąd w Internet Explorerze. Przeglądarka rezerwuje w pamięci miejsce na każdy element strony, a gdy element przestaje być potrzebny, miejsce jest zwalniane. W podatnym kodzie zostawała jednak „stara karteczka” z adresem. Przeglądarka sięgała pod ten adres ponownie i wykonywała to, co tam znalazła. Napastnik, przygotowując stronę, dbał o to, żeby znalazł się tam jego kod. Kod ten działa z uprawnieniami osoby zalogowanej do komputera.
💡 Użycie po zwolnieniu (use-after-free) to błąd, w którym program korzysta z fragmentu pamięci, który już oddał. CWE to międzynarodowy katalog typów błędów w oprogramowaniu. ActiveX to stara technologia Microsoftu, która pozwala stronom i dokumentom uruchamiać dodatkowe elementy. CVSS to skala oceny wagi luk od 0 do 10, istniejąca w kilku wersjach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę branżową | Strona się wyświetla, nic więcej się nie dzieje | Spreparowana treść, np. baner reklamowy, może uruchomić kod napastnika |
Handlowiec otwiera dokument Office z ofertą | Dokument się otwiera | Według CERT/CC wektorem może być też spreparowany dokument Office z kontrolkami ActiveX |
Użytkownik pracuje na koncie administratora | Wygoda przy instalowaniu programów | Napastnik dostaje pełną kontrolę nad komputerem |
Serwer Windows z domyślnym trybem zaostrzonym | Przeglądarka blokuje skrypty z internetu | Atak utrudniony, ale wyłączenie trybu przywraca pełne ryzyko |
Stara stacja przy maszynie podłączona do sieci | Obsługuje urządzenie | Staje się furtką do reszty sieci firmowej |
źródło: Pexels, Alari TammsaluPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Microsoft zaznacza, że napastnik nie może wymusić wizyty na spreparowanej stronie: musi nakłonić użytkownika do kliknięcia odnośnika lub podsunąć swoją treść inaczej, na przykład przez reklamę na normalnym serwisie. Dlatego atak zaczyna się od poczty lub strony, a nie od skanowania serwerów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T-dni | Przygotowanie strony lub dokumentu wykorzystującego błąd, wybór celu (np. dział handlowy, księgowość) | Gotowa „pułapka” |
2. Dostarczenie | T+0 min | Wysłanie odnośnika lub załącznika e-mailem albo umieszczenie treści w reklamie | Pracownik otwiera stronę lub plik |
3. Wykonanie kodu | T+1 min | Błąd w przeglądarce uruchamia kod napastnika z uprawnieniami użytkownika | Przejęty komputer, bez widocznego komunikatu |
4. Utrwalenie | T+kilka godzin | Instalacja narzędzi zdalnego dostępu, odczyt zapisanych haseł | Stały dostęp do stacji |
5. Ruch w sieci | T+1 do 7 dni | Wykorzystanie przejętej stacji do dotarcia do serwerów i udziałów plikowych | Dostęp do danych firmy |
6. Kradzież lub sabotaż | T+1 do 4 tygodni | Kopiowanie danych, zakłócenie pracy maszyn lub przygotowanie szyfrowania | Wyciek, przestój, szantaż |
W typowej firmie w 2026 roku nikt świadomie nie przegląda internetu w Internet Explorerze 6. Ryzyko leży gdzie indziej: w maszynach „zamrożonych” w przeszłości, bo producent urządzenia nie wspiera nowszego systemu. Takie stacje rzadko są w inwentaryzacji IT, rzadko mają aktualizacje i często mają dostęp do sieci firmowej. Wpis w KEV oznacza, że ktoś te stare komputery nadal atakuje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie maszyny lub linii sterowanej ze starej stacji, odtwarzanie systemu | Godziny do dni od przejęcia | 20 tys. do 300 tys. PLN (przestój, serwis producenta maszyny) |
Bezpieczeństwo danych | Wyciek haseł, danych klientów, cenników, dokumentacji technicznej | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Nadgodziny, zewnętrzni specjaliści, ewentualny okup przy dalszym ataku | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Pytania klientów i ubezpieczyciela, dlaczego w sieci pracował system sprzed kilkunastu lat | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy, w której działa niezałatany
Internet Explorer 6/7/8 z dostępem do internetu lub poczty
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Firma bez starych stacji z IE lub z aktualizacją MS10-002:
ryzyko z tej luki bliskie zera. Interpretacja: jeśli stara stacja z niezałatanym Internet Explorerem ma dostęp do internetu, ryzyko jest wysokie (wykonanie kodu, potwierdzone ataki, publiczny exploit), ale nie maksymalne, bo atak wymaga działania użytkownika; firma, która takich maszyn nie ma, jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie komputery z Windows XP, Vista, 7, Server 2003 lub 2008 i Internet Explorerem, także przy maszynach i aparaturze | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Odciąć takie stacje od internetu i poczty, zostawić im tylko połączenie z urządzeniem, którym sterują | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Sprawdzić, czy na tych stacjach jest aktualizacja MS10-002 (978207) lub nowsza zbiorcza aktualizacja IE; jeśli nie, zainstalować | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Odebrać codziennym kontom prawa administratora, zostawić osobne konto do instalacji | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Zlikwidować wspólne foldery między starymi stacjami a resztą sieci, pliki przenosić przez jeden wyznaczony nośnik lub komputer pośredniczący | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Zapytać producentów maszyn o możliwość przejścia na wspierany system i zaplanować budżet wymiany | Do 30 dni | CTO / kierownik produkcji |
7 | 🟡 WAŻNIE | Ustalić procedurę szybkiej reakcji na aktualizacje wydane przez producenta poza harmonogramem | Do 30 dni | CTO |
Microsoft wydał poprawkę w biuletynie MS10-002 jeszcze w 2010 roku, więc problemem zwykle nie jest brak łatki, tylko stacja, której nikt nie aktualizuje, albo system, którego nie da się już zaktualizować. Poniższe miary pochodzą z zaleceń Microsoftu i CERT/CC oraz z dobrej praktyki; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie stacji od internetu i poczty, dostęp tylko do sterowanego urządzenia | Wysoka: usuwa drogę dostarczenia ataku | Średnia: kilka godzin konfiguracji przełącznika, trochę niewygody dla operatora |
Poziom zabezpieczeń stref Internet i Lokalny intranet ustawiony na High (zalecenie Microsoftu) | Średnia do wysokiej | Łatwa, ale część stron przestaje działać poprawnie |
Active Scripting ustawiony na Prompt lub Disable (zalecenie Microsoftu) | Średnia do wysokiej | Łatwa, uciążliwa dla użytkownika |
Włączenie DEP dla Internet Explorera 6 i 7 (zalecenie Microsoftu) | Średnia: utrudnia wykonanie kodu | Łatwa |
Wyłączenie kontrolek ActiveX w pakiecie Office (obejście wskazane przez CERT/CC) | Średnia: zamyka kanał przez dokumenty | Średnia: może zepsuć stare makra i formularze |
Praca na koncie bez praw administratora | Średnia: ogranicza skutki, nie blokuje ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Stare stacje z IE | Nieznana liczba, poza inwentaryzacją | Spisane, z przypisanym właścicielem |
Dostęp do internetu i poczty | Taki sam jak zwykłe komputery | Brak, tylko połączenie z maszyną |
Uprawnienia użytkownika | Konto administratora na co dzień | Zwykłe konto, osobne konto do instalacji |
Połączenie z siecią biurową | Wspólne foldery dostępne z każdej stacji | Wydzielony fragment sieci, jeden kontrolowany kanał plików |
Plan na przyszłość | „Działa, więc nie ruszamy” | Harmonogram wymiany z budżetem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD wiąże lukę z atakami z grudnia 2009 i stycznia 2010 roku (Operation Aurora); Microsoft w 2010 roku pisał o ograniczonych, ukierunkowanych atakach na użytkowników IE 6 |
Grupy przestępcze | Brak publicznych informacji w źródłach o nazwach grup; NVD podaje jedynie nazwę kampanii Operation Aurora |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (NVD, CVSS 3.1); 9.3 (NVD, CVSS 2.0); Microsoft: Krytyczna na systemach klienckich, Umiarkowana na serwerach |
PoC dostępny publicznie? | Tak: NVD odsyła do exploita opublikowanego w bazie Exploit-DB (nr 11167) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Meron Sellem (BugSec); informacje o atakach przekazały Microsoftowi m.in. Google, MANDIANT, Adobe, McAfee i francuski CERTA |
Status produktu | Po zakończeniu wsparcia (CISA: EoL/EoS), zalecenie zaprzestania używania |
Trzy instytucje oceniły ten sam błąd na trzy sposoby. Niższa ocena Microsoftu dla serwerów nie oznacza braku błędu, tylko to, że domyślny tryb zaostrzony utrudnia atak. Jeśli ktoś go wyłączył, serwer wraca do poziomu zwykłego komputera.
Sygnały zagrożenia dla CVE-2010-0249
CVSS 3.1 (NVD) 8.8/10 █████████████████░░░ WYSOKA
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
Microsoft (klienci) Krytyczna ████████████████████
Microsoft (serwery) Umiarkowana ██████████░░░░░░░░░░
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2009-12 Ataki opisywane przez NVD jako Operation Aurora
2010-01-14 Microsoft publikuje doradztwo bezpieczeństwa 979352
2010-01-15 Doradztwo zaktualizowane o ukierunkowane ataki; publikacja CVE w NVD
2010-01-21 Microsoft wydaje poza harmonogramem biuletyn MS10-002 (aktualizacja 978207)
... ponad 16 lat, w czasie których produkt traci wsparcie
2026-05-20 CISA dodaje lukę do katalogu KEV
2026-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Doradztwo producenta z obejściami: Microsoft Security Advisory 979352 . Biuletyn z poprawką: MS10-002 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2010-0249 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wszystkich komputerów ze starym Windows i Internet Explorerem, łącznie z maszynami na hali i w laboratorium | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie takich stacji od internetu i poczty | CTO | DZISIAJ |
3 | Uzyskać pisemne potwierdzenie stanu aktualizacji MS10-002 na znalezionych stacjach | CTO | DO JUTRA |
4 | Zatwierdzić zmianę uprawnień: koniec pracy na koncie administratora | CTO | DO JUTRA |
5 | Przygotować wstępny budżet na wymianę lub modernizację stacji, których nie da się zaktualizować | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia nie wyłącza szkód z systemów bez wsparcia producenta | CFO | DO JUTRA |
7 | Wyznaczyć osobę odpowiedzialną za reagowanie na pilne komunikaty producentów i CISA | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy jakiekolwiek komputery z Windows XP, Vista, 7, Server 2003 lub 2008? | TAK / NIE, liczba: [liczba] | 🔴 |
2 | Czy któraś z tych stacji ma dostęp do internetu lub poczty? | TAK / NIE | 🔴 |
3 | Czy na tych stacjach zainstalowano aktualizację MS10-002 lub nowszą aktualizację zbiorczą IE? | TAK / NIE, data: [data] | 🔴 |
4 | Czy użytkownicy tych stacji pracują na kontach z prawami administratora? | TAK / NIE | 🟠 |
5 | Czy na serwerach Windows Server 2003 lub 2008 ktoś wyłączył tryb Enhanced Security Configuration? | TAK / NIE | 🟠 |
6 | Czy stare stacje mają wspólne foldery z resztą sieci firmowej? | TAK / NIE | 🟠 |
7 | Kiedy producent maszyny pozwoli przejść na wspierany system i ile to kosztuje? | [data], [kwota] | 🟡 |
CVE-2010-0249 to stara luka w Internet Explorerze, która pozwala przejąć komputer po otwarciu spreparowanej strony lub dokumentu. Poprawka istnieje od stycznia 2010 roku, ale CISA w 2026 roku potwierdza, że luka jest nadal wykorzystywana, co oznacza, że niezałatane stare stacje wciąż pracują w firmach. Zadanie na dziś to znaleźć takie komputery i odciąć je od internetu, a na najbliższe tygodnie: zaplanować ich wymianę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.