Złośliwy plik HTML lub skrót .lnk uruchamia się w Windows bez ostrzeżenia systemu. Microsoft i CISA potwierdzają ataki. Zainstaluj aktualizację zbiorczą z lutego 2026 lub nowszą na każdym komputerze i serwerze.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm pracujących na komputerach i serwerach z Windows. Werdykt: jeśli któryś komputer nie ma lutowej aktualizacji zbiorczej Windows z 2026 roku lub nowszej, zainstaluj ją dziś, bo luka w silniku MSHTML pozwala uruchomić złośliwy plik bez ostrzeżenia systemu i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 10 lutego 2026 roku, w dniu wydania poprawki, dopisała podatność CVE-2026-21513 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy MSHTML, silnika dawnego Internet Explorera, który nadal jest częścią Windows. Złośliwy plik HTML lub skrót .lnk, dostarczony mailem, linkiem albo do pobrania, omija monit, który normalnie pyta użytkownika, czy na pewno chce uruchomić plik z zewnątrz.
Microsoft potwierdził jednocześnie, że luka była ujawniona publicznie i wykorzystywana w atakach. Wykrycie przypisał Google Threat Intelligence Group i własnym zespołom analizy zagrożeń. Termin naprawy wyznaczony przez CISA minął 3 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21513 (w europejskiej bazie EUVD-2026-7342) |
Data dodania do CISA KEV | 2026-02-10 |
Termin naprawy wg CISA | 2026-03-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, silnik MSHTML (MSHTML Framework) |
Wersje zagrożone | 22 pozycje produktowe: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1), Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, także w instalacji Server Core, bez aktualizacji z lutego 2026 |
Wersje bezpieczne | Wg Microsoft: Windows 10 1607 i Server 2016: 10.0.14393.8868 (KB5075999); Windows 10 1809 i Server 2019: 10.0.17763.8389 (KB5075904); Windows 10 22H2: 10.0.19045.6937 (KB5075912); Windows 11 23H2: 10.0.22631.6649; Windows 11 24H2 i 25H2: 10.0.26100.7840 i 10.0.26200.7840 (KB5077181); Server 2012: 6.2.9200.25923; Server 2012 R2: 6.3.9600.23022. Wg NVD: Windows 10 21H2: 10.0.19044.6937; Server 2022: 10.0.20348.4711; Server 2022 23H2: 10.0.25398.2149; Server 2025: 10.0.26100.32313. Każda późniejsza aktualizacja zbiorcza również zawiera poprawkę |
Typ podatności | Obejście funkcji zabezpieczeń (Security Feature Bypass); CWE-693 (zawodzący mechanizm ochronny) |
Ocena CVSS | Microsoft: 8.8 (CVSS 3.1, WYSOKA), ocena czasowa 7.7. Atak przez sieć, niska złożoność, bez uprawnień, wymagany udział użytkownika (otwarcie pliku). Waga wg Microsoft: Important |
Dla Windows 11 24H2 NVD podaje granicę 10.0.26100.7781, a Microsoft 10.0.26100.7840. Przy takiej rozbieżności przyjmij wyższy numer, czyli ten od producenta.
Wyobraź sobie biurowiec, w którym każda paczka od nieznanego nadawcy przechodzi przez recepcję, a recepcjonistka dzwoni do adresata: „Przyszła przesyłka z zewnątrz, czy na pewno ją wpuścić?”. To pytanie jest jedynym momentem, w którym pracownik może powiedzieć „nie”. Luka działa tak, jakby odpowiednio zapakowana paczka omijała recepcję i trafiała prosto na biurko, gdzie sama się otwiera.
Tak działała ta luka. Windows zwykle wyświetla ostrzeżenie, zanim uruchomi plik pobrany z internetu. Specjalnie przygotowany plik HTML lub skrót manipulował sposobem, w jaki system obsługuje taką treść, i ostrzeżenie się nie pojawiało. Użytkownikowi wystarczyło otworzyć plik, który wyglądał na zwykły raport czy wycenę.
💡 MSHTML to silnik wyświetlający strony internetowe, stworzony dla Internet Explorera; przeglądarka zniknęła, ale silnik nadal działa w Windows i w wielu programach. Plik .lnk to skrót do programu lub pliku. Monit to okno z pytaniem systemu, czy na pewno uruchomić plik z zewnątrz. Aktualizacja zbiorcza to comiesięczny pakiet Microsoftu zawierający wszystkie poprawki naraz. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera plik HTML z maila | Windows ostrzega, że plik pochodzi z internetu | Ostrzeżenie się nie pojawia, treść zostaje wykonana |
Skrót .lnk w pobranym archiwum | System pyta przed uruchomieniem | Uruchamia się bez pytania |
Czujność pracownika | Monit daje szansę na refleksję | Nie ma momentu, w którym można odmówić |
Hasło i konto napastnika | Potrzebne do wejścia do sieci | Niepotrzebne, wystarczy wysłać plik |
Obejście bez aktualizacji | Zwykle istnieje | Producent nie podał żadnego obejścia |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga dostępu do sieci firmy ani żadnego konta, ale wymaga, by pracownik otworzył dostarczony plik. CISA ocenia, że nie da się go w pełni zautomatyzować, więc zwykle są to kampanie mailowe skierowane do wybranych firm lub osób.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Stworzenie pliku HTML lub skrótu .lnk wykorzystującego lukę, ukrytego jako faktura, wycena lub raport | Gotowa przynęta |
2. Dostarczenie | T+godziny | Wysyłka maila z załącznikiem lub linkiem do pobrania | Plik w skrzynce pracownika |
3. Otwarcie | T+minuty do dni | Pracownik otwiera plik; brak ostrzeżenia systemu | Kod napastnika działa na komputerze z uprawnieniami użytkownika |
4. Instalacja narzędzi | T+minuty od otwarcia | Pobranie złośliwego oprogramowania, kradzież haseł z przeglądarki | Stały dostęp do komputera |
5. Rozszerzenie dostępu | T+dni | Przejście na inne komputery i serwery, zwłaszcza gdy użytkownik ma prawa administratora | Kontrola nad częścią sieci |
6. Skutek dla firmy | T+tygodnie | Kradzież danych, oszustwa na przelewach, szyfrowanie danych | Straty finansowe i przestój |
Mogę Ci jakoś pomóc?
Każda firma z Windows ma tę lukę, dopóki nie zainstaluje lutowej aktualizacji. Atak nie wymaga żadnej wiedzy o sieci firmy, tylko jednego otwartego pliku, a otwieranie załączników od klientów i dostawców to codzienność.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zainfekowane komputery, konieczność ich czyszczenia, możliwe zaszyfrowanie danych | Godziny do tygodni od otwarcia pliku | 20 tys. do 300 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów klientów, danych osobowych | Godziny do dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na przelewach, koszty zewnętrznych specjalistów | Dni do tygodni | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których dokumenty wyciekły | Miesiące | 20 tys. do 300 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny i ewentualne powiadomienie osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Windows bez aktualizacji
z lutego 2026
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest potwierdzona w atakach, wystarczy jedno otwarcie pliku, a prognoza EPSS plasuje ją wśród 4% najczęściej wykorzystywanych podatności; wpływ nie jest maksymalny, bo kod działa z uprawnieniami użytkownika, co ograniczają konta bez praw administratora.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić na wszystkich komputerach i serwerach numer kompilacji Windows i porównać z listą wersji bezpiecznych z sekcji 1 | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na każdym urządzeniu poniżej wymaganej kompilacji | Dziś do 2 dni | Administrator IT |
3 | 🔴 NATYCHMIAST | Ostrzec pracowników, by do czasu aktualizacji nie otwierali plików HTML i skrótów .lnk z maili i pobranych archiwów | Dziś | Kierownik IT |
4 | 🟠 PILNIE | Zablokować na serwerze poczty załączniki .lnk, .html i .htm od zewnętrznych nadawców (lub przenosić je do kwarantanny) | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Odebrać zwykłym użytkownikom prawa administratora na ich komputerach | Do 14 dni | Administrator IT |
6 | 🟡 WAŻNIE | Włączyć automatyczne instalowanie aktualizacji z krótkim, stałym opóźnieniem (np. kilka dni) | Do 14 dni | Administrator IT |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport zgodności: ile urządzeń ma bieżącą aktualizację zbiorczą | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wspieranych wersji Windows w lutym 2026 roku i nie podał żadnego obejścia poza aktualizacją. Poniższe miary ograniczają ryzyko, ale nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada lub kwarantanna załączników .lnk, .html, .htm na bramce pocztowej | Średnia: nie chroni przed plikami pobranymi z linków | Łatwa do średniej |
Konta użytkowników bez praw administratora | Średnia: ogranicza skutki, nie zapobiega uruchomieniu | Średnia |
Szkolenie pracowników z otwierania plików od nieznanych nadawców | Niska do średniej | Łatwa |
Filtrowanie pobieranych plików w przeglądarce i na serwerze pośredniczącym | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Monit przy plikach z internetu | Omijany przez spreparowany plik | Działa, użytkownik może odmówić |
Stan aktualizacji | Nieznany, zależny od pojedynczych komputerów | Każde urządzenie z potwierdzoną kompilacją |
Załączniki HTML i .lnk | Docierają do skrzynek | Blokowane lub w kwarantannie |
Uprawnienia pracowników | Część pracuje jako administrator | Konta standardowe, mniejsze skutki infekcji |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad 6 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Microsoft) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; wykrycie przypisano Google Threat Intelligence Group i zespołom Microsoft |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg Microsoft (CVSS 3.1), ocena czasowa 7.7 |
PoC dostępny publicznie? | Microsoft: luka była ujawniona publicznie; brak informacji o powszechnie dostępnym gotowym kodzie ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | CISA: niemożliwa; skutek techniczny całkowity |
Prognoza EPSS | Ok. 15,4% szansy próby wykorzystania w 30 dni, powyżej 96. percentyla (wartość stała od sierpnia 2026, wg analizy źródłowej) |
Porady krajowe | Niemcy: WID-SEC-W-2026-0369; Holandia: NCSC-2026-0053 |
Sygnały zagrożenia dla CVE-2026-21513
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~15,4% ███░░░░░░░░░░░░░░░░░ percentyl 96+
CISA KEV TAK ████████████████████ ataki potwierdzone
Microsoft TAK ████████████████████ ujawniona i wykorzystywana
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-02-10 Microsoft wydaje aktualizacje zbiorcze z poprawką
(m.in. KB5075912, KB5075904, KB5075999, KB5077181),
publikacja CVE w NVD, CISA dodaje lukę do KEV,
porady WID-SEC i NCSC
2026-02-11 CISA ocenia wykorzystanie jako aktywne
2026-03-03 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08 EPSS stabilnie ok. 15,4%
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalna strona Microsoft z listą produktów i aktualizacji: msrc.microsoft.com/update-guide/advisory/CVE-2026-21513 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21513 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać od IT listę komputerów i serwerów bez aktualizacji zbiorczej z lutego 2026 lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację aktualizacji, także poza oknem serwisowym | CTO | DZISIAJ |
3 | Rozesłać pracownikom krótkie ostrzeżenie o plikach HTML i skrótach w załącznikach | CTO | DZISIAJ |
4 | Zlecić blokadę załączników .lnk i .html na poczcie | CTO | DO JUTRA |
5 | Zatwierdzić plan odebrania praw administratora zwykłym użytkownikom | CTO | DO JUTRA |
6 | Sprawdzić procedurę weryfikacji zmian numerów kont bankowych kontrahentów (telefonicznie) | CFO | DO JUTRA |
7 | Zarezerwować budżet na narzędzie do centralnego zarządzania aktualizacjami, jeśli firma go nie ma | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów ma kompilację Windows równą lub wyższą od wersji bezpiecznej? | [liczba] / [wszystkich] | 🔴 |
2 | Które urządzenia nie dostały lutowej aktualizacji zbiorczej i dlaczego? | [lista] | 🔴 |
3 | Czy mamy komputery z Windows w wersjach bez wsparcia, które nie dostały tej poprawki? | TAK / NIE | 🔴 |
4 | Czy poczta blokuje załączniki .lnk i .html od zewnętrznych nadawców? | TAK / NIE | 🟠 |
5 | Ilu pracowników pracuje na kontach z prawami administratora? | [liczba] | 🟠 |
6 | Po ilu dniach od wydania instalujemy aktualizacje zbiorcze? | [liczba dni] | 🟠 |
7 | Czy od lutego 2026 wykryliśmy podejrzane pliki HTML lub skróty w poczcie? | TAK / NIE | 🟡 |
CVE-2026-21513 w silniku MSHTML pozwala uruchomić złośliwy plik HTML lub skrót bez ostrzeżenia systemu, a Microsoft i CISA potwierdzają ataki. Lutowa aktualizacja zbiorcza Windows z 2026 roku (lub każda nowsza) zamyka lukę, więc zadanie na dziś to potwierdzić numer kompilacji na każdym komputerze i serwerze, a na ten tydzień zablokować ryzykowne załączniki i ograniczyć prawa administratora.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.