Błąd w silniku skryptowym Windows pozwala wykonać kod po kliknięciu odnośnika otwartego w trybie Internet Explorer w Edge. Luka atakowana od dnia wydania poprawki. Zainstaluj aktualizacje z maja 2025.
Ten alert jest dla zarządu, CTO i CFO firm korzystających z komputerów i serwerów Windows, a szczególnie tych, które otwierają stare systemy (bankowe, urzędowe, zamówień) w trybie Internet Explorer przeglądarki Edge. Werdykt: jeśli komputery nie mają aktualizacji z 13 maja 2025 roku lub nowszej, zainstaluj ją w tym tygodniu i zawęź listę adresów otwieranych w trybie IE, bo luka jest wykorzystywana w atakach, a wystarczy jedno kliknięcie w odnośnik.
Amerykańska agencja CISA 13 maja 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-30397 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w silniku skryptowym Windows (Microsoft Scripting Engine) pozwala napastnikowi bez konta wykonać kod na komputerze ofiary, jeśli ta kliknie spreparowany odnośnik, a przeglądarka Edge otworzy go w trybie Internet Explorer.
Internet Explorer 11 został wycofany, ale jego silniki nadal działają w Windows, bo korzysta z nich tryb IE w Edge i aplikacje z wbudowanym oknem przeglądarki. Lukę wykrył zespół analityczny Microsoftu, a producent oznaczył ją jako wykorzystywaną w atakach. Termin CISA minął 3 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-30397 |
Data dodania do CISA KEV | 2025-05-13 |
Termin naprawy wg CISA | 2025-06-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, silnik skryptowy (Scripting Engine) używany przez tryb Internet Explorer w Edge |
Wersje zagrożone | 37 pozycji produktowych wg Microsoft (18 platform wg NVD) bez aktualizacji z maja 2025: od Windows 10 1507 i Windows Server 2008 po Windows 11 24H2 i Windows Server 2025. Atak wymaga kliknięcia odnośnika i użycia trybu IE w Edge |
Wersje bezpieczne | Aktualizacje z 13 maja 2025 lub nowsze, m.in.: Windows 11 24H2: KB5058411; Windows 11 22H2/23H2: KB5058405; Windows 10 21H2/22H2: KB5058379; Server 2022: KB5058385; Server 2022 23H2: KB5058384; Server 2019 (i Windows 10 1809): KB5058392; Server 2016 (i Windows 10 1607): KB5058383; Windows 10 1507: KB5058387; Server 2012 R2: KB5058403; Server 2012: KB5058451; Server 2008 R2: KB5058430 lub KB5058454; Server 2008: KB5058429 lub KB5058449 |
Typ podatności | Pomylenie typów (type confusion) prowadzące do uszkodzenia pamięci i zdalnego wykonania kodu; CWE-843 |
Ocena CVSS | Microsoft: 7.5 (CVSS 3.1, WYSOKA), ocena czasowa 7.0, waga „Important”. NVD nie nadała własnej oceny. Atak przez sieć, wysoka złożoność, bez konta, wymagane kliknięcie użytkownika |
Uwaga dla firm instalujących tylko aktualizacje „Security Only”: Microsoft zaznacza, że trzeba doinstalować także zbiorczą aktualizację Internet Explorera, inaczej komputer może nadal być podatny.
Wyobraź sobie magazyn, w którym ten sam numer na dokumencie raz oznacza numer regału, a raz liczbę sztuk do wydania. Dopóki wszyscy czytają go tak samo, wszystko działa. Wystarczy, że jeden pracownik odczyta go inaczej, a klient zamiast dwóch sztuk dostaje zawartość całego regału.
W silniku skryptowym działa to podobnie: program zapisuje w pamięci wartość jednego rodzaju, a odczytuje ją jako inny. Napastnik doprowadza do tego, że liczba, którą podał, zostaje potraktowana jak adres w pamięci, pod który program przeskakuje, uruchamiając kod napastnika. Kod działa z uprawnieniami osoby, która kliknęła odnośnik.
💡 Tryb Internet Explorer w Edge to funkcja otwierająca wybrane strony w starym silniku IE, żeby działały stare systemy. Silnik skryptowy to część przeglądarki wykonująca kod stron. Pomylenie typów to błąd, w którym program odczytuje dane jako coś innego, niż zapisał. Security Only to tryb instalowania wyłącznie poprawek bezpieczeństwa bez innych zmian. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stary system w trybie IE | System działa | Tak samo |
Pracownik klika odnośnik z fałszywego maila | Strona otwiera się w Edge | Jeśli adres pasuje do reguł trybu IE, kod napastnika może się uruchomić |
Uprawnienia napastnika | Brak | Takie jak pracownika: poczta, foldery sieciowe, systemy |
„Nie używamy Internet Explorera” | Prawda dla menu Start | Silnik IE nadal działa w trybie zgodności |
Etykieta „Important” | Sugeruje niższy priorytet | Luka jest wykorzystywana od dnia publikacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dwóch warunków: kliknięcia przez użytkownika i otwarcia strony w trybie IE. Dlatego CISA ocenia go jako nieautomatyzowalny, a Microsoft jako atak o wysokiej złożoności.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Rozpoznanie, jakie stare systemy wymagają trybu IE w danej branży lub firmie | Wiarygodny pretekst |
2. Wysyłka | T+godziny | Mail podszywający się pod powiadomienie ze starego systemu, z odnośnikiem | Wiadomość w skrzynce pracownika |
3. Kliknięcie | T+minuty do dni | Pracownik otwiera odnośnik, który trafia do trybu IE | Uruchomienie kodu napastnika |
4. Utrwalenie | T+kilkanaście minut | Instalacja narzędzi, kradzież haseł z komputera | Stały dostęp do stanowiska |
5. Dalsze działania | T+dni do tygodni | Czytanie poczty, dostęp do folderów sieciowych, zmiana danych kontrahentów | Oszustwa przy przelewach, wyciek danych |
Mogę Ci jakoś pomóc?
Tryb zgodności z IE jest często włączony „od lat” dla jednego starego systemu i nikt o nim nie pamięta. Każda szeroka reguła (cała domena zamiast jednego adresu) zwiększa szansę, że fałszywy odnośnik trafi do podatnego silnika. Etykieta „Important” łatwo prowadzi do odłożenia aktualizacji, choć luka była atakowana od pierwszego dnia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie przejętych stanowisk, wymiana haseł, przegląd skrzynek | Dni | 10 tys. do 80 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Dostęp do poczty, folderów sieciowych i systemów pracownika | Godziny do tygodni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Przelewy na podmienione rachunki, weryfikacja płatności z okresu włamania | Tygodnie | 20 tys. do 500 tys. PLN (utracone środki, obsługa incydentu) |
Reputacyjny | Utrata zaufania dostawców i klientów po wycieku korespondencji | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Windows bez aktualizacji z maja 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← ■ WYSOKIE (szerokie reguły trybu IE)
3 | . ○ . . . ← ○ tryb IE nieużywany
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu z uprawnieniami pracownika, bez przejęcia całego systemu od razu), a prawdopodobieństwo wysokie w firmach z szerokimi regułami trybu IE, bo luka jest atakowana i wystarczy jedno kliknięcie; bez trybu IE warunek ataku praktycznie nie jest spełniony, ale aktualizację i tak trzeba zainstalować.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, które komputery i serwery nie mają aktualizacji z 13 maja 2025 lub nowszej | Dziś | Administrator Windows |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy w firmie działa tryb Internet Explorer w Edge i jakie adresy obejmuje | Dziś | Administrator Windows |
3 | 🟠 PILNIE | Zainstalować brakujące aktualizacje; przy trybie „Security Only” doinstalować zbiorczą aktualizację IE | Do 7 dni | Administrator / dostawca IT |
4 | 🟠 PILNIE | Zawęzić listę trybu IE z całych domen do konkretnych adresów, które naprawdę tego wymagają | Do 7 dni | Administrator Windows |
5 | 🟠 PILNIE | Przypomnieć pracownikom zakupów i księgowości o weryfikacji odnośników w powiadomieniach | Do 7 dni | Kierownicy działów |
6 | 🟡 WAŻNIE | Zaplanować wymianę lub modernizację systemów wymagających trybu IE | Do 90 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę telefonicznej weryfikacji zmian numerów kont kontrahentów | Do 30 dni | CFO |
Microsoft wydał poprawki dla wszystkich wymienionych systemów. W NVD podlinkowany jest też zewnętrzny opis środka łagodzącego, który trzeba sprawdzić przed użyciem. Poniższe miary ograniczają ryzyko do czasu aktualizacji; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie trybu IE w Edge tam, gdzie nie jest potrzebny | Wysoka: usuwa warunek ataku | Łatwa przez zasady grupy |
Zawężenie listy trybu IE do konkretnych adresów | Średnia do wysokiej | Łatwa |
Filtrowanie odnośników w poczcie i szkolenie pracowników | Niska do średniej: zmniejsza szansę kliknięcia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje Windows | Brak poprawki z maja 2025 | Aktualizacja z maja 2025 lub nowsza, z aktualizacją IE |
Tryb IE w Edge | Całe domeny, nikt nie pamięta dlaczego | Tylko niezbędne adresy lub wyłączony |
Stare systemy | Wymuszają silnik IE bez końca | Plan wymiany lub modernizacji |
Zmiany rachunków kontrahentów | Przyjmowane mailem | Weryfikowane telefonicznie |
Zgodność z terminem CISA | Zaległość od 3 czerwca 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft: wykorzystanie wykryte, luka nieujawniona publicznie przed poprawką |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg Microsoft (CVSS 3.1), ocena czasowa 7.0; NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznego kodu w analizowanych źródłach; ocena czasowa Microsoft zakłada istnienie działającego kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Zespół analityczny Microsoftu |
Prognoza EPSS | 0,26835 (ok. 27% szansy próby w 30 dni), percentyl 0,97874 |
Etykieta „Important” opisuje trudność ataku, a nie to, czy atak trwa. Tutaj oba sygnały się rozjechały:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-30397
CVSS 3.1 (Microsoft) 7.5/10 ███████████████░░░░░ WYSOKA
Waga Microsoft Important ██████████████░░░░ o stopień niżej niż krytyczna
EPSS (próba w 30 dni) ~27% █████░░░░░░░░░░░░░░░ WYSOKA jak na tło
EPSS percentyl ~98% ████████████████████ czołówka
CISA KEV TAK ████████████████████ w dniu wydania poprawki 2025-05-13 Microsoft wydaje poprawki, publikacja CVE-2025-30397, wykryte ataki
2025-05-13 CISA dodaje lukę do katalogu KEV
2025-05-14 Ocena CISA: wykorzystanie aktywne, skutek całkowity, atak nieautomatyzowalny
2025-06-03 Termin naprawy wg CISA dla agencji federalnych
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z listą aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2025-30397 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-30397 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport o stanie aktualizacji Windows z maja 2025 na wszystkich komputerach | CTO | DZISIAJ |
2 | Uzyskać listę adresów otwieranych w trybie IE i powód każdego wpisu | CTO | DZISIAJ |
3 | Zatwierdzić instalację brakujących aktualizacji i zawężenie reguł trybu IE | CTO | DO JUTRA |
4 | Wskazać systemy, które wymuszają tryb IE, i ich właścicieli biznesowych | CTO | DO JUTRA |
5 | Wprowadzić obowiązek telefonicznej weryfikacji zmiany rachunku kontrahenta | CFO | DO JUTRA |
6 | Oszacować koszt modernizacji systemów wymagających trybu IE | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów nie ma aktualizacji z maja 2025 lub nowszej? | [liczba] | 🔴 |
2 | Czy używamy trybu Internet Explorer w Edge? | TAK / NIE | 🔴 |
3 | Czy reguły trybu IE obejmują całe domeny, czy konkretne adresy? | [domeny / adresy] | 🔴 |
4 | Czy instalujemy aktualizacje w trybie „Security Only”, a jeśli tak, czy doinstalowujemy zbiorczą aktualizację IE? | TAK / NIE | 🟠 |
5 | Które systemy wymagają trybu IE i kto za nie odpowiada? | [lista] | 🟠 |
6 | Czy aplikacje z wbudowanym oknem przeglądarki korzystają ze starego silnika? | TAK / NIE | 🟡 |
7 | Kiedy planujemy wyłączyć tryb IE całkowicie? | [data] | 🟡 |
CVE-2025-30397 w silniku skryptowym Windows pozwala wykonać kod na komputerze pracownika po kliknięciu odnośnika otwartego w trybie Internet Explorer w Edge. Microsoft wykrył ataki, a CISA dopisała lukę do KEV w dniu wydania poprawki, więc sprawdzenie aktualizacji z maja 2025 i zawężenie reguł trybu IE to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.