Stary sterownik faksmodemu Agere, dostarczany z Windows, pozwalał zdobyć uprawnienia administratora, nawet bez modemu w komputerze. Wykorzystywany w atakach. Microsoft usunął go w aktualizacji z października 2025: sprawdź aktualizacje i faksy.
Ten alert jest dla zarządu, CTO i CFO firm pracujących na komputerach i serwerach z Windows, zwłaszcza tych, które nadal wysyłają faksy z komputera. Werdykt: jeśli któraś maszyna nie ma aktualizacji zbiorczej z października 2025 roku lub nowszej, wgraj ją dziś, ale wcześniej sprawdź, czy nie korzysta z faksmodemu, bo poprawka usuwa sterownik i taki faks przestanie działać.
Amerykańska agencja CISA 14 października 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-24990 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w pliku ltmdm64.sys, sterowniku modemów firmy Agere, który Microsoft dostarczał razem z Windows.
Microsoft podaje, że podatne były wszystkie wspierane wersje Windows, także gdy modem nie jest używany: wystarczała obecność pliku. Napastnik z dostępem do zwykłego konta mógł zdobyć uprawnienia administratora. Microsoft nie naprawił sterownika, tylko go usunął w październikowej aktualizacji zbiorczej. Sprzęt faksmodemowy zależny od tego sterownika przestaje działać.
Termin naprawy wyznaczony przez CISA minął 4 listopada 2025 roku, ponad dziesięć miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24990 |
Data dodania do CISA KEV | 2025-10-14 |
Termin naprawy wg CISA | 2025-11-04 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik modemu Agere |
Wersje zagrożone | Wydania 64-bitowe od Windows Server 2008 SP2 po Windows Server 2025, Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2, 25H2), bez aktualizacji z października 2025. Obecność modemu nie jest warunkiem |
Wersje bezpieczne | Aktualizacja zbiorcza z października 2025 lub nowsza (14 osobnych artykułów KB dla różnych systemów). Przykładowe minimalne kompilacje wg NVD: Windows 10 22H2 19045.6456, Windows 11 24H2 26100.6899, Server 2019 17763.7919, Server 2022 20348.4294 |
Typ podatności | Podniesienie uprawnień; CWE-822 (dereferencja niezaufanego wskaźnika) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft; waga wg Microsoftu: „Important”). Atak lokalny, niska złożoność, wymaga zwykłego konta, bez udziału użytkownika |
Wyobraź sobie biurowiec, w którym dawno temu zamontowano drzwi techniczne do centrali telefonicznej. Centrali od lat nie ma, ale drzwi zostały, z zamkiem, którego nikt nie serwisuje. Nikt o nich nie pamięta, bo nie ma ich na planie ewakuacyjnym. Każdy, kto już jest w budynku jako gość, może przez nie wejść do pomieszczeń zarządu.
Tak działała ta luka. Sterownik do faksmodemów, sprzętu z czasów łączenia się z internetem przez telefon, leżał w każdym Windows. Nie pojawiał się na liście zainstalowanych programów, a mimo to napastnik, który przejął konto zwykłego pracownika, mógł przez niego zdobyć uprawnienia administratora. Microsoft uznał, że kodu firmy trzeciej do nieprodukowanego sprzętu nie opłaca się naprawiać, i po prostu go usunął.
💡 Sterownik to program pozwalający systemowi obsługiwać konkretne urządzenie. Faksmodem to urządzenie do wysyłania faksów z komputera przez linię telefoniczną. Podniesienie uprawnień to zdobycie większych praw w systemie niż te, które się ma. Aktualizacja zbiorcza to comiesięczny pakiet poprawek Microsoftu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Komputer bez modemu | Sterownik modemu nie ma znaczenia | Plik w systemie wystarcza do ataku |
Pracownik otwiera złośliwy załącznik | Napastnik ma uprawnienia tego pracownika | Napastnik zdobywa uprawnienia administratora |
Program antywirusowy | Chroni komputer | Administrator może go wyłączyć |
Kopia zapasowa podpięta do komputera | Chroniona przed zwykłym kontem | Dostępna do skasowania |
Faks z komputera po aktualizacji | Działa | Przestaje działać, bo sterownik został usunięty |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez internet: wymaga wcześniejszego dostępu do komputera na zwykłym koncie. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wykradzione hasło lub luka w innej aplikacji | Zwykłe konto pracownika |
2. Podniesienie uprawnień | T+kilka minut | Wykorzystanie błędu w | Uprawnienia administratora |
3. Wyłączenie ochrony | T+15 min | Wyłączenie antywirusa, odczyt haseł i plików | Pełna kontrola nad komputerem |
4. Kopie zapasowe | T+1 godz. | Usunięcie kopii dostępnych z komputera | Brak możliwości odtworzenia |
5. Ruch w sieci | T+1 do 7 dni | Wejście na serwery z użyciem zdobytych haseł | Kontrola nad kolejnymi maszynami |
6. Skutek | T+1 do 4 tygodni | Szyfrowanie danych lub cicha kradzież | Przestój i straty |
Mogę Ci jakoś pomóc?
Takie luki są „drugim krokiem” ataku: zamieniają przejęte konto pracownika w pełną kontrolę nad komputerem. Firmy często uważają, że sprawa ich nie dotyczy, bo „nie mają modemu”, a to nie był warunek. Dodatkowo poprawka może wyłączyć faksy, jeśli ktoś ich jeszcze używa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte komputery i serwery, utrata kopii; osobno: niedziałające faksy po aktualizacji | Godziny do dni | 20 tys. do 300 tys. PLN |
Bezpieczeństwo danych | Odczyt wszystkich plików na komputerze, haseł i danych klientów | Godziny od wejścia | 20 tys. do 200 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Okup, odtwarzanie danych, nadgodziny, zewnętrzni specjaliści | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie w kancelariach i placówkach medycznych | Miesiące | 30 tys. do 300 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); niedotrzymane terminy urzędowe przy awarii faksu | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów Windows
bez aktualizacji z października 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (uprawnienia administratora i skutek całkowity wg CISA), a prawdopodobieństwo średnie, bo atak wymaga wcześniejszego wejścia na komputer; ataki są jednak potwierdzone, a podatny był praktycznie każdy Windows, więc zaległa aktualizacja realnie powiększa skutki każdego incydentu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy któryś komputer wysyła faksy przez wewnętrzny lub podłączony faksmodem | Dziś | Dział IT / kierownik biura |
2 | 🔴 NATYCHMIAST | Jeśli tak: przenieść faks na urządzenie sieciowe lub usługę faksu przez internet przed aktualizacją | Dziś lub przed aktualizacją | Dział IT |
3 | 🔴 NATYCHMIAST | Wgrać aktualizację zbiorczą z października 2025 lub nowszą na wszystkie komputery i serwery | Dziś | Administrator systemów |
4 | 🟠 PILNIE | Sprawdzić, czy aktualizacje faktycznie się instalują (ostatnia zakończona powodzeniem), a nie tylko czy są włączone | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Wypisać stare serwery i komputery z niewspieranymi systemami i zaplanować ich wymianę lub odcięcie | Do 7 dni | CTO |
6 | 🟠 PILNIE | Zapewnić kopię zapasową na osobnym urządzeniu, której administrator komputera nie może skasować | Do 7 dni | Dział IT |
7 | 🟡 WAŻNIE | Ograniczyć pracę na kontach z uprawnieniami administratora | Do 30 dni | Dział IT |
Microsoft rozwiązał problem, usuwając sterownik w aktualizacji zbiorczej z października 2025 roku. Dla starszych, niewspieranych systemów decyzja jest trudniejsza. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne usunięcie lub zablokowanie sterownika | Średnia do wysokiej, jeśli wykonane poprawnie | Średnia: wymaga ostrożności i testu |
Odcięcie niezaktualizowanych maszyn od sieci firmowej | Średnia: ogranicza skutki | Średnia |
Praca pracowników na kontach bez uprawnień administratora | Niska wobec tej luki (atak zaczyna się od zwykłego konta), ale utrudnia inne ataki | Łatwa |
Kopia zapasowa na osobnym, zabezpieczonym urządzeniu | Nie chroni komputera, ratuje dane | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Sterownik | Obecny w systemie | Usunięty przez aktualizację |
Przejęte konto pracownika | Może dać uprawnienia administratora | Zostaje ograniczone do praw pracownika |
Faksy | Zależne od starego sterownika | Przeniesione na urządzenie sieciowe lub usługę internetową |
Wiedza o aktualizacjach | „Aktualizacje są włączone” | Potwierdzona instalacja na każdej maszynie |
Zgodność z terminem CISA | Zaległość od 4 listopada 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: wykorzystywana, nieujawniona wcześniej publicznie |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft), waga Microsoftu: „Important” |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Badacze zewnętrzni, m.in. Fabian Mosch (r-tec IT Security) i Jordan Jay |
Prognoza EPSS | Około 6% (wg analizy źródłowej); różne bazy podają nieco inne wartości, bo zapisały je w różnych dniach |
Sygnały zagrożenia dla CVE-2025-24990
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Skutek wg CISA (SSVC) total ████████████████████ CAŁKOWITY
CISA KEV TAK ████████████████████ ataki potwierdzone
Zasięg każdy ████████████████████ modem niepotrzebny
EPSS (wg źródła) ~6% █░░░░░░░░░░░░░░░░░░░ luka lokalna
Mogę Ci jakoś pomóc?
2025-10-14 Microsoft usuwa sterownik w aktualizacji zbiorczej, publikacja CVE
2025-10-14 CISA dodaje lukę do katalogu KEV (w dniu poprawki)
2025-10-15 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2025-11-04 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Microsoftu z numerami aktualizacji: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-24990 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24990 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma nadal wysyła faksy z komputera | CTO | DZISIAJ |
2 | Zażądać raportu: które maszyny nie mają aktualizacji z października 2025 lub nowszej | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, z wcześniejszym przeniesieniem faksu | CTO | DZISIAJ |
4 | Zatwierdzić budżet na faks sieciowy lub usługę faksu internetowego, jeśli jest potrzebny | CFO | DO JUTRA |
5 | Uzyskać listę starych serwerów i komputerów z niewspieranymi systemami | CTO | DO JUTRA |
6 | Potwierdzić istnienie kopii zapasowej na osobnym urządzeniu | CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wymaga terminowych aktualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn nie ma aktualizacji zbiorczej z października 2025 lub nowszej? | [liczba] | 🔴 |
2 | Czy któryś komputer korzysta z faksmodemu? | TAK / NIE | 🔴 |
3 | Kiedy ostatnia aktualizacja zakończyła się powodzeniem na serwerach? | [data] | 🔴 |
4 | Czy plik | TAK / NIE | 🟠 |
5 | Które maszyny mają systemy niewspierane przez Microsoft? | [lista] | 🟠 |
6 | Czy kopia zapasowa jest na urządzeniu, którego administrator komputera nie może wyczyścić? | TAK / NIE | 🟡 |
7 | Ilu pracowników pracuje na kontach z uprawnieniami administratora? | [liczba] | 🟡 |
CVE-2025-24990 to luka w starym sterowniku faksmodemu Agere, który leżał w praktycznie każdym Windows i pozwalał zamienić konto pracownika w uprawnienia administratora. CISA potwierdza ataki, a Microsoft usunął sterownik w aktualizacji z października 2025 roku. Przed aktualizacją warto sprawdzić, czy ktoś nie wysyła jeszcze faksów z komputera, a po niej potwierdzić instalację na każdej maszynie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.