Błąd w sterowniku Cloud Files w Windows 10, 11 i Server pozwala zwykłemu użytkownikowi przejąć pełną kontrolę nad komputerem. Microsoft i CISA potwierdzają ataki. Zainstaluj aktualizację z grudnia 2025 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, które mają komputery i serwery z Windows 10, Windows 11 lub Windows Server 2019, 2022 i 2025. Werdykt: jeśli grudniowe aktualizacje zabezpieczeń z 2025 roku lub nowsze nie są zainstalowane, zainstaluj je dziś, bo luka pozwala zwykłemu użytkownikowi przejąć pełną kontrolę nad komputerem, a Microsoft i CISA potwierdzają ataki.
Amerykańska agencja CISA 9 grudnia 2025 roku, w dniu publikacji poprawki przez Microsoft, dopisała CVE-2025-62221 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w sterowniku Windows Cloud Files Mini Filter Driver, który obsługuje pliki chmurowe widoczne w zwykłych folderach. Pozwala osobie, która ma już zwykłe konto na komputerze, podnieść uprawnienia do poziomu SYSTEM, czyli najwyższego w Windows.
Microsoft oznaczył lukę jako wykorzystywaną w atakach w chwili wydania poprawki. Obejścia nie ma. Termin naprawy wg CISA minął 30 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-62221 |
Data dodania do CISA KEV | 2025-12-09 |
Termin naprawy wg CISA | 2025-12-30 |
Produkt | Microsoft Windows, sterownik Cloud Files Mini Filter Driver (część systemu, obecna niezależnie od tego, czy firma używa dysku w chmurze) |
Wersje zagrożone | Windows 10 1809, 21H2, 22H2; Windows 11 23H2, 24H2, 25H2; Windows Server 2019, 2022, 2022 23H2 i 2025, także instalacje Server Core, bez aktualizacji z grudnia 2025. Wymagane zwykłe konto na komputerze |
Wersje bezpieczne | Kompilacje wg NVD: Windows 10 1809 i Server 2019: 17763.8146; Windows 10 21H2/22H2: 19044/19045.6691; Windows 11 23H2: 22631.6345; Server 2022 23H2: 25398.2025. Dla Windows 11 24H2/25H2 i Server 2025 Microsoft wskazuje pełną aktualizację KB5072033 (kompilacja .7462), a dla Server 2022 KB5071547 (20348.4529); NVD uznaje za bezpieczne już niższe kompilacje z aktualizacji bez restartu (.7392 z KB5072014 i 20348.4467 z KB5071413). Rozstrzyga producent. Każda późniejsza aktualizacja zbiorcza także zawiera poprawkę |
Typ podatności | Lokalne podniesienie uprawnień przez użycie pamięci po zwolnieniu; CWE-416 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft). Atak lokalny, wymaga niskich uprawnień, bez udziału użytkownika, pełny wpływ na system. Waga wg Microsoft: ważna |
Wyobraź sobie firmę, która wynajmowała pokój w biurowcu, wyprowadziła się i oddała klucze. Jeden z pracowników ma jednak w kalendarzu stary adres i nadal zanosi tam teczki z dokumentami do podpisu, bo zawsze tak robił. W pokoju siedzi już ktoś inny, kto może te dokumenty przeczytać, podmienić i odesłać, a firma przyjmie je jak swoje.
Tak działa „użycie pamięci po zwolnieniu”. Sterownik rezerwuje kawałek pamięci, oddaje go systemowi, a potem przez błąd sięga pod ten sam adres jeszcze raz. Napastnik celowo zajmuje zwolnione miejsce swoimi danymi, a sterownik, działający z najwyższymi uprawnieniami, wykonuje je jak własne. Skutek: zwykłe konto pracownika staje się kontem SYSTEM, a polityka odebrania pracownikom praw administratora przestaje chronić.
💡 Sterownik to fragment systemu działający z najwyższymi uprawnieniami, który obsługuje urządzenia lub funkcje, tu pliki synchronizowane z chmurą. Konto SYSTEM to najwyższy poziom uprawnień w Windows, wyższy niż administrator. Podniesienie uprawnień oznacza, że ktoś z ograniczonym dostępem zdobywa pełną kontrolę. Aktualizacja bez restartu (hotpatch) to poprawka wgrywana bez ponownego uruchamiania serwera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik | Szkodnik działa z ograniczonymi prawami pracownika | Szkodnik zdobywa uprawnienia SYSTEM |
Polityka „bez praw administratora” | Blokuje instalację programów i wyłączenie ochrony | Przestaje działać dla napastnika |
Program antywirusowy | Chroni komputer | Może zostać wyłączony przez napastnika z uprawnieniami SYSTEM |
Hasła w pamięci komputera | Niedostępne dla zwykłego konta | Mogą zostać odczytane i użyte na innych komputerach |
Raport skanera podatności | Pokazuje stan faktyczny | Przy progach z NVD może oznaczyć serwer jako załatany mimo braku pełnej aktualizacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia z internetu: napastnik musi najpierw uruchomić kod na komputerze z uprawnieniami zwykłego użytkownika. Dlatego CISA ocenia ją jako nieautomatyzowalną, a zwykle jest drugim krokiem po phishingu lub kradzieży hasła.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przyczółek | T+0 | Złośliwy załącznik, fałszywa strona logowania lub skradzione hasło do stanowiska | Kod działa na koncie zwykłego pracownika |
2. Podniesienie uprawnień | T+minuty | Wykorzystanie błędu w sterowniku Cloud Files | Uprawnienia SYSTEM na komputerze |
3. Wyłączenie ochrony | T+minuty | Zatrzymanie antywirusa, usunięcie śladów | Komputer bez nadzoru |
4. Kradzież poświadczeń | T+godziny | Odczyt haseł i tokenów z pamięci, także kont administratorów | Klucze do innych komputerów i serwerów |
5. Ruch w sieci | T+dni | Logowanie na serwery, kontroler domeny, systemy kopii zapasowych | Kontrola nad większą częścią sieci |
6. Szantaż | T+dni do tygodni | Kradzież danych i szyfrowanie serwerów | Przestój i żądanie okupu |
Najlepsza bezkosztowa praktyka bezpieczeństwa w firmie, praca pracowników na kontach bez praw administratora, działa tylko wtedy, gdy system pod spodem jest aktualny. Ta luka unieważnia tę ochronę jednym krokiem, a z zewnątrz nic się nie zmienia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte komputery i serwery do odtworzenia, możliwe szyfrowanie | Dni od pierwszego kliknięcia | 30 tys. do 300 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów i danych klientów z przejętych maszyn | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracona sprzedaż, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informacja o incydencie dla klientów i partnerów | Tygodnie do miesięcy | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów z Windows
bez aktualizacji z grudnia 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (ataki potwierdzone przez Microsoft i CISA, a zwykłe konto napastnik zdobywa łatwo przez phishing), wpływ wysoki, ale nie maksymalny, bo luka sama nie daje wejścia z internetu; w połączeniu z pierwszym krokiem ataku prowadzi jednak do przejęcia całej sieci.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli zarządzania (Intune, WSUS, RMM) komputery i serwery bez aktualizacji zbiorczej z grudnia 2025 lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na wszystkich zaległych maszynach i zrestartować je | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Na serwerach 2022 i 2025 z hotpatchem potwierdzić, że zainstalowano pełną aktualizację wskazaną przez Microsoft, a nie tylko wersję bez restartu | Dziś | Administrator |
4 | 🟠 PILNIE | Zweryfikować numery kompilacji ręcznie ( | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić komputery z Windows 10 bez rozszerzonego wsparcia (ESU), które nie dostają już poprawek | Do 7 dni | Administrator / CTO |
6 | 🟡 WAŻNIE | Zapisać w polityce zamrożenia zmian wyjątek dla poprawek luk już wykorzystywanych | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ograniczyć logowanie kont administratorów domeny na zwykłych stanowiskach | Do 30 dni | Administrator |
Microsoft wydał poprawki dla wszystkich wspieranych wersji Windows i nie podaje żadnego obejścia. Poniższe środki nie usuwają luki, tylko utrudniają pierwszy krok ataku albo ograniczają jego skutki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie od sieci komputerów, których nie da się zaktualizować (np. Windows 10 bez ESU) | Wysoka dla tych maszyn | Łatwa, ale zatrzymuje pracę na nich |
Ograniczenie uruchamiania nieznanych programów (np. AppLocker, WDAC) | Średnia: utrudnia uruchomienie narzędzia ataku | Średnia do trudnej |
Oddzielne konta administratorów i zakaz logowania nimi na stanowiskach pracowników | Średnia: ogranicza kradzież haseł po przejęciu | Średnia |
Narzędzie EDR z alertami na wyłączenie ochrony | Niska jako ochrona, przydatna do szybkiego wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zwykłe konto pracownika | Może zostać kontem SYSTEM | Pozostaje zwykłym kontem |
Polityka braku praw administratora | Pozornie działa | Realnie chroni |
Raport skanera | Może pokazywać „zielono” przy niepełnej aktualizacji | Zgodny z kompilacjami wskazanymi przez Microsoft |
Serwery z hotpatchem | Tylko aktualizacja bez restartu | Potwierdzona pełna aktualizacja |
Zamrożenie zmian w okresach urlopowych | Blokuje wszystkie poprawki | Wyjątek dla luk wykorzystywanych w atakach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft oznaczył ją jako wykorzystywaną w dniu wydania poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (Microsoft, CVSS 3.1); waga wg Microsoft: ważna |
PoC dostępny publicznie? | Nie: Microsoft podaje, że luka nie została ujawniona publicznie, a dojrzałość kodu ataku w ocenie rozszerzonej jest „niepotwierdzona”, mimo potwierdzonych ataków |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg oceny CISA (SSVC): nie; wpływ techniczny: całkowity |
Rozbieżność źródeł | NVD i Microsoft wskazują inne kompilacje jako bezpieczne dla Windows 11 24H2/25H2 oraz Server 2022 i 2025 |
Brak publicznego kodu ataku nie oznacza braku ataków: napastnicy nie publikują swoich narzędzi.
Sygnały zagrożenia dla CVE-2025-62221
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Wykorzystanie (MSRC) TAK ████████████████████ wykryte przy publikacji
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny kod ataku NIE ░░░░░░░░░░░░░░░░░░░░ nieujawniony
Obejście BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja 2025-12-09 Microsoft publikuje poprawkę (Patch Tuesday), luka oznaczona jako wykorzystywana
2025-12-09 Publikacja CVE-2025-62221 w NVD
2025-12-09 CISA dodaje lukę do katalogu KEV
2025-12-30 Termin naprawy wg CISA, w środku okresu świątecznego
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2025-62221 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-62221 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport: ile komputerów i serwerów nie ma aktualizacji z grudnia 2025 lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację i restarty poza zwykłym oknem serwisowym | CTO | DZISIAJ |
3 | Potwierdzić, że raport opiera się na kompilacjach z biuletynu Microsoft | CTO | DZISIAJ |
4 | Ustalić listę komputerów z Windows 10 bez rozszerzonego wsparcia | CTO | DO JUTRA |
5 | Oszacować koszt licencji ESU lub wymiany sprzętu dla tych komputerów | CFO | DO JUTRA |
6 | Zatwierdzić wyjątek dla pilnych poprawek w polityce zamrożenia zmian | CTO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanych systemów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile naszych komputerów i serwerów nie ma aktualizacji zbiorczej z grudnia 2025 lub nowszej? | [liczba] | 🔴 |
2 | Jaka jest najniższa kompilacja Windows 11 24H2/25H2 i Server 2025 w firmie? | [wersja] | 🔴 |
3 | Czy serwery z hotpatchem mają też pełną aktualizację wskazaną przez Microsoft? | TAK / NIE | 🔴 |
4 | Czy nasz skaner podatności korzysta z progów NVD czy z danych Microsoft? | [źródło] | 🟠 |
5 | Ile komputerów z Windows 10 działa bez rozszerzonego wsparcia? | [liczba] | 🟠 |
6 | Czy konta administratorów domeny logują się na zwykłych stanowiskach? | TAK / NIE | 🟠 |
7 | Czy polityka zamrożenia zmian ma wyjątek dla luk wykorzystywanych w atakach? | TAK / NIE | 🟡 |
CVE-2025-62221 w sterowniku plików chmurowych Windows pozwala zwykłemu użytkownikowi zdobyć uprawnienia SYSTEM, a Microsoft i CISA potwierdzają ataki od grudnia 2025 roku. Obejścia nie ma, więc instalacja aktualnej aktualizacji zbiorczej i sprawdzenie, czy serwery z hotpatchem mają pełną poprawkę, to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.