Błąd w platformie antymalware Microsoft Defender pozwala unieruchomić ochronę komputera. CISA potwierdza ataki. Sprawdź, czy wszystkie stanowiska mają platformę 4.18.26040.7 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO firm, w których komputery z Windows chroni wbudowany Microsoft Defender. Werdykt: luka jest wykorzystywana w atakach, ale poprawka przychodzi automatycznie, więc dziś sprawdź, czy wszystkie stanowiska mają platformę Defendera w wersji 4.18.26040.7 lub nowszej.
Amerykańska agencja CISA 20 maja 2026 roku dopisała CVE-2026-45498 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy platformy antymalware Microsoft Defender, czyli programów pracujących w tle, które skanują pliki i pilnują systemu. Skutkiem jest odmowa usługi: ochronę da się zmusić do zużywania zasobów tak długo, aż przestaje działać, podczas gdy reszta komputera pracuje normalnie.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 czerwca 2026 roku. Microsoft nie opublikował szczegółów technicznych mechanizmu, a dwie instytucje oceniają wagę błędu bardzo różnie, co opisujemy niżej.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-45498 |
Data dodania do CISA KEV | 2026-05-20 |
Termin naprawy wg CISA | 2026-06-03 (14 dni od wpisu) |
Produkt | Microsoft Defender, platforma antymalware (Microsoft Defender Antimalware Platform). Według analizy źródłowej ta sama platforma działa pod System Center Endpoint Protection i Microsoft Security Essentials |
Wersje zagrożone | Platforma od 4.0.0.0 do wersji niższej niż 4.18.26040.7; ostatnia podatna wersja to 4.18.26030.3011. Komputery z wyłączonym Defenderem nie są w stanie podatnym, choć skanery podatności mogą je tak raportować |
Wersje bezpieczne | 4.18.26040.7 i nowsze; aktualizacja instaluje się automatycznie przy domyślnej konfiguracji i może wymagać ponownego uruchomienia |
Typ podatności | Odmowa usługi (DoS); CWE-400: niekontrolowane zużycie zasobów |
Ocena CVSS | Microsoft: 4.0 (CVSS 3.1, ŚREDNIA; atak lokalny, niski wpływ na dostępność, wykorzystanie oznaczone jako niepotwierdzone). NVD: 7.5 (CVSS 3.1, WYSOKA; atak przez sieć, bez uprawnień, wysoki wpływ na dostępność) |
Rozbieżność dotyczy dwóch najważniejszych pytań: czy napastnik musi już mieć dostęp do komputera i czy ochrona całkowicie pada, czy tylko zwalnia. Żadna ze stron nie uzasadniła swojej oceny publicznie. Przy tak niskim koszcie reakcji rozsądnie jest przyjąć ostrzejszy wariant.
Wyobraź sobie ochroniarza przy wejściu do biura, który sprawdza każdą paczkę. Ktoś odkrył, że jeśli podsunie mu odpowiednio przygotowaną stertę kartonów, ochroniarz zajmie się nimi bez końca i przestanie patrzeć na drzwi. Biuro działa dalej: telefony dzwonią, faktury wychodzą. Po prostu nikt już nie kontroluje, co wchodzi do środka.
Tak działa ta luka. Nie kradnie plików i sama nie przejmuje komputera. Wyłącza ostatnią warstwę, która miała zatrzymać złośliwy załącznik. Awaria antywirusa jest cicha: nikt nie dzwoni do działu IT, bo praca się nie zatrzymuje.
💡 Odmowa usługi (DoS) to atak, który nie wykrada danych, tylko sprawia, że program lub usługa przestaje działać. Platforma antymalware to silnik Defendera pracujący w tle, oddzielny od definicji wirusów i od okna, które widzi użytkownik. CVSS to skala od 0 do 10 opisująca techniczną wagę luki. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik | Defender blokuje plik i pokazuje ostrzeżenie | Jeśli ochrona została wcześniej unieruchomiona, plik uruchamia się bez przeszkód |
Praca biura | Bez zmian | Bez zmian, nikt nie zauważa problemu |
Okno Zabezpieczenia Windows | Zielony stan, aktualne definicje | Może nie odzwierciedlać faktycznej pracy silnika |
Raport skanera podatności | Brak wpisu po aktualizacji | Wpis CVE-2026-45498, także na komputerach z wyłączonym Defenderem |
Reakcja działu IT | Brak potrzeby | Wymaga sprawdzenia wersji platformy na każdym stanowisku |
źródło: freepikPoniżej typowy przebieg ataku dla podatności, która unieruchamia oprogramowanie ochronne. To scenariusz poglądowy, a nie opis konkretnego incydentu, bo Microsoft nie ujawnił mechanizmu. Według oceny producenta atak wymaga działania na samym komputerze, według NVD możliwy jest przez sieć. CISA ocenia, że ataku nie da się w pełni zautomatyzować, a jego skutek techniczny jest częściowy. W praktyce taka luka służy zwykle jako element większego ataku, a nie jako cel sam w sobie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwszy kontakt | T+0 min | Dostarczenie pliku lub wiadomości na komputer ofiary, np. fałszywa faktura w załączniku | Napastnik ma punkt zaczepienia na stanowisku albo w jego zasięgu |
2. Unieruchomienie ochrony | T+kilka minut | Wywołanie błędu, który zmusza silnik Defendera do zużywania zasobów aż do utraty funkcji | Ochrona przestaje skanować, system działa dalej |
3. Właściwy atak | T+kilka do kilkudziesięciu minut | Uruchomienie narzędzi, które normalnie zostałyby zablokowane | Złośliwy kod działa bez ostrzeżeń |
4. Rozpoznanie | T+1 do 3 dni | Przegląd sieci, udziałów plikowych i kont | Mapa cennych danych |
5. Kradzież lub szyfrowanie | T+3 do 14 dni | Kopiowanie danych, przygotowanie szyfrowania | Wyciek lub przestój firmy |
Mogę Ci jakoś pomóc?
Sama luka nie powoduje strat. Straty powoduje to, co wejdzie przez dziurę w ochronie. W wielu małych firmach Defender jest jedynym programem antywirusowym, więc jego unieruchomienie oznacza brak ostatniej linii obrony na stanowisku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój stanowisk lub serwerów po infekcji, która przeszła przez wyłączoną ochronę | Godziny do dni | 20 tys. do 200 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów i danych klientów | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty obsługi incydentu, zewnętrznych specjalistów, ewentualne żądanie okupu | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku lub przestoju | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualną platformą Defendera
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← ŚREDNIE / WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (potwierdzone ataki, wysoki wskaźnik EPSS), a wpływ średni, bo luka sama nie wykrada danych, tylko otwiera drogę innym atakom; dla firmy z aktualną platformą ryzyko praktycznie znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję platformy (Antimalware ClientVersion) na wszystkich stanowiskach i serwerach: musi być 4.18.26040.7 lub wyższa | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Na komputerach z niższą wersją wymusić sprawdzenie aktualizacji ochrony i ponownie uruchomić komputer | Dziś | Administrator IT |
3 | 🟠 PILNIE | Ustalić, czy zasady grupowe lub oprogramowanie zarządzające nie blokują automatycznych aktualizacji Defendera | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Włączyć komputery zapasowe i rzadko używane laptopy, żeby pobrały aktualizację | Do 3 dni | Dział IT |
5 | 🟡 WAŻNIE | Wprowadzić centralny podgląd stanu ochrony lub comiesięczny obchód stanowisk | Do 30 dni | CTO |
6 | 🟡 WAŻNIE | Opisać w dokumentacji komputery z wyłączonym Defenderem, które skaner nadal oznacza jako podatne | Do 30 dni | Administrator IT |
Microsoft wydał poprawkę i przy domyślnych ustawieniach instaluje ją automatycznie, więc ta tabela dotyczy głównie komputerów odciętych od aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odblokowanie aktualizacji Defendera w zasadach grupowych lub narzędziu zarządzającym | Wysoka: prowadzi do instalacji poprawki | Łatwa |
Ręczne pobranie aktualizacji na komputery bez dostępu do internetu | Wysoka | Średnia: wymaga pracy przy każdym stanowisku |
Filtrowanie załączników na serwerze poczty jako dodatkowa warstwa | Średnia: zmniejsza szansę dostarczenia złośliwego pliku | Średnia |
Ograniczenie uprawnień administratora na stanowiskach | Średnia: utrudnia dalsze kroki ataku | Średnia |
Alarm przy zatrzymaniu lub błędach usługi Defender | Niska jako ochrona, przydatna do wykrycia problemu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja platformy | Nieznana, część komputerów może mieć 4.18.26030.3011 lub starszą | Wszędzie 4.18.26040.7 lub nowsza, potwierdzone |
Ochrona stanowisk | Możliwa do unieruchomienia | Luka zamknięta |
Widoczność | Stan sprawdzany dopiero po incydencie | Stan ochrony sprawdzany regularnie |
Raporty skanerów | Niewyjaśnione wpisy o podatności | Wpisy zamknięte lub udokumentowane jako zaakceptowane |
Zgodność z terminem CISA | Zaległość od 3 czerwca 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft w rekordzie również oznacza lukę jako wykrytą w atakach, choć w ocenie CVSS zapisuje wykorzystanie jako niepotwierdzone |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.0 ŚREDNIA wg Microsoft (CVSS 3.1); 7.5 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie ataku; Microsoft oznacza lukę jako ujawnioną publicznie, ale nie opisał mechanizmu |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak niemożliwy do pełnej automatyzacji, skutek techniczny częściowy |
Prognoza EPSS | 0,63 prawdopodobieństwa prób wykorzystania w 30 dni, wyżej niż ponad 99% podatności (odczyt z 23 sierpnia 2026 wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-45498
CVSS 3.1 (Microsoft) 4.0/10 ████████░░░░░░░░░░░░ ŚREDNIA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~63% █████████████░░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-05-12 Rezerwacja numeru CVE przez Microsoft
2026-05-19 Microsoft publikuje informację o luce i poprawkę (4.18.26040.7)
2026-05-20 Publikacja rekordu CVE i wpisu w NVD
2026-05-20 CISA dodaje lukę do KEV (razem z sześcioma innymi pozycjami)
2026-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-07-23 Ostatnia aktualizacja wpisu w NVD (ocena 7.5)
2026-08-10 Ostatnia aktualizacja rekordu CVE przez Microsoft
... ponad 3 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45498 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-45498 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Defendera jako głównej ochrony stanowisk i serwerów | CTO | DZISIAJ |
2 | Uzyskać zestawienie wersji platformy Defendera ze wszystkich komputerów | CTO | DZISIAJ |
3 | Zlecić wymuszenie aktualizacji na komputerach poniżej 4.18.26040.7 | CTO | DZISIAJ |
4 | Sprawdzić, czy żadne zasady nie blokują automatycznych aktualizacji ochrony | CTO | DO JUTRA |
5 | Zatwierdzić prosty, cykliczny przegląd stanu ochrony stanowisk | CTO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wymaga aktualnej ochrony antywirusowej | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najniższa wersja platformy Defendera w naszej firmie? | [wersja] | 🔴 |
2 | Ile komputerów ma wersję niższą niż 4.18.26040.7? | [liczba] | 🔴 |
3 | Czy automatyczne aktualizacje Defendera są wszędzie włączone? | TAK / NIE | 🔴 |
4 | Czy mamy komputery zapasowe lub rzadko używane, które nie były włączane od maja 2026 roku? | TAK / NIE | 🟠 |
5 | Czy widzimy centralnie stan ochrony wszystkich stanowisk? | TAK / NIE | 🟠 |
6 | Czy używamy System Center Endpoint Protection lub Microsoft Security Essentials na starszych maszynach? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio sprawdzono, czy na żadnym komputerze ochrona nie została wyłączona? | [data] | 🟡 |
CVE-2026-45498 pozwala unieruchomić ochronę Microsoft Defender, a CISA potwierdza ataki. Poprawka w platformie 4.18.26040.7 instaluje się automatycznie, więc zadaniem na dziś jest sprawdzenie, czy faktycznie dotarła na każdy komputer, a na ten miesiąc: wprowadzenie regularnej kontroli stanu ochrony.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.