Błąd w składniku Win32k pozwala zalogowanemu użytkownikowi zdobyć pełne uprawnienia w Windows. CISA potwierdza użycie w kampaniach ransomware. Sprawdź poprawki z grudnia 2018, wymuś restarty i odetnij stare systemy.
Ten alert jest dla zarządu, CTO i CFO firm, w których działają komputery lub serwery z Windows, zwłaszcza starsze: Windows 7, 8.1, wczesne wydania Windows 10 oraz Windows Server od 2008 do 2019. Werdykt: jeśli na maszynach nie ma poprawek z grudnia 2018 roku albo czekają na restart, wymuś instalację i restart w tym tygodniu, bo CISA potwierdza wykorzystanie tej luki w kampaniach ransomware.
Amerykańska agencja CISA 3 marca 2025 roku dopisała CVE-2018-8639 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach, i oznaczyła ją jako używaną w kampaniach ransomware. Błąd siedzi w składniku Win32k, odpowiedzialnym za okna i grafikę: niepoprawnie zarządza on obiektami w pamięci. Zalogowany użytkownik, który uruchomi przygotowany program, może uzyskać pełne uprawnienia i wykonać kod w trybie jądra.
Poprawki Microsoft wydał 11 grudnia 2018 roku. Termin wyznaczony przez CISA agencjom federalnym minął 24 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2018-8639 |
Data dodania do CISA KEV | 2025-03-03 |
Termin naprawy wg CISA | 2025-03-24 (21 dni od wpisu) |
Produkt | Microsoft Windows, składnik Win32k |
Wersje zagrożone | Windows 7 SP1, Windows 8.1, Windows RT 8.1, Windows 10 od wersji 1507 do 1809, Windows Server 2008 SP2 i 2008 R2 SP1, Windows Server 2012 i 2012 R2, Windows Server 2016, Windows Server 2019 (także instalacje Server Core) bez poprawek z grudnia 2018 roku |
Wersje bezpieczne | Systemy z poprawkami z 11 grudnia 2018 roku: 14 aktualizacji o numerach od KB4471318 do KB4471332, po jednej dla każdej rodziny systemów, lub z nowszymi zbiorczymi aktualizacjami. Każda wymaga restartu. Producent nie podał obejścia |
Typ podatności | Lokalne podniesienie uprawnień przez niewłaściwe zwalnianie zasobów; CWE-404 |
Ocena CVSS | Producent: 7.0 WYSOKA (CVSS 3.1, atak trudny), ocena bieżąca 6.3. NVD: 7.8 WYSOKA (CVSS 3.1, atak łatwy). CISA: 8.4 WYSOKA (CVSS 3.1, bez wymaganych uprawnień); ENISA powiela 8.4. Starsza skala CVSS 2.0: 7.2 |
Wyobraź sobie biurowiec, w którym każdy pracownik ma identyfikator z uprawnieniami tylko do swojego piętra. Ktoś wszedł do budynku jako gość albo na identyfikatorze szeregowego pracownika. Luka działa jak wadliwy automat do identyfikatorów w holu: kto wie, jak go użyć, dostaje przepustkę dyrektora z dostępem do wszystkich pomieszczeń, sejfu i archiwum.
Tak działa ta luka w Windows. Nie wpuszcza nikogo z zewnątrz, ale zamienia zwykłe konto, np. przejęte przez fałszywą fakturę w załączniku, w konto z pełną władzą nad komputerem. To właśnie ten drugi krok decyduje, czy incydent kończy się na jednym stanowisku, czy zaczyna się szyfrowanie serwerów i dysków sieciowych.
💡 Win32k to część jądra Windows odpowiedzialna za okna i grafikę. Podniesienie uprawnień to przejście ze zwykłego konta na konto z pełnymi prawami. Tryb jądra to najwyższy poziom uprawnień w systemie. Aktualizacja zbiorcza to comiesięczny pakiet poprawek Microsoftu, który zawiera też wcześniejsze poprawki. Ransomware to oprogramowanie szyfrujące dane dla okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik uruchamia złośliwy załącznik | Program działa z ograniczonymi prawami | Program zdobywa pełne uprawnienia |
Instalacja programów i zakładanie kont | Tylko administrator | Możliwe dla napastnika |
Dane innych użytkowników komputera | Niedostępne | Do odczytu, zmiany i usunięcia |
Wyłączenie ochrony antywirusowej | Wymaga praw administratora | Możliwe po podniesieniu uprawnień |
Komputer bez restartu od tygodni | Aktualizacja „pobrana” | Poprawka niezainstalowana, luka otwarta |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: napastnik musi już mieć możliwość uruchomienia programu na komputerze jako zalogowany użytkownik. CISA ocenia atak jako niezautomatyzowany, ze skutkiem całkowitym, i potwierdza użycie w kampaniach ransomware.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwszy dostęp | T+0 | Pracownik otwiera złośliwy załącznik lub napastnik loguje się skradzionym hasłem | Program działa na koncie zwykłego użytkownika |
2. Podniesienie uprawnień | T+minuty | Uruchomienie programu wykorzystującego lukę w Win32k | Pełne uprawnienia na komputerze |
3. Wyłączenie ochrony | T+minuty do godzin | Wyłączenie antywirusa, kradzież haseł zapisanych w systemie | Napastnik niewidoczny, z nowymi danymi logowania |
4. Rozprzestrzenienie | T+godziny do dni | Przejście na serwery i inne komputery, w tym na starsze niezaktualizowane maszyny | Kontrola nad wieloma systemami |
5. Szyfrowanie | T+dni | Uruchomienie ransomware na serwerach i dyskach sieciowych, żądanie okupu | Przestój firmy |
Napastnicy rzadko wchodzą od razu jako administratorzy. Luki podnoszące uprawnienia to brakujące ogniwo między kliknięciem jednego pracownika a zaszyfrowaniem całej firmy, a ta konkretna jest potwierdzona w kampaniach ransomware.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery i stanowiska, zatrzymana sprzedaż, produkcja i księgowość | Dni od pierwszego dostępu | 100 tys. do 800 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież danych przed szyfrowaniem, przechwycone hasła | Dni | 50 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, nadgodziny i specjaliści | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Publikacja skradzionych danych, utrata zaufania klientów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; utrzymywanie systemów bez poprawek od 2018 roku utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Windows bez poprawek z grudnia 2018
Wpływ
5 | . . . ■ . ← KRYTYCZNE (użycie w ransomware)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo luka jest ogniwem ataków ransomware prowadzących do przejęcia całej firmy, a prawdopodobieństwo wysokie (potwierdzone kampanie, EPSS około 22%, górne 3% luk), choć nie maksymalne, bo napastnik musi najpierw uzyskać dostęp do komputera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, ile komputerów i serwerów czeka na restart dłużej niż tydzień | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wyszukać maszyny z Windows 7, 8.1, Windows 10 do 1809 i Windows Server 2008 do 2019 bez poprawek z grudnia 2018 roku lub nowszych zbiorczych | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zainstalować brakujące aktualizacje i wymusić restart poza godzinami pracy | Do 7 dni | Administrator IT / partner IT |
4 | 🟠 PILNIE | Odciąć od internetu i wydzielić do osobnej sieci komputery z systemami bez wsparcia, których nie da się wymienić | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Ograniczyć liczbę kont z uprawnieniami administratora na stacjach roboczych | Do 14 dni | Administrator IT |
6 | 🟡 WAŻNIE | Zmienić regułę wdrażania poprawek: stacje w comiesięcznym oknie, pozycje z KEV szybciej, niezależnie od liczby CVSS | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować wymianę systemów bez wsparcia i sprawdzić kopie zapasowe odporne na szyfrowanie | Do 90 dni | CTO / CFO |
Microsoft wydał poprawki w grudniu 2018 roku i nie opisał obejścia: jedyną drogą jest instalacja aktualizacji. Dla systemów, które nie mogą jej dostać lub nie mogą być restartowane, pomagają tylko miary ograniczające skutki; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja aktualizacji i wymuszony restart | Wysoka: jedyna miara usuwająca lukę | Łatwa, wymaga przerwy w pracy |
Odcięcie starych maszyn od internetu i wydzielenie do osobnej sieci | Średnia do wysokiej wobec rozprzestrzeniania się ataku | Średnia |
Blokada uruchamiania nieznanych programów (listy dozwolonych aplikacji) | Średnia do wysokiej | Średnia do trudnej |
Kopie zapasowe odizolowane od sieci | Wysoka wobec skutków ransomware, nie zapobiega atakowi | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawki z grudnia 2018 roku | Pobrane, ale czekające na restart | Zainstalowane i aktywne |
Stare systemy bez wsparcia | W tej samej sieci co serwery | Odcięte od internetu, w osobnej sieci |
Konta administratorów | Wielu pracowników z pełnymi prawami | Tylko niezbędne osoby |
Reguła wdrażania poprawek | Próg na liczbie CVSS | Pozycje z KEV wdrażane priorytetowo |
Zgodność z terminem CISA | Prawie 18 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Uwaga: dokument producenta, aktualizowany jeszcze 18 lutego 2026 roku, nadal podaje status „niewykorzystywana” |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 7.0 wg producenta, 7.8 wg NVD, 8.4 wg CISA (CVSS 3.1); 7.2 w CVSS 2.0 |
PoC dostępny publicznie? | Producent w ocenie bieżącej uwzględnia istnienie działającego kodu demonstracyjnego; brak szczegółów w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Podobna luka | CVE-2018-8641 w Win32k z tego samego zestawu poprawek to inny błąd; przy porównywaniu raportów patrz na pełny numer |
Prognoza EPSS | Około 22% szansy próby wykorzystania w ciągu 30 dni, górne 3% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2018-8639
CVSS 3.1 (CISA) 8.4/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~22% ████░░░░░░░░░░░░░░░░ górne 3% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2018-12-11 Microsoft wydaje 14 poprawek (KB4471318 do KB4471332)
2018-12-12 Publikacja CVE-2018-8639 w NVD
... ponad 6 lat bez wpisu w KEV
2025-03-03 CISA dodaje lukę do KEV, ransomware: Known
2025-03-24 Termin naprawy wg CISA dla agencji federalnych
2026-02-18 Aktualizacja dokumentu producenta, status bez zmian
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com, CVE-2018-8639 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2018-8639 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać administratora, ile maszyn czeka na restart dłużej niż tydzień | CTO | DZISIAJ |
2 | Uzyskać listę komputerów i serwerów z systemami bez wsparcia | CTO | DZISIAJ |
3 | Zatwierdzić wymuszony restart po godzinach pracy | CTO | DO JUTRA |
4 | Zatwierdzić wydzielenie starych maszyn do osobnej sieci | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę systemów bez wsparcia | CFO | DO JUTRA |
6 | Sprawdzić, czy kopie zapasowe są odporne na szyfrowanie i czy były testowane | CFO / CTO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn czeka na restart po aktualizacji dłużej niż tydzień? | [liczba] | 🔴 |
2 | Czy wszystkie komputery i serwery mają poprawki z grudnia 2018 roku lub nowsze zbiorcze? | TAK / NIE | 🔴 |
3 | Ile mamy maszyn z Windows 7, 8.1 lub Windows Server 2008 i 2012? | [liczba] | 🔴 |
4 | Czy te maszyny mają dostęp do internetu i do serwerów z danymi? | TAK / NIE | 🟠 |
5 | Ilu pracowników ma uprawnienia administratora na swoich komputerach? | [liczba] | 🟠 |
6 | Czy nasz próg wdrażania poprawek opiera się na liczbie CVSS czy na katalogu KEV? | [reguła] | 🟠 |
7 | Kiedy ostatnio odtworzono dane z kopii zapasowej na próbę? | [data] | 🟡 |
CVE-2018-8639 pozwala zalogowanemu użytkownikowi Windows zdobyć pełne uprawnienia i według CISA jest wykorzystywana w kampaniach ransomware, mimo że dokument producenta wciąż mówi inaczej. Poprawki są dostępne od grudnia 2018 roku, więc sprawdzenie maszyn czekających na restart i odcięcie starych systemów bez wsparcia to zadania na ten tydzień, zaczynając od dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.