Błąd w sterowniku CLFS pozwala napastnikowi, który już jest na komputerze z Windows, zdobyć najwyższe uprawnienia SYSTEM. CISA potwierdza ataki. Zainstaluj majowe (2025) lub nowsze aktualizacje Windows.
Ten alert jest dla zarządu, CTO i CFO każdej firmy używającej komputerów i serwerów z Windows. Werdykt: jeśli którykolwiek komputer nie ma majowych (2025) lub nowszych aktualizacji Windows, zainstaluj je dziś, bo luka pozwala napastnikowi, który już jest na komputerze, zdobyć najwyższe uprawnienia, a CISA potwierdza jej wykorzystanie.
Amerykańska agencja CISA 13 maja 2025 roku dopisała podatność CVE-2025-32706 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy sterownika Common Log File System (CLFS) w systemie Windows, obecnego we wszystkich wersjach systemu.
Sterownik działa w jądrze (z pełnymi uprawnieniami), a przetwarza pliki dzienników, które może przygotować dowolny program zwykłego użytkownika. Napastnik, który ma już na komputerze konto choćby z niskimi uprawnieniami, może przez tę lukę podnieść je do poziomu SYSTEM, czyli najwyższego w Windows. Ataku nie da się przeprowadzić zdalnie z internetu, potrzebny jest wcześniejszy dostęp do komputera.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32706 |
Data dodania do CISA KEV | 2025-05-13 |
Termin naprawy wg CISA | 2025-06-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik Common Log File System (CLFS); 37 dotkniętych wydań od Windows 10 i Server 2008 SP2 po Windows 11 24H2 i Server 2025 |
Wersje zagrożone | Windows i Windows Server bez majowej (2025) aktualizacji zabezpieczeń |
Wersje bezpieczne | Systemy z majowym (2025) zestawem poprawek lub nowszym, np. KB5058387, KB5058383, KB5058379 dla nowszych wydań; KB5058429/KB5058449 (Server 2008), KB5058430/KB5058454 (Server 2008 R2), KB5058451/KB5058403 (Server 2012 R2) |
Typ podatności | Podniesienie uprawnień; przepełnienie sterty w sterowniku CLFS. Microsoft klasyfikuje jako niewłaściwe sprawdzanie danych (CWE-20), CISA jako przepełnienie bufora na stercie (CWE-122) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1) wg Microsoft; NVD nie wystawiła własnej oceny. Atak lokalny, wymaga niskich uprawnień, bez udziału innego użytkownika |
Wyobraź sobie firmę, w której każdy pracownik może zostawić w skrzynce podawczej notatkę dla kierownika. Kierownik ma najwyższe uprawnienia i wykonuje polecenia z notatek. Notatki mają mieścić się na jednej kartce, ale kierownik nie sprawdza długości: gdy ktoś przyklei do kartki drugą, dopisany tekst wchodzi w miejsce, gdzie zwykle jest podpis przełożonego, i kierownik traktuje go jak własne polecenie.
Sterownik CLFS to taki kierownik: działa z najwyższymi uprawnieniami, a przyjmuje pliki dzienników od zwykłych programów. Podatna wersja nie sprawdzała dokładnie rozmiaru tych danych, więc spreparowany plik nadpisywał sąsiedni obszar pamięci i pozwalał napastnikowi awansować do poziomu SYSTEM. To nie jest wejście do firmy z zewnątrz, tylko sposób, żeby z konta zwykłego pracownika stać się „kierownikiem”.
💡 CLFS (Common Log File System) to składnik Windows prowadzący dzienniki transakcyjne dla baz danych i systemu plików. Jądro to warstwa systemu z pełnymi uprawnieniami. SYSTEM to najwyższy poziom uprawnień w Windows. Podniesienie uprawnień to zamiana konta o małych prawach na konto o pełnych prawach. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program tworzy plik dziennika | CLFS przetwarza go bezpiecznie | Spreparowany plik nadpisuje pamięć jądra |
Konto zwykłego użytkownika | Ograniczone prawa | Może zostać podniesione do SYSTEM |
Antywirus i zabezpieczenia | Chronią system | Z uprawnieniami SYSTEM mogą zostać wyłączone |
Atak z internetu | Wymaga innej luki, by wejść na komputer | Ta luka działa dopiero po wejściu |
Komputer z majową aktualizacją | Chroniony | Luka nie działa |
źródło: MicrosoftPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka to drugi krok: napastnik musi już mieć jakikolwiek dostęp do komputera. CISA oceniła, że atak nie jest automatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście na komputer | Wcześniej | Zainfekowany załącznik, plik z pendrive'a, przejęte konto pracownika | Kod napastnika z uprawnieniami zwykłego użytkownika |
2. Przygotowanie | T+minuty | Utworzenie spreparowanego pliku dziennika CLFS | Gotowy plik ataku |
3. Podniesienie uprawnień | T+minuty | Wykorzystanie luki w CLFS | Uprawnienia SYSTEM |
4. Wyłączenie ochrony | T+minuty | Wyłączenie antywirusa, odczyt haseł, tworzenie kont | Pełna kontrola nad komputerem |
5. Rozprzestrzenienie | T+godziny do dni | Dostęp do innych komputerów w tej samej sieci | Szersze włamanie |
6. Skutki | T+dni | Kradzież danych, szyfrowanie (ransomware) | Przestój i wyciek |
Mogę Ci jakoś pomóc?
Luki podnoszące uprawnienia są zwykle bagatelizowane, bo „ktoś i tak musi już być w środku”. W praktyce większość ataków ma etap, w którym napastnik ma już mały przyczółek i potrzebuje właśnie takiej luki, by przejąć komputer w całości.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęcie komputerów, przy ataku ransomware przestój całej firmy | Godziny do dni od wejścia | 30 tys. do 400 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyłączenie ochrony, kradzież haseł i danych z komputerów | Minuty od podniesienia uprawnień | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, koszty specjalistów, straty z przestoju | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania po wycieku lub długim przestoju | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windows bez majowej aktualizacji 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie komputera), a prawdopodobieństwo średnie, bo luka wymaga wcześniejszego dostępu do komputera i nie da się jej automatyzować (EPSS około 2%); dla komputerów, na których łatwo o pierwszy przyczółek (otwieranie załączników, pendrive'y), znacznik należy przesunąć w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, które komputery i serwery nie mają majowej (2025) lub nowszej aktualizacji Windows | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje zabezpieczeń Windows | Dziś | Dział IT |
3 | 🟠 PILNIE | Włączyć automatyczne aktualizacje wszędzie, gdzie były wyłączone | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Wskazać stanowiska, których nie da się aktualizować (stary sprzęt, specjalistyczne oprogramowanie), i odseparować je od reszty sieci | Do 7 dni | CTO / dział IT |
5 | 🟠 PILNIE | Sprawdzić, czy pracownicy pracują na kontach bez uprawnień administratora | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Wdrożyć centralne zarządzanie aktualizacjami, by mieć wgląd w stan wszystkich komputerów | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ograniczyć użycie nośników USB na stanowiskach o podwyższonym ryzyku | Do 30 dni | CTO |
Microsoft nie podał dla tej luki żadnego obejścia, bo sterownika CLFS nie da się wyłączyć. Instalacja poprawki jest jedynym rozwiązaniem. Dla stanowisk, których z jakiegoś powodu nie można od razu zaktualizować, pomagają miary ograniczające. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odseparowanie nieaktualizowanego stanowiska (osobna sieć, brak wspólnych dysków i zapisanych haseł) | Wysoka: ogranicza skutki do jednej maszyny | Średnia |
Praca na kontach bez uprawnień administratora | Średnia: nie usuwa luki, ale utrudnia pierwszy przyczółek | Średnia |
Ograniczenie uruchamiania nieznanych programów i nośników USB | Średnia: zmniejsza szansę na wejście napastnika | Średnia |
Monitorowanie prób podniesienia uprawnień przez ochronę stacji roboczych | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Sterownik CLFS | Podatny na spreparowany plik dziennika | Poprawiony majową aktualizacją |
Konta zwykłych użytkowników | Można je podnieść do SYSTEM | Luka zamknięta |
Aktualizacje | Wyłączone „żeby nic nie popsuć” | Włączone i monitorowane |
Stare stanowiska | W tej samej sieci co reszta | Odseparowane |
Widoczność | Brak wglądu w stan aktualizacji | Centralny przegląd komputerów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft również oznacza lukę jako wykorzystywaną, choć niewcześniej ujawnioną publicznie. CISA ocenia skutek techniczny jako całkowity, atak jako nieautomatyzowalny |
Grupy przestępcze | Brak publicznej atrybucji. Błąd zgłosili niezależnie zespół CrowdStrike oraz Benoit Sevens z Google Threat Intelligence, co wskazuje na wykrycie podczas analizy realnych ataków |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown). Luki w CLFS bywają jednak wykorzystywane w atakach ransomware |
Ocena CVSS | 7.8 WYSOKA wg Microsoft (CVSS 3.1) |
PoC dostępny publicznie? | NVD wskazuje dwa odnośniki oznaczone jako materiały o charakterze wykorzystania (jeden także łagodzący); treści nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,0224 (około 2% szansy próby wykorzystania w 30 dni), percentyl 0,815 (wg analizy źródłowej) |
Trzy instytucje inaczej nazwały tę samą lukę (Microsoft: błąd walidacji danych; CISA: przepełnienie sterty; NVD: brak własnej klasyfikacji). To ta sama usterka opisana od strony przyczyny i skutku. W rozmowie z działem IT lub audytorem najbezpieczniej posługiwać się numerem CVE, a nie nazwą opisową.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-32706
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~2% █░░░░░░░░░░░░░░░░░░░ niski (percentyl 0,82)
CISA KEV TAK ████████████████████ ataki potwierdzone
Wykryte w atakach TAK ████████████████████ dwa zespoły niezależnie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-05-13 Publikacja CVE i majowy zestaw poprawek Microsoft;
CISA dodaje lukę do katalogu KEV
2025-06-03 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Wpis Microsoft z listą aktualizacji dla każdego wydania: MSRC, CVE-2025-32706 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32706 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport, które komputery i serwery nie mają majowych (2025) lub nowszych aktualizacji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację brakujących aktualizacji | CTO | DZISIAJ |
3 | Wskazać stanowiska, których nie da się aktualizować, i zlecić ich odseparowanie | CTO | DO JUTRA |
4 | Zdecydować o wdrożeniu centralnego zarządzania aktualizacjami | CTO | DO JUTRA |
5 | Sprawdzić, czy pracownicy nie pracują na kontach administratora bez potrzeby | CTO | DO JUTRA |
6 | Zaplanować wymianę sprzętu blokującego aktualizacje ze względu na stare oprogramowanie | CFO | DO JUTRA |
7 | Sprawdzić inne luki CLFS z tego samego okresu na tych samych systemach | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów nie ma majowych (2025) lub nowszych aktualizacji? | [liczba] | 🔴 |
2 | Czy automatyczne aktualizacje są włączone na wszystkich urządzeniach? | TAK / NIE | 🔴 |
3 | Które stanowiska mają wyłączone aktualizacje i dlaczego? | [lista i powód] | 🔴 |
4 | Czy nieaktualizowane stanowiska są odseparowane od reszty sieci? | TAK / NIE | 🟠 |
5 | Czy pracownicy pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟠 |
6 | Czy mamy centralny wgląd w stan aktualizacji wszystkich urządzeń? | TAK / NIE | 🟡 |
7 | Czy używamy jeszcze systemów bez wsparcia (np. Windows Server 2008)? | TAK / NIE | 🟡 |
CVE-2025-32706 pozwala napastnikowi, który już jest na komputerze z Windows, awansować do najwyższych uprawnień SYSTEM przez błąd w sterowniku CLFS. Poprawka jest w majowym (2025) zestawie aktualizacji, a CISA potwierdza ataki, więc zainstalowanie brakujących aktualizacji i odseparowanie stanowisk, których nie da się zaktualizować, to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.