Błąd w usłudze Windows zarządzającej połączeniami zdalnymi pozwala programowi na komputerze wyłączyć VPN. Danych nie wykrada, ale CISA i Microsoft potwierdzają ataki. Sprawdź, czy wszystkie maszyny mają aktualizacje z lutego 2026 roku.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy łączą się z firmą przez VPN z komputerów z Windows. Werdykt: luka nie wykrada danych, ale jest wykorzystywana w atakach i może wyłączyć połączenia zdalne, więc upewnij się w tym tygodniu, że wszystkie komputery i serwery Windows mają aktualizacje z lutego 2026 roku lub nowsze.
Amerykańska agencja CISA 10 lutego 2026 roku, w dniu comiesięcznych poprawek Microsoftu, dopisała podatność CVE-2026-21525 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Microsoft sam zaznaczył, że wykrył jej wykorzystanie, zanim ktokolwiek opisał ją publicznie.
Błąd siedzi w usłudze Windows o nazwie Remote Access Connection Manager, która nawiązuje i utrzymuje połączenia zdalne, w tym VPN. Skutkiem jest awaria tej usługi: nic nie wycieka i nic nie zostaje zmienione, ale połączenie z firmą znika. Atak jest wyłącznie lokalny, czyli wymaga, żeby napastnik lub jego program już działał na danym komputerze. Termin naprawy wg CISA minął 3 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21525 |
Data dodania do CISA KEV | 2026-02-10 |
Termin naprawy wg CISA | 2026-03-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, usługa Remote Access Connection Manager (RasMan) |
Wersje zagrożone | Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1), Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, także w wariancie Server Core, bez aktualizacji z lutego 2026 roku |
Wersje bezpieczne | Aktualizacje z 10 lutego 2026 roku lub nowsze. Minimalne kompilacje wg NVD: Windows 10 22H2 10.0.19045.6937, 21H2 10.0.19044.6937, 1809 i Server 2019 10.0.17763.8389, 1607 i Server 2016 10.0.14393.8868; Windows 11 23H2 10.0.22631.6649, 24H2 10.0.26100.7781, 25H2 10.0.26200.7781; Server 2022 10.0.20348.4711, Server 2022 23H2 10.0.25398.2149, Server 2025 10.0.26100.32313. Przykładowe numery aktualizacji producenta: KB5075912 (Windows 10), KB5075941 (Windows 11 23H2), KB5077181 (Windows 11 24H2/25H2), KB5077179 (26H1), KB5075971 (Server 2012), KB5075970 (Server 2012 R2), KB5075899 (Server 2025) |
Typ podatności | Odmowa usługi przez wyłuskanie wskaźnika pustego; CWE-476 |
Ocena CVSS | 6.2 ŚREDNIA (CVSS 3.1, Microsoft; ocena czasowa 5.4). Microsoft: waga Moderate. Atak lokalny, bez uprawnień i bez udziału użytkownika; wpływ tylko na dostępność |
Wyobraź sobie listonosza, który roznosi pocztę do skrzynek w dużym bloku. Dostaje kopertę z pustym polem adresu. Zamiast odłożyć ją na bok, staje na środku klatki schodowej i kończy dzień pracy. Nikt nie ukradł żadnego listu, ale do żadnej skrzynki nic już tego dnia nie trafi.
Tak działa ten błąd. Usługa Windows odpowiedzialna za połączenia zdalne w pewnym momencie sięga pod adres w pamięci, pod którym powinny leżeć dane. Jeśli adres jest pusty, usługa przerywa pracę. Program napastnika uruchomiony na komputerze może celowo doprowadzić do takiej sytuacji. Efekt: pracownik traci połączenie VPN z firmą, a administrator traci kanał, przez który mógłby się do tego komputera połączyć.
💡 VPN to szyfrowany tunel, przez który pracownik spoza biura korzysta z sieci firmy. Odmowa usługi (DoS) to atak, który nie kradnie danych, tylko sprawia, że coś przestaje działać. Wskaźnik pusty (NULL) to „adres donikąd” w pamięci programu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Monter w terenie wysyła protokół odbioru przez VPN | Protokół trafia do systemu od razu | Połączenie znika, protokół czeka |
Administrator łączy się zdalnie, by zareagować na alarm | Wchodzi przez VPN i działa | Kanał jest wyłączony, reakcja się opóźnia |
Dane na komputerze | Bezpieczne | Nadal bezpieczne: luka ich nie wykrada ani nie zmienia |
Atak z internetu bez dostępu do komputera | Niemożliwy | Nadal niemożliwy: potrzebny jest dostęp lokalny |
Złośliwy program już działający na laptopie | Ograniczony przez zabezpieczenia | Może wyłączyć połączenia zdalne i utrudnić reakcję |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia do firmy ani uprawnień, więc sama w sobie nie jest początkiem ataku. Bywa etapem: po wcześniejszym przejęciu komputera napastnik może wyłączyć kanał zdalny, żeby opóźnić reakcję albo zakłócić pracę. CISA ocenia, że wykorzystania nie da się zautomatyzować, a skutek techniczny jest częściowy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wcześniejsze wejście | T-dni | Przejęcie komputera inną drogą: złośliwy załącznik, skradzione hasło | Program napastnika działa na maszynie |
2. Przygotowanie | T+0 min | Uruchomienie kodu wywołującego błąd w usłudze Remote Access Connection Manager | Gotowość do przerwania połączeń |
3. Awaria usługi | T+1 min | Usługa zarządzająca połączeniami zdalnymi przestaje działać | Zerwany VPN, brak nowych połączeń |
4. Utrudnienie reakcji | T+minuty do godzin | Administrator nie może połączyć się z komputerem przez VPN, monitoring traci kontakt | Opóźniona reakcja na incydent |
5. Realizacja głównego celu | T+godziny | Działania, które awaria miała osłonić, np. kradzież danych inną drogą lub przygotowanie szyfrowania | Skutki zależne od całego ataku |
6. Zakłócenie pracy | T+godziny do dni | Powtarzanie awarii na laptopach pracowników zdalnych | Przestój zespołów pracujących w terenie |
Ocena „średnia” opisuje rodzaj szkody, a nie to, czy luka jest używana. Obecność w katalogu KEV mówi, że jest. Dla firmy, która opiera pracę na połączeniach zdalnych, wyłączenie VPN oznacza realny przestój, a w czasie incydentu także utratę możliwości szybkiej reakcji. Na szczęście naprawa to standardowa aktualizacja Windows.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak dostępu do systemów firmy dla pracowników zdalnych i terenowych | Minuty od ataku, godziny przestoju | 5 tys. do 60 tys. PLN (bezczynność zespołów) |
Bezpieczeństwo danych | Sama luka nie ujawnia danych; opóźniona reakcja może pogłębić skutki innego ataku | Godziny | 0 do 80 tys. PLN (zależnie od głównego ataku) |
Finansowy | Opóźnione faktury i zlecenia, nadgodziny IT | Dni | 10 tys. do 100 tys. PLN |
Reputacyjny | Opóźnienia u klientów, niedotrzymane terminy | Tygodnie | 10 tys. do 100 tys. PLN |
Prawny | Sama luka nie powoduje wycieku; jeśli towarzyszy atakowi z wyciekiem danych osobowych, obowiązek zgłoszenia do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% obrotu | Zależnie od głównego ataku | 0 do 50 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera Windows bez aktualizacji z lutego 2026
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko średnie, bo luka powoduje tylko awarię usługi i wymaga wcześniejszego dostępu do komputera, ale jest potwierdzona jako wykorzystywana, a dla firm zależnych od VPN awaria oznacza realny przestój; naprawa jest prosta, więc nie ma powodu jej odkładać.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🟠 PILNIE | Sprawdzić w raporcie aktualizacji, czy wszystkie komputery i serwery Windows mają poprawki z lutego 2026 roku lub nowsze | Do 3 dni | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować w pierwszej kolejności serwery pełniące funkcję bramy VPN lub dostępu zdalnego | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zaktualizować laptopy pracowników zdalnych i terenowych, które rzadko łączą się z siecią firmową | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Znaleźć komputery z systemami bez wsparcia, które nie dostaną tej poprawki, i zaplanować ich wymianę | Do 7 dni | Administrator IT / CTO |
5 | 🟡 WAŻNIE | Przygotować procedurę pracy bez VPN, np. papierowy protokół z podpisem klienta wprowadzany później | Do 30 dni | Kierownik operacyjny |
6 | 🟡 WAŻNIE | Zapewnić administratorowi drugi kanał dostępu do kluczowych serwerów na wypadek awarii VPN | Do 30 dni | CTO |
Producent wydał poprawkę w aktualizacjach z 10 lutego 2026 roku i nie podał żadnego obejścia ani środka zastępczego. Poniższe miary tylko ograniczają skutki; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja lutowej lub nowszej aktualizacji zbiorczej Windows | Wysoka: to właściwa poprawka | Łatwa |
Praca na kontach bez uprawnień administratora i blokada uruchamiania nieznanych programów | Średnia: utrudnia uruchomienie kodu na komputerze | Średnia |
Zapasowy kanał dostępu administratora do serwerów | Niska jako ochrona, wysoka dla ciągłości reakcji | Średnia |
Procedura pracy offline dla zespołów terenowych | Niska jako ochrona, wysoka dla ciągłości działania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje Windows | Część maszyn bez lutowych poprawek | Wszystkie maszyny na poziomie lutego 2026 lub nowszym |
Połączenia VPN | Możliwe do wyłączenia przez program na komputerze | Luka zamknięta |
Reakcja na incydent | Zależna od jednego kanału VPN | Zapasowy kanał dostępu |
Praca w terenie przy awarii | Wszystko staje | Procedura zastępcza |
Stare systemy | Nieznane | Spisane z planem wymiany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft: wykorzystanie wykryte, luka nie była wcześniej ujawniona publicznie. SSVC CISA z 11 lutego 2026: wykorzystanie aktywne, atak nieautomatyzowalny, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.2 ŚREDNIA (CVSS 3.1, Microsoft), ocena czasowa 5.4; waga producenta Moderate |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie ataku; NVD odsyła jedynie do skryptów wykrywania i łagodzenia (Vicarius) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zespół 0patch (ACROS Security) |
Prognoza EPSS | Około 5% szansy wykorzystania w ciągu 30 dni, co daje miejsce powyżej 91% znanych podatności (wg analizy źródłowej) |
Ostrzeżenia w Europie | ENISA EUVD-2026-7329; CERT-Bund WID-SEC-W-2026-0369 i NCSC NCSC-2026-0053 (10 lutego 2026) |
Sygnały zagrożenia dla CVE-2026-21525
CVSS 3.1 (Microsoft) 6.2/10 ████████████░░░░░░░░ ŚREDNIA
Wpływ na poufność brak ░░░░░░░░░░░░░░░░░░░░
Wpływ na dostępność wysoki ████████████████████
EPSS ~5% █░░░░░░░░░░░░░░░░░░░ ale powyżej 91% luk
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-02-10 Microsoft publikuje poprawkę i informację o wykrytym wykorzystaniu
2026-02-10 CISA dodaje lukę do katalogu KEV; ostrzeżenia CERT-Bund i NCSC
2026-02-11 CISA ocenia wykorzystanie jako aktywne (SSVC)
2026-03-03 Termin naprawy wg CISA dla agencji federalnych
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z numerami aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21525 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21525 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport: odsetek komputerów i serwerów Windows z aktualizacjami z lutego 2026 roku lub nowszymi | CTO | DZISIAJ |
2 | Potwierdzić, że serwery dostępu zdalnego są zaktualizowane | CTO | DZISIAJ |
3 | Uzyskać listę maszyn, które nie dostały poprawek, z przyczyną | CTO | DO JUTRA |
4 | Zatwierdzić termin aktualizacji laptopów pracowników terenowych | CTO | DO JUTRA |
5 | Oszacować koszt godziny bez VPN dla zespołów zdalnych | CFO | DO JUTRA |
6 | Zatwierdzić budżet na wymianę komputerów z systemami bez wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy wszystkie komputery i serwery Windows mają aktualizacje z lutego 2026 roku lub nowsze? | TAK / NIE, brakuje: [liczba] | 🔴 |
2 | Czy serwery pełniące funkcję VPN lub dostępu zdalnego są zaktualizowane? | TAK / NIE | 🔴 |
3 | Które laptopy nie łączyły się z siecią od ponad miesiąca? | [lista] | 🟠 |
4 | Czy mamy maszyny z systemami, które nie dostają już aktualizacji? | TAK / NIE, liczba: [liczba] | 🟠 |
5 | Czy w logach widać nietypowe awarie usługi Remote Access Connection Manager? | TAK / NIE | 🟠 |
6 | Czy administrator ma zapasowy dostęp do serwerów, gdy VPN nie działa? | TAK / NIE | 🟡 |
7 | Ile trwa nasza typowa ścieżka od wydania poprawki do instalacji na wszystkich maszynach? | [liczba dni] | 🟡 |
CVE-2026-21525 powoduje awarię usługi Windows odpowiedzialnej za połączenia zdalne i VPN. Ocena jest średnia, a atak wymaga dostępu do komputera, ale CISA i Microsoft potwierdzają wykorzystanie. Naprawa to standardowe aktualizacje Windows z lutego 2026 roku, więc zadanie na ten tydzień to potwierdzić, że mają je wszystkie maszyny, a przy okazji przygotować plan pracy na wypadek braku VPN.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.