Spreparowany skrót lub odnośnik uruchamia się w Windows bez ostrzeżenia SmartScreen. Microsoft i CISA potwierdzają ataki. Sprawdź, czy komputery i serwery mają aktualizacje z lutego 2026.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm pracujących na Windows 10, Windows 11 lub Windows Server. Werdykt: jeśli komputery i serwery nie mają aktualizacji z lutego 2026 roku lub nowszej, zainstaluj je dziś, bo luka wyłącza ostrzeżenia Windows przed plikami z internetu i jest wykorzystywana w atakach.
Amerykańska agencja CISA 10 lutego 2026 roku, w dniu wydania poprawki, dopisała podatność CVE-2026-21510 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy powłoki Windows (pulpit, Eksplorator plików, otwieranie plików kliknięciem) i mechanizmu SmartScreen. Spreparowany odnośnik lub plik skrótu uruchamia się bez okna ostrzegawczego, które normalnie pyta, czy na pewno otworzyć plik z internetu.
Microsoft w biuletynie zaznaczył, że luka była ujawniona publicznie i wykorzystywana przed wydaniem poprawki. Termin naprawy wyznaczony przez CISA minął 3 marca 2026 roku, ponad sześć miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21510 (w europejskiej bazie ENISA: EUVD-2026-7337; komunikat BSI: WID-SEC-W-2026-0369) |
Data dodania do CISA KEV | 2026-02-10 |
Termin naprawy wg CISA | 2026-03-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, powłoka systemu (Windows Shell) i SmartScreen |
Wersje zagrożone | Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1), Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, także Server Core, bez aktualizacji z lutego 2026 roku |
Wersje bezpieczne | Systemy z lutową aktualizacją zbiorczą 2026 lub nowszą, np. Windows 10 22H2: KB5075912 (kompilacja 10.0.19045.6937), Windows 11 24H2/25H2: KB5077212 (10.0.26100.7781 / 10.0.26200.7781) lub nowsza KB5077181; pełna lista w tabeli poniżej |
Typ podatności | Obejście zabezpieczenia (awaria mechanizmu ochronnego); CWE-693 |
Ocena CVSS | 8.8/10 (CVSS 3.1, WYSOKA, ocena Microsoft w NVD); ocena czasowa producenta 8.2; waga wg Microsoft: Important. Atak przez sieć, bez konta, wymaga jednego kliknięcia użytkownika |
Kompilacje z poprawką do sprawdzenia w historii aktualizacji (numery aktualizacji wg biuletynu Microsoft, progi kompilacji wg producenta i NVD; liczy się kompilacja równa lub wyższa):
System | Aktualizacja | Kompilacja z poprawką |
|---|---|---|
Windows 10 1607 / Server 2016 | lutowa aktualizacja 2026 | 10.0.14393.8868 (NVD) |
Windows 10 1809 / Server 2019 | KB5075904 | 10.0.17763.8389 |
Windows 10 21H2 | KB5075912 | 10.0.19044.6937 |
Windows 10 22H2 | KB5075912 | 10.0.19045.6937 |
Windows 11 23H2 | lutowa aktualizacja 2026 | 10.0.22631.6649 (NVD) |
Windows 11 24H2 | KB5077212 lub KB5077181 | 10.0.26100.7781 lub 10.0.26100.7840 |
Windows 11 25H2 | KB5077212 lub KB5077181 | 10.0.26200.7781 lub 10.0.26200.7840 |
Windows Server 2012 | KB5075971 | 6.2.9200.25923 |
Windows Server 2012 R2 | KB5075970 | 6.3.9600.23022 |
Windows Server 2022 | KB5075906 | 10.0.20348.4773 (NVD podaje próg 10.0.20348.4711) |
Windows Server 2022 23H2 | lutowa aktualizacja 2026 | 10.0.25398.2149 (NVD) |
Windows Server 2025 | KB5075899 | 10.0.26100.32370 (NVD podaje próg 10.0.26100.32313) |
Wyobraź sobie magazyn, w którym każda paleta z zewnątrz dostaje naklejkę „dostawa spoza firmy”. Magazynier na tej podstawie odsyła ją do kontroli jakości, zanim trafi na regał. Ta luka nie oszukuje magazyniera. Sprawia, że naklejka po prostu nie zostaje przyklejona, więc paleta z ulicy jedzie prosto na półkę, jakby pochodziła z własnej produkcji.
W Windows taką naklejką jest informacja, że plik przyszedł z internetu, a kontrolą jakości jest okno ostrzegawcze SmartScreen i monity powłoki. Napastnik przygotowuje odnośnik albo plik skrótu tak, że Windows go nie oznacza i nie pyta o zgodę. Pracownik klika, a kod napastnika uruchamia się bez żadnego ostrzeżenia. Skrót może mieć ikonę arkusza kalkulacyjnego, choć w środku jest polecenie uruchomienia obcego programu.
💡 SmartScreen to funkcja Windows, która sprawdza pliki i adresy z internetu i ostrzega przed nieznanymi. Powłoka (Shell) to część systemu obsługująca pulpit, Eksplorator plików i otwieranie plików. Plik skrótu (.lnk, .url) nie zawiera treści, tylko polecenie, co uruchomić. Obejście zabezpieczenia to luka, która sama nie uruchamia kodu, ale usuwa przeszkodę na jego drodze. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera plik pobrany z internetu | Pojawia się ostrzeżenie SmartScreen | Plik uruchamia się bez ostrzeżenia |
Załącznik ze skrótem udającym arkusz | Windows pyta, czy uruchomić | Polecenie wykonuje się od razu |
Ocena pliku po ikonie | Częściowo pomaga | Nie pomaga, ikona może być dowolna |
Rola szkoleń z bezpieczeństwa | Ostrzeżenie daje chwilę na refleksję | Jedyną barierą jest czujność pracownika |
Konto i hasło napastnika w firmie | Niepotrzebne | Nadal niepotrzebne, atak idzie zdalnie |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik działa zdalnie i nie potrzebuje konta w firmie, ale musi nakłonić pracownika do kliknięcia odnośnika lub otwarcia pliku skrótu. CISA ocenia, że ataku nie da się w pełni zautomatyzować właśnie z powodu tego kliknięcia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Stworzenie skrótu lub odnośnika omijającego SmartScreen, z ikoną dokumentu | Przynęta gotowa do wysyłki |
2. Wysyłka | T+1 godz. | E-mail „zamówienie”, „faktura”, „list przewozowy” lub link w komunikatorze | Wiadomość w skrzynkach pracowników |
3. Kliknięcie | T+minuty do dni | Pracownik otwiera skrót, Windows nie wyświetla ostrzeżenia | Uruchomienie kodu napastnika |
4. Instalacja narzędzi | T+kilka minut | Pobranie programu do zdalnego sterowania komputerem | Napastnik ma dostęp do stacji roboczej |
5. Kradzież i rozpoznanie | T+godziny do dni | Kopiowanie haseł, poczty, danych klientów; szukanie serwerów | Dane i mapa sieci u napastnika |
6. Dalszy atak | T+dni do tygodni | Przejmowanie kolejnych komputerów, możliwe szyfrowanie danych | Przestój i koszty incydentu |
Mogę Ci jakoś pomóc?
Okno ostrzegawcze to ostatni moment, w którym pracownik może się zatrzymać. Gdy ono znika, cała ochrona przed plikami z internetu spoczywa na uwadze osoby, która ma przed sobą kolejkę zgłoszeń. Luka dotyczy praktycznie każdego komputera z Windows w firmie, więc liczy się nie to, czy firma jest narażona, tylko czy aktualizacja faktycznie dotarła wszędzie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stanowiska, zatrzymana obsługa zamówień i sprzedaży | Godziny do dni od kliknięcia | 20 tys. do 200 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, poczty, danych klientów | Godziny | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa bankowe, koszty obsługi incydentu, możliwy okup | Dni do tygodni | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów sklepu lub kontrahentów | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracona sprzedaż) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows
bez aktualizacji z lutego 2026 roku
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest wykorzystywana, dotyczy niemal każdego komputera z Windows i wymaga tylko jednego kliknięcia; nie jest maksymalne, bo sama luka usuwa ostrzeżenie, a napastnik wciąż musi skłonić pracownika do działania.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli zarządzania (WSUS, Intune) lub ręcznie kompilacje Windows na wszystkich komputerach i serwerach | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje zbiorcze z lutego 2026 roku lub nowsze tam, gdzie ich brakuje | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zablokować w poczcie załączniki z plikami skrótów (.lnk, .url) | Do 3 dni | Administrator poczty |
4 | 🟠 PILNIE | Zaplanować aktualizację serwerów poza godzinami pracy, po wykonaniu kopii zapasowej (producent odnotował znane problemy m.in. przy KB5075906 i KB5075899) | Do 3 dni | Administrator serwerów |
5 | 🟠 PILNIE | Przejrzeć alerty antywirusa i logi od lutego 2026 roku pod kątem uruchomień ze skrótów i nowych narzędzi zdalnego dostępu | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wymienić lub odizolować komputery z Windows 10 1607 i 1809, jeśli nie dostają już aktualizacji w ramach wsparcia | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom, że brak ostrzeżenia nie oznacza, że plik jest bezpieczny | Do 30 dni | Kierownik IT / HR |
Producent wydał poprawki dla wszystkich wymienionych wersji Windows, więc docelowo trzeba je zainstalować. Poniższe miary tylko zmniejszają ryzyko na czas do okna serwisowego. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada załączników ze skrótami (.lnk, .url) w poczcie | Średnia do wysokiej wobec ataków przez e-mail | Łatwa, w korespondencji handlowej takich plików się nie przesyła |
Blokada uruchamiania programów z folderów pobranych plików i tymczasowych (np. AppLocker) | Średnia do wysokiej | Średnia: wymaga testów |
Filtrowanie adresów internetowych na bramie lub w DNS | Niska do średniej: nowe adresy pojawiają się szybko | Łatwa |
Przypomnienie pracownikom o ostrożności z odnośnikami | Niska jako jedyna ochrona | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Ostrzeżenia Windows | Mogą zostać ominięte | Działają zgodnie z założeniem |
Wiedza o stanie komputerów | „Aktualizacje chyba się instalują” | Raport kompilacji dla każdego urządzenia |
Załączniki ze skrótami | Docierają do skrzynek | Blokowane na poczcie |
Serwery | Aktualizacja odkładana z obawy o problemy | Zaktualizowane w oknie serwisowym z kopią zapasową |
Zgodność z terminem CISA | Zaległość sprzed ponad 6 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft również potwierdził wykryte ataki i publiczne ujawnienie przed poprawką |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, Microsoft w NVD); ocena czasowa 8.2 |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie; wg producenta działający kod ataku istnieje, a luka była ujawniona publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA niemożliwa w pełni, bo wymaga kliknięcia; skutek techniczny całkowity |
Prognoza EPSS | Ok. 25,8% szansy próby wykorzystania w ciągu 30 dni, powyżej 97. percentyla (wg analizy źródłowej) |
Dlaczego „Important”, a nie „Critical”: skala Microsoftu opisuje rodzaj skutku samej luki. Obejście zabezpieczenia nie uruchamia kodu, tylko usuwa przeszkodę, ale w realnym ataku zawsze idzie w parze z czymś, co ten kod uruchamia.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-21510
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~25,8% █████░░░░░░░░░░░░░░░ percentyl >97
CISA KEV TAK ████████████████████ ataki potwierdzone
Ujawniona przed łatką TAK ████████████████████ wg Microsoft
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-02-10 Microsoft wydaje poprawki (Patch Tuesday), publikacja CVE w NVD
2026-02-10 CISA dodaje lukę do katalogu KEV
2026-03-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z listą aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21510 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21510 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport kompilacji Windows na wszystkich komputerach i serwerach | CTO | DZISIAJ |
2 | Potwierdzić instalację aktualizacji z lutego 2026 roku lub nowszych | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe dla serwerów, które nie mają aktualizacji | CTO | DO JUTRA |
4 | Zlecić blokadę załączników ze skrótami w poczcie | CTO | DO JUTRA |
5 | Ustalić listę komputerów ze starymi wydaniami Windows 10 i koszt ich wymiany | CFO | DO JUTRA |
6 | Zlecić przegląd alertów bezpieczeństwa od lutego 2026 roku | CTO | DO JUTRA |
7 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące terminowych aktualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów nie ma aktualizacji zbiorczej z lutego 2026 roku lub nowszej? | [liczba] | 🔴 |
2 | Jaka jest najniższa kompilacja Windows 11 w firmie? | [wersja] | 🔴 |
3 | Kiedy zaktualizowano serwery Windows Server? | [data] | 🔴 |
4 | Czy poczta blokuje załączniki z plikami skrótów? | TAK / NIE | 🟠 |
5 | Czy w firmie działają komputery z Windows 10 1607 lub 1809? | TAK / NIE | 🟠 |
6 | Czy mamy kopię zapasową serwerów wykonaną przed instalacją aktualizacji? | TAK / NIE | 🟠 |
7 | Czy przejrzano alerty o uruchomieniach ze skrótów od lutego 2026 roku? | TAK / NIE | 🟡 |
CVE-2026-21510 pozwala napastnikowi ominąć ostrzeżenia Windows, tak że jeden klik w spreparowany skrót lub odnośnik uruchamia jego kod bez żadnego pytania. Luka jest wykorzystywana, a poprawki istnieją od lutego 2026 roku, więc wystarczy dziś potwierdzić kompilacje na wszystkich komputerach i serwerach oraz zablokować skróty w poczcie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.