Błąd w składniku Desktop Window Manager ujawnia położenie danych w pamięci i ułatwia przejęcie uprawnień administratora. Microsoft wykrył ataki, CISA dopisała lukę do KEV. Zainstaluj aktualizację ze stycznia 2026.
Ten alert jest dla zarządu, CTO i CFO firm, które używają komputerów i serwerów z systemem Windows, czyli praktycznie wszystkich. Werdykt: jeśli Twoje komputery nie mają zainstalowanej zbiorczej aktualizacji Windows ze stycznia 2026 lub nowszej, zainstaluj ją w najbliższym oknie serwisowym, nie później niż w tym tygodniu, bo Microsoft wykrył wykorzystywanie tej luki w atakach.
Amerykańska agencja CISA 13 stycznia 2026 roku, tego samego dnia, w którym Microsoft wydał poprawkę, dopisała podatność CVE-2026-20805 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w Desktop Window Manager, elemencie Windowsa odpowiedzialnym za rysowanie okien, i pozwala osobie lub programowi działającemu już na komputerze odczytać informację o położeniu danych w pamięci.
Sama luka nie daje przejęcia komputera. Jest za to typowym pierwszym krokiem: pomaga napastnikowi obejść zabezpieczenia pamięci i przejść od uprawnień zwykłego pracownika do uprawnień administratora. Lukę znalazły wewnętrzne zespoły analizy zagrożeń Microsoftu. Termin CISA minął 3 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20805 |
Data dodania do CISA KEV | 2026-01-13 |
Termin naprawy wg CISA | 2026-02-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, składnik Desktop Window Manager (DWM) |
Wersje zagrożone | 29 pozycji produktowych bez aktualizacji ze stycznia 2026: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2), Windows Server 2012 i 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025 |
Wersje bezpieczne | Aktualizacja zbiorcza z 13 stycznia 2026 lub nowsza, m.in.: Windows 11 24H2/25H2: KB5074109 (kompilacje 26100.7623 / 26200.7623); Windows 11 23H2: 22631.6491; Windows 10 21H2/22H2: KB5073724 (19044.6809 / 19045.6809); Server 2016: KB5073722 (14393.8783); Server 2019: KB5073723 (17763.8276); Server 2022: KB5073457 (20348.4648); Server 2025: 26100.7623; poprawki także dla Server 2012 i 2012 R2 |
Typ podatności | Ujawnienie wrażliwych informacji (adres sekcji pamięci z portu komunikacji między procesami); CWE-200 |
Ocena CVSS | Microsoft: 5.5 (CVSS 3.1, ŚREDNIA), ocena czasowa 4.8, waga „Important”. NVD nie nadała własnej oceny. Atak lokalny, wymagane uprawnienia zwykłego użytkownika, bez udziału użytkownika |
Wyobraź sobie biuro, w którym szafa z najważniejszymi teczkami co noc jest przestawiana w inne miejsce. Złodziej, który dostał się do budynku, musi błądzić po korytarzach i łatwo go zauważyć. Ta luka to plan biura z zaznaczonym aktualnym położeniem szafy. Sam plan niczego nie otwiera, ale temu, kto już jest w budynku, oszczędza błądzenia.
Windows broni się przed atakami między innymi tym, że elementy w pamięci za każdym razem leżą w innym miejscu. Wyciek adresu z Desktop Window Manager tę obronę osłabia. Wykorzystać go może każdy, kto ma zwykłe konto na komputerze: pracownik, konto tymczasowe, serwisant z dostępem zdalnym albo złośliwy program uruchomiony po otwarciu załącznika.
💡 Desktop Window Manager to składnik Windowsa rysujący okna, cienie i przezroczystości; działa stale na każdym komputerze. Losowe rozmieszczenie pamięci (ASLR) to zabezpieczenie, które utrudnia atak, bo napastnik nie wie, gdzie w pamięci leżą dane. Podniesienie uprawnień to przejście od możliwości zwykłego użytkownika do możliwości administratora. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik korzysta z komputera | Okna działają płynnie | Tak samo, nic nie widać |
Złośliwy program po otwarciu załącznika | Działa z uprawnieniami pracownika, „na ślepo” | Poznaje położenie danych w pamięci |
Próba przejęcia uprawnień administratora | Utrudniona przez losowe rozmieszczenie pamięci | Łatwiejsza w połączeniu z inną luką |
Atak z internetu bez dostępu do komputera | Niemożliwy przez tę lukę | Nadal niemożliwy przez tę lukę |
Stary serwer z programem magazynowym | Poza uwagą | Na liście podatnych systemów |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: napastnik musi już działać na komputerze z uprawnieniami zwykłego użytkownika. CISA ocenia, że ataku nie da się zautomatyzować, a skutek techniczny jest częściowy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście na komputer | T+0 min | Pracownik otwiera złośliwy załącznik albo napastnik używa przejętego konta lub dostępu zdalnego | Kod działa z uprawnieniami pracownika |
2. Wyciek adresu | T+kilka minut | Wykorzystanie luki w Desktop Window Manager | Położenie danych w pamięci znane napastnikowi |
3. Podniesienie uprawnień | T+kilkanaście minut | Użycie wyciekłego adresu razem z inną luką | Uprawnienia administratora lub systemu |
4. Utrwalenie | T+godziny | Wyłączenie ochrony, instalacja narzędzi, kradzież haseł | Stały dostęp do komputera |
5. Dalszy atak | T+dni | Przejście na inne komputery i serwery w sieci | Szersze włamanie, kradzież danych |
Ocena 5.5 i słowo „ujawnienie informacji” łatwo prowadzą do odłożenia aktualizacji. Tymczasem Microsoft oznaczył lukę jako wykrytą w atakach, a takie luki służą do zamiany drobnego włamania (jeden załącznik, jedno konto) w pełne przejęcie komputera. Lista podatnych systemów obejmuje zarówno nowe laptopy, jak i serwery sprzed lat.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Sama luka nie zatrzymuje pracy; w łańcuchu ataku przejęcie komputerów i serwerów | Dni po pierwszym włamaniu | 10 tys. do 150 tys. PLN (odtworzenie stanowisk i serwerów) |
Bezpieczeństwo danych | Ułatwione przejęcie uprawnień administratora i kradzież haseł | Godziny po wejściu | 20 tys. do 150 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Koszty obsługi incydentu, zewnętrzni specjaliści | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli włamanie obejmie ich dane | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w ciągu 72 godzin, jeśli dojdzie do naruszenia danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows
bez aktualizacji ze stycznia 2026
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ samej luki jest średni (ujawnienie informacji, element łańcucha ataku), a prawdopodobieństwo średnie, bo atak wymaga wcześniejszej obecności na komputerze i nie daje się zautomatyzować; potwierdzone wykorzystanie sprawia jednak, że aktualizacji nie należy odkładać.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w systemie zarządzania aktualizacjami, które komputery i serwery nie mają zbiorczej aktualizacji ze stycznia 2026 lub nowszej | Dziś | Administrator Windows |
2 | 🟠 PILNIE | Zainstalować brakujące aktualizacje zbiorcze (najlepiej najnowsze, zawierające poprawkę styczniową) | Do 7 dni | Administrator / dostawca IT |
3 | 🟠 PILNIE | Znaleźć komputery z wyłączonymi automatycznymi aktualizacjami (kasy, stanowiska produkcyjne, stare serwery) i ustalić dla nich okno serwisowe | Do 7 dni | Administrator |
4 | 🟠 PILNIE | Sprawdzić, czy serwery Windows Server 2012 i 2012 R2 mają dostęp do poprawek i zaplanować ich wymianę | Do 14 dni | CTO |
5 | 🟡 WAŻNIE | Przejrzeć konta lokalne i domenowe, usunąć nieużywane konta pracowników, praktykantów i serwisantów | Do 30 dni | Administrator |
6 | 🟡 WAŻNIE | Ustalić stały, comiesięczny termin instalacji aktualizacji poza godzinami pracy | Do 30 dni | CTO |
Microsoft wydał poprawkę w zwykłej aktualizacji zbiorczej z 13 stycznia 2026 i nie podaje żadnych obejść ani środków łagodzących. Poniższe miary ograniczają tylko możliwość dostania się na komputer; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie kont z możliwością logowania (usunięcie nieużywanych kont) | Średnia: mniej punktów wejścia | Łatwa |
Ograniczenie i monitorowanie dostępu zdalnego serwisantów | Średnia | Średnia |
Aktualny program antywirusowy i blokowanie uruchamiania plików z załączników | Niska do średniej: utrudnia pierwszy krok ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Komputery i serwery Windows | Część bez poprawki od stycznia | Wszystkie z aktualną aktualizacją zbiorczą |
Stanowiska z wyłączonymi aktualizacjami | Poza kontrolą | Objęte oknem serwisowym |
Konta użytkowników | Także nieużywane i tymczasowe | Tylko aktywni pracownicy i serwisanci |
Rytm aktualizacji | Nieregularny | Stały termin co miesiąc |
Zgodność z terminem CISA | Zaległość od 3 lutego 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft: „Exploitation Detected” dla najnowszego wydania systemu; luka nie była ujawniona publicznie przed poprawką |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 5.5 ŚREDNIA wg Microsoft (CVSS 3.1), ocena czasowa 4.8; NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznych informacji; ocena czasowa Microsoft wskazuje niepotwierdzoną dojrzałość kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Wewnętrzne zespoły analizy zagrożeń Microsoft |
Prognoza EPSS | Ok. 0,05 (5% szansy próby wykorzystania w 30 dni), wyżej niż ok. 92% znanych luk |
W dokumencie Microsoftu obok siebie stoją dwa zapisy: „wykryto wykorzystanie” i „dojrzałość kodu ataku niepotwierdzona”. Decydujące jest to pierwsze, bo opisuje obserwację z prawdziwych ataków:
Sygnały zagrożenia dla CVE-2026-20805
CVSS 3.1 (Microsoft) 5.5/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~5% █░░░░░░░░░░░░░░░░░░░ NISKA wartość bezwzględna
EPSS percentyl ~92% ██████████████████░░ powyżej większości luk
Microsoft TAK ████████████████████ wykryte wykorzystanie
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-01-13 Microsoft wydaje styczniową aktualizację zbiorczą z poprawką
2026-01-13 Publikacja CVE-2026-20805, Microsoft: wykryto wykorzystanie
2026-01-13 CISA dodaje lukę do katalogu KEV
2026-02-03 Termin naprawy wg CISA dla agencji federalnych
2026-07-30 Ostatnia aktualizacja wpisu w NVD
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z listą aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20805 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20805 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport, ile komputerów i serwerów nie ma aktualizacji ze stycznia 2026 lub nowszej | CTO | DZISIAJ |
2 | Wskazać stanowiska z wyłączonymi aktualizacjami i powód ich wyłączenia | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na instalację aktualizacji poza godzinami pracy | CTO | DO JUTRA |
4 | Zlecić przegląd nieużywanych kont i dostępów zdalnych | CTO | DO JUTRA |
5 | Sprawdzić, czy serwery Windows Server 2012/2012 R2 mają ważne wsparcie i zaplanować wymianę | CFO | DO JUTRA |
6 | Zatwierdzić stały comiesięczny termin aktualizacji jako zasadę firmy | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów nie ma zbiorczej aktualizacji ze stycznia 2026 lub nowszej? | [liczba] | 🔴 |
2 | Czy któreś stanowiska mają wyłączone automatyczne aktualizacje? | TAK / NIE, [lista] | 🔴 |
3 | Kiedy zainstalowano ostatnią aktualizację zbiorczą na serwerach? | [data] | 🟠 |
4 | Czy używamy Windows Server 2012 lub 2012 R2 i czy dostajemy dla nich poprawki? | TAK / NIE | 🟠 |
5 | Ile istnieje kont użytkowników, które nie mają aktywnego właściciela? | [liczba] | 🟠 |
6 | Kto z zewnątrz (serwisanci, dostawcy programów) ma dostęp zdalny do naszych komputerów? | [lista] | 🟡 |
7 | Czy mamy stały termin instalacji comiesięcznych aktualizacji? | TAK / NIE, [dzień] | 🟡 |
CVE-2026-20805 w Windows ujawnia położenie danych w pamięci i pomaga napastnikowi, który już jest na komputerze, przejąć uprawnienia administratora. Microsoft wykrył wykorzystanie, a CISA dopisała lukę do KEV w dniu wydania poprawki, więc sprawdzenie, czy wszystkie komputery i serwery mają aktualizację ze stycznia 2026 lub nowszą, to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.