Zwykle warunkiem ataku przez plik jest jego otwarcie. Tutaj Microsoft opisał sytuację, w której samo najechanie kursorem na plik leżący w folderze albo na udziale sieciowym wywracało powłokę systemu.
Zwykle warunkiem ataku przez plik jest jego otwarcie. Tutaj Microsoft opisał sytuację, w której samo najechanie kursorem na plik leżący w folderze albo na udziale sieciowym wywracało powłokę systemu. Dalej w tekście: gdzie siedział ten błąd i dlaczego trudno go było znaleźć na liście zainstalowanych programów, co dokładnie oferował producent na czas przed poprawką i ile każde z tych obejść kosztowało, dlaczego nowsze wersje Windows były odporne z powodu, który warto zapamiętać, i co ta sprawa robi na urzędowej liście z maja 2026 roku. Numer sprawy: CVE-2009-1537.
Windows z tamtych lat zawierał zestaw bibliotek do obsługi obrazu i dźwięku, wchodzący w skład pakietu DirectX. Jedną z nich był składnik odpowiadający za rozkładanie plików wideo na części pierwsze, a w nim osobny filtr do formatu QuickTime.
Ten filtr nie jest programem, który ktoś instaluje świadomie. Nie ma go na liście zainstalowanych aplikacji, nie ma ikony, nie ma własnego okna. Jest częścią systemu i uruchamia się wtedy, gdy cokolwiek w systemie potrzebuje przeczytać plik wideo. Amerykańska baza podatności wymienia jako objęte wszystkie wersje pakietu DirectX od 7.0 do 9.0c, a jako podatne systemy Windows 2000, XP i Server 2003.
Microsoft opisuje przyczynę ogólnie, jako nieprawidłowe rozkładanie na części spreparowanych plików QuickTime, a poprawkę jako zmianę sposobu sprawdzania wskaźników i pól rozmiaru w takim pliku. Nazwa nadana błędowi mówi o nadpisaniu jednego bajtu o wartości zero, ale żaden dokument producenta nie schodzi na poziom konkretnej funkcji.
Praktyczny wniosek dotyczy tego, jak firma robi spis oprogramowania. Biuro nieruchomości, które ma taką listę i pilnuje jej co miesiąc, nie znajdzie na niej ani jednej pozycji odpowiadającej temu składnikowi, bo on formalnie nie jest programem. Skutkiem jest przeoczenie całej kategorii poprawek: tych, które łatają nie aplikacje, tylko podzespoły systemu. Lekarstwo jest nudne i skuteczne: aktualizacje systemu mają być włączone i instalowane, a lista programów służy do czegoś innego, do wychwytywania rzeczy zainstalowanych ręcznie i zapomnianych.
Najciekawszy szczegół z biuletynu brzmi tak: umieszczenie przygotowanego pliku QuickTime w folderze albo na udziale sieciowym powodowało awarię powłoki Windows już przy samym najechaniu na plik kursorem myszy.
Powód jest prozaiczny i dotyczy każdego, kto kiedykolwiek przeglądał katalog ze zdjęciami. System, żeby pokazać miniaturkę i szczegóły pliku, musi go najpierw przeczytać. To czytanie odbywa się automatycznie, bez podwójnego kliknięcia i bez żadnego pytania. Wystarczy, że plik znajdzie się w widoku, po którym porusza się kursor.
Dla firmy oznacza to zupełnie inny wektor niż typowy załącznik. Biuro nieruchomości, w którym agenci wrzucają na wspólny dysk zdjęcia i nagrania z prezentacji mieszkań, ma folder zasilany przez kilkanaście osób, a coraz częściej także przez klientów przysyłających własne materiały. Podrzucenie tam jednego pliku wystarczy, żeby zaszkodzić każdemu, kto ten folder otworzy, choćby po to, żeby czegoś w nim poszukać. Koszt to nie jedno stanowisko, tylko wszystkie, które sięgają po ten sam katalog, a więc praktycznie całe biuro. Zamiast trzymać jeden wspólny worek na pliki, warto rozdzielić rzeczy przychodzące z zewnątrz od tych roboczych i przenosić je między folderami dopiero po sprawdzeniu, a materiały od klientów przyjmować przez formularz albo usługę chmurową, a nie prosto na firmowy dysk.
Druga droga była zwyczajniejsza: otwarcie przygotowanego pliku albo odebranie przygotowanej treści strumieniowej ze strony internetowej lub z dowolnej aplikacji pokazującej treści z sieci. Napastnik uzyskiwał uprawnienia zalogowanego użytkownika, więc konto bez praw administratora ograniczało skutki.
Ostrzeżenie bez poprawki Microsoft opublikował 28 maja 2009 roku. Poprawka, biuletyn MS09-028, ukazała się 14 lipca 2009 roku. Między jednym a drugim minęło siedem tygodni, a amerykańska baza podatności odnotowuje, że w maju 2009 roku luka była już wykorzystywana w atakach. Producent w podsumowaniu z lipca zapisał wprost, że podatność jest w tej chwili wykorzystywana w internecie.
Na ten czas biuletyn podawał trzy obejścia, każde bardziej dotkliwe od poprzedniego.
Pierwsze to wyłączenie w systemie obsługi formatu QuickTime przez usunięcie odpowiedniego wpisu z rejestru, na komputerach 64-bitowych w dwóch miejscach. Producent podaje skutek uboczny wprost: odtwarzanie treści QuickTime przestaje działać. Dla firmy budowlanej, która ma w tym formacie kilka nagrań instruktażowych od dostawcy maszyn, oznacza to konieczność przekonwertowania ich albo poproszenia dostawcy o inny format. Dla większości biur nie oznacza nic, bo nikt tego formatu nie używa i nikt nie zauważy zmiany.
Mogę Ci jakoś pomóc?
Drugie polega na zaostrzeniu uprawnień do samego pliku biblioteki, tak żeby system nie mógł jej użyć. Trzecie, najostrzejsze, to wyrejestrowanie tej biblioteki z systemu. Obie te operacje wychodzą poza to, co da się zrobić bez osoby znającej system, i obie mają skutki uboczne szersze niż wyłączenie jednego formatu, bo dotykają całego składnika odpowiadającego za obsługę multimediów.
Wniosek dla firmy jest taki, że przy wyborze obejścia liczy się nie tylko skuteczność, ale też to, ile z niego zostanie po powrocie do normalności. Warsztat, który wyłączył obsługę formatu i nigdy potem nie włączył jej z powrotem, ma z tego zerowy problem. Firma, która wyrejestrowała bibliotekę odpowiadającą za multimedia i po miesiącu nie potrafi ustalić, dlaczego przestał działać program do obsługi kamer w magazynie, ma problem realny i trudny do powiązania z przyczyną. Każde obejście warto zapisać w jednym miejscu razem z datą i powodem, żeby dało się je cofnąć po zainstalowaniu poprawki.
Microsoft wymienia wszystkie wspierane wtedy wydania Windows Vista i Windows Server 2008 jako niepodatne. Powód nie polega na tym, że w nowszym systemie ten sam kod poprawiono. Powód polega na tym, że filtr do formatu QuickTime został z nowszych systemów usunięty w całości.
To jest argument, który w rozmowie o wymianie sprzętu wypada mocniej niż odwołania do wydajności. Przejście na nowszą wersję systemu nie tylko przynosi poprawki do znanych błędów, ale też usuwa całe składniki, które przestały być potrzebne, a razem z nimi wszystkie ich przyszłe usterki. Kancelaria, która zwleka z wymianą, płaci nie tylko za brak jednej łatki, ale też za utrzymywanie w systemie funkcji, z których nikt tam nie korzysta od dziesięciu lat.
Biuletyn naprawiał zresztą trzy błędy naraz, z których jeden był wcześniej ujawniony publicznie, a dwa zgłoszone prywatnie. Poprawka dla wersji 8.1 pakietu obejmowała też wydanie 8.1b, a poprawka dla wersji 9.0 obejmowała wydania 9.0a, 9.0b i 9.0c, co bywa źródłem nieporozumień przy sprawdzaniu, czy dana wersja jest już bezpieczna.
Historia tego zgłoszenia jest warta uwagi, bo pokazuje, jak działa ten mechanizm w praktyce. Microsoft potwierdza, że podatność trafiła do niego drogą odpowiedzialnego ujawnienia, czyli od badaczy, którzy dali producentowi czas na przygotowanie poprawki. Potem jednak ujawnił ją publicznie ktoś inny, zanim łatka była gotowa. W podziękowaniach biuletynu producent wymienia badacza z firmy SkyRecon oraz trzyosobowy zespół z centrum bezpieczeństwa Qihoo 360.
Dla firmy nie zmienia to nic w działaniu, natomiast tłumaczy, skąd biorą się okresy takie jak te siedem tygodni. Informacja o luce wychodzi na zewnątrz niezależnie od tego, kiedy producent skończy pracę, i od tego momentu liczy się wyścig.
Na koniec kwestia klasyfikacji, bo i tu instytucje się rozjeżdżają. Amerykańska baza podatności nie przypisała temu błędowi żadnej rodziny słabości i zostawiła to pole jako brak informacji. CISA dopisała własną klasyfikację, wskazującą na problem z obsługą znaków specjalnych oznaczających koniec danych. Sam wpis w katalogu podatności o potwierdzonym użyciu w prawdziwych atakach ma z kolei to pole puste. Rozbieżność sięga nawet listy wersji pakietu DirectX: baza wymienia dwie pozycje, których tabela w biuletynie producenta nie wylicza osobno.
CVE-2009-1537 dopisano do tego katalogu 20 maja 2026 roku, z terminem naprawy na 3 czerwca 2026 roku, w partii siedmiu podatności ogłoszonej tego samego dnia, z których kilka pochodzi z tej samej epoki. Ocena w skali opisującej dotkliwość wynosi 9,3 według starszej wersji i 8,8 według nowszej. Dla firmy, która nadal ma w sieci komputer z systemem wymienionym w biuletynie, wniosek jest ten sam co przy każdej takiej pozycji: skoro poprawki dla tego systemu już nie powstają, jedynym rozwiązaniem jest odcięcie tej maszyny od sieci albo jej wymiana.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Nie każda usterka wpisana do katalogu potwierdzonych ataków robi coś sama z siebie. CVE-2026-63030 jest tego przykładem: dotyczy rdzenia WordPressa, polega na pomyleniu trasy w zbiorczym punkcie końcowym interfejsu REST API i sama nie prowadzi do wykonania kodu.
Czytaj artykułFortiSandbox ma zatrzymywać złośliwe pliki, zanim trafią do sieci firmy. W przypadku CVE-2026-39808 to samo urządzenie stało się celem: według CISA niezalogowany atakujący może wykonać na nim własne polecenia, a luka jest wykorzystywana w atakach.
Czytaj artykułAmerykańska agencja CISA wpisała lukę CVE-2026-48282 w Adobe ColdFusion do katalogu podatności wykorzystywanych w atakach. Według katalogu termin reakcji wynosił trzy dni, a producent ocenił zagrożenie na dziesięć na dziesięć. Tekst wyjaśnia mechanizm ataku i plan reakcji dla firmy.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.