Otwarcie prawdziwego dokumentu w Office 2003, 2007 lub 2010 z folderu z podłożoną biblioteką uruchamia kod napastnika. CISA potwierdza ataki. Znajdź stare instalacje, sprawdź poprawki MS12-046.
Ten alert jest dla zarządu, CTO i CFO firm, w których wciąż działają stare pakiety Microsoft Office 2003, 2007 lub 2010 albo programy firm trzecich z wbudowanymi makrami VBA. Werdykt: luka ma 14 lat, ale CISA w 2026 roku potwierdziła jej wykorzystywanie, więc dziś sprawdź, czy w firmie nie zostały takie instalacje, i zaplanuj ich wymianę, bo te wersje Office od lat nie są wspierane.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała podatność CVE-2012-1854 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy biblioteki VBE6.dll, czyli środowiska uruchamiającego makra Visual Basic for Applications w pakiecie Office. Otwarcie zupełnie prawdziwego dokumentu z folderu, w którym ktoś podłożył spreparowany plik biblioteki, uruchamiało kod napastnika.
Microsoft wydał poprawki 10 lipca 2012 roku w biuletynie MS12-046 i już wtedy informował o ograniczonych, ukierunkowanych atakach. Termin naprawy wyznaczony przez CISA minął 27 kwietnia 2026 roku. Dziś ryzyko dotyczy głównie zapomnianych komputerów ze starym Office i aplikacji, które same osadzają środowisko VBA.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2012-1854 (biuletyn Microsoft MS12-046) |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-27 (14 dni od wpisu) |
Produkt | Microsoft Visual Basic for Applications (VBA), biblioteka VBE6.dll w pakiecie Office; także pakiet narzędziowy VBA SDK i aplikacje innych firm z wbudowanym VBA |
Wersje zagrożone | Office 2003 SP3, Office 2007 SP2 i SP3, Office 2010 (wydanie pierwotne i SP1, 32 i 64 bity), środowisko VBA w wersjach 6.3, 6.4 i 6.5 bez poprawki. Atak wymaga otwarcia pliku Office z folderu zawierającego podłożoną bibliotekę |
Wersje bezpieczne | Instalacje z poprawkami MS12-046: KB2687626 (Office 2003 SP3, w wersji biuletynu z 13.11.2012 zastąpiona nowszą aktualizacją), KB2596744 (Office 2007 SP2 i SP3), KB2598243 i KB2553447 (Office 2010) oraz osobna aktualizacja środowiska VBA z centrum pobierania Microsoft. Wszystkie te wersje Office są już poza wsparciem producenta, docelowo należy przejść na wspierane wydanie |
Typ podatności | Niebezpieczne wczytywanie bibliotek (podmiana biblioteki DLL); CWE-426 (niezaufana ścieżka wyszukiwania) |
Ocena CVSS | NVD: 6.9 (CVSS 2.0, ŚREDNIA). CISA: 7.8 (CVSS 3.1, WYSOKA). Obie skale klasyfikują atak jako lokalny z udziałem użytkownika; producent nazywa go zdalnym wykonaniem kodu, bo pułapka może leżeć w folderze sieciowym |
Wyobraź sobie mechanika, który dostaje polecenie: „weź klucz numer siedemnaście”. Zamiast sięgnąć do swojej skrzynki, bierze pierwszy klucz z tym numerem, który leży przy stanowisku. Jeśli ktoś podłożył tam narzędzie, które wygląda jak klucz, ale robi coś zupełnie innego, mechanik użyje go bez wahania, bo ma właściwy numer.
Tak działał ten błąd. Office, otwierając dokument, szukał potrzebnej biblioteki najpierw w folderze, z którego otwarto plik. Napastnik kładł obok prawdziwego dokumentu własny plik o tej samej nazwie co biblioteka. Dokument otwierał się normalnie, a w tle uruchamiał się kod napastnika z uprawnieniami pracownika. Folder mógł być udziałem sieciowym albo folderem internetowym podpiętym jak zwykły dysk.
💡 Biblioteka DLL to plik z gotowymi funkcjami, który programy wczytują w trakcie działania. VBA (Visual Basic for Applications) to język makr w Office i niektórych innych programach. WebDAV to sposób udostępniania folderów przez internet tak, że w Windows wyglądają jak dysk. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera dokument z folderu kontrahenta | Otwiera się dokument i nic więcej | Otwiera się dokument, a w tle uruchamia się kod napastnika |
Dokument jest prawdziwy i nie zawiera makr | Brak zagrożenia | Zagrożeniem jest podłożony plik obok, a nie sam dokument |
Pracownik pracuje na koncie administratora | Uprawnienia bez znaczenia dla zwykłego pliku | Napastnik przejmuje cały komputer |
Antywirus skanuje dokument | Dokument jest czysty | Dokument nadal jest czysty, problem leży obok |
Raport automatycznych aktualizacji | Wszystko zaktualizowane | Poprawka środowiska VBA mogła nie trafić na komputer, bo nie szła automatycznie |
źródło: Pexels, Victtor DanielPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik nie łączy się bezpośrednio z komputerem ofiary: musi skłonić pracownika do otwarcia dokumentu z folderu, w którym wcześniej umieścił spreparowaną bibliotekę, na przykład udziału sieciowego lub folderu WebDAV.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie pułapki | T+0 min | Umieszczenie w folderze sieciowym prawdziwego dokumentu Office i obok spreparowanej biblioteki o nazwie oczekiwanej przez VBA | Folder gotowy do ataku |
2. Przynęta | T+1 godz. do kilku dni | Wysłanie pracownikowi odnośnika do folderu, np. jako „dokumentacja projektu” lub „zestawienie od kontrahenta” | Pracownik podpina folder lub otwiera ścieżkę sieciową |
3. Otwarcie dokumentu | T+moment otwarcia | Pracownik otwiera dokument w starym Office, program wczytuje podłożoną bibliotekę | Kod napastnika działa z uprawnieniami pracownika |
4. Przejęcie komputera | T+minuty | Instalacja narzędzi zdalnego dostępu, przy koncie administratora pełna kontrola | Stały dostęp do stacji roboczej |
5. Kradzież danych | T+godziny do dni | Kopiowanie dokumentów, haseł zapisanych w przeglądarce i poczcie | Dane firmy poza organizacją |
6. Dalszy atak | T+dni do tygodni | Wykorzystanie zdobytych haseł w innych systemach firmy | Rozszerzenie włamania |
Stary Office rzadko jest świadomym wyborem. Zostaje na pojedynczych komputerach z powodu licencji, starego programu, który z nim współpracuje, albo braku czasu na migrację. Takie komputery zwykle wypadają z przeglądów, a ta luka pokazuje, że napastnicy wciąż po nie sięgają.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stanowiska, konieczność reinstalacji i pilnej migracji Office | Godziny do dni od otwarcia pliku | 10 tys. do 80 tys. PLN (odtworzenie stanowisk, przestój) |
Bezpieczeństwo danych | Kradzież dokumentów, projektów i haseł z przejętego komputera | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Koszty obsługi incydentu, pilny zakup licencji, możliwe oszustwa na przejętych kontach | Dni do tygodni | 30 tys. do 250 tys. PLN łącznie |
Reputacyjny | Utrata zaufania kontrahentów, jeśli wyciekną ich dokumenty | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie niewspieranego oprogramowania utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera ze starym Office (2003, 2007, 2010)
bez poprawek MS12-046
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla firmy, która ma niezałatany stary Office, ryzyko jest wysokie (przejęcie komputera po otwarciu zwykłego dokumentu, potwierdzone ataki), ale prawdopodobieństwo jest średnie, bo atak wymaga udziału pracownika i dostępu do folderu sieciowego; firma bez starego Office i bez aplikacji z wbudowanym VBA 6 jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać komputery z Office 2003, 2007 lub 2010 oraz programy firm trzecich z wbudowanym środowiskiem VBA | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Na znalezionych komputerach sprawdzić obecność poprawek MS12-046 (KB2687626 lub jej następczyni, KB2596744, KB2598243, KB2553447) i aktualizacji środowiska VBA | Dziś | Administrator IT |
3 | 🟠 PILNIE | Doinstalować brakujące poprawki, w tym aktualizację VBA dostępną tylko z centrum pobierania Microsoft | Do 3 dni | Administrator IT / partner IT |
4 | 🟠 PILNIE | Do czasu wymiany zablokować wczytywanie bibliotek z udziałów sieciowych i WebDAV (narzędzie z artykułu KB2264107) lub wyłączyć usługę WebClient | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Przejrzeć alerty antywirusa i logi tych komputerów pod kątem nieznanych bibliotek DLL w folderach z dokumentami | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Zaplanować i sfinansować przejście na wspierane wydanie Office | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: pliki z zewnętrznych folderów najpierw kopiuje się na dysk lokalny, do pustego katalogu | Do 30 dni | CTO |
Producent wydał poprawki w 2012 roku, a starsze wersje Office nie dostają już żadnych nowych łatek, więc jedynym trwałym rozwiązaniem jest instalacja poprawek MS12-046 i migracja na wspierane wydanie. Do tego czasu producent wskazał trzy obejścia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Narzędzie z artykułu KB2264107 blokujące wczytywanie bibliotek z udziałów sieciowych i WebDAV (zalecenie producenta) | Wysoka wobec ataku przez folder sieciowy | Średnia: może zakłócić programy, które celowo korzystają z takich ścieżek |
Wyłączenie usługi WebClient (zalecenie producenta) | Średnia: blokuje foldery WebDAV, nie udziały w sieci lokalnej | Łatwa |
Blokada portów 139 i 445 na zaporze brzegowej (zalecenie producenta) | Średnia: odcina foldery z internetu, nie chroni wewnątrz sieci | Łatwa |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki, nie blokuje ataku | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o starym Office | Brak spisu | Znana lista komputerów i programów z VBA 6 |
Otwarcie dokumentu z folderu sieciowego | Może uruchomić kod napastnika | Biblioteka z folderu nie zostanie wczytana |
Poprawka środowiska VBA | Często brak, bo nie szła automatycznie | Zainstalowana i sprawdzona |
Wsparcie producenta | Oprogramowanie bez łatek od lat | Plan migracji na wspierane wydanie |
Zgodność z terminem CISA | Zaległość sprzed prawie 5 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); już w lipcu 2012 roku Microsoft informował o ograniczonych, ukierunkowanych atakach |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.9/10 ŚREDNIA (CVSS 2.0, NVD); 7.8/10 WYSOKA (CVSS 3.1, CISA) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie; błąd był ujawniony publicznie przed wydaniem poprawki (wg producenta) |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena producenta | Ważna (nie krytyczna) dla wszystkich objętych wersji |
Prognoza EPSS | Ok. 21% szansy próby wykorzystania w ciągu 30 dni, percentyl ok. 97 (wg analizy źródłowej) |
Uwaga przy czytaniu ocen: obie skale CVSS nazywają ten atak lokalnym, a producent zdalnym. Firma, która odkłada pozycje „lokalne” na koniec kolejki, łatwo pominęłaby lukę, która realnie wchodzi przez folder współdzielony z kontrahentem.
Sygnały zagrożenia dla CVE-2012-1854
CVSS 3.1 (CISA) 7.8/10 ████████████████░░░░ WYSOKA
CVSS 2.0 (NVD) 6.9/10 ██████████████░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~21% ████░░░░░░░░░░░░░░░░ percentyl ~97
CISA KEV TAK ████████████████████ ataki potwierdzone
Wsparcie starego Office NIE ░░░░░░░░░░░░░░░░░░░░ brak nowych łatek 2012-07-10 Microsoft publikuje biuletyn MS12-046 z poprawkami, ataki ukierunkowane
2012-07-10 Publikacja CVE-2012-1854 w NVD
2012-11-13 Druga wersja biuletynu: nowa aktualizacja dla Office 2003
2026-04-13 CISA dodaje lukę do katalogu KEV
2026-04-27 Termin naprawy wg CISA dla agencji federalnych
2026-06-16 Ostatnia aktualizacja wpisu w NVD
... prawie 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z poprawkami i obejściami: learn.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-046 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2012-1854 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać od IT listę komputerów z Office 2003, 2007 i 2010 | CTO | DZISIAJ |
2 | Ustalić, które programy branżowe w firmie korzystają z makr VBA | CTO | DZISIAJ |
3 | Potwierdzić instalację poprawek MS12-046 i aktualizacji VBA na tych komputerach | CTO | DO JUTRA |
4 | Zatwierdzić obejście blokujące biblioteki z folderów sieciowych do czasu migracji | CTO | DO JUTRA |
5 | Oszacować koszt licencji na wspierane wydanie Office dla pozostałych stanowisk | CFO | DO JUTRA |
6 | Zlecić przegląd alertów bezpieczeństwa z tych komputerów | CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody na niewspieranym oprogramowaniu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów w firmie ma Office 2003, 2007 lub 2010? | [liczba] | 🔴 |
2 | Czy na tych komputerach są zainstalowane poprawki MS12-046? | TAK / NIE | 🔴 |
3 | Czy zainstalowano osobną aktualizację środowiska VBA z centrum pobierania Microsoft? | TAK / NIE | 🔴 |
4 | Które programy innych firm używają wbudowanego VBA i w jakiej wersji? | [lista] / [wersja] | 🟠 |
5 | Czy pracownicy otwierają dokumenty bezpośrednio z folderów sieciowych kontrahentów lub WebDAV? | TAK / NIE | 🟠 |
6 | Ilu użytkowników starego Office pracuje na kontach z uprawnieniami administratora? | [liczba] | 🟠 |
7 | Do kiedy zakończymy migrację na wspierane wydanie Office? | [data] | 🟡 |
CVE-2012-1854 pozwala uruchomić kod napastnika, gdy pracownik otworzy zwykły dokument w starym Office z folderu, w którym podłożono spreparowaną bibliotekę. Poprawki istnieją od 2012 roku, ale CISA w 2026 roku potwierdziła ataki, dlatego warto dziś odszukać stare instalacje Office i programy z VBA, sprawdzić poprawki i zaplanować migrację.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.