Błąd w podsystemie DWM Windows 10, 11 i Server 2019-2025 pozwala zwykłemu kontu uzyskać uprawnienia SYSTEM. Luka była wykorzystywana przed ujawnieniem. Sprawdź kompilacje i zainstaluj aktualizacje.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracują komputery i serwery z Windows 10, Windows 11 lub Windows Server 2019, 2022 i 2025. Werdykt: jeśli któraś maszyna nie ma aktualizacji z 13 maja 2025 roku lub nowszej, zainstaluj aktualizacje dziś, bo luka pozwala zwykłemu kontu przejąć pełną kontrolę nad komputerem i była wykorzystywana, zanim producent ją ujawnił.
Amerykańska agencja CISA 13 maja 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-30400 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w bibliotece rdzeniowej DWM, podsystemu Windows rysującego okna. Napastnik, który ma już zwykłe konto na komputerze, może podnieść swoje uprawnienia do SYSTEM, czyli najwyższych w Windows.
Microsoft potwierdza, że luka była wykorzystywana w atakach i nie była wcześniej ujawniona publicznie. Termin naprawy wg CISA minął 3 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-30400 |
Data dodania do CISA KEV | 2025-05-13 |
Termin naprawy wg CISA | 2025-06-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, Desktop Window Manager (DWM), biblioteka rdzeniowa |
Wersje zagrożone | Windows 10 1809, 21H2, 22H2; Windows 11 22H2, 23H2, 24H2; Windows Server 2019, 2022, 2022 23H2, 2025, sprzed aktualizacji z maja 2025 roku. Niepodatne: Windows 10 1507 i 1607, Windows Server 2008, 2012, 2016. Atak lokalny, wymaga konta z niskimi uprawnieniami |
Wersje bezpieczne | Windows 10 1809 i Server 2019: 10.0.17763.7314 (KB5058392). Windows 10 21H2/22H2: 10.0.19044.5854 / 10.0.19045.5854 (KB5058379). Windows 11 22H2/23H2: 10.0.22621.5335 / 10.0.22631.5335 (KB5058405). Server 2022: 10.0.20348.3692 (KB5058385). Server 2022 23H2: 10.0.25398.1611 (KB5058384). Windows 11 24H2 i Server 2025: 10.0.26100.4061 (KB5058411) lub 10.0.26100.3981 (KB5058497) |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) prowadzące do podniesienia uprawnień; CWE-416 |
Ocena CVSS | Microsoft: 7.8 WYSOKA (CVSS 3.1, ocena bazowa), 7.2 z uwzględnieniem stanu faktycznego (istnieje działający exploit). Waga wg Microsoft: Important. NVD nie wystawiła własnej oceny |
Wyobraź sobie firmę, w której pracownik z przepustką gościa może wejść tylko do holu. Obok holu jest pokój techniczny obsługujący oświetlenie całego budynku, a jego pracownik ma klucze do wszystkich pomieszczeń. Ktoś odkrył, że jeśli w odpowiednim momencie podrzuci mu kartkę z nowym „adresem” schowka na klucze, technik sam przyniesie mu pęk kluczy. Gość staje się właścicielem budynku.
DWM to taki pokój techniczny: rysuje okna, cienie i animacje, działa zawsze i ma wyższe uprawnienia niż osoba przy klawiaturze. Błąd polega na tym, że program oddaje fragment pamięci, ale potem wraca pod stary adres. Napastnik podstawia tam własne dane i przejmuje uprawnienia SYSTEM. Podział na zwykłe konto i konto administratora, który miał chronić komputer przed skutkami kliknięcia, przestaje działać.
💡 DWM (Desktop Window Manager) to podsystem Windows składający obraz na ekranie. Podniesienie uprawnień oznacza przejście ze zwykłego konta na konto z pełną kontrolą. SYSTEM to najwyższe uprawnienia w Windows, wyższe niż administrator. Atak lokalny wymaga obecności na komputerze, np. przez wcześniej otwarty złośliwy załącznik. Numer kompilacji sprawdzisz poleceniem winver. Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otworzył złośliwy załącznik | Szkodliwy program ma uprawnienia zwykłego konta | Program przejmuje uprawnienia SYSTEM |
Konto bez uprawnień administratora | Chroni system przed zmianami | Nie chroni |
Hasła i sesje zapisane w pamięci komputera | Niedostępne dla zwykłego konta | Do odczytania przez napastnika |
Program antywirusowy | Trudny do wyłączenia przez zwykłe konto | Może zostać wyłączony |
Skutek dla firmy | Przeinstalowanie jednej stacji | Przegląd całej sieci |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wpuszcza nikogo z internetu: jest drugim krokiem ataku, po zdobyciu przyczółka na komputerze. CISA ocenia wykorzystanie jako aktywne i bez możliwości automatyzacji, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przyczółek | T+0 min | Pracownik otwiera fałszywą fakturę, link od „kuriera” lub instaluje program z wyszukiwarki | Kod napastnika działa na zwykłym koncie |
2. Podniesienie uprawnień | T+sekundy do minut | Wykorzystanie błędu w DWM | Uprawnienia SYSTEM na komputerze |
3. Wyłączenie ochrony | T+minuty | Wyłączenie lub obejście antywirusa, instalacja trwałego dostępu | Komputer pod kontrolą, dostęp przetrwa restart |
4. Kradzież poświadczeń | T+godzina | Odczyt haseł i sesji z pamięci komputera | Konta pracowników i administratorów |
5. Ruch w sieci | T+godziny do dni | Logowanie do dysków sieciowych, serwerów i innych stacji | Dostęp do danych całej firmy |
6. Uderzenie | T+dni | Kradzież danych, szyfrowanie serwerów i stacji | Wyciek i przestój |
Większość włamań do małych firm zaczyna się od kliknięcia pracownika, które daje napastnikowi zwykłe konto. Luki podnoszące uprawnienia zamieniają ten mały sukces w kontrolę nad komputerem i drogę do całej sieci. Dlatego każda stacja, także ta „bez ważnych plików”, musi być aktualizowana.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie lub reinstalacja wielu stacji i serwerów | Dni | 20 tys. do 200 tys. PLN (przestój, prace IT) |
Bezpieczeństwo danych | Kradzież haseł, sesji i danych z dysków sieciowych | Godziny od przyczółka | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracona sprzedaż, zewnętrzni specjaliści | Tygodnie | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Klienci dowiadują się o wycieku ich danych | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows bez aktualizacji
z maja 2025 roku
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo skutkiem są pełne uprawnienia na komputerze i droga do sieci, ale luka sama nie daje wejścia z zewnątrz; prawdopodobieństwo jest wysokie, bo przyczółek zdobyty kliknięciem to codzienność, a działający exploit był używany w atakach.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie włączone komputery i serwery z Windows, także te „zapomniane” | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić numer kompilacji ( | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Zainstalować zaległe aktualizacje zbiorcze (od maja 2025 roku lub nowsze) i zrestartować maszyny | Dziś | Administrator IT |
4 | 🟠 PILNIE | Sprawdzić, czy Windows Update lub WSUS nie ma wyłączonych albo odroczonych aktualizacji | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Ograniczyć logowanie kont administratorów domeny na zwykłych stacjach roboczych | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport stanu aktualizacji wszystkich maszyn | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom zasady postępowania z nieoczekiwanymi fakturami i linkami | Do 30 dni | Kierownicy działów |
Microsoft wydał poprawki dla wszystkich podatnych wersji w maju 2025 roku i nie opisał obejścia. Jeśli aktualizacja jest niemożliwa (np. stary system poza wsparciem), poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokowanie uruchamiania nieznanych programów (np. AppLocker, reguły ASR) | Średnia: utrudnia zdobycie przyczółka | Średnia |
Filtrowanie załączników i linków w poczcie | Średnia | Łatwa do średniej |
Oddzielenie kont administracyjnych od stacji roboczych | Średnia: ogranicza skutki kradzieży haseł | Średnia |
Odcięcie niezałatanej maszyny od sieci firmowej | Wysoka | Łatwa technicznie, utrudnia pracę |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Numer kompilacji Windows | Nieznany, część maszyn sprzed maja 2025 roku | Zgodny z listą producenta lub nowszy |
Skutek kliknięcia w złośliwy załącznik | Możliwe przejęcie uprawnień SYSTEM | Szkodliwy program ograniczony do zwykłego konta |
Zapomniane maszyny | Włączone i nieaktualizowane | Spisane, zaktualizowane lub wyłączone |
Konta administratorów na stacjach | Używane dowolnie | Ograniczone do niezbędnych przypadków |
Status wobec terminu CISA | Zaległość od 3 czerwca 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft potwierdza wykorzystanie przed publicznym ujawnieniem. Ocena CISA: aktywne, bez automatyzacji, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg Microsoft (CVSS 3.1), 7.2 z uwzględnieniem istnienia działającego exploita |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft wskazuje, że działający exploit istnieje, ale luka nie była ujawniona publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 1,9% (wg analizy źródłowej); niski wynik wynika z tego, że atak nie jest masowy, a nie z tego, że jest nieskuteczny |
Waga „Important” zamiast „Critical” oznacza tylko, że atak wymaga wcześniejszej obecności na komputerze. Przy luce z katalogu KEV niski EPSS nie jest argumentem za odłożeniem aktualizacji.
Sygnały zagrożenia dla CVE-2025-30400
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~1,9% ░░░░░░░░░░░░░░░░░░░░ niska wartość
Wykorzystana przed TAK ████████████████████ zero-day
ujawnieniem
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-05-13 Majowe aktualizacje Microsoft z poprawką, publikacja CVE,
CISA dodaje lukę do katalogu KEV
2025-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z listą aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2025-30400 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-30400 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wszystkich komputerów i serwerów z Windows z numerem kompilacji | CTO | DZISIAJ |
2 | Zatwierdzić instalację zaległych aktualizacji z restartem maszyn | CTO | DZISIAJ |
3 | Ustalić, kto odpowiada za aktualizacje stacji roboczych (firma czy partner IT) | CTO | DO JUTRA |
4 | Zatwierdzić wyłączenie lub wymianę maszyn, których nie da się zaktualizować | CFO | DO JUTRA |
5 | Zlecić comiesięczny raport stanu aktualizacji dla zarządu | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów z Windows mamy włączonych? | [liczba] | 🔴 |
2 | Ile z nich ma kompilację niższą niż lista z sekcji 1? | [liczba] | 🔴 |
3 | Kiedy zainstalowano ostatnią aktualizację zbiorczą na najstarszej maszynie? | [data] | 🔴 |
4 | Czy aktualizacje są gdzieś wstrzymane lub odroczone? | TAK / NIE | 🟠 |
5 | Czy pracownicy pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟠 |
6 | Czy administratorzy domeny logują się na zwykłych stacjach roboczych? | TAK / NIE | 🟠 |
7 | Czy mamy maszyny z Windows poza wsparciem producenta? | TAK / NIE, [lista] | 🟡 |
CVE-2025-30400 w podsystemie DWM pozwala napastnikowi, który zdobył zwykłe konto na komputerze z Windows 10, 11 lub Server 2019 i nowszym, przejąć uprawnienia SYSTEM. Luka była wykorzystywana przed ujawnieniem, a poprawki są dostępne od 13 maja 2025 roku, więc dziś trzeba sprawdzić numery kompilacji na wszystkich maszynach i zainstalować zaległe aktualizacje.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.