Błąd w usłudze połączeń zdalnych RasMan pozwala zwykłemu kontu na niemal każdym Windows zdobyć uprawnienia SYSTEM. Microsoft i CISA potwierdzają ataki. Zainstaluj aktualizację z października 2025 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, które pracują na komputerach i serwerach z Windows. Werdykt: jeśli któraś maszyna nie ma aktualizacji zabezpieczeń z października 2025 roku lub nowszej, zainstaluj ją dziś, bo luka w usłudze połączeń zdalnych pozwala zwykłemu kontu pracownika zdobyć pełne uprawnienia systemu, a Microsoft i CISA potwierdzają ataki.
Amerykańska agencja CISA 14 października 2025 roku, w dniu publikacji poprawki, dopisała CVE-2025-59230 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w usłudze Windows Remote Access Connection Manager (RasMan), która zestawia połączenia zdalne, w tym VPN. Usługa niepoprawnie sprawdza, komu wolno wykonać pewne operacje, więc osoba zalogowana na zwykłe konto może zdobyć uprawnienia SYSTEM, najwyższe w Windows.
Microsoft oznaczył lukę jako wykorzystywaną w atakach, a jako odkrywców wymienia wyłącznie własne zespoły badające zagrożenia. Obejścia producent nie podaje. Termin naprawy wg CISA minął 4 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-59230 |
Data dodania do CISA KEV | 2025-10-14 |
Termin naprawy wg CISA | 2025-11-04 |
Produkt | Microsoft Windows, usługa Remote Access Connection Manager (RasMan) |
Wersje zagrożone | Praktycznie wszystkie wydania bez aktualizacji z października 2025: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2, 25H2), Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2, 2025; łącznie 39 pozycji produktowych wg Microsoft. Wymagane zwykłe konto na komputerze |
Wersje bezpieczne | Kompilacje wg NVD: Windows 10 1507: 10240.21161; 1607 i Server 2016: 14393.8519; 1809 i Server 2019: 17763.7919; Windows 10 21H2/22H2: 19044/19045.6456; Windows 11 22H2/23H2: 22621/22631.6060; Windows 11 24H2/25H2 i Server 2025: 26100/26200.6899; Server 2022: 20348.4294; Server 2022 23H2: 25398.1913. Server 2008 i 2012 tylko w płatnym programie ESU. Każda późniejsza aktualizacja zbiorcza zawiera poprawkę |
Typ podatności | Lokalne podniesienie uprawnień przez niewłaściwą kontrolę dostępu; CWE-284 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft). Atak lokalny, niskie uprawnienia, bez udziału użytkownika, pełny wpływ na system. Waga wg Microsoft: ważna we wszystkich produktach |
Wyobraź sobie biurowiec, w którym każdy pracownik ma identyfikator otwierający tylko jego piętro. Recepcja ma jednak jedną bramkę, która sprawdza, czy identyfikator jest ważny, ale nie sprawdza, do czego uprawnia. Pracownik magazynu przykłada kartę i bramka wpuszcza go do serwerowni, gabinetu zarządu i archiwum, bo „karta jest ważna”.
Tak działa ta luka. Usługa RasMan działa z najwyższymi uprawnieniami i wykonuje pewne operacje na prośbę innych programów. Nie sprawdzała jednak poprawnie, kto o nie prosi. Napastnik, który ma zwykłe konto na komputerze, na przykład po kliknięciu przez pracownika w złośliwy załącznik, może ją wykorzystać i w kilka minut zdobyć uprawnienia SYSTEM: wyłączyć antywirusa, usunąć kopie zapasowe, odczytać hasła.
💡 RasMan (Remote Access Connection Manager) to wbudowana usługa Windows odpowiedzialna za połączenia VPN i zdalne; działa na każdym komputerze, nawet jeśli firma nie używa VPN. Konto SYSTEM to najwyższy poziom uprawnień w Windows. Podniesienie uprawnień to drugi krok typowego włamania: po wejściu na zwykłe konto napastnik zdobywa pełną kontrolę. ESU to płatny program rozszerzonych aktualizacji dla systemów po końcu wsparcia.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Szkodnik z załącznika na koncie pracownika | Ma ograniczone prawa, wiele działań mu się nie udaje | Zdobywa uprawnienia SYSTEM |
Program antywirusowy | Zwykłe konto nie może go wyłączyć | Napastnik z SYSTEM może go wyłączyć |
Kopie zapasowe na dysku sieciowym | Chronione przed zwykłym kontem | Mogą zostać usunięte przed szyfrowaniem |
Laptop handlowca bez blokady ekranu | Dostęp tylko do jego plików | Dostęp do całego komputera i zapisanych haseł |
Wskaźnik prawdopodobieństwa EPSS | Niski wynik uspokaja | Niski wynik nie zmienia faktu, że ataki trwają |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia z internetu: napastnik musi mieć kod uruchomiony na zwykłym koncie. Właśnie po to przestępcy wyłudzają hasła i wysyłają złośliwe załączniki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wyłudzone hasło do pulpitu zdalnego lub przejęty laptop | Kod na koncie zwykłego pracownika |
2. Podniesienie uprawnień | T+kilka minut | Wykorzystanie błędu w usłudze RasMan | Uprawnienia SYSTEM |
3. Wyłączenie obrony | T+kilkanaście minut | Zatrzymanie antywirusa, czyszczenie dzienników zdarzeń | Komputer bez nadzoru |
4. Kradzież haseł | T+godziny | Odczyt haseł i tokenów z pamięci, w tym kont administratorów | Klucze do kolejnych maszyn |
5. Przygotowanie szantażu | T+dni | Wejście na serwery, usunięcie kopii zapasowych, kradzież danych | Firma bez możliwości odtworzenia |
6. Szyfrowanie | T+dni do tygodni | Uruchomienie ransomware na wielu maszynach naraz | Przestój i żądanie okupu |
Słowo „lokalny” w opisie luki usypia czujność: brzmi jak problem nieuczciwego pracownika. W rzeczywistości napastnicy zdobywają zwykłe konta codziennie, a ta luka zamienia takie drobne zdarzenie w przejęcie komputera w kilka minut. Dotyczy praktycznie każdego komputera z Windows w polskiej firmie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, brak kopii do odtworzenia | Dni do tygodni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież dokumentów, danych klientów i haseł | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracona sprzedaż, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informacja o incydencie dla klientów, pytania od kontrahentów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów z Windows
bez aktualizacji z października 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo ataki są potwierdzone, a pierwszy krok (zwykłe konto) napastnicy zdobywają rutynowo; wpływ jest wysoki, a nie maksymalny, bo luka sama nie otwiera drogi z internetu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować z konsoli zarządzania listę maszyn bez aktualizacji zbiorczej z października 2025 lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na zaległych maszynach i je zrestartować | Dziś | Administrator |
3 | 🟠 PILNIE | Sprawdzić osobno laptopy pracowników terenowych, rzadko uruchamiane maszyny wirtualne i stare serwery | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Spisać serwery z Windows Server 2008 i 2012 i zdecydować: ESU, wymiana lub odłączenie | Do 7 dni | CTO |
5 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe mają kopię niedostępną do zapisu z komputerów w sieci | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Włączyć uwierzytelnianie dwuskładnikowe w poczcie, VPN i pulpicie zdalnym | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport maszyn z zaległymi aktualizacjami | Do 30 dni | Kierownik IT |
Microsoft wydał poprawki w październiku 2025 roku i nie podaje obejścia ani złagodzenia. Krążące skrypty łagodzące podmiotów trzecich nie są zaleceniem producenta i nie zastępują aktualizacji. Poniższe środki ograniczają skutki, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana lub odłączenie od sieci systemów bez wsparcia (Server 2008, 2012 bez ESU) | Wysoka dla tych maszyn | Średnia do trudnej |
Kopia zapasowa offline lub niezmienialna, poza zasięgiem przejętego komputera | Wysoka wobec szyfrowania, nie zapobiega włamaniu | Średnia |
Ograniczenie uruchamiania nieznanych programów (AppLocker, WDAC) | Średnia | Średnia do trudnej |
Uwierzytelnianie dwuskładnikowe dla poczty, VPN i pulpitu zdalnego | Średnia: utrudnia pierwszy krok ataku | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zwykłe konto po kliknięciu w załącznik | W kilka minut staje się kontem SYSTEM | Zostaje ograniczone |
Maszyny zapomniane (teren, wirtualne, stare serwery) | Zaległości sięgające miesięcy | Zaktualizowane i objęte raportem |
Systemy bez wsparcia | Działają „bo działają” | ESU, wymiana lub odłączenie |
Kopie zapasowe | Dostępne do zapisu z sieci | Kopia offline, nieusuwalna z przejętego komputera |
Logowanie do poczty i VPN | Samo hasło | Hasło i drugi składnik |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft oznaczył ją jako wykorzystywaną w dniu wydania poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (Microsoft, CVSS 3.1); waga wg Microsoft: ważna |
PoC dostępny publicznie? | Brak publicznych informacji o PoC; Microsoft podaje, że luka nie była wcześniej ujawniona publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Poniżej 3% (wg analizy źródłowej); wskaźnik opisuje masowe skanowanie, więc dla luk lokalnych jest z natury niski |
Kto wykrył błąd | Wewnętrzne zespoły badania zagrożeń Microsoft, co sugeruje wykrycie przy analizie ataku |
Trzy miary mówią tu różne rzeczy. Kolejnością prac powinien sterować fakt wykorzystania:
Sygnały zagrożenia dla CVE-2025-59230
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Waga Microsoft Ważna ████████████░░░░░░░░ nie krytyczna
EPSS (próba w 30 dni) < 3% █░░░░░░░░░░░░░░░░░░░ niski, luka lokalna
CISA KEV TAK ████████████████████ ataki potwierdzone
Wykorzystanie (MSRC) TAK ████████████████████ w dniu poprawki 2025-10-14 Microsoft publikuje poprawki (Patch Tuesday), luka oznaczona jako wykorzystywana
2025-10-14 Publikacja CVE-2025-59230 w NVD
2025-10-14 CISA dodaje lukę do katalogu KEV
2025-11-04 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2025-59230 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-59230 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać liczbę komputerów i serwerów bez aktualizacji z października 2025 lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe aktualizacje i restarty, także starych serwerów | CTO | DZISIAJ |
3 | Ustalić listę systemów bez wsparcia producenta | CTO | DO JUTRA |
4 | Porównać koszt ESU z kosztem wymiany tych systemów | CFO | DO JUTRA |
5 | Potwierdzić istnienie kopii zapasowej offline i datę ostatniego testu odtworzenia | CTO | DO JUTRA |
6 | Zarezerwować budżet na uwierzytelnianie dwuskładnikowe, jeśli go brakuje | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanych systemów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn z Windows nie ma aktualizacji zbiorczej z października 2025 lub nowszej? | [liczba] | 🔴 |
2 | Czy laptopy pracowników terenowych mają aktualne poprawki? | TAK / NIE | 🔴 |
3 | Czy rzadko uruchamiane maszyny wirtualne zostały zaktualizowane? | TAK / NIE | 🔴 |
4 | Ile serwerów działa na Windows Server 2008 lub 2012 i czy mają ESU? | [liczba], TAK / NIE | 🟠 |
5 | Kiedy stare serwery były ostatnio restartowane po aktualizacji? | [data] | 🟠 |
6 | Czy mamy kopię zapasową, której nie da się usunąć z komputera w sieci? | TAK / NIE | 🟠 |
7 | Czy poczta, VPN i pulpit zdalny wymagają drugiego składnika logowania? | TAK / NIE | 🟡 |
CVE-2025-59230 w usłudze RasMan pozwala zwykłemu kontu na praktycznie każdym Windows zdobyć uprawnienia SYSTEM, a Microsoft i CISA potwierdzają ataki od października 2025 roku. Obejścia nie ma, więc instalacja aktualnej aktualizacji zbiorczej na wszystkich maszynach, także tych zapomnianych, to zadanie na dziś, a decyzja o systemach bez wsparcia na najbliższy tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.