Archiwa: Windows - Strona 77 z 80 - Security Bez Tabu

Tag: Windows

Adobe łata krytyczną podatność w pakiecie współpracy (Connect). Co powinni zrobić administratorzy?

Wprowadzenie do problemu / definicja luki

Adobe opublikowało poprawki bezpieczeństwa usuwające krytyczną lukę w Adobe Connect, platformie do wirtualnych spotkań i webinarów. Najpoważniejszy błąd to DOM-based XSS (CVE-2025-49553), oceniony na CVSS 9.3, który – przy odpowiedniej sekwencji działań – może prowadzić do zdalnego wykonania kodu (RCE) po stronie klienta. Łatka jest dostępna w wydaniu Adobe Connect 12.10.

W skrócie

  • Produkty/wersje: Adobe Connect 12.9 i starsze na Windows i macOS. Naprawa w 12.10.
  • Najpoważniejsza luka: CVE-2025-49553 (DOM-XSS, CVSS 9.3) → możliwość wykonania kodu. Dodatkowo CVE-2025-49552 (DOM-XSS, CVSS 7.3) oraz CVE-2025-54196 (open redirect, CVSS 3.1).
  • Status exploitów: brak informacji o aktywnym wykorzystywaniu w środowisku produkcyjnym.
  • Szeroki kontekst: w tym samym cyklu Adobe załatało ponad 35 luk w różnych produktach (m.in. Illustrator, Bridge, Animate).

Kontekst / historia / powiązania

Aktualizacja jest częścią październikowego cyklu łatkowania (Patch Tuesday). Poza Connect, Adobe opublikowało również biuletyny dla innych aplikacji kreatywnych – np. Illustrator (APSB25-102) – gdzie wyeliminowano luki prowadzące do RCE. To potwierdza, że ekosystem Adobe regularnie otrzymuje zbiorcze poprawki obejmujące zarówno narzędzia biurowo-kolaboracyjne, jak i kreatywne.

Analiza techniczna / szczegóły luki

Zgodnie z biuletynem APSB25-70 dla Adobe Connect:

  • CVE-2025-49553 – DOM-based XSS (CWE-79), CVSS 9.3, krytyczna: atakujący może dostarczyć spreparowany ładunek (np. przez złośliwy link lub wstrzyknięty skrypt), który po interakcji użytkownika uruchomi się w kontekście przeglądarki i umożliwi wykonanie kodu, kradzież tokenów sesyjnych, eskalację działań w ramach aplikacji itp. Wektor: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.
  • CVE-2025-49552 – DOM-based XSS (CWE-79), CVSS 7.3: podobna kategoria, ale wymaga wyższych uprawnień i trudniejszych warunków do skutecznej eksploatacji.
  • CVE-2025-54196 – Open Redirect (CWE-601), CVSS 3.1: umożliwia przekierowanie użytkownika na niezweryfikowany adres (sprzyja phishingowi, kradzieży poświadczeń).

SecurityWeek potwierdza, że poprawki dla Connect dostarczono w wersji 12.10, równolegle z pakietem innych biuletynów (łącznie >35 luk).

Praktyczne konsekwencje / ryzyko

  • Ryzyko kompromitacji sesji i kont: DOM-XSS w aplikacjach webowych do spotkań pozwala na kradzież tokenów, wstrzyknięcie skryptów śledzących, przejęcie uprawnień w ramach aplikacji (np. moderowanie pokoju, dostęp do nagrań, materiałów).
  • Łańcuchowe nadużycia: Open Redirect ułatwia kampanie spear-phishingowe kierujące do stron wyłudzających MFA lub SSO, co może stać się etapem wstępnym do BEC/APT.
  • Ekspozycja w organizacjach hybrydowych: Connect jest często publikowany w internecie (dla gości/webinarów), co obniża próg dotarcia atakującego. (Wniosek na podstawie charakteru produktu i biuletynu.)

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowa aktualizacja do Connect 12.10 na wszystkich hostach (Windows/macOS). Zweryfikuj zgodność w środowiskach testowych, ale nie odkładaj wdrożenia w produkcji.
  2. Twarde EDR/AV i polityki przeglądarek na stacjach prowadzących webinary (sandboxing, blokada niechcianych rozszerzeń, CSP gdzie to możliwe po stronie serwera).
  3. Higiena linków w zaproszeniach: generuj linki do spotkań wyłącznie z oficjalnych domen; skanuj treści opisów/webinarów pod kątem wstrzyknięć HTML/JS (reguły WAF).
  4. Monitorowanie anomalii:
    • Reguły SIEM/UEBA pod kliknięcia w nieoczekiwane linki przekierowujące (HTTP 3xx do domen spoza allowlisty).
    • Alarmy na zmianę ról w pokojach, nietypowe pobrania nagrań, masowe zaproszenia.
  5. Szkolenia dla prowadzących: znakowanie zewnętrznych prelegentów, weryfikacja materiałów, unikanie osadzania niezweryfikowanych skryptów/iframe.
  6. Przegląd innych biuletynów Adobe z tego cyklu (np. Illustrator) i zaplanowanie zbiorczego okna serwisowego — w październiku lista luk przekracza 35 pozycji.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W poprzednich miesiącach najgłośniejsze poprawki Adobe dotyczyły m.in. ColdFusion i Commerce/Magento (RCE, obejścia zabezpieczeń). Obecna runda przesuwa uwagę na warstwę kolaboracji (Connect), gdzie typowym ryzykiem są ataki webowe (XSS/redirect), a nie serwerowe luki w interpreterach czy komponentach backendowych. To wymaga innego zestawu kontroli – więcej CSP/WAF, przeglądarkowej telemetrii i higieny linków – zamiast samych hardeningów aplikacyjnych.

Podsumowanie / kluczowe wnioski

  • Zaktualizuj do Connect 12.10 – to jedyny skuteczny sposób eliminacji CVE-2025-49553 i powiązanych luk.
  • Traktuj Connect jak krytyczną aplikację webową: CSP, WAF, monitorowanie przekierowań i tokenów.
  • W tym samym cyklu Adobe łata >35 luk w innych produktach – zaplanuj zbiorczy maintenance window zamiast ad-hoc instalacji.

Źródła / bibliografia

  • Adobe Security Bulletin – APSB25-70: Security update available for Adobe Connect (CVE-2025-49552, CVE-2025-49553, CVE-2025-54196; wersje i CVSS). Adobe Help Centre
  • SecurityWeek: Adobe Patches Critical Vulnerability in Connect Collaboration Suite (przegląd, skala poprawek >35 luk, kontekst). SecurityWeek
  • Adobe – APSB25-102: Security Updates Available for Adobe Illustrator (przykład innych produktów załatanych w tym cyklu). Adobe Help Centre
  • Qualys Blog – Patch Tuesday (październik 2025) (kontekst zbiorczy aktualizacji tego miesiąca). Qualys
  • The Cyber Express – Adobe Security Update (zestawienie CVE dla Connect; źródło wtórne). The Cyber Express

CISA dodaje 5 nowych luk do katalogu KEV (14 października 2025) — co to oznacza dla Twojej organizacji

Wprowadzenie do problemu / definicja luki

14 października 2025 r. amerykańska CISA dodała pięć nowych, aktywnie wykorzystywanych luk do katalogu Known Exploited Vulnerabilities (KEV). Dodanie do KEV oznacza, że istnieją wiarygodne dowody nadużyć „in the wild”, a dla agencji federalnych wyznaczany jest twardy termin remediacji zgodnie z dyrektywą BOD 22-01. W praktyce to także sygnał „patch now” dla sektora prywatnego.

W skrócie

  • Nowe CVE w KEV (5):
    • CVE-2025-24990 — Windows (sterownik Agere Modem, „untrusted pointer dereference”).
    • CVE-2025-47827 — IGEL OS 10 (obejście Secure Boot przez użycie klucza po dacie ważności).
    • CVE-2025-59230 — Windows Remote Access Connection Manager (podniesienie uprawnień).
    • CVE-2016-7836 — SKYSEA Client View (zdalne wykonanie kodu, CVSS 9.8).
    • CVE-2025-6264 — Rapid7 Velociraptor (błędne domyślne uprawnienia → wykonanie poleceń).
  • Dlaczego teraz? Fala wpisów koreluje z październikowym Patch Tuesday (Microsoft) i świeżymi obserwacjami nadużyć (m.in. Velociraptor w incydentach ransomware).
  • Termin (FCEB): dla nowych pozycji z 14.10.2025 CISA wyznacza deadline 4 listopada 2025. To dobra praktyka także dla firm prywatnych.

Kontekst / historia / powiązania

Katalog KEV to „lista wstydu” produktów z lukami, które naprawdę są wykorzystywane. Wpis do KEV wymusza na podmiotach federalnych priorytetową remediację (zwykle w 21 dni), a w wyjątkowych sytuacjach — szybciej. W 2025 r. KEV był wielokrotnie uzupełniany falami po Patch Tuesday oraz po publicznych raportach o nadużyciach (np. ransomware wykorzystujący Velociraptor).

Analiza techniczna / szczegóły luki

1) CVE-2025-24990 — Microsoft Windows (sterownik Agere Modem)

  • Typ/efekt: dereferencja niezaufanego wskaźnika w sterowniku, potencjalne EoP/RCE w zależności od kontekstu wywołania.
  • Kontekst: sterownik jest dostarczany z wieloma wersjami Windows; Microsoft oznaczył problem jako eksploatowany.
  • Działania: usuń/wyłącz sterownik tam, gdzie niepotrzebny; zastosuj poprawki Microsoftu.

2) CVE-2025-47827 — IGEL OS 10 (Secure Boot bypass)

  • Typ/efekt: bypass Secure Boot — użycie klucza po dacie ważności w module igel-flash-driver umożliwia podmianę obrazu rootfs (SquashFS) i uruchomienie niepodpisanego systemu.
  • Wpływ: fizyczny napastnik może osiągnąć trwałą, wczesną persystencję (bootkit).
  • Termin KEV: dodane 14.10 → due 04.11.2025 (wpis CISA odnotowany w NVD).
  • Działania: aktualizacja do IGEL OS v11+; wymuszenie poprawnego łańcucha zaufania i weryfikacji podpisów.

3) CVE-2025-59230 — Windows RASMAN (Elevation of Privilege)

  • Typ/efekt: Improper Access Control → lokalne EoP do SYSTEM.
  • Wektor: lokalny, niski poziom złożoności (AC:L).
  • Działania: wdrożyć poprawki z październikowego Patch Tuesday; uzupełnić detekcje na nietypowe użycia usług RAS.

4) CVE-2016-7836 — SKYSEA Client View (RCE)

  • Typ/efekt: Improper Authentication w połączeniu TCP z konsolą zarządzającą → RCE bez uwierzytelnienia; CVSS 3.x: 9.8 (CRITICAL).
  • Status KEV: dodane 14.10.2025 z terminem 04.11.2025.
  • Działania: aktualizacja powyżej wersji 11.221.03; segmentacja sieci, ograniczenie dostępu do portów zarządzania.

5) CVE-2025-6264 — Rapid7 Velociraptor (default permissions)

  • Typ/efekt: artefakt Admin.Client.UpdateClientConfig nie wymagał dodatkowego uprawnienia; użytkownik z rolą Investigator mógł zdalnie zaktualizować konfigurację klienta i wykonać polecenia → przejęcie endpointu.
  • Kontekst nadużyć: wykorzystywane w realnych atakach (m.in. kampanie ransomware); wpis do KEV z terminem 04.11.2025.
  • Działania: aktualizacja do wersji z łatką; przegląd ról/uprawnień i artefaktów; telemetria na „nietypowe” aktualizacje konfiguracji klienta.

Praktyczne konsekwencje / ryzyko

  • Łańcuchy ataków mieszanych: lokalne EoP w Windows (CVE-2025-59230, CVE-2025-24990) świetnie łączą się z ucieczkami z przeglądarek/aplikacji jako etap 2 eskalacji.
  • Uderzenie w kontrolę rozruchu: obejście Secure Boot (IGEL) umożliwia „pre-EDR” trwałość — klasyczne narzędzie APT i operatorów ransomware.
  • Nadużywanie narzędzi „dobrych”: Velociraptor w rękach napastnika zmniejsza szanse detekcji (Living-off-the-Land Tooling).
  • Dziedzictwo w środowisku: stary SKYSEA (2016) pokazuje, że legacy potrafi wrócić jako „nowo” eksploatowane, jeśli pozostało w ekosystemie.

Rekomendacje operacyjne / co zrobić teraz

  1. Priorytet łatania do 4 listopada 2025 (lub szybciej w środowiskach wysokiego ryzyka):
    • Windows: wdrożyć pełny zestaw poprawek z Patch Tuesday (X.2025); osobno usunąć/wyłączyć sterownik Agere tam, gdzie niepotrzebny.
    • IGEL OS: aktualizacja do v11+, weryfikacja implementacji Secure Boot, odświeżenie kluczy.
    • Velociraptor: aktualizacja do wersji z łatką; przegląd ról (odebranie zbędnego COLLECT_CLIENT), ograniczenie artefaktów administracyjnych; monitorowanie nietypowych update’ów konfiguracji.
    • SKYSEA: aktualizacja powyżej 11.221.03; izolacja hostów zarządzania; wymuszenie TLS i list ACL na portach zarządzania.
  2. Detekcja i hunting (propozycje szybkich use-case’ów):
    • Windows EoP: nietypowe uruchomienia/usługi RAS, anomalie w sterownikach, ładowanie ltmdm64.sys (Agere).
    • IGEL: integralność łańcucha rozruchu, zmiany w partycji rozruchowej, niestandardowe obrazy SquashFS.
    • Velociraptor: zdarzenia „UpdateClientConfig”, modyfikacje polityk klienta, uruchomienia powłoki/VS Code z procesu agenta.
  3. Higiena uprawnień i ekspozycji: minimalizacja ról „Investigator” w Velociraptorze; ograniczenie dostępu do konsol (SKYSEA) sieciowo i VPN; app allow-listing dla narzędzi z uprawnieniami systemowymi.
  4. Zarządzanie ryzykiem dostawców/OT: jeśli używasz IGEL lub SKYSEA w środowiskach kiosków/terminali/OT, zaplanuj okno serwisowe i rollback plan — obejście Secure Boot w terminalach może zniweczyć kontrolę zaufania na brzegu.

Różnice / porównania z innymi przypadkami

  • Stara luka, nowe nadużycia: CVE-2016-7836 (SKYSEA) przypomina inne „archeologiczne” wpisy KEV — podatności latami „znane”, ale wciąż wykorzystywane tam, gdzie oprogramowanie przetrwało w niszach.
  • LOLBIN vs. LOTool: w 2024–2025 dużo mówiliśmy o LOLBIN-ach; przypadek Velociraptora to LOTool — legalne narzędzie admina użyte jako wektor ataku (podobnie jak nadużycia RMM/EDR).

Podsumowanie / kluczowe wnioski

  • KEV = kolejka „MUST-DO”: pięć nowych pozycji to czytelny backlog na najbliższe dni.
  • Zwróć uwagę na łańcuch startowy i narzędzia admina (IGEL, Velociraptor) — to wektory o wysokiej wartości dla napastników.
  • Nie zapominaj o legacy: nawet „odległe” CVE (SKYSEA 2016) wracają, jeśli produkt nadal żyje w środowisku.
  • Termin dla FCEB: 4 listopada 2025 — rozsądny SLA także dla sektora prywatnego.

Źródła / bibliografia

  1. CISA — Strona główna (zapowiedź alertu z 14.10.2025). (CISA)
  2. NVD (NIST) — CVE-2016-7836 (SKYSEA) — opis, CVSS 9.8, wpis do KEV z terminem 04.11.2025. (NVD)
  3. NVD (NIST) — CVE-2025-59230 (Windows RASMAN) — opis EoP. (NVD)
  4. NVD (NIST) — CVE-2025-6264 (Rapid7 Velociraptor) — opis błędnych uprawnień. (NVD)
  5. NVD/CVE.org / analizy Patch Tuesday — CVE-2025-24990 (Agere driver) — rekord CVE; dodatkowy kontekst eksploatacji i rekomendacji z przeglądu Patch Tuesday (Tenable). (CVE)

Firefox 144 łata luki wysokiego ryzyka (MFSA 2025-81). Co musisz wiedzieć

Wprowadzenie do problemu / definicja luki

14 października 2025 r. Mozilla opublikowała poradę bezpieczeństwa MFSA 2025-81, która opisuje zestaw podatności naprawionych w Firefox 144. Większość z nich ma wysoki poziom wpływu i obejmuje m.in. błędy bezpieczeństwa pamięci, eskalację wpływu między procesami oraz problem w silniku JS umożliwiający modyfikację niewymazywalnych właściwości obiektów.

W skrócie

  • Aktualizacja do Firefox 144 usuwa m.in. UAF w komponencie audio/wideo, błąd OOB R/W wyzwalany przez tekstury WebGL, wyciek informacji przez malicious IPC, oraz możliwość zmiany właściwości obiektu JS oznaczonych jako niewpisywalne.
  • Łatki są skorelowane z wydaniem 144.0 (desktop i Android); odpowiednie biuletyny wydano też dla linii ESR oraz Thunderbirda.
  • Co najmniej część błędów dotyczy również ESR i Thunderbirda; NVD już śledzi np. CVE-2025-11709 (WebGL → OOB R/W).

Kontekst / historia / powiązania

Mozilla konsekwentnie stosuje sandboxing i separację procesów, ale historia poprawek pokazuje, że błędy na styku procesu treści i procesu uprzywilejowanego wciąż bywają krytyczne — zwłaszcza gdy atak zaczyna się od złośliwej strony WWW i kończy na naruszeniu pamięci w procesie przeglądarki o wyższych uprawnieniach. Wraz z Firefox 144 i równoległymi MFSA dla ESR potwierdzono ten trend, publikując zestaw łatek w jednym cyklu wydawniczym.

Analiza techniczna / szczegóły luki

Najważniejsze wpisy z MFSA 2025-81:

  • CVE-2025-11708 — UAF w MediaTrackGraphImpl::GetInstance() (wysoki): klasyczny use-after-free w grafie ścieżek mediów; potencjalnie prowadzi do awarii lub wykonania kodu po dereferencji zwolnionego wskaźnika.
  • CVE-2025-11709 — OOB R/W w procesie uprzywilejowanym przez zmanipulowane tekstury WebGL (wysoki): proces treści może wymusić odczyty/zapisy poza zakresem w bardziej uprzywilejowanym procesie. Dotyczy też ESR/Thunderbird.
  • CVE-2025-11710 — wyciek informacji międzyprocesowych (wysoki): złośliwe komunikaty IPC mogły skłonić proces przeglądarki do ujawnienia bloków pamięci procesowi niższego zaufania.
  • CVE-2025-11711 — modyfikacja własności JS oznaczonych jako non-writable (wysoki): obejście ograniczeń atrybutów deskryptora własności w JS, z potencjałem na naruszenie założeń izolacji skryptów.
  • Android (średnie/niski): m.in. otwieranie linków z sandboxed iframe w zewnętrznych aplikacjach bez wymaganej zgody; spoofing paska adresu przy zdarzeniu visibilitychange; ograniczenia prezentacji hosta w Custom Tabs sprzyjające podszywaniu.
  • Zbiorcze „Memory safety bugs” (wysokie): tradycyjny pakiet błędów bezpieczeństwa pamięci załatanych w gałęziach 144/140.4/115.29.

Z perspektywy deweloperskiej wydanie 144 wprowadza także zmiany w platformie (MDN/Firefox 144 for developers), co pomaga osadzić poprawki w harmonogramie rozwojowym.

Praktyczne konsekwencje / ryzyko

  • Zdalne wykonanie kodu (RCE) lub eskalacja wpływu są możliwe poprzez łańcuchy exploitów zaczynające się od treści WebGL/JS i kończące na błędach pamięci w procesie uprzywilejowanym.
  • Utrata poufności danych procesu przeglądarki (CVE-2025-11710) przez wycieki pamięci via IPC.
  • Ataki socjotechniczne na Androidzie (spoofing UI, otwieranie zewnętrznych aplikacji) zwiększają ryzyko phishingu i eskalacji poza przeglądarkę.
  • Z punktu widzenia zespołów IT: rządy i CERT-y już rekomendują niezwłoczne aktualizacje w środowiskach Windows/Android, co podnosi priorytet wdrożenia.

Rekomendacje operacyjne / co zrobić teraz

  1. Zaktualizuj do Firefox 144 na desktopie i Androidzie; w środowiskach korporacyjnych przejdź do ESR 140.4 lub 115.29 zgodnie z polityką.
  2. Włącz wymuszone aktualizacje przez MDM/Intune/GPO dla stacji roboczych; priorytet: urządzenia z akceleracją WebGL, użytkownicy uprzywilejowani, systemy Windows. (Potwierdzenie wersji docelowych: MFSA/Release Notes).
  3. Monitoruj telemetry i crash-reports po aktualizacji, szczególnie rozszerzenia korzystające z Native Messaging (CVE-2025-11719 dot. Windows). Rozważ tymczasowe wyłączenie podejrzanych rozszerzeń.
  4. Twarde ustawienia na Androidzie: zablokuj otwieranie zewnętrznych aplikacji z iframe, edukuj użytkowników o fałszywych paskach adresu, rozważ ograniczenie użycia Custom Tabs w appkach korporacyjnych.
  5. Testy regresyjne dla aplikacji WebGL/Canvas (QA): sprawdź zgodność po stronie front-endu i ewentualne feature-flags. Podpieraj się dokumentacją dla deweloperów 144.

Różnice / porównania z innymi przypadkami

  • WebGL jako wektor do procesu uprzywilejowanego nie jest nowy, ale ten przypadek (CVE-2025-11709) łączy OOB R/W z przełamaniem granicy procesów — podobnie jak wcześniejsze luki klasy cross-process memory corruption. Różnicą jest tu rola manipulowanych tekstur jako triggera.
  • JS non-writable property bypass (CVE-2025-11711) to kategoria rzadziej spotykana niż typowe UAF/OOB; bardziej zagraża spójności modeli bezpieczeństwa opartych na założeniach o niezmienności właściwości.

Podsumowanie / kluczowe wnioski

  • Wydanie Firefox 144 zamyka ciąg błędów wysokiego ryzyka, z których najgroźniejsze dotyczą pamięci i granic między procesami.
  • Dla SOC/IT: traktuj aktualizację jako pilną, szczególnie na Windows i Androidzie, oraz przeglądnij polityki dotyczące rozszerzeń i WebGL.
  • Dla zespołów web/dev: sprawdź wpływ na ścieżki WebGL/Canvas i zachowanie JS po stronie klienta.

Źródła / bibliografia

  1. Mozilla Foundation Security Advisory 2025-81: „Security Vulnerabilities fixed in Firefox 144” (14.10.2025). (Mozilla)
  2. Firefox 144 — Release Notes (desktop, 14.10.2025). (Firefox)
  3. NVD — CVE-2025-11709 (WebGL → OOB R/W) – zakres i dotknięte produkty. (NVD)
  4. MDN — „Firefox 144 for developers” (kontekst zmian). (MDN Web Docs)
  5. GovCERT Hong Kong — alert zbiorczy dot. MFSA 2025-81/-82/-83/-84/-85 (rekomendacje aktualizacji). (govcert.gov.hk)

SAP łata krytyczne luki w NetWeaver AS Java, Print Service (SAPSprint) i SRM — październikowy Patch Day 2025

Wprowadzenie do problemu / definicja luk

SAP opublikował październikowy zestaw poprawek bezpieczeństwa, obejmujący łącznie kilkanaście nowych i zaktualizowanych not Security Notes. Wśród nich znajdują się trzy krytyczne luki: maksymalnie poważna podatność w NetWeaver AS Java (RMI/P4 — insecure deserialization), krytyczne obejście ścieżek (directory traversal) w SAP Print Service / SAPSprint, oraz poważna podatność w SAP SRM umożliwiająca nieautoryzowany upload plików.

W skrócie

  • NetWeaver AS Java (RMI/P4): luka klasy insecure deserialization, CVSS 10.0 — umożliwia zdalne wykonanie kodu bez uwierzytelnienia. Wymaga natychmiastowej aktualizacji.
  • SAP Print Service / SAPSprint: directory traversal (CVSS 9.8) — atakujący bez uwierzytelnienia może nadpisywać pliki systemowe na serwerze wydruku; SAP Note 3630595. W niektórych źródłach powiązana z CVE-2025-42937.
  • SAP SRM: podatność arbitrary file upload; brak obejścia — konieczna instalacja poprawki (np. SAP Note 3647332).

Kontekst / historia / powiązania

W ostatnich miesiącach ekosystem SAP obserwował falę krytycznych poprawek (m.in. we wrześniu) oraz realne kampanie wykorzystujące luki w NetWeaver (np. CVE-2025-31324 wykorzystywane w atakach do instalacji backdoorów). Dzisiejszy Patch Day wpisuje się w trend priorytetowego łatania komponentów dostępnych z sieci i mechanizmów uploadu/serializacji.

Analiza techniczna / szczegóły luki

1) NetWeaver AS Java — RMI/P4 insecure deserialization (CVSS 10.0)

  • Wektor: sieciowy, brak uwierzytelnienia; podatny kanał RMI/P4 (AS Java).
  • Skutek: zdalne wykonanie poleceń na systemie operacyjnym (RCE).
  • Ryzyko: natychmiastowa eskalacja do pełnego przejęcia hosta aplikacyjnego.
  • Mitigacje czasowe: ograniczenie / filtrowanie dostępu do RMI/P4 wyłącznie z zaufanych podsieci; segmentacja; WAF/IPS z sygnaturami pod deserialization.
    Fakty i parametry potwierdza bieżące omówienie Patch Day.

2) SAP Print Service / SAPSprint — directory traversal (CVSS 9.8) — SAP Note 3630595

  • Komponent: SAP Print Service (SAPSprint) — serwer zdalnego drukowania (często na Windows).
  • Wektor: brak uwierzytelnienia; manipulacja ścieżką (path traversal) pozwala na „climbing” katalogów i nadpisanie plików systemowych.
  • Skutek: naruszenie C/I/A — od wycieku po trwałe uszkodzenie systemu, możliwość eskalacji i utrwalania dostępu.
  • CVE: źródła branżowe mapują tę lukę do CVE-2025-42937 (nomenklatura może się różnić między vendorami).
  • FAQ/uwagi: SAP opublikował dodatkowy FAQ Note do tej poprawki.

3) SAP SRM — arbitrary file upload (np. SAP Note 3647332)

  • Wektor: przesył plików w wybranych komponentach SRM; brak wystarczających walidacji.
  • Skutek: możliwość umieszczenia i wykonania złośliwych artefaktów w kontekście aplikacji, prowadząca do przejęcia systemu lub pivotu.
  • Workaround: brak skutecznych obejść — wymagane natychmiastowe wdrożenie noty.

Praktyczne konsekwencje / ryzyko

  • RCE i trwałe przejęcie serwerów aplikacyjnych (AS Java) oraz nadpisanie krytycznych plików (SAPSprint) mogą skutkować paraliżem usług biznesowych, utratą danych i szantażem ransomware.
  • Łańcuchowanie: upload w SRM ⇒ implant web-shell ⇒ ruch boczny do AS Java ⇒ wykorzystanie RMI/P4 ⇒ dominacja domeny / chmury.
  • Ekspozycja z Internetu: serwisy drukowania i RMI/P4 ujawnione do sieci publicznej znacząco zwiększają prawdopodobieństwo skanu i szybkiej eksploatacji po publikacji poprawek.

Rekomendacje operacyjne / co zrobić teraz

  1. Priorytetyzuj patching:
    • NetWeaver AS Java (RMI/P4 deserialization — CVSS 10.0) — natychmiast.
    • SAP Print Service / SAPSprint — SAP Note 3630595 — w ciągu 24 godzin.
    • SAP SRM — SAP Note 3647332 — pilnie, brak obejść.
  2. Doraźne redukcje ryzyka (gdy patch w toku):
    • Ogranicz dostęp do RMI/P4 i SAPSprint do zaufanych adresów/VPN; zablokuj z Internetu.
    • Włącz reguły IPS/WAF na deserialization, path traversal i file-upload; monitoruj anomalie I/O dysku.
    • Ustaw aplikacyjne allow-listy dla formatów i lokalizacji uploadu (SRM).
  3. Detekcja i IR:
    • Przejrzyj logi dla RMI/P4, ścieżek drukowania i katalogów uploadu; szukaj nietypowych ścieżek z sekwencjami traversal (np. niestandardowe .../...//).
    • Wykonaj integrity check krytycznych plików na serwerach wydruku (Windows), porównując z kopią wzorcową.
    • Jeśli ekspozycja była publiczna, załóż naruszenie i wykonaj threat hunting (web-shells, niepodpisane binaria, schedule tasks).
  4. Zarządzanie podatnościami:
    • Zweryfikuj wszystkie SAP Security Notes z dzisiejszego Patch Day i plan aktualizacji (produkcyjne / non-prod).
    • Upewnij się, że Support Packages i kernel są zgodne z wymaganiami not.

Różnice / porównania z innymi przypadkami

  • RMI/P4 deserialization (AS Java) różni się od niedawnej luki CVE-2025-31324 (Visual Composer uploader) — obie skutkują RCE, ale pierwsza atakuje kanał zdalnego wywołania (serializacja), druga nadużywa mechanizmu uploadu. To inne wektory, mogą jednak być łańcuchowane.
  • SAPSprint traversal to atak na komponent drukowania (często Windows) — jego implikacje (nadpisanie plików) są bardziej „systemowe” niż typowe błędy w warstwie SAP ABAP/Java.

Podsumowanie / kluczowe wnioski

  • Październikowy Patch Day SAP przynosi krytyczne poprawki, z których NetWeaver AS Java (CVSS 10.0) oraz SAPSprint (CVSS 9.8) wymagają natychmiastowych działań, a SRM nie ma obejść poza instalacją poprawek.
  • Organizacje powinny patchować w pierwszej kolejności komponenty sieciowo dostępne, ograniczyć ekspozycję i wdrożyć monitoring anomalii plikowych na serwerach drukowania.

Źródła / bibliografia

  • SecurityWeek: „SAP Patches Critical Vulnerabilities in NetWeaver, Print Service, SRM” (14.10.2025). (SecurityWeek)
  • SAP Support Portal: „Security Patch Day — October 2025” (14.10.2025). (SAP Support Portal)
  • Onapsis Research Labs: „SAP Security Patch Day — October 2025” (analiza, Note 3630595, SAPSprint). (Onapsis)
  • SecurityBridge: „SAP Security Patch Day — October 2025” (Note 3630595 i 3647332 — SRM). (SecurityBridge)
  • RedRays: „October 2025 — Critical Updates” (CVE-2025-42937 / CVSS 9.8 dla Print Service). (RedRays – Your SAP Security Solution)

Windows 10: koniec wsparcia od 14 października 2025 r. — co to oznacza dla bezpieczeństwa i zgodności?

Wprowadzenie do problemu / definicja luki

Microsoft zakończył dziś, 14 października 2025 r., standardowe wsparcie dla Windows 10 (wszystkich edycji 22H2). Od teraz system nie otrzymuje już bezpłatnych aktualizacji zabezpieczeń ani poprawek. Urządzenia będą działać, ale z miesiąca na miesiąc będą coraz bardziej narażone na ataki wykorzystujące nowe luki.

W skrócie

  • Data EoS: 14.10.2025 (koniec aktualizacji i pomocy technicznej).
  • Ostatnia wersja: 22H2 — ostatni release Windows 10.
  • Wyjątki: linie LTSC mają osobne cykle wsparcia.
  • ESU (konsumenci): 1 rok rozszerzonych łat bezpieczeństwa do 13.10.2026 r.; rejestracja: 0 zł (gdy synchronizujesz ustawienia z kontem Microsoft), 1000 punktów Rewards albo 30 USD jednorazowo. Limit do 10 urządzeń na licencję.
  • Microsoft 365 Apps: oficjalne wsparcie na Windows 10 wygasa dziś, ale aktualizacje zabezpieczeń dla M365 będą dostarczane jeszcze do 10.10.2028 r., by ułatwić migrację.

Kontekst / historia / powiązania

Windows 10 zadebiutował w 2015 r. i przez lata był „systemem jako usługą” z półrocznymi aktualizacjami. Microsoft ogłosił, że 22H2 to finalna wersja, a „dni łatkowania” kończą się w październiku 2025 r. Media branżowe od wielu miesięcy ostrzegały użytkowników i firmy przed pozostawaniem na niewspieranej platformie.

Analiza techniczna / szczegóły

Cykl życia i edycje

  • Home/Pro/Enterprise/Education (22H2): koniec wsparcia 14.10.2025.
  • LTSC (np. Enterprise LTSC): nadal wspierane wg własnych harmonogramów.
  • Brak nowych funkcji/driverów/poprawek po tej dacie.

ESU dla użytkowników domowych i SOHO (Consumer ESU)

Microsoft po raz pierwszy udostępnia program ESU dla konsumentów. Kluczowe parametry:

  • Zakres: tylko aktualizacje bezpieczeństwa „Critical/Important” (MSRC). Brak wsparcia technicznego, brak poprawek funkcjonalnych.
  • Dostępność: rejestracja przez Ustawienia → Aktualizacja i zabezpieczenia → Windows Update → Enroll now.
  • Warunki: Windows 10 22H2, konto Microsoft z uprawnieniami administratora.
  • Wyłączenia: urządzenia domenowe/Entra-joined, kiosk, MDM — to już scenariusze komercyjne (dla nich osobny, płatny ESU).
  • Cena/ opcje rejestracji: 0 zł (gdy włączona synchronizacja ustawień), 1000 Rewards, lub 30 USD (równowartość w lokalnej walucie); ważne do 13.10.2026 r.; licencję można użyć na maks. 10 urządzeń.

Microsoft 365 na Windows 10

Aplikacje Microsoft 365 formalnie kończą wsparcie na Windows 10 wraz z EoS, ale — w celu utrzymania bezpieczeństwa — Microsoft będzie dostarczał ich aktualizacje zabezpieczeń do 10.10.2028 r. To nie przywraca wsparcia systemu operacyjnego.

Praktyczne konsekwencje / ryzyko

  • Rosnąca powierzchnia ataku: nowe exploity nie będą łatane w OS bez ESU; z czasem wzrośnie liczba day-0/day-n wymierzonych w Windows 10.
  • Ryzyko zgodności/compliance: w sektorach regulowanych (np. RODO, ISO 27001) używanie niewspieranego OS może naruszać polityki bezpieczeństwa.
  • Łańcuch dostaw i urządzenia brzegowe: endpointy z Win10 bez ESU staną się najsłabszym ogniwem w sieci.
  • Użytkownicy indywidualni: wzrost prawdopodobieństwa infekcji malware/ransomware poprzez przeglądarkę, klienckie aplikacje i sterowniki. Media i Microsoft ostrzegają, że system pozostawiony bez łatek będzie z czasem coraz łatwiejszym celem.

Rekomendacje operacyjne / co zrobić teraz

  1. Sprawdź możliwość aktualizacji do Windows 11 (TPM 2.0, Secure Boot, nowsze CPU). Jeśli sprzęt spełnia wymagania — migruj niezwłocznie.
  2. Jeśli musisz zostać na Windows 10:
    • Zapisz urządzenie do ESU (konsumenckiego) od razu, aby nie pozostawiać luki w oknie bezłatkowym. Włącz synchronizację ustawień z kontem Microsoft, aby skorzystać z opcji bez opłaty, lub użyj 1000 punktów Rewards / 30 USD.
    • Wymuś twardą politykę zabezpieczeń: EDR/antywirus klasy enterprise, kontrola aplikacji, ograniczenie makr, segmentacja sieci, pełne szyfrowanie dysków.
    • Ogranicz ekspozycję: pracuj na koncie standardowym, aktualizuj przeglądarkę i aplikacje firm trzecich, wyłącz zbędne usługi/porty.
  3. Dla organizacji: rozważ komercyjny ESU (płatny, do 3 lat) i plan migracji do Windows 11/Windows 365. Zgodność i audyty powinny wymagać dat wyłączeń dla hostów Win10.
  4. Alternatywy dla sprzętu niespełniającego wymagań: Linux desktop lub modernizacja sprzętu; traktuj to jako most, nie docelowy stan bezpieczeństwa. (Rekomendacja ogólna; wybór zależny od profilu ryzyka i aplikacji.)

Różnice / porównania z innymi przypadkami

  • LTSC vs. standardowe edycje: LTSC zachowuje wsparcie według własnych terminów (dłuższe okna serwisowe), ale dotyczy specyficznych środowisk (urządzenia specjalistyczne).
  • ESU konsumenckie vs. komercyjne: Consumer ESU — 1 rok, prosty onboarding przez Windows Update; Commercial ESU — do 3 lat, zarządzanie kluczami/MDM, dla urządzeń domenowych/zarządzanych.
  • Windows 11: ciągłe łaty, funkcje zabezpieczeń (TPM 2.0, HVCI, Smart App Control, ulepszenia kernel/driver), aktywnie rozwijany ekosystem. (Kontekst migracyjny.)

Podsumowanie / kluczowe wnioski

  • Windows 10 bez ESU = niewspierany i podatny od 14.10.2025 r.
  • Masz trzy ścieżki: (1) migracja do Windows 11, (2) ESU na 1 rok (konsumenci) / do 3 lat (firmy), (3) wymiana/modernizacja sprzętu lub zmiana OS.
  • Jeśli pozostajesz na Win10 choćby tymczasowo — zapisz się do ESU natychmiast i podnieś poziom zabezpieczeń endpointów.

Źródła / bibliografia

  • Microsoft Support — „Windows 10 support ends on October 14, 2025” (daty EoS, M365 Apps). (Microsoft Support)
  • Microsoft Learn — cykl życia Windows 10 (22H2 ostatnią wersją; wyjątki LTSC). (Microsoft Learn)
  • Microsoft — „Windows 10 Consumer Extended Security Updates (ESU)” (warunki, cena, rejestracja, zakres). (Microsoft)
  • BleepingComputer — przypomnienie o EoS i zagrożeniach pozostania na Win10. (BleepingComputer)
  • The Verge — tło migracyjne i bariery sprzętowe Windows 11. (The Verge)

SonicWall: masowe przejęcia kont SSL VPN po incydencie z kopią zapasową konfiguracji — co wiemy i co robić

Wprowadzenie do problemu / definicja luki

10 października 2025 r. firma Huntress ostrzegła przed szeroko zakrojoną kampanią przejęć kont SonicWall SSL VPN, w której napastnicy logowali się „lawinowo” na wiele kont, najpewniej używając prawidłowych poświadczeń, a nie siłowego łamania haseł. Do 10 października skompromitowano ponad 100 kont w 16 środowiskach, a znaczna część aktywności zaczęła się 4 października. SecurityWeek potwierdził skalę zjawiska, powołując się na dane Huntress.

W skrócie

  • Co się stało: trwają ataki polegające na poprawnym logowaniu do kont SSL VPN w urządzeniach SonicWall (bez brute force). Jedno ze źródeł logowań wskazuje na adres 202.155.8[.]73.
  • Kontekst: kilka dni wcześniej SonicWall ujawnił, że nieuprawniony dostęp do usługi MySonicWall Cloud Backup objął wszystkich klientów przechowujących kopie konfiguracji firewalli (pierwotnie szacowano <5%).
  • Czy sprawy są powiązane? Huntress nie ma dowodów na bezpośrednie powiązanie, ale go nie wyklucza.
  • Ryzyko: wyciek zaszyfrowanych poświadczeń i danych konfiguracyjnych może ułatwić ataki ukierunkowane; obserwowane są także skanowania sieci i próby dostępu do kont w domenie.

Kontekst / historia / powiązania

8 października 2025 r. SonicWall zaktualizował poradnik incydentowy, kończąc dochodzenie (z Mandiant) i potwierdzając, że wszystkie kopie konfiguracji przechowywane w chmurze były dostępne dla atakującego. CISA z kolei opublikowała ostrzeżenie i wskazówki dla klientów SonicWall w związku z tym zdarzeniem.

W lipcu–wrześniu obserwowano równolegle aktywność związaną z ransomware Akira i urządzeniami SonicWall/SMA/SSL VPN; mimo że to inna oś narracji, podkreśla ona rosnącą atrakcyjność ekosystemu SonicWall dla grup przestępczych.

Analiza techniczna / szczegóły luki

  • Wektor dostępu w bieżącej kampanii: logowania z prawidłowymi poświadczeniami do SSL VPN (szybkie serie logowań; brak oznak bruteforce). Część sesji kończy się natychmiastowym rozłączeniem, w innych przypadkach stwierdzono działania potexploitacyjne (skanowanie, próby dostępu do lokalnych kont Windows).
  • Incydent chmurowy MySonicWall: napastnik uzyskał dostęp do plików kopii konfiguracji (zawierających m.in. zaszyfrowane hasła/sekrety, reguły, ustawienia VPN, integracje LDAP/RADIUS/TACACS+, SNMP, itp.). SonicWall udostępnił klientom listy dotkniętych urządzeń i klasyfikację priorytetów (Active High/Low/Inactive).
  • Status powiązania zdarzeń: Huntress podkreśla brak dowodu, że masowe logowania są bezpośrednim skutkiem incydentu kopii zapasowej — ale taka możliwość istnieje (np. odtworzenie haseł/sekretów, korelacja konfiguracji).

Praktyczne konsekwencje / ryzyko

  • Ryzyko nadużyć poświadczeń: nawet jeśli dane w kopiach były zaszyfrowane, metadane i konfiguracje mogą obniżyć koszt rekonesansu i ułatwić obejście zabezpieczeń perymetrowych.
  • Ryzyko lateral movement: potwierdzone skanowanie sieci i próby kompromitacji kont AD wskazują na możliwość szybkiej eskalacji uprawnień po wejściu przez SSL VPN.
  • Ryzyko „cichego” dostępu: część aktorów kończy sesję bez dalszych działań — możliwe przygotowanie do późniejszych kampanii lub testy ważności poświadczeń. (Wniosek na podstawie obserwacji Huntress).

Rekomendacje operacyjne / co zrobić teraz

Poniższe kroki zbierają zalecenia SonicWall, Huntress i CISA — w kolejności „od teraz do stabilizacji”:

  1. Natychmiast ogranicz zdalne zarządzanie i dostęp WAN (HTTP/HTTPS/SSH/SSL VPN), aż do pełnej rotacji sekretów; jeśli to możliwe, odetnij zarządzanie z Internetu.
  2. Wymuś pełną rotację wszystkich sekretów powiązanych z firewallami/SSL VPN: hasła lokalnych adminów, pre-shared keys VPN, klucze/hasła do LDAP/RADIUS/TACACS+, PSK Wi-Fi, SNMP, API (DDNS, SMTP/FTP, automatyzacje).
  3. Zmień hasła w MySonicWall i wszystkich zewnętrznych integracjach; usuń stare kopie w chmurze, wykonaj nowe lokalne (po rotacji). Sprawdź portal MySonicWall → Product Management → Issue List i priorytety urządzeń.
  4. Włącz/Mandatuj MFA dla wszystkich kont administracyjnych i zdalnych; zrewiduj role i zasady najmniejszych uprawnień.
  5. Zwiększ logowanie i retencję: przeanalizuj nietypowe logowania, zmiany konfiguracji, zestawienia tuneli; zachowaj logi do analizy powłamaniowej.
  6. Stopniowo przywracaj usługi po rotacji haseł, monitorując, czy nie powracają nieautoryzowane logowania.
  7. Zastosuj wskazówki CISA/SonicWall z aktualnych poradników dot. incydentu chmurowego i twardnienia konfiguracji.

Różnice / porównania z innymi przypadkami

  • Nie jest to klasyczna luka „do załatania” w firmware (jak CVE-2024-40766 w przeszłości), lecz konsekwencje kompromitacji usługi kopii zapasowej i/lub wtórnego nadużycia poświadczeń — dlatego kluczowe są rotacja sekretów i hardening, a nie patch.
  • Kampania logowań (październik 2025) różni się od wcześniejszych fal, gdzie wykorzystywano podatności SMA/SSL VPN lub 0-daye; tutaj dominują poprawne logowania i „masowe” użycie jednego adresu źródłowego.

Podsumowanie / kluczowe wnioski

  • 8–10 października 2025 r.: SonicWall finalizuje dochodzenie (z Mandiant) i potwierdza pełny zakres incydentu kopii konfiguracyjnych w chmurze; niemal równolegle Huntress sygnalizuje masowe przejęcia kont SSL VPN z użyciem prawidłowych poświadczeń.
  • Brak twardego dowodu na związek, ale ryzyko wtórnych nadużyć jest wysokie.
  • Priorytetem jest szybka rotacja wszystkich sekretów, ograniczenie ekspozycji usług i wzmożony monitoring.

Źródła / bibliografia

  1. SecurityWeek — SonicWall SSL VPN Accounts in Attacker Crosshairs, 13 paź 2025. SecurityWeek
  2. Huntress — Threat Advisory: Widespread SonicWall SSLVPN Compromise, 10 paź 2025. Huntress
  3. SonicWall — MySonicWall Cloud Backup File Incident (aktualizacja 8 paź 2025). SonicWall
  4. CISA — SonicWall releases advisory… (22 wrz 2025). CISA
  5. SecurityWeek — All SonicWall Cloud Backup Users Had Firewall Configurations Stolen, 9 paź 2025. SecurityWeek

Microsoft uszczelnia IE Mode w Edge po atakach z wykorzystaniem 0-day w Chakra

Wprowadzenie do problemu / definicja luki

Microsoft przebudował sposób uruchamiania Internet Explorer (IE) mode w przeglądarce Edge po „wiarygodnych doniesieniach” o realnych atakach z sierpnia 2025 r., w których napastnicy przekształcali tę funkcję kompatybilności w furtkę do przejęcia systemu. W odpowiedzi usunięto szybkie „wejścia” do IE mode (przycisk na pasku, opcje w menu kontekstowym i hamburger menu), pozostawiając włączanie trybu wyłącznie przez ustawienia i listy witryn.

W skrócie

  • Ataki wykorzystywały 0-day w silniku JavaScript IE (Chakra) oraz drugi exploit do eskalacji uprawnień poza przeglądarkę.
  • Microsoft nie ujawnił CVE ani atrybucji, ale usztywnił IE mode: zniknęły szybkie przełączniki; uruchamianie wymaga dodania domeny do listy w ustawieniach/Politykach.
  • IE jest oficjalnie wycofany od 15 czerwca 2022 r., a IE mode w Edge istnieje dla zachowania zgodności z dziedzictwem — i to on bywa dziś „duchem IE” w środowiskach korporacyjnych.

Kontekst / historia / powiązania

IE 11 został formalnie wycofany, lecz IE mode pozwala na renderowanie starszych aplikacji (ActiveX, BHO itd.) w Edge przy użyciu silnika Trident/MSHTML właśnie po to, by przedsiębiorstwa nie musiały utrzymywać dwóch przeglądarek. Ta funkcja była i jest zależna od obecności komponentów IE w systemie i — zgodnie z dokumentacją — jest wspierana w środowiskach organizacji poprzez Enterprise Site List.

Analiza techniczna / szczegóły luki

Z opisu zespołu Microsoft Browser Vulnerability Research wynika, że łańcuch ataku wyglądał następująco:

  1. ofiara trafia na pozornie legalną stronę; 2) interfejs strony (np. flyout) nakłania do „przeładowania w IE mode”; 3) po przełączeniu, atakujący odpala 0-day w Chakra i uzyskuje RCE; 4) następnie wykorzystuje drugi exploit do EoP, przejmując pełną kontrolę nad urządzeniem. Krytycznym elementem jest opuszczenie piaskownicy Chromium poprzez wymuszenie starszego środowiska wykonawczego IE.

Zmiany w Edge obejmują usunięcie:

  • dedykowanego przycisku paska narzędzi „Otwórz w IE mode”,
  • pozycji w menu kontekstowym i w menu głównym,
    co zmniejsza powierzchnię nadużyć przez proste socjotechniczne „kliknij tutaj, by działało”. W praktyce IE mode uruchomisz teraz tylko przez Ustawienia → Default Browser oraz dopisanie danej domeny do IE mode pages list / firmowego Enterprise Site List.

Praktyczne konsekwencje / ryzyko

  • Ryzyko przejęcia stacji roboczej po wymuszeniu IE mode (RCE+EoP) — zwłaszcza tam, gdzie stacje użytkowników mogą same „przełączać” tryb dla dowolnych stron.
  • Obejście nowoczesnych mechanizmów Edge/Chromium (site isolation, nowocześniejsze mitigacje) przez cofnięcie się do modelu bezpieczeństwa IE.
  • Wpływ na user experience: zniknięcie przycisków/skrótów może chwilowo utrudnić pracę zespołom korzystającym ze starych aplikacji, dopóki admini nie skonfigurują list witryn.

Rekomendacje operacyjne / co zrobić teraz

Dla zespołów IT / SecOps

  1. Audyt użycia IE mode — sprawdź, które aplikacje naprawdę go wymagają; zinwentaryzuj domeny i dopisz tylko te niezbędne do Enterprise Site List (Intune/GPO).
  2. Wyłącz „Allow sites to be reloaded in Internet Explorer mode” dla użytkowników, jeśli nie ma krytycznej potrzeby; zezwolenia nadawaj wyłącznie przez polityki oraz centralną listę.
  3. Twarde filtrowanie: proxy/NGFW/DNS — blokuj nieautoryzowane domeny próbujące wymuszać IE mode; monitoruj wzorce „przełączenia” (np. nietypowe żądania MSHTML/Trident).
  4. Detekcja: alertuj na łańcuch zdarzeń Edge → IE mode → procesy potomne/LOLBins → eskalacja/EoP; koreluj z telemetrią EDR (uruchomienie iexplore.exe nie powinno występować, ale komponenty MSHTML/Chakra mogą być ładowane).
  5. Segmentacja i zasada najmniejszych uprawnień na stacjach z zależnościami legacy; rozważ VDA/VDI lub izolację aplikacji (App-V, Windows Sandbox, IE-dependent app w kontenerze) jako pomost migracyjny.
  6. Plan migracji: wyznacz deadliny na usunięcie zależności od ActiveX/BHO; przypominamy — IE 11 jest EoL od 15 czerwca 2022.

Dla użytkowników końcowych

  • Nie „klikaj w flyouty” sugerujące przeładowanie w IE mode, chyba że to zatwierdzona aplikacja firmowa z listy.
  • Zgłaszaj wszelkie prośby o relaunch w IE mode spoza znanych serwisów (może to być socjotechnika).
  • Aktualizuj Edge do najnowszej wersji i stosuj polityki firmowe.

Różnice / porównania z innymi przypadkami

W przeciwieństwie do dawnych kampanii wykorzystujących MSHTML (np. ataki na kontrolki ActiveX lub luki w renderowaniu dokumentów), obecny wektor nadużywał samego przejścia do IE mode w Edge, a następnie 0-day w Chakra. Microsoft zareagował zmianą UX/punktów wejścia (hardening funkcji), a nie publikacją konkretnego CVE, co jasno pokazuje, że czynnik użytkownika (łatwość przełączenia) był krytyczną częścią łańcucha.

Podsumowanie / kluczowe wnioski

  • IE mode to konieczne zło dla części organizacji — i dlatego musi być ściśle kontrolowany listami witryn i politykami.
  • Microsoft usunął szybkie przełączniki do IE mode; teraz wejście w tryb jest działaniem intencjonalnym i audytowalnym.
  • Priorytetem powinno być wyeliminowanie zależności legacy oraz zabezpieczenie ścieżek migracji; do tego czasu — maksymalnie ograniczaj miejsca, gdzie IE mode może się w ogóle uruchomić.

Źródła / bibliografia

  1. Microsoft Browser Vulnerability Research — Securing the Future: Changes to Internet Explorer Mode in Microsoft Edge (08.10.2025). (microsoftedge.github.io)
  2. Microsoft Learn — What is Internet Explorer (IE) mode? (ostatnia aktualizacja: 18.07.2024). (Microsoft Learn)
  3. The Hacker News — Microsoft Locks Down IE Mode After Hackers Turned Legacy Feature Into Backdoor (13.10.2025). (The Hacker News)
  4. Microsoft Lifecycle — Internet Explorer 11 desktop application ended support… (15.06.2022). (Microsoft Learn)
  5. Microsoft Support — Internet Explorer mode in Microsoft Edge (instrukcje użytkowe). (Microsoft Support)