Co się wydarzyło? - kolejna luka w Windows Shell po niewystarczającej poprawce
Microsoft po raz kolejny mierzy się z krytyczną luką bezpieczeństwa w Windows Shell. Po tym, jak grupa cyberprzestępcza APT28, znana jako Fancy Bear, wykorzystywała już podatność CVE-2026-21510 na wolności, lutowa poprawka Microsoftu okazała się niewystarczająca. Wadliwa łatka pozostawiła nową lukę bezpieczeństwa CVE-2026-32202, która teraz również jest aktywnie atakowana.
Microsoft ocenił nową podatność wynikiem CVSS 4.3 (ryzyko "średnie") i naprawił ją w kwietniowym Patch Day. W ciągu poniedziałku deweloperzy zaktualizowali jednak wpis o podatności niepokojącą informacją: luka spoofingowa w Windows Shell jest już nadużywana przez złośliwych aktorów na wolności.
Szczegóły - exploit zero-click umożliwia automatyczne uwierzytelnianie NTLM
Podczas gdy Microsoft ocenia skutki nowej podatności jako mniej poważne niż pierwotnej luki, analiza firmy Akamai kreśli bardziej niepokojący obraz. Eksperci bezpieczeństwa IT klasyfikują CVE-2026-32202 jako podatność zero-click – w przeciwieństwie do oceny Microsoftu, że ofiary muszą uruchomić złośliwy plik.
Problem tkwi w przeoczonej ścieżce kodu: Eksplorator Windows przy wyświetlaniu katalogów automatycznie próbuje wyodrębnić z plików LNK ikony dla plików docelowych. Odbywa się przy tym sprawdzenie ścieżki, które może nawiązać połączenie z obcymi serwerami SMB – bez dalszej interakcji użytkownika.
Mechanizm ataku w szczegółach
Atak działa następująco: plik LNK zawiera odnośnik do zdalnego serwera, na przykład "\\attacker.com\share\payload.cpl". Gdy tylko ofiara otworzy odpowiedni katalog, komputer automatycznie nawiązuje połączenie z serwerem SMB i uruchamia uwierzytelnianie NTLM. Przekazywany jest przy tym atakującym skrót Net-NTLMv2 komputera ofiary.
Te wartości skrótu mogą następnie zostać nadużyte do ataków NTLM relay i łamania offline, co otwiera atakującym szerokie możliwości dalszych ataków.
Klasyfikacja - dlaczego ta podatność jest szczególnie niebezpieczna
Niebezpieczeństwo tej podatności leży w jej pozornej nieszkodliwości. Podczas gdy pierwotna luka CVE-2026-21510 umożliwiała wykonanie złośliwego kodu z sieci, nowa podatność na pierwszy rzut oka wydaje się mniej groźna. Microsoft opisuje ją jako lukę spoofingową o średnim ryzyku.
W rzeczywistości jednak umożliwia ona atakującym dostęp typu zero-click do wrażliwych danych uwierzytelniających. W środowiskach firmowych, gdzie systemy bezpieczeństwa, takie jak kontrola dostępu i monitoring wizyjny, są często zarządzane przez sieć, skompromitowane skróty NTLM mogą umożliwić dostęp do krytycznych infrastruktur bezpieczeństwa.
Fakt, że APT28/Fancy Bear – grupa hakerska wspierana przez państwo – wykorzystuje już obie podatności, podkreśla strategiczne znaczenie tych wektorów ataku dla profesjonalnych cyberprzestępców.
Wskazówki praktyczne - natychmiastowe działania dla osób odpowiedzialnych za IT
Administratorzy IT powinni niezwłocznie podjąć następujące działania:
- Natychmiastowa instalacja poprawki: kwietniową aktualizację Microsoftu należy bezzwłocznie zainstalować na wszystkich systemach Windows
- Monitoring sieci: nadzór nad połączeniami SMB do serwerów zewnętrznych, zwłaszcza nieoczekiwanych prób uwierzytelnienia
- Bezpieczeństwo poczty: wzmocnione filtrowanie załączników e-mail, szczególnie plików LNK
- Utwardzenie NTLM: przegląd i zaostrzenie konfiguracji NTLM w Active Directory
Szczególną uwagę powinni zachować operatorzy infrastruktury krytycznej, takiej jak systemy bezpieczeństwa. Sejfy wrzutowe, skarbony ofiarne i nowoczesne systemy kontroli dostępu są często oparte na sieci i mogłyby stać się podatne na atak przez skompromitowane konta administratorów.
Perspektywy - wnioski i przyszły rozwój
Przypadek ten pokazuje przykładowo wyzwania przy łataniu złożonych systemów oprogramowania. Niepełna poprawka może stworzyć nowe wektory ataku, które doświadczeni napastnicy szybko identyfikują i wykorzystują.
Dla branży bezpieczeństwa oznacza to wzmocnienie trendu w kierunku architektur Zero Trust. Tradycyjne koncepcje bezpieczeństwa oparte na perymetrze napotykają swoje granice, gdy atakujący dysponują już legalnymi danymi uwierzytelniającymi.
Microsoft zapowiedział gruntowne przepracowanie uwierzytelniania w Active Directory. Mogłoby to w średnim okresie doprowadzić do odejścia od przestarzałych koncepcji NTLM, które od lat uchodzą za ryzyko bezpieczeństwa.
Przedsiębiorstwa powinny potraktować ten rozwój sytuacji jako powód do przemyślenia całej swojej strategii bezpieczeństwa. Nowoczesne rozwiązania, takie jak Wardhub do centralnego zarządzania systemami bezpieczeństwa, mogą pomóc w ochronie krytycznych obszarów nawet przy skompromitowanej infrastrukturze sieciowej.
Sytuacja zagrożenia będzie się dalej zaostrzać, ponieważ wspierane przez państwo grupy, takie jak APT28, nieustannie rozwijają nowe wektory ataku. Proaktywne środki bezpieczeństwa i terminowe cykle łatania stają się tym samym koniecznością krytyczną dla działalności.
