CISA nakazuje łatanie luki Windows wykorzystywanej w atakach zero-day

Amerykańska agencja ds. cyberbezpieczeństwa i bezpieczeństwa infrastruktury CISA nakazała federalnym agencjom zabezpieczenie systemów Windows przed podatnością aktywnie wykorzystywaną w atakach. Luka oznaczona jako CVE-2026-32202 trafiła we wtorek do katalogu Known Exploited Vulnerabilities, co potwierdza jej wykorzystanie przez atakujących w rzeczywistych kampaniach.

Niepełna łatka i nowa podatność

Firma Akamai, która zgłosiła problem, opisuje CVE-2026-32202 jako zero-click vulnerability umożliwiającą wyciek haszy NTLM. Podatność powstała po tym, jak Microsoft niekompletnie załatał wcześniejszą lukę wykonania zdalnego kodu (CVE-2026-21510) w lutym bieżącego roku. Jak wyjaśnia CISA w swoim ostrzeżeniu, atakujący mogą wykorzystać tę lukę do kradzieży zahaszowanych haseł użytkowników, a następnie użyć ich w atakach typu pass-the-hash.

Microsoft potwierdził, że zdalni atakujący mogą eksploatować CVE-2026-32202 w atakach o niskiej złożoności, wysyłając ofierze złośliwy plik. Po jego uruchomieniu napastnik może uzyskać dostęp do wrażliwych informacji w niezałatanych systemach. Ukraińskie CERT-UA ujawniło wcześniej, że rosyjska grupa APT28 wykorzystywała powiązaną lukę CVE-2026-21510 w atakach na Ukrainę i kraje UE już w grudniu 2025 roku.

Termin dla federalnych agencji i szersze konsekwencje

CISA dodała CVE-2026-32202 do katalogu KEV i nakazała agencjom Federal Civilian Executive Branch załatanie systemów do 12 maja, zgodnie z dyrektywą operacyjną BOD 22-01. Agencja ostrzega, że tego typu podatności stanowią częsty wektor ataku i stwarzają poważne ryzyko dla infrastruktury federalnej.

Choć dyrektywa formalnie dotyczy tylko agencji federalnych, CISA wezwała wszystkie organizacje do priorytetowego traktowania tej aktualizacji. Firma Akamai tłumaczy w swoim raporcie, że skradzione hasze NTLM mogą posłużyć do uwierzytelnienia się jako zaatakowany użytkownik, co umożliwia atakującym przemieszczanie się w sieci i kradzież wrażliwych danych.

Kontekst szerszej fali ataków na Windows

CVE-2026-32202 to kolejna w serii podatności Windows aktywnie wykorzystywanych przez atakujących. Jak informuje Brian Krebs w swoim podsumowaniu Patch Tuesday, Microsoft w kwietniu 2026 roku załatał rekordowe 167 luk bezpieczeństwa, w tym dwie podatności zero-day. Jedna z nich, CVE-2026-32201 w SharePoint Server, była już wykorzystywana do ataków spoofingowych.

Eksperci z Tenable wskazują, że kwietniowy Patch Tuesday był drugim największym w historii pod względem liczby poprawek. Adam Barnett z Rapid7 zauważa, że sam pakiet aktualizacji dla przeglądarki Edge zawierał blisko 60 podatności, co może sygnalizować rosnącą rolę narzędzi AI w odkrywaniu błędów bezpieczeństwa.

Co powinni zrobić administratorzy

Organizacje powinny niezwłocznie zainstalować kwietniowe aktualizacje bezpieczeństwa Microsoft. Dla CVE-2026-32202 nie ma obejścia problemu – jedynym skutecznym rozwiązaniem jest instalacja poprawki. Administratorzy powinni również monitorować logi uwierzytelniania w poszukiwaniu nietypowych prób logowania, które mogą wskazywać na wykorzystanie skradzionych haszy NTLM.

Warto pamiętać, że atakujący dysponują już działającym exploitem, a Microsoft początkowo nie oznaczył tej luki jako wykorzystywanej, co mogło opóźnić reakcję niektórych organizacji. Dopiero po interwencji portalu BleepingComputer producent zaktualizował status podatności na „Exploitation Detected”.

Pytanie o powiązanie z APT28

Choć CERT-UA potwierdziło wykorzystanie powiązanej luki CVE-2026-21510 przez grupę APT28, Microsoft na razie nie potwierdza bezpośredniego związku tej samej grupy z eksploatacją CVE-2026-32202. Firma poinformowała, że na podstawie dotychczasowych obserwacji nie zidentyfikowała dowodów łączących tę konkretną podatność z działalnością rosyjskiej grupy hakerskiej.

Niezależnie od tożsamości atakujących, sama aktywna eksploatacja i dodanie luki do katalogu CISA oznacza realne zagrożenie dla organizacji korzystających z niezałatanych systemów Windows. Historia pokazuje, że podatności z katalogu KEV są szybko adoptowane przez różne grupy atakujących, co zwiększa presję czasową na wdrożenie poprawek.