Nowa luka w Windows exploitowana w atakach. CISA nakazuje pilne łatkowanie

Amerykańska agencja ds. cyberbezpieczeństwa CISA dodała do swojego katalogu podatności exploitowaną lukę w systemie Windows oznaczoną jako CVE-2026-32202. To zero-click podatność wycieku hashy NTLM, która pozostała po niepełnym załataniu innej krytycznej luki w lutym 2026 roku. Administratorzy i użytkownicy systemów Windows powinni jak najszybciej zainstalować dostępne aktualizacje.

Co wiadomo o luce CVE-2026-32202

Podatność została zgłoszona przez firmę Akamai, która opisała ją jako „zero-click NTLM hash leak” – atakujący nie wymaga interakcji ofiary poza otwarciem złośliwego pliku. Microsoft potwierdził, że luka jest exploitowana w atakach, a jej wykorzystanie w niskim stopniu skomplikowania pozwala atakującym na uzyskanie wrażliwych informacji, w szczególności hashy haseł NTLM. Te z kolei mogą być użyte w atakach typu pass-the-hash do uwierzytelnienia się jako ofiara i rozprzestrzeniania się w sieci.

Jak podaje BleepingComputer, luka powstała w wyniku niekompletnego załatania wcześniejszej podatności CVE-2026-21510 (luka zdalnego wykonania kodu) w lutym 2026 roku. Tamtą lukę wykorzystywała rosyjska grupa APT28 (znana też jako Fancy Bear) w atakach na Ukrainę i kraje UE w grudniu 2025 roku. Microsoft poinformował jednak, że nie ma dowodów na to, by ta sama grupa wykorzystywała CVE-2026-32202.

Zagrożenie dla firm i użytkowników

Podatność umożliwia atakującym kradzież hashy NTLM, które są używane do uwierzytelniania w sieciach Windows. W praktyce oznacza to, że atakujący może podszyć się pod ofiarę i uzyskać dostęp do jej zasobów, w tym plików, skrzynek pocztowych czy systemów wewnętrznych. Ataki pass-the-hash są szczególnie niebezpieczne w środowiskach korporacyjnych, gdzie jedna skompromitowana stacja robocza może prowadzić do przejęcia całej domeny.

Według CISA, podatność stanowi „częsty wektor ataku dla złośliwych aktorów i stwarza znaczące ryzyko dla instytucji federalnych”. Choć nakaz łatkowania dotyczy bezpośrednio agencji rządowych USA, agencja wzywa wszystkie zespoły bezpieczeństwa do priorytetowego wdrożenia poprawek.

Co robić? Praktyczne kroki

Microsoft udostępnił łatkę w ramach kwietniowego Patch Tuesday 2026. Administratorzy powinni niezwłocznie:

• zainstalować aktualizację systemu Windows oznaczoną jako CVE-2026-32202 na wszystkich stacjach roboczych i serwerach,
• sprawdzić, czy w środowisku nie doszło już do wycieku hashy NTLM (np. poprzez analizę logów uwierzytelniania),
• rozważyć wdrożenie dodatkowych zabezpieczeń, takich jak Windows Defender Firewall i ograniczenie protokołu NTLM tam, gdzie to możliwe,
• monitorować komunikaty producenta oraz wpisy w katalogu CISA KEV.

Dla użytkowników domowych kluczowe jest włączenie automatycznych aktualizacji w Windows Update i niezwłoczne zainstalowanie wszystkich dostępnych poprawek. Nawet jeśli nie zarządzasz siecią firmową, luka może być wykorzystana do ataku na Twój komputer – zwłaszcza jeśli otwierasz pliki z nieznanych źródeł.

Co dalej?

CISA wyznaczyła termin 12 maja 2026 roku dla agencji federalnych USA. W praktyce oznacza to, że poprawki są już dostępne i powinny być wdrożone jak najszybciej. Warto śledzić komunikaty CERT Polska, który może wydać dodatkowe zalecenia dla polskich użytkowników i firm. Podatność ta pokazuje, jak ważne jest szybkie łatkowanie nawet pozornie niegroźnych luk – zwłaszcza gdy są one aktywnie exploitowane w atakach zero-day.