Zurück zur Übersicht

TECHFIXBK BLOG

Aktualizacja zabezpieczeń Windows: 6 luk zero-day i kryzys Secure Boot

A

Aktualizacja zabezpieczeń Windows: 6 luk zero-day i kryzys Secure Boot

TechFixBK
||28 min read

Patch Tuesday z lutego 2026 naprawia 6 aktywnie wykorzystywanych luk zero-day. Dowiedz się o podatnościach SolarWinds, obowiązkowym MFA i czerwcowym terminie Secure Boot.

Microsoft wydaje lutowe poprawki z 2026 roku dla 58 luk w zabezpieczeniach, podczas gdy krytyczne certyfikaty Secure Boot zbliżają się do wygaśnięcia.

Wstęp i dla kogo jest ten artykuł

Utrzymanie bezpieczeństwa komputera często przypomina nieustanny wyścig z ukrytymi zagrożeniami cyfrowymi. Patch Tuesday z lutego 2026 podkreśla to trwające wyzwanie, ponieważ firma Microsoft wydała poprawki dla 58 różnych luk w zabezpieczeniach [23]. Wśród nich znajduje się sześć luk typu zero-day, które były już aktywnie wykorzystywane przez atakujących, zanim dostępna była oficjalna poprawka [8][23].

Ten artykuł jest przeznaczony dla użytkowników systemów Windows 10 i Windows 11, a także administratorów IT odpowiedzialnych za utrzymanie bezpieczeństwa w organizacjach. Obejmuje on krytyczne aktualizacje zabezpieczeń wydane w lutym 2026 r., trwające przejście na nowe certyfikaty Secure Boot oraz ulepszenia zabezpieczeń dla .NET Framework [8][10][23].

Dostarczone informacje koncentrują się na poprawkach bezpieczeństwa na poziomie oprogramowania i zmianach konfiguracji. Nie obejmują one fizycznych napraw sprzętu ani konkretnych procedur aktualizacji BIOS dla każdego poszczególnego producenta laptopa lub płyty głównej.

Dla kogo jest ten artykuł:

  • Użytkownicy domowi Windows: Osoby korzystające z systemu Windows 10 lub 11, które muszą zrozumieć, jak te aktualizacje wpływają na stabilność i bezpieczeństwo ich systemu [13][15].
  • Administratorzy IT: Profesjonaliści zarządzający flotami urządzeń za pomocą narzędzi takich jak Microsoft Intune lub Windows Autopatch [9].
  • Programiści: Osoby korzystające z .NET 8.0, 9.0 lub 10.0, które muszą zająć się nowo zidentyfikowanymi lukami umożliwiającymi obejście funkcji bezpieczeństwa [10].
  • Liderzy organizacji: Decydenci planujący wygaśnięcie oryginalnych certyfikatów Secure Boot w czerwcu 2026 r. [13][15].

TL;DR / Co to oznacza dla Ciebie

Krajobraz bezpieczeństwa w lutym 2026 r. jest zdominowany przez aktywne wykorzystywanie luk o wysokim stopniu dotkliwości oraz znaczące zmiany w wymaganiach dotyczących dostępu administracyjnego. Oto co musisz wiedzieć:

  • Aktywne wykorzystywanie Web Help Desk: Cyberprzestępcy aktywnie wykorzystują wiele luk w SolarWinds Web Help Desk (CVE-2025-40551, CVE-2025-40536 oraz CVE-2025-26399) w celu zdalnego wykonywania kodu i kradzieży poświadczeń [2][7][8].
  • Obowiązkowe wymuszanie MFA: Od 9 lutego 2026 r. Microsoft zwiększa egzekwowanie uwierzytelniania wieloskładnikowego (MFA); użytkownicy nie będą mogli zalogować się do centrum administracyjnego Microsoft 365 bez niego [1][11].
  • Wycofywanie starszych protokołów: Windows oficjalnie odchodzi od uwierzytelniania NTLM na rzecz silniejszych alternatyw opartych na Kerberos, aby zapobiegać atakom typu relay i Pass-the-Hash [3][4][10].
  • Nowe złośliwe oprogramowanie „CrashFix”: Pojawia się nowy wariant ataku socjotechnicznego Clickfix, znany jako „CrashFix” [8]. Celowo powoduje on awarie przeglądarek, aby nakłonić użytkowników do uruchomienia poleceń wdrażających trojana zdalnego dostępu (RAT) napisanego w Pythonie [8].
  • Aktualizacje Secure Boot i DPAPI: Aktualizacje ze stycznia i lutego 2026 r. wprowadzają zautomatyzowane zarządzanie certyfikatami Secure Boot za pośrednictwem Microsoft Intune oraz automatyczną rotację kluczy kopii zapasowej domeny DPAPI [3][9].

Uwaga dotycząca ryzyka: Chociaż te aktualizacje znacznie wzmacniają bezpieczeństwo infrastruktury, odejście od starszych systemów, takich jak NTLM, lub wyłączenie trybu hands-free w Windows Deployment Services (WDS) może wymagać ręcznej konfiguracji, aby uniknąć zakłóceń w starszych wewnętrznych procesach roboczych [1][9]. Organizacje powinny zweryfikować kompatybilność przed wymuszeniem środowisk wyłącznie z protokołem Kerberos [3].

Kluczowe źródła (Szybkie linki)

Tło / Podstawy

Aby zrozumieć skalę aktualizacji zabezpieczeń z lutego 2026 r., warto zdefiniować, w jaki sposób Microsoft zarządza lukami w systemie. Microsoft przestrzega miesięcznego harmonogramu wydań znanego jako Patch Tuesday, który przypada w drugi wtorek każdego miesiąca [1][23][67]. 10 lutego 2026 r. firma wydała poprawki dla około 58 do 61 luk w zabezpieczeniach w systemach Windows, Office i innych usługach [10][23][67].

Zrozumienie kluczowych terminów bezpieczeństwa

Raporty bezpieczeństwa używają specyficznej terminologii do opisania dotkliwości i natury tych zagrożeń. Zrozumienie tych terminów jest niezbędne do oceny ryzyka dla sprzętu i danych:

  • Luka Zero-Day: Luka, która jest publicznie znana lub już wykorzystywana przez hakerów, zanim dostępna będzie oficjalna poprawka [23][57].
  • CVE (Common Vulnerabilities and Exposures): Unikalny identyfikator, taki jak CVE-2026-21510, przypisany do konkretnej luki w zabezpieczeniach, aby pomóc specjalistom IT w jej śledzeniu i naprawianiu [10][46].
  • Podniesienie uprawnień (EoP): Typ ataku, w którym użytkownik uzyskuje wyższy poziom dostępu — taki jak uprawnienia SYSTEM — niż jest mu oficjalnie dozwolony [23][46].
  • Zdalne wykonywanie kodu (RCE): Krytyczna luka, która pozwala atakującemu na uruchamianie złośliwych poleceń na komputerze z innej lokalizacji [23][46].

Bieżący krajobraz zagrożeń

Aktualizacja z lutego 2026 r. jest godna uwagi, ponieważ dotyczy sześciu luk zero-day, które były aktywnie wykorzystywane „na wolności” przed wydaniem poprawek [23][57][67]. Analitycy branżowi sugerują, że liczba błędów będących przedmiotem aktywnego ataku w tym miesiącu jest „nadzwyczaj wysoka”, dorównując poprzednim rekordowym szczytom aktywności związanej z lukami [57][13].

Typ luki Ogólny wpływ
Obejście funkcji bezpieczeństwa Atakujący mogą ignorować ostrzeżenia bezpieczeństwa Windows, takie jak SmartScreen [23].
Ujawnienie informacji Prywatne dane lub szczegóły systemu mogą zostać wycieknięte do nieuprawnionych stron [23][46].
Odmowa usługi (DoS) Atakujący mogą doprowadzić do awarii systemu lub usługi, czyniąc ją bezużyteczną dla legalnych użytkowników [23][46].

Długoterminowe zmiany w systemie

Poza natychmiastowymi poprawkami bezpieczeństwa, Microsoft wykorzystuje ten cykl aktualizacji do zarządzania cyklem życia podstawowych komponentów Windows. Obejmuje to etapowe wdrażanie nowych certyfikatów Secure Boot, które mają zastąpić oryginalne wersje z 2011 roku, których ważność wygasa pod koniec czerwca 2026 roku [23][1][9].

Dodatkowo Windows kontynuuje odchodzenie od starszych modeli uwierzytelniania. System stopniowo wycofuje NTLM (New Technology LAN Manager) na rzecz Kerberos, bezpieczniejszej alternatywy do weryfikacji tożsamości użytkowników w sieci [1][9][15]. Ta zmiana ma na celu zmniejszenie ryzyka kradzieży poświadczeń i bocznego przemieszczania się atakujących wewnątrz sieci [1][7].

Wyjaśnienie problemu (Co się dzieje?)

Ostatnie analizy bezpieczeństwa potwierdzają, że atakujący aktywnie wykorzystują luki w SolarWinds Web Help Desk (WHD) w celu kompromitacji środowisk IT [10][13]. Te włamania, które zaczęły pojawiać się pod koniec 2025 r. i trwały na początku 2026 r., pozwalają nieuprawnionym użytkownikom na boczne przemieszczanie się w sieciach i kradzież poświadczeń o wysokich uprawnieniach [13].

Praktyczny wpływ tych exploitów jest znaczący. Badacze zaobserwowali, że atakujący używają usługi Background Intelligent Transfer Service (BITS) do dostarczania ładunków (payloads), ustanawiając odwrotne powłoki SSH do tunelowania i wykonując DLL sideloading w celu utrzymania trwałości w systemie [10]. W niektórych przypadkach aktywność postępowała do ataków DCSync, które polegają na nieautoryzowanej replikacji usług katalogowych w celu skompromitowania całych domen [10].

Kluczowe luki pod obserwacją

Zespoły ds. bezpieczeństwa monitorują obecnie kilka konkretnych luk CVE powiązanych z tymi atakami. Chociaż niektóre poprawki są dostępne, dokładna luka nadużywana w każdym przypadku pozostaje przedmiotem dochodzenia [13].

Identyfikator CVE Główne ryzyko Status
CVE-2025-40551 Zdalne wykonywanie kodu (RCE) Zgłoszono aktywne wykorzystywanie [10][13]
CVE-2025-40536 Nieautoryzowany dostęp Zgłoszono aktywne wykorzystywanie [10][13]
CVE-2025-26399 Kradzież poświadczeń W trakcie dochodzenia [13]

„Zdegradowany stan” Secure Boot

Poza aktywnymi exploitami oprogramowania, problem systemowy dotyczy wygaśnięcia oryginalnych certyfikatów Secure Boot [3]. Microsoft i główni producenci komputerów PC wskazali, że oryginalne certyfikaty z ery 2011 roku wygasną w czerwcu 2026 roku [3][4]. Chociaż urządzenia będą nadal działać natychmiast po wygaśnięciu, wejdą w stan opisany jako „zdegradowany stan bezpieczeństwa” [4][8].

Ten stan niesie ze sobą długoterminowe ryzyko operacyjne zarówno dla użytkowników domowych, jak i organizacji:

  • Ograniczona ochrona: Systemy mogą stracić możliwość otrzymywania nowych zabezpieczeń na poziomie rozruchu [4].
  • Błędy kompatybilności: Z czasem nowsze systemy operacyjne, oprogramowanie układowe lub sprzęt mogą nie ładować się, jeśli certyfikaty z ery 2023 nie zostaną zainstalowane [3][8].
  • Problemy z rozruchem: W przypadku niektórych komputerów PC wygaśnięcie może ostatecznie całkowicie uniemożliwić instalację nowszych wersji systemu operacyjnego [3].

To przejście jest „odświeżeniem generacyjnym” fundamentu zaufania dla nowoczesnych komputerów PC [5]. Oczekuje się, że w przypadku większości użytkowników Windows Update automatycznie zajmie się wymianą certyfikatów [6]. Jednak niewielka część urządzeń może wymagać ręcznych aktualizacji oprogramowania układowego od producenta, aby pomyślnie zastosować te zmiany [6].

Przyczyny źródłowe / Analiza (Dlaczego tak się dzieje?)

Obecny wzrost liczby ataków wynika z połączenia krytycznych błędów w oprogramowaniu, wyrafinowanych technik unikania wykrycia oraz utrzymywania się niebezpiecznych, przestarzałych protokołów. Dochodzenia w sprawie ostatnich kampanii, szczególnie tych wymierzonych w SolarWinds Web Help Desk (WHD), pokazują, jak atakujący wykorzystują te konkretne słabości [7][32].

Potwierdzone przyczyny techniczne

  • Deserializacja niezaufanych danych: Głównym czynnikiem powodującym ostatnie zdalne wykonywanie kodu (RCE) jest brak odpowiedniego oczyszczania danych przez aplikacje przed ich przetworzeniem [7][32]. Na przykład CVE-2025-40551 to krytyczna luka (9.8 CVSS), która pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych poleceń poprzez wykorzystanie tego błędu deserializacji [32].
  • Powracające obejścia poprawek: Kilka luk pojawiło się jako „obejścia” poprzednich poprawek bezpieczeństwa [32]. CVE-2025-26399 została zidentyfikowana jako obejście poprawki dla CVE-2024-28988, która sama w sobie była poprawką dla wcześniejszej luki [32]. Sugeruje to, że złożone struktury kodu mogą potencjalnie utrudniać dostawcom skuteczne rozwiązanie problemu w ramach jednej aktualizacji [32].
  • Obejścia kontroli bezpieczeństwa: Luki takie jak CVE-2025-40536 pozwalają nieuwierzytelnionym użytkownikom na uzyskanie dostępu do zastrzeżonych funkcji administracyjnych [7][32]. Te obejścia często służą jako punkt wyjścia, umożliwiając dalsze przemieszczanie się wewnątrz sieci [7][13].
  • Wykorzystywanie starszych protokołów: Cyberprzestępcy nadal nadużywają uwierzytelniania NTLM poprzez techniki takie jak Pass-the-Hash i NTLM relay [5][11]. Te przestarzałe protokoły mogą pozwolić atakującym na obejście wymagań dotyczących złożoności haseł i kompromitację całych domen [11].

Zaobserwowane techniki ataków

Badacze bezpieczeństwa zidentyfikowali specyficzne wzorce wykorzystywania tych luk podczas aktywnych włamań:

Technika Metoda działania Wpływ
Living-off-the-land Używanie legalnych narzędzi, takich jak PowerShell, certutil i BITS [1][7]. Zmniejsza prawdopodobieństwo wykrycia przez oprogramowanie zabezpieczające [7][13].
DLL Sideloading Nadużywanie wab.exe do ładowania złośliwych plików sspicli.dll [2][7]. Umożliwia kradzież poświadczeń z pamięci LSASS, unikając standardowych wzorców zrzucania pamięci [2][7].
Ukrywanie w wirtualizacji Tworzenie zaplanowanych zadań w celu uruchamiania maszyn wirtualnych QEMU na koncie SYSTEM [2][9]. Skutecznie ukrywa złośliwą aktywność w środowisku zwirtualizowanym [9].

Hipotezy i niezweryfikowane czynniki

Chociaż wady techniczne są udokumentowane, niektóre aspekty obecnego krajobrazu zagrożeń pozostają przedmiotem dochodzenia:

  • Niejasność punktu wejścia: W niektórych przypadkach obecnie niemożliwe jest potwierdzenie, która konkretna luka została użyta do początkowego dostępu [13][32]. Ponieważ ataki w grudniu 2025 r. miały miejsce na maszynach podatnych jednocześnie na stare i nowe CVE, badacze mogą jedynie wysuwać hipotezy na temat dokładnego punktu wejścia [13][32].
  • Logika celowania: Wydaje się, że atakujący mogą priorytetowo traktować aplikacje wystawione na internet, które przechowują wrażliwe dane, takie jak oprogramowanie help desk, aby uzyskać nieuwierzytelniony zdalny dostęp [9][13].
  • Okna czasowe eksploatacji: Analitycy sugerują, że opóźnienie między początkowym wykorzystaniem (grudzień 2025) a publicznym ujawnieniem (styczeń 2026) mogło zapewnić atakującym znaczące okno możliwości do bocznego przemieszczania się, zanim poprawki stały się dostępne [13][32].

Dowody i weryfikacja rzeczywistości

Oficjalna dokumentacja i badania bezpieczeństwa z lutego 2026 r. potwierdzają napięty krajobraz bezpieczeństwa, z wieloma lukami będącymi obecnie przedmiotem aktywnego wykorzystywania [13]. Raporty z Microsoft Security Blog i Windows IT Pro Blog wskazują, że najnowsze aktualizacje dotyczą krytycznych wad infrastruktury i pojawiających się zagrożeń dla systemów sztucznej inteligencji (AI) [9][13].

Poniższa tabela podsumowuje główne ryzyka bezpieczeństwa i udokumentowane zagrożenia zweryfikowane w bieżącym cyklu aktualizacji:

Typ zagrożenia Identyfikator / Nazwa Bieżący status Wpływ
Luka w oprogramowaniu CVE-2025-26399 Aktywne wykorzystywanie [13] Kompromitacja SolarWinds Web Help Desk
Wariant malware CrashFix Rosnąca aktywność [13] Wdraża trojany zdalnego dostępu (RAT) w Pythonie
Bezpieczeństwo AI Zatruwanie pamięci Udokumentowany trend [13] Manipuluje rekomendacjami AI dla zysku
Bezpieczeństwo firmware Aktualizacja Secure Boot Trwające wdrażanie [14] Generacyjne odświeżenie zaufania przy rozruchu

Zweryfikowane ryzyka infrastrukturalne

Poza standardowym łataniem oprogramowania, eksperci branżowi monitorują znaczące przejście w ekosystemie certyfikatów Secure Boot. Dokumentacja potwierdza, że oryginalne certyfikaty wygasną w czerwcu 2026 r., co wymaga „generacyjnego odświeżenia” fundamentu zaufania, na którym polegają nowoczesne komputery PC podczas uruchamiania [4][14].

Uwaga: Ta aktualizacja jest opisywana jako ciągła odpowiedzialność dzielona w całym ekosystemie komputerów PC, aby zapewnić, że przyszłe innowacje w sprzęcie i systemach operacyjnych pozostaną bezpieczne [14].

Globalne nastroje dotyczące bezpieczeństwa

Dane z 2026 Global Online Safety Survey dostarczają weryfikacji ludzkiego wpływu tych technicznych ryzyk [7]. Po dekadzie badań obejmujących 130 000 wywiadów w 37 krajach, wyniki sugerują, że choć łączność wzrosła, użytkownicy czują się mniej bezpieczni w sieci [3][7].

  • 91% respondentów wyraziło obawy dotyczące potencjalnych szkód wprowadzonych przez technologię AI [7].
  • Ekspozycja na ryzyka cyfrowe wśród nastolatków wzrosła, a mowa nienawiści (35%) i oszustwa (29%) są najczęściej zgłaszanymi problemami [3].
  • Manipulacja pamięcią AI jest odnotowywana jako rosnąca metoda potajemnego wpływania na podsumowania i rekomendacje generowane przez AI [13].

Te potwierdzone trendy podkreślają, dlaczego obecne środki bezpieczeństwa koncentrują się silnie na „bezpieczeństwie przez projekt” (safety-by-design), ponieważ internet zmienił się głęboko w ciągu ostatniej dekady [3][7]. Eksperci sugerują, że jeśli współpraca w całej branży nie będzie kontynuowana, rzeczywisty wpływ tych ewoluujących zagrożeń może ograniczyć dostęp do technologii dla młodszych użytkowników [3][5].

Autodiagnoza / Sprawdzenie systemu

Lutowe aktualizacje dotyczą kilku krytycznych obszarów, przede wszystkim nadchodzącego wygaśnięcia certyfikatów Secure Boot oraz aktywnego wykorzystywania SolarWinds Web Help Desk (WHD). Wykonaj poniższe kroki, aby ustalić, czy Twoje systemy wymagają natychmiastowej interwencji.

Krok 1: Zweryfikuj status Secure Boot

Aby otrzymać nowe certyfikaty, funkcja Secure Boot musi być aktywna. Jeśli jest wyłączona, proces automatycznej aktualizacji za pośrednictwem Windows Update może nie zostać pomyślnie ukończony [2][7].

  1. Naciśnij Windows + R, wpisz msinfo32 i naciśnij Enter.
  2. W oknie Informacje o systemie znajdź Stan bezpiecznego rozruchu (Secure Boot State).
  3. Upewnij się, że jest ustawiony na Włączone [2]. Jeśli jest Wyłączone, może być konieczne włączenie go w ustawieniach BIOS/UEFI komputera [2][3].

Krok 2: Sprawdź certyfikat Secure Boot 2023

Możesz sprawdzić, czy Twój system używa już zaktualizowanego certyfikatu Windows UEFI CA 2023, uruchamiając odpowiednie polecenie w PowerShell.

  1. Kliknij prawym przyciskiem myszy przycisk Start i wybierz Terminal (Administrator) lub PowerShell (Administrator).
  2. Wklej następujące polecenie i naciśnij Enter: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
  3. Jeśli wynik to True, Twój system korzysta obecnie z nowego certyfikatu [2].
  4. Jeśli wynik to False, Twój system nadal polega na certyfikatach z 2011 roku, które wygasają w czerwcu 2026 roku [2][10].

Krok 3: Sprawdź integrację oprogramowania układowego BIOS/UEFI

Nawet jeśli Windows używa nowego certyfikatu, warto sprawdzić, czy certyfikat jest „zaszyty” w oprogramowaniu układowym sprzętu. Gwarantuje to, że reset BIOS nie przywróci systemu do nieobsługiwanego stanu [3].

  1. W tym samym oknie PowerShell (Administrator) uruchom: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
  2. Wynik True oznacza, że Twój BIOS jest w pełni zaktualizowany o nowy fundament zaufania [3].
  3. Wynik False jest powszechny w przypadku starszych komputerów; sprawdź stronę wsparcia producenta (OEM) pod kątem aktualizacji BIOS [1][3].

Krok 4: Zidentyfikuj podatne instancje SolarWinds WHD

Dla organizacji korzystających z SolarWinds Web Help Desk krytyczne jest zidentyfikowanie, czy posiadana wersja jest podatna na CVE-2025-40551 lub CVE-2025-40536, które pozwalają na nieuwierzytelnione zdalne wykonywanie kodu [15].

  • Sprawdź wersję oprogramowania: Przejrzyj swoją instalację WHD. Wersje wcześniejsze niż 2026.1 są prawdopodobnie zagrożone [8].
  • Uruchom zapytania wyszukujące: Jeśli używasz Microsoft Defender XDR, możesz użyć języka Kusto Query Language (KQL), aby znaleźć podatne serwery: DeviceTvmSoftwareVulnerabilities | where CveId has_any ('CVE-2025-40551', 'CVE-2025-40536', 'CVE-2025-26399') [8].

Krok 5: Szukaj wskaźników kompromitacji (IoC)

Jeśli zarządzasz serwerem SolarWinds WHD, sprawdź oznaki aktywnego wykorzystania. Zaobserwowano, że atakujący używają PowerShell do pobierania ładunków za pośrednictwem BITS [11][15].

  • Podejrzane procesy: Monitoruj, czy java.exe lub wrapper.exe uruchamiają powershell.exe [8][11].
  • Nieautoryzowane narzędzia: Szukaj śladów Zoho ManageEngine lub maszyn wirtualnych QEMU (qemu-system-x86_64.exe) używanych do utrzymania trwałości [15].
  • Analiza logów: Sprawdź nietypowe polecenia SCHTASKS, szczególnie te tworzące zadania o nazwie TPMProfiler [15].

Ostrzeżenie: Jeśli znajdziesz dowody na obecność tych narzędzi lub zadań na swoim serwerze, system powinien zostać natychmiast odizolowany, ponieważ może być skompromitowany [9].

Rozwiązania / Co należy zrobić

Rozwiązanie problemów zidentyfikowanych w aktualizacji z lutego 2026 r. wymaga połączenia natychmiastowego łatania, weryfikacji systemu i długoterminowego planowania infrastruktury. Organizacje i użytkownicy indywidualni powinni priorytetowo traktować krytyczne poprawki dla aktywnych exploitów przed przejściem do konserwacji zapobiegawczej.

Opcje krótkoterminowe: Natychmiastowe łagodzenie skutków

Najpilniejszym priorytetem jest zajęcie się aktywnym wykorzystywaniem SolarWinds Web Help Desk (WHD) oraz upewnienie się, że uwierzytelnianie wieloskładnikowe (MFA) jest aktywne dla kont administracyjnych.

  • Załataj i ogranicz dostęp do SolarWinds WHD: Natychmiast zaktualizuj oprogramowanie, aby naprawić CVE-2025-40551, CVE-2025-40536 i CVE-2025-26399 [1][11]. Usuń publiczny dostęp do ścieżek administracyjnych i zwiększ poziom logowania na Ajax Proxy, aby wykrywać podejrzaną aktywność [1].
  • Wymuś administracyjne MFA: Od 9 lutego 2026 r. Microsoft zaczął zwiększać egzekwowanie logowania do centrum administracyjnego Microsoft 365 z użyciem MFA [13]. Upewnij się, że wszystkie konta administracyjne mają pomyślnie skonfigurowane MFA, aby uniknąć blokady [13].
  • Zidentyfikuj i usuń artefakty: Jeśli podejrzewasz kompromitację, wyszukaj i usuń artefakty ManageEngine RMM (takie jak ToolsIQ.exe) dodane po ataku [1].
  • Zmień poświadczenia o wysokich uprawnieniach: Ponieważ zaobserwowano, że atakujący używają DCSync do żądania danych haseł z kontrolerów domeny, należy zmienić poświadczenia dla wszystkich kont usługowych i administratorów dostępnych ze skompromitowanych hostów [1][11].

Opcje długoterminowe: Konserwacja systemu i przejścia

Poza natychmiastowymi poprawkami, użytkownicy muszą przygotować się na wygaśnięcie certyfikatów Secure Boot oraz wycofanie niektórych usług Microsoft 365.

Weryfikacja Secure Boot

Aby upewnić się, że systemy będą nadal uruchamiać się bezpiecznie po wygaśnięciu certyfikatów w czerwcu 2026 r., wykonaj następujące kroki diagnostyczne:

  1. Sprawdź aktualny status certyfikatu: Otwórz PowerShell jako Administrator i uruchom następujące polecenie: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023') [6].
    • Jeśli wynik to True, Twój komputer używa nowego certyfikatu [6].
    • Jeśli wynik to False, Twój system może wymagać ręcznej interwencji lub aktualizacji BIOS [6].
  2. Potwierdź stan Secure Boot: Wpisz Windows + R, naciśnij msinfo32 i sprawdź, czy Stan bezpiecznego rozruchu jest ustawiony na „Włączone” [6].
  3. Zaktualizuj oprogramowanie układowe: Sprawdź stronę wsparcia OEM, aby upewnić się, że zainstalowano najnowsze oprogramowanie układowe [10][12]. W przypadku starszych komputerów PC konieczne może być przywrócenie ustawień fabrycznych kluczy Secure Boot w BIOS, aby zwolnić miejsce w NVRAM dla nowych certyfikatów [6].

Ostrzeżenie: Jeśli wykonujesz reset kluczy Secure Boot w systemie z szyfrowaniem BitLocker, upewnij się, że masz dostępny klucz odzyskiwania, aby uniknąć trwałej utraty danych [6].

Planowanie cyklu życia oprogramowania

Kilka samodzielnych planów wchodzi w fazę wycofywania. Zespoły IT powinny zacząć przeglądać użycie w swoich dzierżawach (tenants), aby zapewnić ciągłość:

Kamień milowy Data Wpływ
Koniec sprzedaży Czerwiec 2026 Brak nowych dzierżaw/klientów dla dotkniętych planów samodzielnych [12].
Koniec życia (End of Life) Styczeń 2027 Brak dalszych odnowień dla istniejących umów [12].
Koniec świadczenia usług Grudzień 2029 Wszystkie plany samodzielne w pełni wycofane; konieczność przejścia na pakiety M365 [12].

Ryzyka i ograniczenia

Chociaż te kroki znacznie zmniejszają powierzchnię ataku, nie oferują absolutnej ochrony.

  • Zdegradowane stany bezpieczeństwa: Urządzenia, które nie otrzymają nowych certyfikatów Secure Boot przed terminem w czerwcu 2026 r., będą nadal działać, ale wejdą w zdegradowany stan bezpieczeństwa [9]. Ogranicza to zdolność systemu do otrzymywania przyszłych zabezpieczeń na poziomie rozruchu i może powodować problemy z kompatybilnością z nowszymi systemami operacyjnymi [9].
  • Systemy specjalistyczne: Niektóre urządzenia IoT lub serwerowe mogą podlegać innym procesom aktualizacji i powinny być oceniane indywidualnie w ramach specjalistycznego planu wdrożenia [12].
  • Zależności od oprogramowania układowego: W przypadku niewielkiej części urządzeń nowe certyfikaty nie mogą zostać zastosowane za pośrednictwem Windows Update, dopóki oddzielna aktualizacja oprogramowania układowego od producenta nie zostanie zainstalowana ręcznie [12].

Ryzyka, ograniczenia i kiedy przestać

Chociaż zajęcie się lukami w zabezpieczeniach jest krytyczne, wdrażanie aktualizacji na dużą skalę i nawigowanie po zmianach platform wiąże się z nieodłącznymi wyzwaniami. Niezbędne jest rozpoznanie granic zautomatyzowanych narzędzi i zrozumienie, kiedy wymagana jest profesjonalna interwencja w celu utrzymania stabilności systemu.

Ryzyka techniczne i wyzwania wdrożeniowe

Stosowanie głównych poprawek bezpieczeństwa lub migracja usług często wiąże się z nieprzewidzianymi komplikacjami. Pojedynczy incydent cyberbezpieczeństwa lub nieudana sekwencja aktualizacji może zakłócić pracę, zatrzymać niezbędne usługi i podważyć zaufanie użytkowników oraz partnerów [4][13].

Organizacje korzystające z usług Microsoft 365 lub Azure muszą zarządzać następującymi potwierdzonymi ryzykami:

  • Zakłócenia w świadczeniu usług: Nieprawidłowo skonfigurowane tokeny uwierzytelniania wieloskładnikowego (MFA) mogą prowadzić do zakłóceń w świadczeniu usług podczas faz wymuszania [14].
  • Utrata danych podczas migracji: Wycofanie samodzielnych planów SharePoint Online i OneDrive dla Firm (ogłoszone pod koniec stycznia 2026 r.) wymaga starannej optymalizacji danych i migracji, aby uniknąć utraty lub niestandardowego użycia [9][14].
  • Anomalie w rozliczeniach: Subskrypcje z ustawieniem „Auto-odnawianie wyłączone” mogą przejść na Rozszerzone Warunki Serwisowe (EST) lub zostać całkowicie anulowane po wygaśnięciu, co może skutkować nieoczekiwanymi rachunkami lub utratą usługi, jeśli nie zostaną zarządzone przed końcem okresu [15].

Ograniczenia cyfrowych narzędzi bezpieczeństwa

Same poprawki techniczne nie mogą wyeliminować wszystkich zagrożeń cyfrowych. Dowody z 2026 Global Online Safety Survey wskazują, że pomimo zwiększonej liczby zgłoszeń, 91% użytkowników pozostaje zaniepokojonych szkodami wprowadzonymi przez AI [2][8].

Czynnik ryzyka Poziom wpływu Ograniczenie poprawek technicznych
Ataki oparte na tożsamości Wysoki Wymaga wymuszenia MFA i poprawnej walidacji tokenów API, aby były skuteczne [14].
Nadużycia AI Wschodzący Techniczne bariery muszą być uzupełnione przez umiejętności cyfrowe użytkowników i krytyczne myślenie [1][13].
Szkody społeczne Wysoki Ryzyka takie jak rekrutacja i radykalizacja wymagają specjalistycznej edukacji, a nie tylko aktualizacji oprogramowania [6].

Obecne badania sugerują, że jeśli branża nie dostarczy doświadczeń naprawdę dostosowanych do wieku, młodzi ludzie ryzykują utratę dostępu do niezbędnych technologii z powodu obaw o bezpieczeństwo [2].

Kiedy szukać profesjonalnej pomocy

Niektóre scenariusze wykraczają poza zakres podstawowego rozwiązywania problemów i wymagają fachowego nadzoru technicznego lub administracyjnego.

Wdrożenie techniczne i migracja Skonsultuj się z zespołami technicznymi w celu zaplanowania i przetestowania aktualizacji, jeśli zarządzasz złożonymi środowiskami, szczególnie tymi obejmującymi wywołania API użytkowników lub niestandardową infrastrukturę pamięci masowej [10][15]. Profesjonalne doradztwo jest zalecane przy przechodzeniu z wycofywanych samodzielnych planów pamięci masowej na pakiety Microsoft 365, aby zapewnić ciągłość [14].

Licencjonowanie i bezpieczeństwo na dużą skalę W przypadku organizacji zarządzających transakcjami o dużym wolumenie — gdzie maksymalne limity licencji dla promocji CSP wzrosły z 2 400 do 9 999 — złożoność administracyjna może znacznie wzrosnąć [10]. Partnerzy i liderzy IT powinni korzystać z Security Immersion Briefings, aby radzić sobie z rosnącymi zagrożeniami cybernetycznymi, zamiast próbować samodzielnie zarządzać zaawansowanymi wdrożeniami Defender for Business [10].

Krytyczne punkty awarii Zatrzymaj się i natychmiast szukaj pomocy eksperta, jeśli:

  • Wymuszenie MFA uniemożliwia upoważnionym użytkownikom dostęp do Partner Center lub niezbędnych interfejsów API [14].
  • Migracja danych dla SharePoint lub OneDrive skutkuje alertami o „niezamierzonym lub niestandardowym użyciu” [14].
  • Statusy subskrypcji nieoczekiwanie zmieniają się na EST, co wskazuje na błąd w logice automatycznego odnawiania [15].

FAQ

Jakie są nowe zalecenia dotyczące bezpieczeństwa dla stacji roboczych Windows?

Microsoft wprowadził nowe zalecenia Microsoft Secure Score za pośrednictwem Microsoft Defender Vulnerability Management [15]. Obecnie zaleca się wyłączenie usługi Zdalny rejestr (Remote Registry), aby zapobiec nieautoryzowanym zmianom konfiguracji i bocznemu przemieszczaniu się atakujących [15]. Dodatkowo wytyczne sugerują wyłączenie uwierzytelniania NTLM na stacjach roboczych Windows, aby złagodzić ryzyka takie jak kradzież poświadczeń, Pass-the-Hash i ataki NTLM relay [15].

Jak Microsoft zmienia sposób identyfikacji agentów w Entra?

Microsoft uruchomił Public Preview dla Entra Agent IDs, co zapewnia dedykowaną tożsamość dla zautomatyzowanych agentów [4]. Wcześniej agenci zazwyczaj używali tokenów „User On-Behalf-Of” (OBO), ale nowy system pozwala organizacjom budować, zarządzać i chronić agentów za pomocą ich własnych, unikalnych tożsamości [4]. Ta aktualizacja ma na celu rozszerzenie kompleksowych możliwości bezpieczeństwa na procesy oparte na agentach [4].

Jakie zmiany wprowadzono w zarządzaniu aktualizacjami Windows przez Microsoft Intune?

Począwszy od aktualizacji zabezpieczeń ze stycznia 2026 r., opcja instalowania aktualizacji jakościowych Windows podczas wstępnej konfiguracji (OOBE) nie jest już domyślnie włączona w Microsoft Intune [7]. Ponadto usługa Windows Backup dla organizacji rozszerza się o nowe doświadczenie przywracania przy pierwszym logowaniu, umożliwiając użytkownikom Windows 11 wydajniejsze przywracanie ustawień i list aplikacji z Microsoft Store [7].

Czy istnieje termin wdrożenia MFA dla interfejsów API Partner Center?

Tak, pełne wymuszanie uwierzytelniania wieloskładnikowego (MFA) dla wszystkich interfejsów API Partner Center ma rozpocząć się 1 kwietnia 2026 r. [6]. Wszelkie wywołania API wykonane bez MFA po tej dacie zostaną zablokowane w celu ochrony przed atakami opartymi na tożsamości [6]. Wszystkie interfejsy API są obecnie gotowe na MFA i testowanie, aby uniknąć zakłóceń w świadczeniu usług po rozpoczęciu okresu wymuszania [6].

Dlaczego Microsoft wycofuje uwierzytelnianie NTLM?

Windows przechodzi na bezpieczniejszy model uwierzytelniania, wycofując New Technology LAN Manager (NTLM) na rzecz silniejszych alternatyw opartych na Kerberos [7]. NTLM jest uważany za przestarzały i niebezpieczny, ponieważ może być wykorzystany przez atakujących do obejścia złożoności haseł i kompromitacji całych domen [15]. Analitycy sugerują, że ten krok znacznie wzmacnia poziom bezpieczeństwa w środowiskach korporacyjnych [6].

Czy zmieniły się limity licencji dla promocji Microsoft 365?

Microsoft zwiększył maksymalny limit licencji dla kwalifikujących się promocji Cloud Solution Provider (CSP) z 2 400 do 9 999 licencji [11]. Ten wzrost dotyczy promocji na Microsoft 365 E3, Microsoft 365 E5 oraz Microsoft 365 Copilot [11]. Jednak promocje na Copilot Business nie są objęte tą aktualizacją i pozostają ograniczone do 300 licencji [11].

Podsumowanie / Kluczowe wnioski

Krajobraz bezpieczeństwa w lutym 2026 r. definiują krytyczne aktualizacje infrastruktury i zwiększony nacisk na ochronę tożsamości. Chociaż konkretne liczby poprawek dla luk zero-day są często finalizowane podczas wdrażania, aktywne wykorzystywanie podatności w platformach takich jak SolarWinds Web Help Desk podkreśla natychmiastową potrzebę działań administracyjnych [7][13].

  • Obowiązkowe protokoły bezpieczeństwa: Od 9 lutego 2026 r. uwierzytelnianie wieloskładnikowe (MFA) jest obowiązkowe dla wszystkich użytkowników uzyskujących dostęp do centrum administracyjnego Microsoft 365, aby zapobiec nieautoryzowanemu dostępowi [8].
  • Obrona przed aktywną eksploatacją: Administratorzy powinni priorytetowo potraktować łatanie CVE-2025-40551 i CVE-2025-40536, które były przedmiotem aktywnego wykorzystywania obejmującego kradzież poświadczeń i złośliwy sideloading plików sspicli.dll [13].
  • Przejścia infrastrukturalne: NTLM jest wycofywany na rzecz alternatyw opartych na Kerberos, aby zmodernizować bezpieczeństwo uwierzytelniania sieciowego [6].
  • Bariery edukacyjne: Ponieważ 91% użytkowników zgłasza obawy dotyczące szkód związanych z AI, nowe zasoby, takie jak AI Futures Youth Council i seria CyberSafe, mają na celu zapewnienie bezpieczniejszych środowisk dla młodszych użytkowników [5][12].

Jeśli nie masz pewności co do statusu swoich aktualnych zabezpieczeń, zazwyczaj taniej jest zapytać kogoś raz, niż naprawiać błąd później.

Quellen

[1] Monthly news - February 2026 | Microsoft Community Hub

[2] Microsoft Launches AI QuickStart Programme with Support from IMDA and UOB - S...

[3] Safer Internet Day 2026: Helping students be AI aware | Microsoft Education Blog

[4] Building a safer digital future, together

[5] Updates in two of our core priorities - The Official Microsoft Blog

[6] New in Microsoft Marketplace: February 5, 2026 | Microsoft Community Hub

[7] Analysis of active exploitation of SolarWinds Web Help Desk | Microsoft Secur...

[8] Refreshing the root of trust: industry collaboration on Secure Boot certifica...

[9] Windows news you can use: January 2026 - Windows IT Pro Bog

[10] .NET and .NET Framework February 2026 servicing releases updates - .NET Blog

[11] February 2026 announcements - Partner Center announcements

[12] January 2026 announcements - Partner Center announcements

[13] Windows' original Secure Boot certificates expire in June—here's wh...

[14] The Hacker News - Google News

[15] CybersecurityNews - Google News

[16] CybersecurityNews - Google News

[17] gbhackers.com - Google News

[18] BeyondTrust warns of critical RCE flaw in remote support software

[19] SolarWinds Web Help Desk Exploited for RCE in Multi-Stage Attacks on Exposed ...

[20] Critical n8n Flaw CVE-2026-25049 Enables System Command Execution via Malicio...

[21] ⚡ Weekly Recap: AI Skill Malware, 31Tbps DDoS, Notepad++ Hack, LLM Back...

[22] CISA Adds Actively Exploited SolarWinds Web Help Desk RCE to KEV Catalog

[23] Microsoft February 2026 Patch Tuesday fixes 6 zero-days, 58 flaws

[24] ZAST.AI Raises $6M Pre-A to Scale "Zero False Positive" AI-Powered ...

[25] Microsoft releases Windows 10 KB5075912 extended security update

[26] Windows 11 KB5077181 & KB5075941 cumulative updates released

[27] Microsoft is refreshing Secure Boot certificates to plug security holes befor...

[28] Windows 10/11 Patch-Day Februar: Das groe Sicherheitsupdate ist da

[29] Windows 11: Diese neuen Funktionen bringt der Februar-Patchday mit

[30] Microsoft kümmert sich um kritische Sicherheitslücke im Azure-Umfeld

[31] Microsoft promises a big February patch - but will it fix what's broken ...

[32] Someone

[33] Microsoft announces new mobile-style Windows security controls

[34] Windows update ties Spotify, smarter security into your PC

[35] BeyondTrust RCE flaw lets hackers run code without logging in

[36] Windows info-disclosure 0-day bug gets a fix and CISA alert

[37] PC gaming issues traced to Windows Update, according to NVIDIA

[38] Microsoft confirms Windows 10 shutdown bug

[39] Microsoft-Patchday: Updates entfernen aktiv genutzten Angriffsweg aus Windows

[40] Windows: Microsoft patches Patchday patches

[41] Azure power wobble knocks Windows Update offline

[42] Yet another Windows update is wreaking havoc on gaming rigs worldwide —...

[43] Critical Fortinet FortiClient EMS Vulnerability Allows Remote Code Execution

[44] BeyondTrust fixes easy-to-exploit pre-auth RCE vulnerability in remote access...

[45] Week in review: Notepad++ supply chain attack details and targets, Patch Tues...

[46] Microsoft Patch Tuesday February 2026 – 54 Vulnerabilities Fixed, Including 6...

[47] Cybersecurity Weekly Newsletter - Notepad++ hack, Office 0-Day, ESXi 0-day Ra...

[48] BeyondTrust Remote Access Products Hit by 0-Day RCE Vulnerability

[49] TeamPCP did a Massive Campaign Exploiting Docker, Kubernetes, and React2Shell

[50] CVE-2026-21643: Critical FortiClient EMS Vulnerability Enables Unauthenticate...

[51] CVE 2026 The Vulnerability Landscape: When Identity Breaks and Legacy Code Bi...

[52] Researchers delve inside new SolarWinds RCE attack chain | Computer Weekly

[53] CISA confirms exploitation of VMware ESXi flaw by ransomware attackers - Help...

[54] CVE-2023-29552: NetApp SMI-S Provider DoS Vulnerability

[55] 1,000+ Flaws Found, Including Critical IT & ICS Vulnerabilities

[56] February Patch Tuesday: Microsoft drops six zero-days | Computer Weekly

[57] Microsoft Patch Tuesday matches last year’s zero-day high with six actively e...

[58] Microsoft Releases February 2026 Patch Tuesday Updates

[59] Patch Tuesday Updates for Windows 11 and 10, February 10, 2026

[60] I tested Windows 11 February 2026 Updates: Everything new, improved, and fixed

[61] February 2026 Patch Tuesday forecast: Lots of OOB love this month - Help Net ...

[62] Fancy Bear Exploits Microsoft Zero-Day to Deploy Backdoors and Email Stealers

[63] Fancy Bear Hackers Exploiting Microsoft Zero-Day Vulnerability to Deploy Back...

[64] SAP Security Patch Day - Critical SAP CRM and SAP S/4HANA Code Injection Vuln...

[65] Cybersecurity firm Rapid7 books $860M in 2025 sales, 11,500+ clients

[66] Fallout from latest Ivanti zero-days spreads to nearly 100 victims

[67] Microsoft Patch Tuesday, February 2026 Security Update Review | Qualys

[68] CVE-2026-21509: APT28 Exploits Microsoft Office Zero-day Vulnerability

[69] February 2026 Microsoft Patch Tuesday | Tenable®

[70] Clawdbot: How to Mitigate Agentic AI Security Vulnerabilities

[71] LookOut: Discovering RCE and Internal Access on Looker (Google Cloud & On...

[72] FinancialContent - 8x8, Tenable, MongoDB, Unity, and Elastic Stocks Trade Up,...

[73] CVE-2026-1731 | Arctic Wolf

[74] CISA Silently Updates Vulnerabilities Exploited by Ransomware Groups

[75] Microsoft Patchday für Februar 2026 mit Sicherheitsupdates für Windows 11 und...

[76] KB5075912 Windows 10 22H2 [Manueller Download] Sicherheitspatch Februar 2026 ...

[77] Microsoft Office Zero-Day Actively Exploited - Emergency Patches Released

[78] CVE-2026-21509: Actively Exploited Microsoft Office Zero-Day Forces Emergency...

[79] Known Exploited Vulnerabilities Catalog | CISA

[80] Patch Tuesday Februar 2026: Frische Sicherheitsupdates für Windows 10 und 11

[81] Patch Tuesday February 2026: Security Updates & CVE Analysis

[82] Windows 11: Microsoft setzt auf Mopria und beendet Unterstützung für Legacy-D...

[83] When meeting room tech becomes an IT problem - Spiceworks

[84] CVE-2026-20805: Microsoft Fixes Actively Exploited Windows Desktop Manager Ze...

[85] Microsoft Office vulnerability (CVE-2026-21509) in active exploitation

[86] SANS Internet Stormcenter Daily Cyber Security Podcast (Stormcast)

[87] ISC Stormcast For Tuesday, February 3rd, 2026 https://isc.sans.edu/podcastdet...

[88] Microsoft Patch Tuesday – February 2026 - Lansweeper

[89] CISA Adds Five Known Exploited Vulnerabilities to Catalog | CISA

[90] TeamPCP Worm Targets Docker, Kubernetes, Ray, and Redis via React2Shell CVE-2...

[91] Windows-Lücke CVE-2026-20805: Kritisches Update gegen aktive Angriffe

[92] KB5077181 Windows 11 25H2 / 24H2 [Manueller Download] Sicherheitsupdate Febru...

[93] Windows 11: Nvidia bestätigt Probleme mit dem Januar 2026 Update KB5074109

[94] Nvidia is looking into gaming issues after Windows 11 KB5074109 January 2026 ...

[95] Windows 11 Update-Chaos - flüchten oder standhalten?

[96] Windows 11: Februar-Sicherheitsupdates sind da

[97] Microsoft veröffentlicht KB5077181 für Windows 11 Version 24H2 und 25H2 &#821...

[98] Windows 11: Microsoft startet 2026 mit massivem KI-Update - BornCity

[99] FinancialContent - Microsoft’s AI Valuation Crossroads: A Deep Dive int...

[100] Security Update Guide - Microsoft Security Response Center

[101] Emergency Microsoft update fixes in-the-wild Office zero-day

[102] How to Fix Windows Update Errors and Issues

[103] Zero Day Initiative — Blog

[104] Microsoft Monthly Security Update (January 2026)

[105] Microsoft Data Center Power Outage Disrupts Windows 11 Updates and Store Func...

[106] Actualizar Windows ya no es opcional: cuáles son los riesgos de seguir poster...

[107] NVD - Search and Statistics

[108] Microsoft prepares to refresh Secure Boot’s digital certificate

[109] Windows 10 gets build 19045.6937 in February 2026 with ESU security fixes

[110] Windows 11 KB5074109 breaks Nvidia gaming: fix | tbreak

[111] Windows Won't Shut Down After Update? Here's How to Fix It - Make T...

[112] KB5077800 - Details, Issues, & Feedback - NinjaOne

[113] NVIDIA blames the latest Windows 11 update for reducing gaming performance - ...

[114] XFN 1.1 profile

[115] XFN 1.1 profile

[116] fonts.googleapis.com

[117] The Hacker News

[118] fonts.googleapis.com

[119] BleepingComputer (@[email protected]) - Infosec Exchange

[120] Cyber Threat Intelligence ® | LinkedIn

[121] The Hacker News | LinkedIn

[122] Cyber Security News ® | LinkedIn

[123] Help Net Security | LinkedIn

[124] Known Exploited Vulnerabilities Catalog | CISA

[125] Tenable Blog

[126] Tenable Security Center dashboards

[127] Tenable Security Center templates

Relevant Services

More from the Blog

Brauchen Sie Hilfe?

Wir reparieren Ihren PC oder Laptop schnell und zuverlässig.

Jetzt Reparatur anfragen