Wprowadzenie do problemu / definicja
Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities (KEV) o sześć kolejnych podatności dotyczących produktów Fortinet, Microsoft i Adobe. Wpisanie luki do KEV oznacza, iż istnieją wiarygodne dowody jej aktywnego wykorzystywania w rzeczywistych atakach, dlatego organizacje powinny traktować takie podatności jako najwyższy priorytet w procesie zarządzania ryzykiem.
Najświeższa aktualizacja pokazuje, iż zagrożenie obejmuje zarówno nowoczesne platformy administracyjne i serwery korporacyjne, jak i starsze komponenty biurowe, które wciąż pozostają obecne w wielu środowiskach. To kolejny sygnał, iż skuteczna obrona wymaga nie tylko reagowania na nowe CVE, ale również konsekwentnego usuwania długu technologicznego.
W skrócie
- CISA dodała do KEV sześć aktywnie wykorzystywanych podatności.
- Nowe wpisy obejmują produkty Fortinet FortiClient EMS, Microsoft Exchange Server, Windows, Adobe Acrobat Reader oraz Microsoft VBA.
- Szczególnie groźna jest luka CVE-2026-21643 w FortiClient EMS, umożliwiająca atak bez uwierzytelnienia.
- CVE-2023-21529 w Microsoft Exchange Server została powiązana z działaniami związanymi z ransomware Medusa.
- Obecność starszych luk w Adobe Reader i VBA pokazuje, iż atakujący przez cały czas skutecznie wykorzystują niezałatane, historyczne podatności.
Kontekst / historia
Katalog KEV pełni dziś rolę praktycznego narzędzia priorytetyzacji działań bezpieczeństwa. W przeciwieństwie do pełnych baz CVE nie zawiera wszystkich ujawnionych błędów, ale tylko te, dla których potwierdzono realną eksploatację. Dla zespołów SOC, administratorów i działów bezpieczeństwa wpis do KEV stanowi więc istotny sygnał operacyjny, iż luka przestała być wyłącznie problemem teoretycznym.
Aktualizacja z 14 kwietnia 2026 r. objęła sześć podatności o bardzo różnym profilu. W zestawieniu znalazły się zarówno relatywnie nowe luki, jak i błędy sprzed wielu lat. Taka mieszanka nie jest przypadkowa. Grupy przestępcze oraz operatorzy ransomware regularnie wykorzystują starsze exploity tam, gdzie organizacje nie wdrożyły poprawek, utrzymują przestarzałe obrazy systemowe lub pozostawiają zaniedbane systemy biznesowe poza głównym procesem aktualizacji.
Analiza techniczna
Największą uwagę przyciąga CVE-2026-21643 w Fortinet FortiClient EMS. To podatność typu SQL injection, która może umożliwiać nieuwierzytelnionemu napastnikowi wykonywanie nieautoryzowanych poleceń lub kodu dzięki odpowiednio przygotowanych żądań HTTP. Taki scenariusz jest szczególnie niebezpieczny, ponieważ łączy zdalny dostęp sieciowy z brakiem konieczności logowania, co znacząco obniża próg wejścia dla ataku.
CVE-2023-21529 w Microsoft Exchange Server dotyczy deserializacji niezaufanych danych i może prowadzić do zdalnego wykonania kodu przez uwierzytelnionego użytkownika. W praktyce oznacza to, iż choćby częściowo przejęte konto może zostać wykorzystane do dalszej eskalacji działań, kompromitacji serwera pocztowego oraz ruchu bocznego w infrastrukturze. Dodatkowym czynnikiem alarmowym jest powiązanie tej luki z kampaniami ransomware Medusa.
CVE-2023-36424 w sterowniku Windows Common Log File System to podatność typu out-of-bounds read, prowadząca do lokalnej eskalacji uprawnień. Luki tego typu są często używane jako drugi etap ataku, gdy przeciwnik posiada już ograniczony dostęp do hosta i chce przejść do poziomu administratora lub konta systemowego.
Podobną rolę może odgrywać CVE-2025-60710 w Host Process for Windows Tasks. Błąd wiąże się z nieprawidłowym rozwiązywaniem odwołań do plików przed uzyskaniem dostępu, co umożliwia lokalną eskalację uprawnień. W środowisku korporacyjnym takie podatności są szczególnie groźne, ponieważ wspierają trwałość ataku i ułatwiają omijanie kontroli bezpieczeństwa.
CVE-2020-9715 w Adobe Acrobat Reader to klasyczne use-after-free, które może skutkować zdalnym wykonaniem kodu po otwarciu spreparowanego pliku PDF. Mimo iż luka nie jest nowa, jej obecność w KEV potwierdza, iż przez cały czas pozostaje skutecznym narzędziem ataku tam, gdzie aktualizacje nie zostały wdrożone lub zarządzanie stacjami roboczymi jest niespójne.
Na liście znalazła się także CVE-2012-1854 w Microsoft Visual Basic for Applications. To bardzo stara podatność związana z niebezpiecznym ładowaniem bibliotek, prowadząca do zdalnego wykonania kodu. Jej powrót w kontekście aktywnej eksploatacji pokazuje, iż starsze komponenty Office i mechanizmy automatyzacji wciąż mogą stanowić realną powierzchnię ataku.
Konsekwencje / ryzyko
Z perspektywy operacyjnej nowa aktualizacja KEV zwiększa presję na natychmiastowe działania po stronie administratorów i zespołów bezpieczeństwa. Organizacje korzystające z FortiClient EMS powinny potraktować CVE-2026-21643 jako ryzyko krytyczne, szczególnie jeżeli interfejs zarządzający jest dostępny z sieci zewnętrznej. Potencjalna kompromitacja takiego systemu może przełożyć się na szeroki wpływ na infrastrukturę endpointów.
W przypadku Microsoft Exchange Server zagrożenie dotyczy nie tylko samej usługi pocztowej. Exchange pozostaje jednym z najbardziej atrakcyjnych celów dla grup ransomware, ponieważ daje dostęp do komunikacji, tożsamości użytkowników i informacji operacyjnych całej organizacji. Skuteczne wykorzystanie luki może stać się punktem wyjścia do dalszej kompromitacji domeny lub wdrożenia szyfrującego malware.
Luki lokalne w Windows, takie jak CVE-2023-36424 i CVE-2025-60710, zwiększają skuteczność wieloetapowych kampanii. Po początkowym uzyskaniu dostępu przez phishing, malware lub wykorzystanie innej podatności napastnik może użyć exploitów eskalacyjnych do wyłączenia zabezpieczeń, przejęcia poświadczeń i utrwalenia obecności w systemie.
Starsze podatności w Adobe Reader i VBA przypominają z kolei o problemie zaniedbanych zasobów. W wielu przedsiębiorstwach przez cały czas funkcjonują niezarządzane stacje robocze, obrazy systemowe z dawnych lat, środowiska VDI lub odseparowane segmenty biznesowe, które pozostają podatne na znane i publicznie opisane exploity.
Rekomendacje
W pierwszej kolejności organizacje powinny przeprowadzić pilną inwentaryzację zasobów podatnych na nowe wpisy w KEV. Należy zweryfikować wersje FortiClient EMS, Microsoft Exchange Server, komponentów Windows oraz Adobe Acrobat Reader, a następnie wdrożyć poprawki w trybie przyspieszonym.
- Natychmiast zaktualizować podatne instancje FortiClient EMS i ograniczyć ekspozycję interfejsów HTTP oraz paneli administracyjnych.
- W środowiskach Exchange połączyć łatanie z analizą logów, polowaniem na wskaźniki kompromitacji i przeglądem aktywności uprzywilejowanych kont.
- Dla luk lokalnych w Windows ograniczyć liczbę użytkowników z uprawnieniami administracyjnymi oraz wzmocnić monitoring działań systemowych.
- W przypadku Adobe Reader i VBA ograniczyć uruchamianie aktywnej zawartości, egzekwować polityki makr i wzmacniać ochronę przed złośliwymi załącznikami.
- Traktować katalog KEV jako jedno z głównych źródeł priorytetyzacji procesu patch management.
Warto również pamiętać, iż samo wdrożenie poprawek nie zawsze wystarcza. jeżeli podatność była aktywnie wykorzystywana, organizacja powinna równolegle sprawdzić, czy nie doszło już do naruszenia. Dotyczy to szczególnie serwerów dostępnych z Internetu oraz systemów krytycznych z punktu widzenia ciągłości działania.
Podsumowanie
Dodanie sześciu nowych luk do katalogu KEV potwierdza, iż aktywna eksploatacja obejmuje zarówno współczesne systemy zarządzania i serwery korporacyjne, jak i starsze komponenty biurowe wciąż obecne w środowiskach produkcyjnych. Największe ryzyko dotyczy w tej chwili Fortinet FortiClient EMS oraz Microsoft Exchange Server, jednak pozostałe podatności również mogą odgrywać istotną rolę w łańcuchu ataku.
Dla organizacji oznacza to konieczność szybkiego łatania, przeglądu ekspozycji usług, monitorowania oznak kompromitacji oraz konsekwentnego ograniczania długu technologicznego. KEV pozostaje w tym kontekście jednym z najważniejszych praktycznych wskaźników realnego zagrożenia.
Źródła
- The Hacker News — https://thehackernews.com/2026/04/cisa-adds-6-known-exploited-flaws-in.html
- NVD: CVE-2026-21643 Detail — https://nvd.nist.gov/vuln/detail/CVE-2026-21643
- Microsoft Security Update Guide: CVE-2023-21529 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21529
- Adobe Security Bulletin APSB20-48 — https://helpx.adobe.com/security/products/acrobat/apsb20-48.html