Styczniowy Patch Microsoftu naprawia 159 luk, w tym 8 zero-day.
Pierwszy Patch Microsoftu w 2025 roku przyniósł aktualizacje adresujące 159 luk w zabezpieczeniach, w tym osiem zero-day, z czego trzy są aktywnie wykorzystywane w atakach.
Aktualizacja styczniowa dotyczy dwunastu krytycznych luk, w tym ujawnienia informacji, podwyższenia uprawnień oraz błędów umożliwiających zdalne wykonanie kodu.
Liczba błędów w każdej kategorii luk jest następująca:
- 40 luk podwyższenia uprawnień
- 14 luk obejścia funkcji bezpieczeństwa
- 58 luk zdalnego wykonania kodu
- 24 luki ujawnienia informacji
- 20 luk odmowy usługi
- 5 luk podszywania się
Aktywnie wykorzystywane luki zero-day to:
- CVE-2025-21333, CVE-2025-21334, CVE-2025-21335 - Luka w podwyższeniu uprawnień Windows Hyper-V NT Kernel Integration VSP. Te trzy luki w podwyższeniu uprawnień były wykorzystywane w atakach do uzyskania uprawnień - SYSTEM na urządzeniach z systemem Windows. Microsoft nie dostarczył żadnych informacji na temat sposobu wykorzystania tych luk w atakach.
Pięć publicznie ujawnionych luk zero-day to:
- CVE-2025-21275 - Luka w podwyższeniu uprawnień instalatora pakietów aplikacji Windows - Wykorzystanie mogło prowadzić do uzyskania uprawnień - SYSTEM.
- CVE-2025-21308 - Luka podszywania się pod motywy Windows - Mogła zostać wykorzystana jedynie poprzez wyświetlenie specjalnie spreparowanego pliku w Eksploratorze Windows.
- CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 - Luka zdalnego wykonania kodu w Microsoft Access - Mogła zostać wykorzystana podczas otwierania specjalnie spreparowanych dokumentów Microsoft Access.
Link do patchy - Patch Tuesday of 2025
O autorze: Łukasz Lein
Product manager - Opiekun marki Symantec
Od blisko 10 lat w firmie Arkanet. Bacznie śledzi ruchy cyberprzestępczości w Polsce i na świecie, dzięki czemu wie, jak pomóc klientom zabezpieczyć swoją sieć firmową przed wszelkimi atakami. Z zamiłowania, po pracy, aktywny "piłkokopacz".
