Microsoft opublikował listopadowy Patch Tuesday 2025, i choć liczba poprawek (63 CVE) jest znacznie mniejsza niż w ogromnej październikowej aktualizacji obejmującej 175 poprawek, tegoroczna listopadowa porcja zawiera krytyczne luki i jedną aktywnie wykorzystywaną lukę zero-day, która wymaga pilnej uwagi.
Aktywnie wykorzystywana luka zero-day
CVE-2025-62215 — eskalacja uprawnień w jądrze Windows (CVSS 7,5)
Luka typu race condition w jądrze Windows jest już wykorzystywana w atakach.
Atakujący mogą jej użyć do podniesienia uprawnień po uzyskaniu początkowego dostępu innym wektorem.
Ta podatność wpisuje się w rosnący trend: luki na poziomie jądra są łączone z phishingiem, nadużyciami narzędzi RMM lub exploitami na przeglądarki, aby przejść od przejęcia konta użytkownika do pełnego przejęcia systemu.
Krytyczna luka RCE
CVE-2025-60724 — zdalne wykonanie kodu w GDI+ (CVSS 9,8)
Ta luka w GDI+ jest najgroźniejsza w listopadowej aktualizacji.
- Uruchamiana, gdy usługa internetowa przetwarza złośliwy plik metafile
- Nie wymaga interakcji użytkownika
- Umożliwia wykonanie dowolnego kodu lub kradzież danych
„Poprawka tej luki powinna być dla organizacji najwyższym priorytetem.”
— Ben McCarthy, Immersive Labs
Wysokiego ryzyka luka umożliwiająca podniesienie uprawnień w Kerberos
CVE-2025-60704 — luka „CheckSum” (CVSS 7,5)
Zgłoszona przez Silverfort i dotycząca każdego środowiska Active Directory z włączoną delegacją Kerberos.
Atakujący z wykradzionymi poświadczeniami mogliby:
✔ Podnosić uprawnienia
✔ Przemieszczać się po sieci
✔ Podszywać się pod dowolną tożsamość, w tym administratorów domeny
Zagrożone są tysiące organizacji na całym świecie.
Międzywarstwowa luka RCE w WSL
CVE-2025-62220 — RCE w interfejsie graficznym WSL (CVSS 8,8)
Choć wymagana jest interakcja użytkownika, ryzyko wykracza poza warstwę pulpitu.
Luka dotyczy interfejsu między podsystemami Windows i Linux, umożliwiając potężne ataki obejmujące wiele środowisk.
Dodatkowe luki, które prawdopodobnie będą wykorzystywane
Microsoft oznaczył też kilka błędów w sterowniku WinSock Ancillary Function Driver:
- CVE-2025-60719
- CVE-2025-62213
- CVE-2025-62217
Wszystkie to luki umożliwiające podniesienie uprawnień, które:
- Nie wymagają interakcji użytkownika
- Wymagają niskich uprawnień
- Są uznawane za bardziej prawdopodobne do wykorzystania
„Jeśli Microsoft mówi, że wykorzystanie luki jest prawdopodobne, organizacje powinny to wziąć pod uwagę.”
— Nick Carroll, Nightwing
Co to oznacza dla zespołów bezpieczeństwa
✔ Zainstaluj poprawki natychmiast — zwłaszcza dla jądra, Kerberos, GDI+ i komponentów WSL
✔ Sprawdź systemy pod kątem oznak podniesienia uprawnień
✔ Utwardź systemy tożsamości (zwłaszcza delegację Kerberos)
✔ Zweryfikuj punkty narażone na RCE (usługi internetowe, mechanizmy obsługi przesyłania plików itp.)
Listopad może wyglądać skromniej na papierze — ale waga i podatność na wykorzystanie tych luk sprawiają, że jest to cykl poprawek o wysokim priorytecie.
