Nowa luka w Microsoft Office wykorzystywana w phishingu

Analitycy Dowództwa Komponentu Wojsk Obrony Cyberprzestrzeni (DKWOC / CSIRT MON) potwierdzili, że nowa podatność w Microsoft Office (CVE-2026-21509) jest już wykorzystywana w ukierunkowanej kampanii phishingowej wymierzonej m.in. w instytucje publiczne w Europie Środkowo-Wschodniej.

Microsoft poinformował o luce 26 stycznia 2026 r., a cztery dni później – 30 stycznia – DKWOC odnotował artefakty świadczące o jej aktywnym wykorzystaniu przeciwko podmiotom krajowym i zagranicznym. Z przeprowadzonej analizy wynika, że sprawcy zaczęli przygotowywać złośliwe dokumenty praktycznie natychmiast, rozpoczynając prace już dzień po upublicznieniu informacji o podatności. Ryzyko oceniono na 7,8 w dziesięciostopniowej skali CVSS 3.1.

Kampanię przypisuje się zaawansowanemu aktorowi śledzonemu przez DKWOC jako Crafty Leshy. Choć zasięg działań obejmował różne kraje regionu, atak nie miał charakteru masowego. O ukierunkowaniu świadczy precyzyjny dobór instytucji oraz konkretnych osób w ich strukturach. Dodatkowo, by uwiarygodnić korespondencję, wykorzystywano przejęte konta poczty elektronicznej instytucji państwowych z państw Europy Środkowo-Wschodniej, co utrudniało rozpoznanie próby oszustwa.

Przypadek pokazuje, jak kosztowne mogą być nawet niewielkie opóźnienia w instalowaniu poprawek bezpieczeństwa. Szczególnie narażone są organizacje przetwarzające informacje wrażliwe oraz realizujące zadania ważne dla bezpieczeństwa państwa – z perspektywy przeciwnika są to cele o wysokiej wartości operacyjnej, a więc takie, w które inwestuje się czas i zasoby.

DKWOC zaleca użytkownikom Microsoft Office w wersjach 2016 i 2019 niezwłoczne zainstalowanie właściwych aktualizacji bezpieczeństwa. Zgodnie z komunikatem Microsoftu użytkownicy wersji 2021 i nowszych mają być objęci ochroną dzięki zmianom wdrożonym po stronie usługi, przy czym ich skuteczna aktywacja wymaga ponownego uruchomienia aplikacji Office.

Więcej można przeczytać tutaj.