CERT Polska opisał 16 października podatność CVE-2026-106030 w NordVPN dla Windows, pozwalającą lokalnemu atakującemu ingerować w niechronione usługi systemowe. Administratorzy mają do sprawdzenia wersję aplikacji na komputerach pracowników; problem naprawiono w wydaniu 8.12.

Czy firmowy wykaz oprogramowania pozwala wskazać komputery wymagające sprawdzenia po takim komunikacie? Odpowiedź „korzystamy z innego VPN” może zamknąć rozmowę przed sprawdzeniem instalacji. Wyobraźmy sobie przegląd, podczas którego administrator porównuje listę aplikacji dopuszczonych do użytku z odczytem z jednego laptopa. Jeśli widzi rozbieżność, ma do rozstrzygnięcia dwa odrębne zadania. Powinien ustalić sposób postępowania z wykrytą wersją oraz wyjaśnić, dlaczego nie odpowiada ona przyjętej liście. W tym hipotetycznym przykładzie nie zna jeszcze przyczyny rozbieżności ani osoby odpowiedzialnej za instalację. Dalsze wskazówki są rekomendacjami redakcji dla właściciela aplikacji i zespołu utrzymującego stacje robocze.

Lokalny dostęp pozwala przekroczyć granicę uprawnień

Według CERT Polska przyczyną jest niewłaściwa kontrola dostępu do nazwanego potoku usługi NordVpnService. Lokalny atakujący z niskimi uprawnieniami może przez aplikację działać jak zaufany proces. Otrzymuje możliwość zatrzymywania dowolnych niechronionych usług Windows oraz zmiany ich typu uruchomienia. CERT wskazuje, że może to ułatwić dalszą eksploitację systemu.

Skrót „problem z VPN” nie określa ani punktu wejścia, ani uprawnień, które administrator ma przeanalizować. Zgłoszenie techniczne powinno zawierać lokalny charakter podatności i jej udokumentowany skutek. Przy ustalaniu priorytetu przyda się także informacja o zastosowaniu komputera. Oceń, czy utrata jego dostępności zatrzyma pracę jednej osoby, czy uniemożliwi wykonanie zadania, którego nie przejmie kolega. Taką ocenę powinien dostarczyć właściciel urządzenia, zanim kierownik ustali kolejność prac.

Ocena podatności lokalnej powinna uwzględniać uprawnienia na stacji roboczej.

Komunikat nie potwierdza zdalnego włamania ani aktywnego wykorzystywania tej luki. Nie uzasadnia też twierdzenia o przejęciu całego komputera. Podejrzane zdarzenia z własnej firmy przekaż zespołowi reagowania do osobnej oceny. Sam numer CVE nie powinien zastępować ustaleń o konkretnym urządzeniu.

Wersja na laptopie rozstrzyga zakres aktualizacji

Tabela CERT Polska wskazuje wersje poniżej 8.12. Pierwszy przegląd zacznij od dostępnej ewidencji stacji Windows i daty odczytu danych. Urządzenie bez aktualnej informacji powinno otrzymać status „wersja do ustalenia”. Brak odpowiedzi wymaga wyjaśnienia; nie daje podstaw do skreślenia komputera z listy prac.

W hipotetycznym zestawieniu mogą pojawić się dwa laptopy z NordVPN, z których tylko jeden niedawno zgłosił stan oprogramowania. Drugi wymaga sprawdzenia nawet wtedy, gdy oba mają ten sam pakiet przypisany do instalacji. Administrator powinien odczytać jego wersję lub uzgodnić z użytkownikiem termin sprawdzenia. Wyniku pierwszego laptopa nie wpisuj przy drugim wyłącznie na podstawie wspólnych ustawień zarządzania.

Jeżeli NordVPN nie należy do firmowego standardu, właściciel urządzeń powinien rozstrzygnąć, czy aplikacja ma pozostać. Przed usunięciem poproś użytkownika o wyjaśnienie, do czego jej potrzebuje, i ustal zatwierdzony sposób wykonania tego zadania. Samo odnotowanie odstępstwa od polityki nie zamyka sprawy technicznej. Helpdesk potrzebuje decyzji pozwalającej wykonać zmianę, bez samodzielnego rozstrzygania zasad pracy danego zespołu.

Właściciel aplikacji odpowiada za odbiór zmiany

Właściciel NordVPN powinien określić zakres prac, a zespół utrzymujący urządzenia wykonać zmianę. Gdy oba zadania realizuje jedna osoba, nadal potrzebny jest warunek zakończenia zgłoszenia. Kierownik IT może wtedy rozliczyć wykonanie bez ponownego ustalania, czego oczekiwał od administratora. Do otwartych zadań dołącz powód opóźnienia i termin następnej próby, na przykład uzgodnionej rozmowy z użytkownikiem niedostępnego laptopa.

Aplikacja służąca do bezpiecznego połączenia także potrzebuje właściciela aktualizacji.

Kryterium odbioru powinno obejmować odczyt wersji po zmianie i podstawowy test używanej funkcji aplikacji. Test uzgodnij z osobą odpowiedzialną za jej zastosowanie w firmie. Dzięki temu zgłoszenie będzie opisywać wynik użyteczny dla pracownika, a wykonawca otrzyma granicę zadania. Nie musi udowadniać poprawności wszystkich funkcji programu, aby rozliczyć konkretną zmianę.

Jeżeli test zakończy się błędem, raport powinien zachować odczytaną wersję oraz opis niedziałającej funkcji. Kierownik otrzyma wtedy podstawę do przydzielenia dalszej pracy i uzgodnienia sposobu pracy użytkownika. Ogólny status „problem z aktualizacją” utrudniłby odróżnienie niewykonanej instalacji od usterki wykrytej podczas jej odbioru. Takiego zgłoszenia nie zamykaj, dopóki użytkownik nie otrzyma rozwiązania lub uzgodnionego sposobu dalszej pracy.

Polski komunikat pomaga wyznaczyć zakres sprawdzenia

CERT Polska koordynował ujawnienie podatności. Jego komunikat daje polskiemu zespołowi podstawę techniczną do zlecenia prac. Do raportu dla kierownictwa dołącz wynik sprawdzenia własnych instalacji. Jeżeli utrzymanie komputerów powierzono dostawcy, poproś go o odpowiedź dotyczącą urządzeń objętych waszą umową. Ogólne zapewnienie o aktualizowaniu klientów nie określa stanu laptopów konkretnej firmy.

Wiadomość do pracowników powinna określać oczekiwaną czynność, na przykład uzgodnienie terminu sprawdzenia laptopa przez helpdesk. Ogranicz prośbę do urządzeń objętych przeglądem. Użytkownik nie powinien sam oceniać podatności na podstawie wyszukanego numeru wersji. Jeśli zespół potrzebuje od niego informacji, wskaż miejsce jej odczytu i adresata odpowiedzi.

Co z tym zrobić w poniedziałek

Na każde działanie przeznacz do 30 minut; pełne wdrożenie zaplanuj według ustalonego zakresu.

  1. Wyszukaj NordVPN w ewidencji stacji Windows. Zapisz znalezione urządzenia i daty ostatnich odczytów. Braki danych przypisz do wyjaśnienia osobie utrzymującej komputery. Wynikiem będzie początkowa lista instalacji do sprawdzenia.
  2. Sprawdź wersję na jednej zarządzanej stacji. Z uprawnionym administratorem odczytaj ją z urządzenia i porównaj z komunikatem. Dla wykrytych starszych instalacji wskaż wykonawcę aktualizacji oraz termin ustalenia zakresu prac.
  3. Przygotuj warunki odbioru zmiany. W zgłoszeniu wpisz odczyt wersji po aktualizacji i uzgodniony test używanej funkcji. Dodaj miejsce na wynik oraz osobę, która go zatwierdzi. Ten krok nie wymaga zakończenia aktualizacji wszystkich laptopów.

Zgoda na używanie VPN powinna obejmować odpowiedzialność za późniejsze aktualizacje. Właściciel aplikacji musi mieć możliwość zlecenia zmiany i odebrania jej wyniku także wtedy, gdy program kupił lub zainstalował inny zespół. Bez tego nawet precyzyjny komunikat o podatności może zakończyć się sporem o to, kto ma zająć się laptopem.

Źródła

  1. CERT Polska: Podatność w oprogramowaniu NordVPN, publikacja: 16 października 2026 r.

Redakcja cyberinsight.pl.