CERT Polska ujawnił podatność CVE-2026-106030 w aplikacji NordVPN dla Windows. Błąd pozwala lokalnemu napastnikowi posiadającemu niewielkie uprawnienia manipulować usługami systemu Windows – może zatrzymywać część z nich i zmieniać sposób ich uruchamiania. Luka dotyczy wszystkich wersji NordVPN dla Windows starszych niż 8.12. Producent naprawił problem, dlatego użytkownicy powinni sprawdzić wersję aplikacji i możliwie szybko ją zaktualizować.
Informację o problemie CERT Polska opublikował 16 października 2026 roku. Zespół działający w strukturach NASK uczestniczył w koordynowanym procesie ujawnienia podatności, którą zgłosił badacz bezpieczeństwa Marcin Ressel.
Błąd otrzymał identyfikator CVE-2026-106030 i został zaklasyfikowany jako problem z nieprawidłową autoryzacją.
Co dokładnie może zrobić atakujący?
Aplikacja NordVPN na Windows komunikuje się ze swoją usługą systemową za pomocą specjalnego mechanizmu określanego jako named pipe, czyli nazwany potok.
CERT Polska ustalił, że użytkownik posiadający niskie uprawnienia może podszyć się w tej komunikacji pod zaufany proces i połączyć z usługą NordVPN. Następnie jest w stanie wywołać funkcje pozwalające zatrzymać wskazaną usługę Windows oraz zmienić jej typ uruchamiania na ręczny.
W praktyce oznacza to, że złośliwy program działający już na komputerze może próbować wykorzystać uprzywilejowaną usługę NordVPN do ingerowania w inne elementy systemu, do których normalnie nie powinien mieć odpowiedniego dostępu. CERT Polska zaznacza, że może to prowadzić do odmowy działania krytycznych usług oraz ułatwiać dalszą eksploitację systemu.
To nie jest luka pozwalająca włamać się przez internet
To najważniejsze doprecyzowanie całej sprawy.
CVE-2026-106030 nie pozwala przypadkowemu hakerowi znajdującemu się po drugiej stronie internetu przejąć komputera tylko dlatego, że użytkownik ma zainstalowany NordVPN.
Atakujący musi mieć możliwość lokalnego działania na komputerze z Windows, np. poprzez wcześniej uruchomione złośliwe oprogramowanie lub dostęp do konta użytkownika. Luka może więc stanowić kolejny etap włamania, a nie jego początek. Napastnik znajdujący się już wewnątrz systemu może wykorzystać błąd do rozszerzenia swoich możliwości.
To istotna różnica, ponieważ określenie „krytyczna luka w VPN” mogłoby sugerować, że każdy użytkownik jest bezpośrednio dostępny dla atakujących z internetu. Nie taki scenariusz opisuje CERT Polska.
Czy haker może wyłączyć Windows Defender?
Nie wprost za pomocą opisanej podatności.
CERT Polska zaznacza, że usługi chronione przez mechanizmy Windows, takie jak PPL oraz Windows Tamper Protection, nie mogą zostać w ten sposób zatrzymane lub przekonfigurowane. Jako przykład wskazany został Windows Defender.
Nie oznacza to oczywiście, że luka jest niegroźna. Windows uruchamia wiele innych usług, a możliwość ich wyłączania może prowadzić do zakłóceń pracy komputera lub pomagać napastnikowi w dalszych działaniach. Nie powinno się jednak pisać, że NordVPN pozwala jednym kliknięciem wyłączyć antywirusa Windows Defender, ponieważ oficjalny opis podatności temu przeczy.
Które wersje NordVPN są podatne?
Problem dotyczy NordVPN dla systemu Windows w wersjach starszych niż 8.12.
Firma naprawiła podatność właśnie w wersji 8.12, dlatego najbardziej konkretna rekomendacja jest prosta: użytkownik powinien posiadać NordVPN 8.12 lub nowszy.
Podatność nie została opisana jako problem aplikacji NordVPN na Androida, iPhone’a, macOS czy Linuxa. Oficjalny komunikat CERT Polska odnosi się konkretnie do wersji dla Windows.
Jak sprawdzić, czy trzeba coś zrobić?
Jeżeli korzystasz z NordVPN na Windowsie, przede wszystkim upewnij się, że aplikacja jest aktualna.
Jeśli masz wersję 8.12 lub wyższą, poprawka dotycząca CVE-2026-106030 jest już obecna.
Jeżeli używasz wcześniejszej wersji, należy uruchomić aktualizację NordVPN lub pobrać aktualny instalator z oficjalnego źródła producenta.
Szczególną uwagę powinny zwrócić osoby korzystające ze starszych komputerów i systemów, na których aktualizacje aplikacji mogły zostać wyłączone albo od dawna nie były instalowane. NordVPN sam zaznacza, że nie zaleca używania starszych, niewspieranych wersji aplikacji na przestarzałych systemach Windows, ponieważ nie otrzymują one aktualnych funkcji i poprawek bezpieczeństwa.
VPN też jest oprogramowaniem i może mieć błędy
Dla użytkownika VPN jest często kojarzony z dodatkową warstwą bezpieczeństwa. Szyfruje ruch pomiędzy urządzeniem a serwerem VPN i może ograniczać część zagrożeń związanych z korzystaniem z niezaufanych sieci.
Nie oznacza to jednak, że sama aplikacja VPN jest odporna na błędy bezpieczeństwa.
NordVPN działający na Windowsie potrzebuje wysokich uprawnień do wykonywania określonych operacji związanych z siecią i systemem. Jeżeli w komunikacji między zwykłą aplikacją a usługą działającą z większymi uprawnieniami występuje błąd kontroli dostępu, może powstać możliwość nadużycia tych uprawnień.
Właśnie dlatego podatności w programach antywirusowych, VPN-ach, aplikacjach do kopii zapasowych czy narzędziach administracyjnych bywają szczególnie interesujące dla cyberprzestępców. Program zaprojektowany do ochrony systemu często sam posiada większe uprawnienia niż zwykła aplikacja użytkownika.
Czy trzeba odinstalować NordVPN?
Nie ma takiej potrzeby. Problem został naprawiony, a oficjalna rekomendacja wynikająca z komunikatu CERT Polska to korzystanie z wersji 8.12 lub nowszej.
Samo istnienie podatności nie jest również dowodem, że NordVPN jest usługą niebezpieczną. Błędy bezpieczeństwa występują w oprogramowaniu bardzo wielu producentów. Znaczenie ma to, czy są odpowiednio zgłaszane, analizowane i poprawiane.
W tym przypadku luka została zgłoszona w sposób odpowiedzialny, CERT Polska koordynował proces jej ujawnienia, a poprawiona wersja aplikacji jest dostępna.
Czy luka była wykorzystywana przez przestępców?
W oficjalnym komunikacie CERT Polska nie przedstawiono informacji o aktywnej kampanii przestępczej wykorzystującej CVE-2026-106030. Dlatego nie ma podstaw do pisania, że hakerzy masowo przejmują komputery użytkowników NordVPN za pomocą tego błędu.
Jednocześnie publiczne ujawnienie szczegółów podatności oznacza, że pozostawanie na starej wersji programu staje się coraz gorszym pomysłem. Po publikacji CVE informacje potrzebne do zrozumienia mechanizmu błędu są dostępne również dla potencjalnych napastników.
Sama aktualizacja NordVPN nie wystarczy, jeśli komputer jest już zainfekowany
Ponieważ wykorzystanie opisanej podatności wymaga lokalnego dostępu, warto spojrzeć na problem szerzej.
Jeżeli na komputerze działa już malware, aktualizacja NordVPN zamknie tę konkretną drogę ataku, ale nie usunie istniejącego złośliwego programu. Osoba podejrzewająca infekcję powinna więc zaktualizować system Windows i aplikacje, wykonać skanowanie bezpieczeństwa oraz sprawdzić nietypowe programy uruchamiane wraz z systemem.
Jeżeli pojawiły się oznaki rzeczywistego przejęcia komputera – nieznane logowania, zmiany konfiguracji, niespodziewane wyłączenie usług czy podejrzane procesy – problem należy traktować jako możliwy incydent bezpieczeństwa, a nie jedynie „błąd NordVPN”.
Użytkownicy powinni zrobić jedną rzecz: zaktualizować aplikację
W tym przypadku nie ma potrzeby skomplikowanych działań.
Jeśli korzystasz z NordVPN na Windowsie, upewnij się, że masz wersję 8.12 lub nowszą. To eliminuje podatność opisaną jako CVE-2026-106030. Warto również włączyć automatyczne aktualizacje systemu i aplikacji oraz nie odkładać ich miesiącami. Wiele ataków nie wykorzystuje nowych, nieznanych luk. Przestępcy wyszukują urządzenia i komputery, na których poprawka istnieje od dawna, ale użytkownik nigdy jej nie zainstalował.
Historia NordVPN dobrze pokazuje też szerszą zasadę: oprogramowanie zwiększające bezpieczeństwo samo musi być regularnie aktualizowane. VPN nie jest wyjątkiem.
Sprawdź oferty na tańsze VPN: