WebDAV (Web Distributed Authoring and Versioning) to rozszerzenie protokołu HTTP, które zamienia serwer WWW w coś w rodzaju zdalnego dysku. Pozwala nie tylko pobierać pliki, ale też je tworzyć, edytować, kopiować, przenosić i blokować przed równoczesną edycją.
Powstał w latach dziewięćdziesiątych, gdy internet miał być medium do wspólnego tworzenia treści, a nie tylko do ich czytania. Opisuje go dokument RFC 4918.
Brzmi jak techniczna ciekawostka sprzed ćwierćwiecza. I przez lata nią był – aż stał się jednym z ulubionych narzędzi grup atakujących.
To hasło jest o obu tych rzeczach: do czego WebDAV służy i dlaczego w 2025 i 2026 roku wrócił do nagłówków w zupełnie innej roli.
Jak to działa
Zwykły HTTP zna kilka podstawowych metod: pobierz zasób, wyślij dane, usuń. WebDAV dokłada do tego zestaw operacji typowych dla systemu plików:
- PROPFIND – pobierz właściwości pliku lub katalogu (rozmiar, data, autor),
- PROPPATCH – zmień te właściwości,
- MKCOL – utwórz katalog,
- COPY i MOVE – kopiuj i przenieś,
- LOCK i UNLOCK – zablokuj plik na czas edycji, żeby dwie osoby nie nadpisały sobie pracy.
Efekt jest taki, że zdalny serwer można podpiąć jako dysk sieciowy i pracować na plikach tak, jakby leżały lokalnie. Windows, macOS i Linux mają wbudowanych klientów, więc nie trzeba niczego instalować.
Gdzie się z tym spotkasz
Chmury do przechowywania plików. Nextcloud i ownCloud opierają na tym swój dostęp do plików. Wiele usług komercyjnych udostępnia WebDAV jako alternatywę dla własnej aplikacji.
Platformy do pracy grupowej. Historycznie korzystał z niego SharePoint, a starsze wersje Exchange używały go do dostępu do skrzynek i folderów publicznych.
Kalendarze i kontakty. CalDAV i CardDAV, standardy synchronizacji kalendarzy i książek adresowych, są nadbudową nad WebDAV.
Panele hostingowe i serwery plików w firmach.
Zalety są konkretne: działa przez zwykły port HTTPS, więc przechodzi przez zapory bez konfigurowania VPN-a, jest standardem obsługiwanym przez wiele systemów i nie wymaga dodatkowego oprogramowania.
Wady też: bywa wolny przy dużych plikach, jego implementacje różnią się jakością, a uwierzytelnianie potrafi sprawiać kłopoty. Dlatego nowe usługi coraz częściej stawiają na własne API zamiast na ten protokół.
Dlaczego WebDAV wrócił do nagłówków
Tu robi się interesująco i tu leży praktyczna wartość tego hasła.
Microsoft w listopadzie 2023 roku ogłosił wycofywanie WebDAV – usługa WebClient, odpowiadająca za obsługę tego protokołu w Windowsie, przestała uruchamiać się domyślnie. Sam standard pozostał jednak wspierany, a administratorzy nadal mogą go włączyć.
I ta pozostałość okazała się problemem.
W czerwcu 2025 roku Microsoft załatał CVE-2025-33053 – pierwszą od siedmiu lat opublikowaną przez siebie podatność w implementacji WebDAV, ocenioną na 8,8 w dziesięciostopniowej skali. Była wykorzystywana jako luka zero-day, zanim powstała łatka.
Skala reakcji mówi sama za siebie: Microsoft wydał poprawki nawet dla dawno niewspieranych systemów, w tym Windows Server 2012 i Windows 8. To rzadkość, robiona wyłącznie wtedy, gdy ryzyko jest realne.
Na czym polegał atak
Mechanizm jest sprytny i warto go zrozumieć, bo pokazuje pewien wzorzec.
Atak zaczyna się od pliku skrótu internetowego z rozszerzeniem .url, dostarczanego zwykle w wiadomości phishingowej. Taki plik może określać katalog roboczy uruchamianego programu – i w tym miejscu wskazuje się zdalny udział WebDAV kontrolowany przez atakującego.
Następnie uruchamiane jest legalne, podpisane cyfrowo narzędzie systemowe Windows – w pierwotnie opisanym ataku było to narzędzie diagnostyczne Internet Explorera. Program ten wywołuje kolejne procesy po nazwie. A ponieważ jego katalog roboczy wskazuje na zdalny serwer, system szuka tych plików na serwerze atakującego zamiast w katalogu systemowym.
Rezultat: uruchomienie dowolnego kodu, bez zapisywania czegokolwiek na dysku ofiary. Z perspektywy systemu wykonuje się zaufany, podpisany program Microsoftu. Złośliwy kod nigdy nie ląduje lokalnie, więc klasyczne skanowanie plików go nie widzi.
Ładunek dostarczany tą drogą w pierwotnej kampanii to był zaawansowany moduł ładujący, wyposażony w wirtualizację kodu, ręczne mapowanie bibliotek systemowych i skanowanie w poszukiwaniu ponad stu procesów oprogramowania antywirusowego kilkunastu producentów. Dla odwrócenia uwagi ofiary wyświetlany był dokument PDF wyglądający na zwykły raport branżowy.
Kampanię przypisano grupie określanej jako Stealth Falcon, prowadzącej działania szpiegowskie. Pierwszy zaobserwowany atak wymierzony był w firmę zbrojeniową.
Technika weszła do obiegu
I to jest najświeższa część tej historii.
W lipcu 2026 roku opublikowano analizę niezabezpieczonego serwera testowego należącego do jednej z grup przestępczych. Znaleziono na nim zestaw narzędziowy rozszerzający pierwotną technikę do 59 plików .url wymierzonych w różne wbudowane programy Windows – narzędzia platformy .NET i inne systemowe komponenty. Instrukcja obsługi zestawu sprawiała wrażenie napisanej przy pomocy modelu językowego.
Wniosek jest prosty i niewesoły: technika przestała być domeną zaawansowanych grup państwowych i została przemysłowo rozbudowana. To zwykle moment, w którym dana metoda zaczyna trafiać do masowych kampanii phishingowych.
Dlaczego to dotyczy Ciebie
Jeśli handlujesz albo trzymasz kryptowaluty, ten wątek nie jest teoretyczny.
Tak dostarcza się złodziei danych. Programy tego typu przeszukują system w poszukiwaniu portfeli kryptowalutowych, kluczy prywatnych, plików konfiguracyjnych, danych logowania zapisanych w przeglądarce i kluczy API do giełd. Sposób dostarczenia jest tylko drogą – celem jest zawartość Twojego dysku.
Atak nie wymaga niczego wyrafinowanego z Twojej strony. Wystarczy otworzyć załącznik.
Jak się zabezpieczyć
Pięć rzeczy, w kolejności skuteczności.
1. Aktualizuj system. Banał, ale to jest jedyna rzecz zamykająca konkretną podatność. Poprawka istnieje od czerwca 2025 roku i obejmuje nawet systemy poza wsparciem.
2. Wyłącz usługę WebClient, jeśli jej nie używasz. W nowszych systemach nie uruchamia się domyślnie, ale bywa włączona po aktualizacjach z wcześniejszych wersji albo przez oprogramowanie firmowe. Sprawdź w usługach systemowych i ustaw tryb uruchamiania na wyłączony. Jeśli nie korzystasz z dysków sieciowych po HTTPS, nic nie stracisz.
3. Traktuj pliki .url jak pliki wykonywalne. Wyglądają jak niewinny skrót do strony. Potrafią uruchomić program i wskazać mu zdalny katalog roboczy. Nie otwieraj ich z załączników, nawet jeśli nadawca wygląda znajomo.
4. Blokuj albo monitoruj ruch WebDAV na zewnątrz. Jeśli Twoje środowisko nie korzysta z zewnętrznych udziałów tego typu, połączenia wychodzące tego rodzaju są anomalią wartą zablokowania.
5. Rozdziel środowiska. Ta sama zasada, która obowiązuje przy każdym innym wektorze: maszyna, na której otwierasz pocztę i przeglądasz internet, nie powinna być tą samą maszyną, na której trzymasz klucze prywatne i klucze API z uprawnieniami do wypłat.
Jeśli sam prowadzisz serwer
Kilka uwag dla tej strony barykady.
Wyłącz WebDAV, jeśli go nie potrzebujesz. Popularne serwery WWW pozwalają włączyć obsługę tych metod – i bywa ona włączona przypadkiem, przez skopiowaną konfigurację albo domyślne ustawienie panelu hostingowego.
Nigdy bez szyfrowania. WebDAV bez HTTPS oznacza przesyłanie danych uwierzytelniających otwartym tekstem.
Ogranicz metody HTTP. Jeśli aplikacja potrzebuje tylko odczytu i zapisu, metody typu MOVE, COPY czy PROPFIND nie muszą być dostępne.
Sprawdź, czy katalog nie jest wystawiony bez uwierzytelnienia. Otwarte udziały tego typu bywają wykorzystywane jako darmowy hosting dla ładunków w kampaniach phishingowych – i wtedy to Twój serwer figuruje w raportach jako źródło ataku.
Cztery mity
Mit 1: „WebDAV jest przestarzały, więc mnie nie dotyczy.” Wycofywany nie znaczy nieobecny. Obsługa pozostaje we wszystkich wspieranych wersjach Windows, a właśnie ta pozostałość stanowi powierzchnię ataku.
Mit 2: „Plik .url to tylko skrót do strony.” Może określać katalog roboczy uruchamianego programu i wskazać go na zdalny serwer. To jest plik wykonawczy w przebraniu.
Mit 3: „Antywirus to wyłapie.” Opisany atak nie zapisuje nic na dysku, a uruchamiany program jest legalnym, podpisanym narzędziem systemowym. Skanowanie plików nie ma tu czego badać.
Mit 4: „To zagrożenie dla korporacji, nie dla mnie.” Pierwotna kampania była wymierzona w cele instytucjonalne, ale technika została w ciągu roku rozbudowana i skomercjalizowana. To typowa droga od operacji szpiegowskiej do masowego phishingu.
Co zapamiętać
WebDAV to rozszerzenie HTTP pozwalające traktować serwer jak zdalny dysk – z operacjami tworzenia, kopiowania, przenoszenia i blokowania plików. Stoi za nim standard z lat dziewięćdziesiątych, na którym opierają się między innymi Nextcloud, ownCloud oraz protokoły synchronizacji kalendarzy i kontaktów.
Trzy rzeczy ponad resztą:
Podatność CVE-2025-33053 pozwalała uruchomić kod ze zdalnego serwera bez zapisywania czegokolwiek na dysku ofiary – przez plik .url wskazujący katalog roboczy legalnemu narzędziu Windows.
Technika została w 2026 roku rozbudowana do zestawu kilkudziesięciu wariantów i przestała być domeną wyłącznie zaawansowanych grup.
Wyłącz usługę WebClient, jeśli jej nie używasz, i traktuj pliki .url jak pliki wykonywalne. To dwie minuty pracy, które zamykają cały ten wektor.
