Protokół SMBv1 — czym jest, dlaczego trzeba go wyłączyć i jak to zrobić w Windows

SMBv1 to pierwsza wersja protokołu Server Message Block, którego Windows używa do udostępniania plików i drukarek w sieci lokalnej. Powinieneś go wyłączyć, bo nie ma szyfrowania, korzysta z przestarzałych mechanizmów bezpieczeństwa i zawierał krytyczną lukę EternalBlue, przez którą w 2017 roku rozprzestrzeniał się ransomware WannaCry. Nowsze wersje — SMB 2 i SMB 3 — robią to samo szybciej i bezpieczniej.

W Windows 11 i świeżych instalacjach Windows 10 SMBv1 jest już domyślnie wyłączony, ale na starszych komputerach, serwerach i urządzeniach sieciowych nadal bywa aktywny. Poniżej dowiesz się, jak to sprawdzić, jak go wyłączyć na pojedynczym komputerze, w domenie i w Sambie oraz co zrobić, gdy coś przestanie działać.

Czym jest SMB i czym różnią się jego wersje

SMB działa w modelu klient–serwer: komputer udostępniający folder jest serwerem, a komputer, który go otwiera (np. przez \\serwer\udział), klientem. Ten sam protokół obsługuje mapowanie dysków sieciowych, drukowanie przez udostępnione drukarki, a w domenie Active Directory — pobieranie zasad grupy z kontrolerów domeny. Współcześnie SMB korzysta z portu TCP 445.

SMB 2 i 3 nie są „łatkami” na SMBv1, tylko zaprojektowanym od nowa protokołem. Klient i serwer same negocjują najwyższą wspólną wersję, więc wyłączenie SMBv1 nie wpływa na komunikację między współczesnymi systemami.

Dlaczego SMBv1 jest niebezpieczny

Najważniejszy powód to historia luk. W marcu 2017 roku Microsoft wydał poprawkę MS17-010 dla krytycznych błędów w implementacji SMBv1. Miesiąc później grupa Shadow Brokers opublikowała wykradziony exploit EternalBlue (CVE-2017-0144), który pozwalał zdalnie wykonać kod na niezałatanym komputerze, wysyłając do niego spreparowane pakiety SMBv1 — bez żadnego logowania.

W maju 2017 roku ransomware WannaCry użył EternalBlue do samodzielnego rozprzestrzeniania się w sieciach i zaszyfrował setki tysięcy komputerów, m.in. w brytyjskiej służbie zdrowia. W czerwcu ten sam mechanizm wykorzystał NotPetya. Oba ataki pokazały, że jeden niezałatany komputer z SMBv1 wystarczy, żeby złośliwe oprogramowanie przeszło przez całą sieć firmy.

Poza samymi lukami SMBv1 ma wady konstrukcyjne:

• brak szyfrowania transmisji — pliki i część danych sesji można podsłuchać,
• słabe podpisywanie pakietów oparte na MD5,
• brak ochrony przed atakami polegającymi na wymuszeniu słabszej wersji protokołu (downgrade),
• gorsza wydajność — więcej komunikatów na każdą operację.

Jak sprawdzić, czy SMBv1 jest włączony

Uruchom PowerShell jako administrator (prawy przycisk na menu Start → Terminal (administrator)) i wpisz:

# Czy serwer SMB przyjmuje połączenia SMBv1
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, EnableSMB2Protocol

# Czy składnik SMB 1.0/CIFS jest zainstalowany (klient i serwer)
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Wynik EnableSMB1Protocol : False oraz State : Disabled oznacza, że SMBv1 jest wyłączony. Na Windows Server stan funkcji sprawdzisz też poleceniem Get-WindowsFeature FS-SMB1.

Żeby zobaczyć, jaką wersją protokołu łączą się aktualnie klienci z serwerem plików, użyj:

Get-SmbSession | Select-Object ClientComputerName, ClientUserName, Dialect

Wartość Dialect równa 1.5 lub niższa wskazuje na SMBv1. Więcej przydatnych poleceń znajdziesz w zestawieniu 10 poleceń PowerShell, które warto znać.

Jak wyłączyć SMBv1 w Windows 10 i 11

Metoda 1: Funkcje systemu Windows

1. Naciśnij Win + R, wpisz optionalfeatures i zatwierdź.
2. Na liście znajdź Obsługa udostępniania plików SMB 1.0/CIFS.
3. Odznacz całą pozycję (klient, serwer i automatyczne usuwanie).
4. Kliknij OK i uruchom komputer ponownie.

Metoda 2: PowerShell

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

Polecenie usuwa zarówno klienta, jak i serwer SMBv1. Zmiana zadziała po restarcie. Jeśli chcesz tylko natychmiast wyłączyć przyjmowanie połączeń SMBv1 przez serwer, bez odinstalowywania składnika:

Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

Odpowiednik dla wiersza poleceń (cmd jako administrator):

dism /online /disable-feature /featurename:SMB1Protocol /norestart

Jak wyłączyć SMBv1 w Windows Server i w całej domenie

Na Windows Server 2012 R2 i nowszych:

Uninstall-WindowsFeature -Name FS-SMB1
Restart-Computer

W Windows Server 2019, 2022 i 2025 składnik nie jest instalowany domyślnie, ale warto to zweryfikować na serwerach uaktualnianych ze starszych wersji.

Najpierw audyt, potem wyłączenie

W firmie nie wyłączaj SMBv1 „w ciemno”. Najpierw włącz na serwerach plików audyt, który zarejestruje każdego klienta łączącego się przez SMBv1:

Set-SmbServerConfiguration -AuditSmb1Access $true -Force

Zdarzenia (ID 3000) pojawią się w Podglądzie zdarzeń w dzienniku Dzienniki aplikacji i usług → Microsoft → Windows → SMBServer → Audit. Zostaw audyt na co najmniej kilka tygodni, żeby wyłapać urządzenia używane rzadko, np. skanery uruchamiane raz w miesiącu.

Wyłączenie przez zasady grupy (GPO)

Windows nie ma wbudowanej zasady „wyłącz SMBv1”, ale masz dwie sprawdzone drogi:

1. Szablony MS Security Guide z pakietu Microsoft Security Compliance Toolkit — po skopiowaniu plików SecGuide.admx i SecGuide.adml do magazynu centralnego pojawią się ustawienia Configure SMB v1 server (Wyłączone) i Configure SMB v1 client driver (Wyłącz sterownik).
2. Preferencje rejestru w GPO — dla serwera wartość SMB1 typu DWORD równa 0 w kluczu HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters, a dla klienta wartość Start równa 4 w kluczu HKLM\SYSTEM\CurrentControlSet\Services\mrxsmb10.

Dobre praktyki projektowania i wdrażania takich obiektów opisują artykuły najlepsze praktyki dotyczące GPO oraz 20 najbardziej przydatnych obiektów GPO dla bezpieczeństwa.

Uwaga: Przed wyłączeniem SMBv1 na serwerach upewnij się, że nie korzystają z niego urządzenia krytyczne dla firmy — np. stare skanery w recepcji, systemy produkcyjne lub aplikacje branżowe. Audyt z poprzedniego kroku pokaże je z nazwy lub adresu IP.

SMBv1 w Linuksie, macOS i na serwerach NAS

Samba od wersji 4.11 (2019) ma SMBv1 domyślnie wyłączony. Na starszych instalacjach albo tam, gdzie ktoś go włączył, ustaw w pliku /etc/samba/smb.conf w sekcji [global]:

server min protocol = SMB2_02
client min protocol = SMB2_02

Następnie sprawdź konfigurację poleceniem testparm i zrestartuj usługę (sudo systemctl restart smbd). Jeśli potrzebujesz wyjaśnienia, jak działa zarządzanie usługami, zajrzyj do poradnika o systemctl.

Serwery NAS mają minimalną wersję SMB w ustawieniach usług plikowych. W Synology DSM znajdziesz ją w Panel sterowania → Usługi plików → SMB → Ustawienia zaawansowane, w QNAP QTS w ustawieniach sieci Microsoft w sekcji usług plikowych. Ustaw minimum na SMB2 lub SMB3. Przy wyborze nowego NAS-a sprawdź, czy producent nadal wydaje aktualizacje — przykładowe porównanie znajdziesz w tekście Synology DS224+ czy QNAP TS-264.

Co zrobić, gdy po wyłączeniu SMBv1 coś przestało działać

Ponowne włączenie SMBv1 traktuj wyłącznie jako rozwiązanie tymczasowe i na jak najkrótszy czas, najlepiej tylko na jednym komputerze w odizolowanym segmencie sieci.

Dodatkowe zabezpieczenia SMB w sieci

Wyłączenie SMBv1 to podstawa, ale nie koniec. Warto też:

• blokować port TCP 445 (oraz 137–139) na styku sieci z internetem — SMB nigdy nie powinien być wystawiony publicznie; zrobisz to na routerze lub zaporze, o których więcej w artykule Firewall, NGFW i UTM — różnice,
• regularnie instalować aktualizacje systemów i firmware urządzeń sieciowych,
• wymuszać podpisywanie SMB — w Windows 11 24H2 i Windows Server 2025 jest ono domyślnie wymagane, w starszych systemach można je włączyć zasadą grupy,
• włączyć szyfrowanie SMB 3 dla udziałów z danymi wrażliwymi: Set-SmbShare -Name "Dane" -EncryptData $true,
• segmentować sieć i ograniczać ruch SMB między stacjami roboczymi, bo zwykłe komputery rzadko muszą udostępniać sobie nawzajem pliki.

Jeśli zarządzasz komputerami w domenie, zacznij od audytu SMBv1 na serwerach plików i kontrolerach domeny — to najszybszy sposób, by dowiedzieć się, ile starego sprzętu wciąż wisi w Twojej sieci.