Usługa TeleMessage, archiwizująca wiadomości z klona Signal, udostępniała bez hasła zrzut pamięci z loginami i treścią czatów. CISA potwierdza ataki, a klient nie ma czego załatać. Sprawdź, czy firma korzysta z usługi, i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które archiwizują służbową komunikację przez usługi TeleMessage (np. aplikację TM SGNL, klon Signal z archiwizacją) albo innych dostawców działających w modelu usługi. Werdykt: jeśli firma korzystała z TeleMessage, zmień hasła do usługi i oceń wyciek DO JUTRA, bo w maju 2025 roku napastnik pobierał bez logowania zrzuty pamięci z hasłami i treścią czatów, a naprawa leży wyłącznie po stronie dostawcy.
Amerykańska agencja CISA 1 lipca 2025 roku dopisała podatność CVE-2025-48927 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Usługa TeleMessage, która archiwizuje wiadomości z aplikacji TM SGNL (klonu komunikatora Signal), miała publicznie dostępny adres diagnostyczny /heapdump modułu Spring Boot Actuator. Jedno zwykłe żądanie zwracało zrzut pamięci serwera, około 150 MB, w którym były loginy, hasła i treść rozmów.
Według relacji Wired z 18 maja 2025 roku włamanie zajęło napastnikowi 15 do 20 minut, a wśród klientów, których dane były widoczne, znalazły się amerykańska agencja CBP i giełda Coinbase. TeleMessage tymczasowo zawiesił wszystkie usługi. Termin naprawy wg CISA minął 22 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48927 (w europejskiej bazie EUVD-2025-16207) |
Data dodania do CISA KEV | 2025-07-01 |
Termin naprawy wg CISA | 2025-07-22 (21 dni od wpisu) |
Produkt | TeleMessage TM SGNL (CISA); w NVD jako Smarsh TeleMessage (Smarsh przejął TeleMessage); usługa hostowana wyłącznie przez dostawcę |
Wersje zagrożone | Usługa TeleMessage w stanie do 5 maja 2025 roku włącznie (wersjonowanie datą, nie numerem wydania) |
Wersje bezpieczne | Brak publicznego biuletynu producenta i wersji z poprawką. Naprawa możliwa wyłącznie po stronie dostawcy. CISA: jeśli instrukcji zaradczych nie da się znaleźć, należy przestać używać produktu |
Typ podatności | Uruchomienie zasobu z niebezpieczną wartością domyślną (publiczny zrzut pamięci); CWE-1188 |
Ocena CVSS | MITRE (zapis w NVD): 5.3 (CVSS 3.1, ŚREDNIA). Atak przez sieć, bez uprawnień i udziału użytkownika, niski wpływ na poufność. NVD nie wystawiło własnej oceny. Ocena nie oddaje faktu, że w zrzucie były hasła i treść rozmów |
Tego samego dnia CISA dopisała do KEV drugą lukę w tej usłudze, CVE-2025-48928 (hasła przesłane przez HTTP widoczne w zrzucie pamięci). Obie trzeba rozpatrywać razem.
Wyobraź sobie, że ktoś może w dowolnej chwili, bez pytania, zrobić zdjęcie całego blatu recepcji w Twojej firmie. Na blacie leżą akurat dokumenty przyniesione przez klientów, kartka z hasłem do systemu, otwarty zeszyt z notatkami z rozmów. Nic z tego nie miało być publiczne, wszystko znalazło się tam w wyniku zwykłej pracy. A zdjęcie można robić co minutę.
Tak działała ta luka. Aplikacje w Javie trzymają w pamięci roboczej to, na czym właśnie pracują: treść wiadomości, identyfikatory sesji, hasła przesłane przy logowaniu. Moduł diagnostyczny, który miał pomagać administratorom, udostępniał pod adresem /heapdump kopię tej pamięci każdemu z internetu. Nikt niczego nie zepsuł: ktoś nie wyłączył domyślnie dostępnej funkcji.
💡 Zrzut sterty (heap dump) to plik z kopią pamięci roboczej działającego programu. Spring Boot Actuator to moduł diagnostyczny popularnego szkieletu aplikacji Java. Usługa hostowana przez dostawcę to oprogramowanie, którego klient nie instaluje u siebie, więc nie może go sam zaktualizować. Archiwizacja komunikacji to zapisywanie kopii wiadomości, np. na potrzeby regulacji. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu wchodzi pod adres /heapdump | Dostęp zablokowany lub wymaga logowania | Pobiera zrzut pamięci serwera |
Hasła użytkowników usługi | Niewidoczne dla osób trzecich | Czytelne w zrzucie pamięci |
Treść archiwizowanych czatów | Dostępna tylko uprawnionym | Częściowo czytelna w zrzucie |
Aktualizacja po stronie klienta | Klient wgrywa poprawkę | Klient nie ma czego wgrać, naprawia tylko dostawca |
Ocena CVSS 5.3 | Sugeruje średnią wagę | Faktycznie wyciekły hasła i rozmowy klientów |
źródło: Pexels, Andrea PiacquadioPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie włamania z maja 2025 roku (Wired). To scenariusz poglądowy dla usług z publicznie dostępnym zrzutem pamięci. Atak nie wymaga konta ani żadnego działania ofiary: wystarczy znaleźć adres i go otworzyć.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Przegląd publicznych adresów usługi narzędziem wyszukującym ukryte ścieżki | Znaleziony adres /heapdump |
2. Pobranie zrzutu | T+kilka min | Otwarcie adresu i pobranie pliku z pamięcią serwera | Plik ok. 150 MB z danymi |
3. Przeszukanie | T+10 min | Wyszukanie w pliku słów takich jak „password” | Loginy i hasła użytkowników, fragmenty czatów |
4. Logowanie | T+15 do 20 min | Zalogowanie się do panelu usługi przejętymi danymi | Dostęp do konta klienta |
5. Powtarzanie | T+godziny do dni | Wielokrotne pobieranie zrzutów w różnych momentach | Kolejne hasła i rozmowy |
6. Wykorzystanie | T+dni do tygodni | Użycie haseł w innych usługach, publikacja lub sprzedaż rozmów | Wyciek, szantaż, dalsze włamania |
Mogę Ci jakoś pomóc?
Ta luka pokazuje ryzyko, którego firma nie może usunąć sama: dane leżą u dostawcy, a klient nie ma serwera ani konfiguracji do poprawienia. Jedyne, co zależy od firmy, to wiedza, u kogo są jej dane, szybka zmiana haseł i ocena skutków. Niska ocena CVSS (5.3) myli: wpis do KEV oznacza, że ktoś już z luki skorzystał.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwa w działaniu usługi archiwizacji (zawieszenie przez dostawcę), migracja do innego rozwiązania | Dni do tygodni | 20 tys. do 200 tys. PLN (migracja, prace IT) |
Bezpieczeństwo danych | Wyciek haseł i treści rozmów służbowych | Minuty od ataku | 20 tys. do 200 tys. PLN (analiza zakresu wycieku, reset haseł) |
Finansowy | Szantaż, nadużycia z użyciem przejętych kont, kary regulacyjne za brak archiwum | Tygodnie | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Publikacja rozmów, utrata zaufania klientów | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w 72 godziny i ewentualne powiadomienie osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; rozliczenie z dostawcą na podstawie umowy powierzenia | 72 godziny od stwierdzenia naruszenia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy korzystającej z usługi TeleMessage
w maju 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: mimo średniej oceny CVSS wpływ jest wysoki, bo wyciekły hasła i treść rozmów; prawdopodobieństwo jest średnie, bo usługa ma ograniczoną liczbę klientów i dostawca zawiesił działanie po incydencie; firma, która nie korzysta z TeleMessage, jest poza zasięgiem tej luki, ale lekcja o spisie dostawców dotyczy każdej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma, jej pracownicy lub partnerzy korzystali z TeleMessage (TM SGNL lub inne aplikacje archiwizujące tego dostawcy) | Dziś | CTO / dział zgodności |
2 | 🔴 NATYCHMIAST | Zmienić hasła do usługi oraz wszędzie tam, gdzie użytkownicy mogli użyć tego samego hasła | Dziś | Administrator IT / użytkownicy |
3 | 🔴 NATYCHMIAST | Wystąpić do dostawcy o pisemną informację: czy dane firmy były w zrzutach pamięci, co usunięto i od kiedy | Dziś | CTO / inspektor ochrony danych |
4 | 🟠 PILNIE | Ocenić, czy doszło do naruszenia ochrony danych osobowych i czy wymagane jest zgłoszenie do UODO | Do 72 godzin od ustalenia | Inspektor ochrony danych / prawnik |
5 | 🟠 PILNIE | Jeśli dostawca nie potwierdzi naprawy: przestać używać usługi (zalecenie CISA) i zaplanować migrację archiwum | Do 7 dni | CTO |
6 | 🟡 WAŻNIE | Sporządzić spis wszystkich usług zewnętrznych przetwarzających dane firmy, z osobą kontaktową u dostawcy | Do 30 dni | CTO / dział zgodności |
7 | 🟡 WAŻNIE | Raz na kwartał sprawdzać listę KEV pod kątem nazw dostawców, ich spółek matek i nazw handlowych produktów | Stały proces | Osoba odpowiedzialna za bezpieczeństwo |
W tym przypadku klient nie ma żadnej aktualizacji do wgrania: usługę naprawia wyłącznie dostawca, a publiczny biuletyn z opisem poprawki nie istnieje. CISA zaleca stosowanie instrukcji dostawcy, a gdy ich brak, zaprzestanie używania. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zaprzestanie używania usługi do czasu pisemnego potwierdzenia naprawy (zalecenie CISA) | Wysoka | Średnia: wymaga alternatywy dla archiwizacji |
Zmiana haseł i włączenie MFA w usłudze, jeśli jest dostępne | Średnia: unieważnia wykradzione hasła, nie chroni treści w pamięci | Łatwa |
Unikalne hasła dla każdej usługi (menedżer haseł) | Średnia: ogranicza skutki wycieku do jednej usługi | Łatwa do średniej |
Ograniczenie treści przesyłanych przez usługę (bez danych wrażliwych) | Niska do średniej | Trudna organizacyjnie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o korzystaniu z usługi | Nieznana | Potwierdzona lista użytkowników i danych |
Hasła użytkowników | Mogły wyciec | Zmienione, unikalne |
Stanowisko dostawcy | Brak informacji | Pisemna odpowiedź o zakresie incydentu i naprawie |
Obowiązki RODO | Nieocenione | Ocena naruszenia udokumentowana, ewentualne zgłoszenie złożone |
Spis dostawców | Brak | Lista usług zewnętrznych z kontaktami |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD: wykorzystana w atakach w maju 2025 |
Grupy przestępcze | Brak publicznych informacji o grupie; Wired opisuje anonimowego napastnika, który przekazał informacje dziennikarzom |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.3 ŚREDNIA wg MITRE (CVSS 3.1) |
PoC dostępny publicznie? | Mechanizm opisany publicznie przez Wired; atak nie wymaga specjalnego kodu, tylko otwarcia adresu |
Liczba atakowanych firm | Brak pełnych danych; wśród klientów z danymi w zrzutach Wired wymienia CBP i Coinbase (Coinbase: brak dowodów dostępu do wrażliwych danych klientów) |
Prognoza EPSS | Ok. 9% szansy próby wykorzystania w 30 dni, powyżej 94% ocenianych luk (wg analizy źródłowej) |
Powiązana luka | CVE-2025-48928, dodana do KEV tego samego dnia |
Sygnały zagrożenia dla CVE-2025-48927
CVSS 3.1 (MITRE) 5.3/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~9% ██░░░░░░░░░░░░░░░░░░ percentyl 94+
CISA KEV TAK ████████████████████ ataki potwierdzone
Wykorzystanie (NVD) TAK ████████████████████ maj 2025
Poprawka dla klienta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko po stronie dostawcy
Mogę Ci jakoś pomóc?
2025-05 Napastnik pobiera zrzuty pamięci usługi TeleMessage
2025-05-05 Ostatni stan usługi objęty opisem CVE
2025-05-18 Wired publikuje opis włamania; TeleMessage
tymczasowo zawiesza wszystkie usługi
2025-05-28 Publikacja CVE-2025-48927 i CVE-2025-48928 w NVD
2025-07-01 CISA dodaje obie luki do katalogu KEV
2025-07-22 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Producent nie opublikował biuletynu z poprawką, a CISA w notatce do wpisu zaleca stosowanie instrukcji dostawcy lub zaprzestanie używania produktu. Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48927 . Opis incydentu: Wired, 18 maja 2025 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma korzystała z TeleMessage lub produktów Smarsh do archiwizacji komunikacji | CTO | DZISIAJ |
2 | Zlecić zmianę haseł do usługi i haseł powtarzanych w innych systemach | CTO | DZISIAJ |
3 | Wysłać do dostawcy pisemne zapytanie o zakres incydentu i stan naprawy | CTO | DZISIAJ |
4 | Zlecić inspektorowi ochrony danych ocenę naruszenia i decyzję o zgłoszeniu do UODO | CTO | DO JUTRA |
5 | Sprawdzić umowę powierzenia danych z dostawcą: obowiązek informowania o incydentach, odpowiedzialność | CFO | DO JUTRA |
6 | Zarezerwować budżet na migrację archiwum, jeśli dostawca nie potwierdzi naprawy | CFO | DO JUTRA |
7 | Zlecić przygotowanie spisu wszystkich usług zewnętrznych przetwarzających dane firmy | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy firma lub którykolwiek pracownik korzystał z TeleMessage lub TM SGNL? | TAK / NIE | 🔴 |
2 | Czy hasła do usługi zostały zmienione po maju 2025? | TAK / NIE, data: [data] | 🔴 |
3 | Czy użytkownicy używali tych samych haseł w innych systemach firmy? | TAK / NIE | 🔴 |
4 | Czy dostawca potwierdził na piśmie zakres incydentu i naprawę? | TAK / NIE, data: [data] | 🟠 |
5 | Jakie dane (rozmowy z klientami, dane osobowe) przechodziły przez usługę? | [opis] | 🟠 |
6 | Czy mamy spis wszystkich usług zewnętrznych przetwarzających dane firmy? | TAK / NIE | 🟠 |
7 | Czy ktoś sprawdza listę KEV pod kątem naszych dostawców usług? | TAK / NIE, osoba: [imię i nazwisko] | 🟡 |
CVE-2025-48927 to publicznie dostępny zrzut pamięci usługi TeleMessage, z którego w maju 2025 roku napastnik odczytał hasła i fragmenty rozmów klientów; CISA potwierdza wykorzystanie, a średnia ocena CVSS nie oddaje skali. Klient nie może tej luki załatać, więc zadanie na dziś to ustalić, czy firma korzystała z usługi, zmienić hasła i zażądać od dostawcy informacji, a na ten miesiąc: spisać wszystkich dostawców, u których leżą dane firmy.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.