Błąd w VMware ESXi pozwala napastnikowi, który przejął maszynę wirtualną, wyjść na hipernadzorcę i przejąć wszystkie maszyny serwera. CISA potwierdza użycie w ransomware. Zaktualizuj ESXi i sprawdź kopie.
Ten alert jest dla zarządu, CTO i CFO firm, które uruchamiają swoje serwery jako maszyny wirtualne na VMware ESXi (także w VMware Cloud Foundation). Werdykt: jeśli ESXi nie ma kompilacji z poprawką z 4 marca 2025 roku, zaplanuj aktualizację w najbliższym oknie serwisowym, najpóźniej w ciągu tygodnia, i sprawdź kopie zapasowe przed restartem, bo luka jest używana w atakach ransomware, a obejścia nie ma.
Amerykańska agencja CISA 4 marca 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-22225 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w VMware ESXi pozwala napastnikowi, który ma już uprawnienia w procesie VMX obsługującym maszynę wirtualną, zapisać dowolne dane w jądrze hipernadzorcy i wyjść z izolacji maszyny wirtualnej na cały serwer.
To jedna z trzech luk opisanych w tym samym biuletynie Broadcom (obok CVE-2025-22224 i CVE-2025-22226), jedyna oznaczona przez CISA jako używana w kampaniach ransomware. Lukę zgłosiło prywatnie centrum analizy zagrożeń Microsoftu. Termin CISA minął 25 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-22225 |
Data dodania do CISA KEV | 2025-03-04 |
Termin naprawy wg CISA | 2025-03-25 (21 dni od wpisu) |
Produkt | VMware ESXi (Broadcom); według biuletynu także produkty oparte na ESXi: VMware Cloud Foundation 5.x i 4.5.x, Telco Cloud Platform 2.x do 5.x, Telco Cloud Infrastructure 2.x i 3.x |
Wersje zagrożone | ESXi 8.0 i 7.0 bez kompilacji z poprawką z marca 2025. Atakujący musi mieć uprawnienia w procesie VMX, czyli najpierw przejąć maszynę wirtualną (np. inną luką) |
Wersje bezpieczne | ESXi 8.0: ESXi80U3d-24585383 lub ESXi80U2d-24585300 i nowsze; ESXi 7.0: ESXi70U3s-24585291 i nowsze; Cloud Foundation: łatka do właściwej kompilacji; Telco Cloud: wg artykułu bazy wiedzy producenta |
Typ podatności | Dowolny zapis do jądra (arbitrary write) prowadzący do ucieczki z piaskownicy; CISA: CWE-123 (warunek zapisu „co i gdzie”), NVD: zapis poza granicami pamięci |
Ocena CVSS | Broadcom/VMware i NVD: 8.2 (CVSS 3.1, WYSOKA). Atak lokalny, wymagane wysokie uprawnienia, bez udziału użytkownika, zakres zmieniony. Producent: waga „Important”, cały biuletyn „Critical” |
Wyobraź sobie biurowiec, w którym każda firma najemca ma swoje zamknięte piętro, a ochrona budynku prowadzi rejestr, kto może wchodzić gdzie. Luka nie jest wytrychem do jednych drzwi. To możliwość dopisania swojego nazwiska w rejestrze ochrony. Wtedy nic nie trzeba wyłamywać: przechodzi się przez cały budynek, na oczach ochrony, bo system uznaje, że ma się prawo.
Serwer ESXi to budynek, a maszyny wirtualne to piętra najemców. Napastnik, który przejął jedną maszynę wirtualną i uzyskał uprawnienia w obsługującym ją procesie VMX, może przez tę lukę zapisać dowolne dane w jądrze hipernadzorcy. Od tego momentu kontroluje cały serwer i wszystkie działające na nim maszyny, a grupy ransomware szyfrują wtedy pliki wszystkich maszyn naraz.
💡 Hipernadzorca (hypervisor) to oprogramowanie, na którym działa wiele maszyn wirtualnych jednego serwera; ESXi to hipernadzorca VMware. Proces VMX to proces na serwerze obsługujący jedną maszynę wirtualną. Ucieczka z piaskownicy (sandbox escape) to wyjście z izolacji maszyny wirtualnej na serwer. Zakres zmieniony w CVSS oznacza, że szkoda powstaje poza miejscem ataku. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Maszyny wirtualne działają na serwerze | Są od siebie odizolowane | Tak samo, dopóki nikt nie przejmie jednej z nich |
Napastnik przejmuje jedną maszynę wirtualną | Szkoda ograniczona do tej maszyny | Może wyjść na hipernadzorcę |
Kontrola nad serwerem ESXi | Tylko administratorzy | Napastnik z uprawnieniami jądra |
Pozostałe maszyny na serwerze | Bezpieczne | Dostępne i możliwe do zaszyfrowania naraz |
Zapora sieciowa | Chroni przed atakami z sieci | Nie pomaga, atak nie idzie przez sieć |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest „drugim szczeblem drabiny”: nie da się jej użyć z internetu, napastnik musi najpierw mieć uprawnienia w procesie VMX, zwykle po przejęciu maszyny wirtualnej i wykorzystaniu innej luki z tego samego biuletynu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do firmy | T+0 | Phishing, przejęte hasło VPN lub luka w aplikacji | Dostęp do jednej maszyny wirtualnej |
2. Uprawnienia administratora w maszynie | T+godziny do dni | Podniesienie uprawnień w systemie maszyny wirtualnej | Administrator lokalny maszyny |
3. Wejście do procesu VMX | T+kilka minut | Wykorzystanie innej luki z biuletynu (np. CVE-2025-22224) | Kod w procesie VMX na serwerze |
4. Ucieczka na hipernadzorcę | T+kilka minut | Wykorzystanie CVE-2025-22225 do zapisu w jądrze | Kontrola nad serwerem ESXi |
5. Szantaż | T+godziny | Szyfrowanie plików wszystkich maszyn wirtualnych i kopii na tym samym sprzęcie | Przestój całej firmy, żądanie okupu |
Hipernadzorca to fundament, na którym stoją wszystkie serwery firmy. Luka wymaga wcześniejszego przyczółka, więc nie przyjdzie przy masowym skanowaniu, ale jest ostatnim brakującym elementem, gdy napastnik już jest w środku. CISA potwierdza, że grupy ransomware jej używają.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane wszystkie maszyny wirtualne, zatrzymanie całej firmy | Godziny od ucieczki na hipernadzorcę | 100 tys. do 800 tys. PLN (przestój, odtworzenie środowiska) |
Bezpieczeństwo danych | Dostęp do danych wszystkich systemów na serwerze, wyciek przed szyfrowaniem | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, kary umowne | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Długi przestój widoczny dla klientów, utrata zaufania | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z ESXi bez poprawki z marca 2025
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (przejęcie hipernadzorcy i wszystkich maszyn, potwierdzone użycie w ransomware), a prawdopodobieństwo średnie, bo atak wymaga wcześniejszego przejęcia maszyny wirtualnej i uprawnień w procesie VMX; każde włamanie do maszyny wirtualnej w firmie podnosi je jednak do wysokiego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać wersję i numer kompilacji każdego hosta ESXi i porównać z listą wersji z poprawką | Dziś | Administrator wirtualizacji |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy kopie zapasowe maszyn wirtualnych leżą na innym sprzęcie niż serwery ESXi i czy da się z nich odtworzyć maszyny | Dziś | Administrator |
3 | 🟠 PILNIE | Wyznaczyć konkretne okno serwisowe i zaktualizować ESXi (przy kilku hostach: migracja maszyn i aktualizacja kolejno) | Do 7 dni | Administrator / partner VMware |
4 | 🟠 PILNIE | Zaktualizować powiązane produkty (Cloud Foundation, Telco Cloud) zgodnie z biuletynem | Do 14 dni | Administrator / partner |
5 | 🟠 PILNIE | Sprawdzić, kto ma uprawnienia administratora w maszynach wirtualnych i ograniczyć je do niezbędnych | Do 14 dni | Administrator |
6 | 🟡 WAŻNIE | Odseparować sieć zarządzania ESXi od sieci użytkowników | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wprowadzić stały, kwartalny harmonogram aktualizacji hipernadzorcy | Do 30 dni | CTO |
Producent wydał poprawki dla ESXi 8.0 i 7.0 i zapisał wprost, że obejść nie ma. Atak nie idzie przez sieć, więc nie da się go zablokować zaporą. Poniższe miary tylko ograniczają szanse i skutki; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie uprawnień administratora w maszynach wirtualnych i szybkie łatanie ich systemów | Średnia: utrudnia zdobycie pierwszego szczebla | Średnia |
Kopie zapasowe maszyn na osobnym, niemodyfikowalnym nośniku | Nie blokuje ataku, pozwala odtworzyć firmę po szyfrowaniu | Średnia |
Przeniesienie najważniejszych maszyn na zaktualizowany host | Wysoka dla przeniesionych maszyn | Średnia, wymaga drugiego hosta |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja ESXi | Sprzed marca 2025 | ESXi80U3d, ESXi80U2d, ESXi70U3s lub nowsza |
Okno serwisowe | „Kiedyś”, przesuwane co miesiąc | Konkretna data w kalendarzu |
Kopie zapasowe | Na tym samym sprzęcie | Na osobnym, niemodyfikowalnym nośniku |
Uprawnienia w maszynach wirtualnych | Szerokie | Ograniczone do niezbędnych |
Zgodność z terminem CISA | Zaległość od 25 marca 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA), wpisana do KEV w dniu wydania poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), jako jedyna z trzech luk biuletynu; bez wskazania konkretnej rodziny ransomware |
Ocena CVSS | 8.2 WYSOKA wg Broadcom/VMware i NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Microsoft Threat Intelligence Center |
Prognoza EPSS | Ok. 0,01 (1%), percentyl ok. 0,6; niski, bo luka wymaga przyczółka i nie generuje masowego ruchu |
Jeden procent w EPSS obok potwierdzonego użycia w ransomware to nie sprzeczność: EPSS mierzy masowość prób, a KEV to, czy luka jest używana w prawdziwych atakach.
Sygnały zagrożenia dla CVE-2025-22225
CVSS 3.1 (NVD, VMware) 8.2/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~1% ░░░░░░░░░░░░░░░░░░░░ NISKA (brak masowego skanowania)
Wymaga przyczółka TAK ██████████░░░░░░░░░░ drugi szczebel ataku
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2025-03-04 Broadcom publikuje biuletyn i poprawki (CVE-2025-22224, -22225, -22226)
2025-03-04 Publikacja CVE-2025-22225, CISA dodaje ją do katalogu KEV
2025-03-25 Termin naprawy wg CISA dla agencji federalnych
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Broadcom z listą poprawek: support.broadcom.com: biuletyn 25390 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-22225 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę hostów ESXi z numerami kompilacji | CTO | DZISIAJ |
2 | Potwierdzić, gdzie leżą kopie zapasowe maszyn wirtualnych i kiedy ostatnio testowano odtworzenie | CTO | DZISIAJ |
3 | Zatwierdzić konkretną datę okna serwisowego na aktualizację | CTO | DO JUTRA |
4 | Poinformować działy o planowanej przerwie | CTO | DO JUTRA |
5 | Sprawdzić, czy licencja i umowa serwisowa Broadcom dają dostęp do poprawek | CFO | DO JUTRA |
6 | Oszacować koszt drugiego hosta lub niemodyfikowalnego nośnika kopii | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy hostów ESXi i jaką kompilację ma każdy z nich? | [liczba], [kompilacja] | 🔴 |
2 | Czy wszystkie hosty mają kompilację z poprawką z marca 2025 lub nowszą? | TAK / NIE | 🔴 |
3 | Gdzie przechowujemy kopie zapasowe maszyn wirtualnych? | [miejsce] | 🔴 |
4 | Kiedy ostatnio odtworzyliśmy maszynę wirtualną z kopii? | [data] | 🟠 |
5 | Czy mamy dostęp do poprawek w ramach licencji Broadcom? | TAK / NIE | 🟠 |
6 | Czy sieć zarządzania ESXi jest oddzielona od sieci użytkowników? | TAK / NIE | 🟡 |
7 | Kiedy jest najbliższe realne okno serwisowe? | [data] | 🟡 |
CVE-2025-22225 w VMware ESXi pozwala napastnikowi, który przejął maszynę wirtualną, wyjść na hipernadzorcę i przejąć wszystkie maszyny serwera. CISA potwierdza użycie w ransomware, a obejścia nie ma, więc sprawdzenie kompilacji i kopii zapasowych to zadanie na dziś, a aktualizacja w wyznaczonym oknie serwisowym na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.