Błąd w ArrayOS AG pozwala wykonać polecenia na bramie VPN. Ataki z webshellami i nowymi kontami trwały od sierpnia 2025, zanim luka dostała numer. Zabezpiecz logi, zaktualizuj do 9.4.5.9 i sprawdź bramę.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy łączą się z siecią firmową przez bramy dostępowe Array Networks (seria AG lub wirtualna vxAG). Werdykt: jeśli brama działa na ArrayOS AG starszym niż 9.4.5.9, zabezpiecz logi, zaktualizuj ją dziś i sprawdź ślady włamania, bo luka była wykorzystywana od sierpnia 2025 roku, zanim w ogóle dostała numer CVE.
Amerykańska agencja CISA 8 grudnia 2025 roku dopisała podatność CVE-2025-66644 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w ArrayOS AG, oprogramowaniu bram VPN Array Networks, pozwala wstrzyknąć i wykonać na urządzeniu dowolne polecenia systemu operacyjnego.
Historia jest nietypowa. Producent wydał wersję 9.4.5.9 z poprawką w maju 2025 roku. Japoński zespół JPCERT/CC potwierdził ataki od sierpnia 2025 roku, w tym instalowanie webshelli i zakładanie nowych kont na bramach, a 3 grudnia 2025 roku wydał ostrzeżenie, gdy luka nie miała jeszcze numeru CVE. Numer nadano 5 grudnia 2025 roku, a termin CISA minął 29 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-66644 |
Data dodania do CISA KEV | 2025-12-08 |
Termin naprawy wg CISA | 2025-12-29 (21 dni od wpisu) |
Produkt | Array Networks ArrayOS AG na bramach AG1000, AG1000T, AG1000v5, AG1100, AG1100v5, AG1150, AG1200, AG1200v5, AG1500, AG1500FIPS, AG1500v5, AG1600, AG1600v5 oraz wirtualnej vxAG |
Wersje zagrożone | Wszystkie wydania niższe niż 9.4.5.9 (JPCERT: 9.4.5.8 i starsze). Według JPCERT luka dotyczy urządzeń z włączoną funkcją DesktopDirect (zdalny dostęp do pulpitów) |
Wersje bezpieczne | 9.4.5.9 (wydana w maju 2025) i nowsze |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego (OS command injection); CWE-78 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, bez logowania). MITRE, a za nią europejska baza EUVD: 7.2 (CVSS 3.1, WYSOKA, wymagane wysokie uprawnienia) |
Różnica ocen sprowadza się do jednego pytania: czy napastnik musi być wcześniej zalogowany. Opisy ataków od JPCERT (webshelle, nowe konta, wejście do sieci wewnętrznej) wskazują, że w praktyce trzeba zakładać wariant poważniejszy.
Wyobraź sobie magazyn, w którym pracownik wykonuje zamówienia z formularza. Formularz ma rubrykę „uwagi”, a pracownik wykonuje wszystko, co w niej przeczyta. Jeśli ktoś wpisze „oraz wydać dwa laptopy osobie, która się zgłosi”, laptopy wyjadą z magazynu, bo nikt nie ustalił, że uwagi to komentarz, a nie polecenie.
Brama ArrayOS AG w pewnym momencie buduje polecenie dla swojego systemu i wkleja do niego wartość otrzymaną z zewnątrz. Dopisanie znaku kończącego polecenie, na przykład średnika, pozwala napastnikowi dodać własne. A brama VPN to nie zwykły serwer: przez nią pracownicy z domu wchodzą do firmowej sieci, więc kto ją przejmie, stoi już w środku.
💡 Brama VPN to urządzenie, przez które pracownik spoza biura łączy się z siecią firmy szyfrowanym tunelem. DesktopDirect to funkcja bram Array dająca zdalny dostęp do komputerów w biurze. Wstrzyknięcie poleceń to błąd, w którym dane od użytkownika stają się poleceniem dla systemu. Webshell to ukryty plik na urządzeniu, przez który napastnik wraca z przeglądarki, kiedy chce. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik łączy się z domu | Loguje się, pracuje w sieci firmy | Tak samo, nic nie zauważa |
Obca osoba wysyła spreparowane żądanie | Brama odrzuca nieprawidłowe dane | Brama wykonuje polecenia napastnika |
Konta na bramie | Tylko założone przez administratora | Mogą pojawić się konta napastnika |
Dostęp do sieci wewnętrznej | Tylko dla uwierzytelnionych pracowników | Napastnik wchodzi przez przejętą bramę |
Aktualizacja po włamaniu | Zamyka lukę | Zamyka lukę, ale nie usuwa webshelli i kont dodanych wcześniej |
źródło: Wygenerowane przez GPTPoniżej typowy przebieg ataku, poglądowy, oparty na opisie JPCERT/CC. Bramy VPN są z założenia dostępne z internetu. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc napastnicy działali punktowo na wybranych celach, a nie masową falą.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie bram Array AG z włączonym DesktopDirect i starą wersją | Lista celów |
2. Wykonanie poleceń | T+kilka minut | Spreparowane żądanie z dopisanym poleceniem | Polecenia wykonane na bramie |
3. Webshell | T+kilkanaście minut | Umieszczenie pliku PHP w ścieżce zawierającej /webapp/ (wg JPCERT) | Powrót na bramę przez przeglądarkę |
4. Nowe konto | T+godziny | Założenie konta użytkownika na bramie | Legalnie wyglądające logowania |
5. Wejście do sieci | T+dni | Przejście z bramy do sieci wewnętrznej | Dostęp do serwerów i dokumentów firmy |
Mogę Ci jakoś pomóc?
Brama VPN to drzwi wejściowe do firmy dla wszystkich pracujących z zewnątrz. Jej przejęcie jest gorsze niż przejęcie pojedynczego serwera, bo napastnik od razu stoi w miejscu, które z definicji rozmawia ze wszystkim w sieci. Okno ataków od sierpnia 2025 roku oznacza, że sama aktualizacja nie wystarczy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie VPN na czas analizy, praca zdalna wstrzymana, możliwe szyfrowanie serwerów | Dni | 30 tys. do 300 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Odczyt dokumentów i danych klientów, kradzież haseł przechodzących przez bramę | Dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Koszty specjalistów, możliwa wymiana lub przeinstalowanie urządzenia | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Powiadamianie klientów, których dane mogły zostać odczytane | Tygodnie do miesięcy | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z bramą Array AG starszą niż 9.4.5.9
i włączonym DesktopDirect
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna kontrola nad bramą i wejście do sieci), a prawdopodobieństwo wysokie, ale nie najwyższe, bo ataki były punktowe, a luka dotyczy konfiguracji z DesktopDirect; brama z wersją 9.4.5.9 lub nowszą jest poza zasięgiem luki, ale nadal wymaga sprawdzenia śladów z 2025 roku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma bramę Array Networks (fizyczną lub vxAG), jej model i wersję ArrayOS AG | Dziś | CTO / dostawca VPN |
2 | 🔴 NATYCHMIAST | Przed aktualizacją zabezpieczyć logi, bo restart urządzenia może je skasować (ostrzeżenie JPCERT) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować ArrayOS AG do 9.4.5.9 lub nowszej | Dziś | Administrator / dostawca |
4 | 🟠 PILNIE | Sprawdzić urządzenie: pliki PHP w ścieżkach z /webapp/, konta użytkowników, których nikt nie zakładał, połączenia z adresu 194.233.100.138 wskazanego przez JPCERT | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła i klucze, które przechodziły przez bramę od sierpnia 2025 | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Przejrzeć logi serwerów wewnętrznych pod kątem połączeń z adresu bramy w nietypowych godzinach | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wpisać bramę VPN na listę systemów krytycznych z regularnym przeglądem aktualizacji | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 9.4.5.9. Do czasu aktualizacji Array Networks wskazuje (za JPCERT) dwa obejścia. Efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie wszystkich usług DesktopDirect, jeśli funkcja nie jest używana (zalecenie producenta) | Wysoka: usuwa warunek podatności | Łatwa, jeśli nikt z niej nie korzysta |
Filtr adresów URL odrzucający żądania zawierające znak „;” (zalecenie producenta) | Średnia do wysokiej: blokuje znany sposób ataku | Średnia |
Ograniczenie dostępu do bramy do znanych krajów lub adresów | Średnia: zawęża grono napastników | Średnia: ryzyko odcięcia pracowników w podróży |
Przegląd kont i plików na bramie co kilka dni | Niska jako ochrona, kluczowa do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja ArrayOS AG | Starsza niż 9.4.5.9 | 9.4.5.9 lub nowsza |
DesktopDirect | Włączony bez potrzeby | Wyłączony lub chroniony poprawką |
Konta i pliki na bramie | Niesprawdzone, możliwe webshelle | Przejrzane i oczyszczone |
Logi | Zagrożone skasowaniem przy restarcie | Zabezpieczone przed aktualizacją |
Hasła przechodzące przez bramę | Mogły wyciec | Wymienione |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Według NVD wykorzystywana od sierpnia do grudnia 2025; JPCERT/CC potwierdza ataki na organizacje w Japonii od sierpnia 2025 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; JPCERT podał adres źródłowy ataków 194.233.100.138 |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 7.2 WYSOKA wg MITRE i EUVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; JPCERT mówi o zgłoszeniach od organizacji w Japonii |
Skutki opisane przez JPCERT | Webshelle, nowe konta na urządzeniu, wejście do sieci wewnętrznej przez bramę |
Prognoza EPSS | Ok. 0,03 (3%), ale wyżej niż ok. 88% znanych luk; niski wynik nie oznacza braku ataków na niszowe urządzenie |
Firma, która sortuje zadania tylko po ocenie CVSS powyżej 9, w europejskiej bazie (7.2) w ogóle nie zobaczyłaby tej luki. Liczy się to, że ataki są potwierdzone:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-66644
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (MITRE/EUVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~3% █░░░░░░░░░░░░░░░░░░░ NISKA wartość bezwzględna
Ataki przed numerem TAK ████████████████████ od sierpnia 2025
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-05 Array Networks udostępnia ArrayOS AG 9.4.5.9 z poprawką
2025-08 Początek ataków wg JPCERT/CC i NVD (webshelle, nowe konta)
2025-12-03 JPCERT/CC publikuje ostrzeżenie, luka bez numeru CVE
2025-12-05 Publikacja CVE-2025-66644, JPCERT aktualizuje ostrzeżenie
2025-12-08 CISA dodaje lukę do katalogu KEV
2025-12-29 Termin naprawy wg CISA dla agencji federalnych
... prawie 9 miesięcy od terminu CISA, 16 miesięcy od poprawki
2026-09-17: TUTAJ JESTEŚMY Portal wsparcia producenta: support.arraynetworks.net: ArrayOS AG . Ostrzeżenie JPCERT/CC z obejściami i śladami ataku: jpcert.or.jp/at/2025/at250024.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-66644 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawcę zdalnego dostępu o markę, model i wersję bramy VPN (także wirtualnej vxAG) | CTO | DZISIAJ |
2 | Potwierdzić, czy DesktopDirect jest włączony i czy ktoś z niego korzysta | CTO | DZISIAJ |
3 | Zatwierdzić zabezpieczenie logów i aktualizację do 9.4.5.9 lub nowszej | CTO | DZISIAJ |
4 | Zlecić przegląd bramy pod kątem webshelli i nieznanych kont | CTO | DO JUTRA |
5 | Zlecić zmianę haseł i kluczy używanych przez bramę | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualną reinstalację urządzenia | CFO | DO JUTRA |
7 | Sprawdzić, czy umowy z klientami wymagają powiadomienia ich o możliwym incydencie | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy bramy Array Networks AG lub vxAG i w jakim modelu? | TAK / NIE, [model] | 🔴 |
2 | Jaka jest wersja ArrayOS AG? | [wersja] | 🔴 |
3 | Czy funkcja DesktopDirect jest włączona? | TAK / NIE | 🔴 |
4 | Czy logi bramy zostały zabezpieczone przed aktualizacją? | TAK / NIE | 🟠 |
5 | Czy na bramie są pliki PHP w ścieżkach z /webapp/ lub konta, których nikt nie zakładał? | TAK / NIE | 🟠 |
6 | Czy w logach są połączenia z adresu 194.233.100.138? | TAK / NIE | 🟠 |
7 | Kiedy zmieniono hasła i klucze używane przez bramę? | [data] | 🟡 |
CVE-2025-66644 w Array Networks ArrayOS AG starszym niż 9.4.5.9 pozwala wykonać polecenia na bramie VPN, a ataki z webshellami i nowymi kontami trwały od sierpnia 2025 roku, zanim luka dostała numer. Zabezpieczenie logów, aktualizacja i przegląd urządzenia pod kątem śladów to zadania na dziś, bo sama poprawka nie usuwa napastnika, który już wszedł.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.