Moduł endpoint w FreePBX 15, 16 i 17 pozwalał bez hasła przejąć panel, bazę i serwer centrali, a potem dzwonić na koszt firmy. Ataki trwają od sierpnia 2025. Zaktualizuj moduł, zamknij panel i sprawdź biling.
Ten alert jest dla zarządu, CTO i CFO firm, które mają centralę telefoniczną FreePBX 15, 16 lub 17 z modułem Endpoint Manager, własną lub utrzymywaną przez firmę zewnętrzną. Werdykt: jeśli moduł endpoint nie ma wersji 15.0.66, 16.0.89 lub 17.0.3 albo nowszej, zaktualizuj go i zamknij panel przed internetem NATYCHMIAST, a potem sprawdź ślady włamania i biling, bo luka jest masowo wykorzystywana bez hasła.
Amerykańska agencja CISA 29 sierpnia 2025 roku dopisała CVE-2025-57819 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy modułu endpoint (Endpoint Manager) w centrali telefonicznej FreePBX, służącego do obsługi aparatów. Niedostatecznie sprawdzane dane od użytkownika pozwalają napastnikowi bez żadnego hasła wejść do panelu administratora, dowolnie zmieniać bazę danych i wykonać kod na serwerze.
Producent ostrzegł klientów 26 sierpnia 2025 roku, a najwcześniejsze potwierdzone ślady ataków pochodzą z 21 sierpnia 2025 roku, czyli sprzed poprawki. Ocena w skali CVSS 4.0 jest maksymalna: 10.0. Termin naprawy wg CISA minął 19 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-57819 (europejska baza ENISA: EUVD-2025-26123) |
Data dodania do CISA KEV | 2025-08-29 |
Termin naprawy wg CISA | 2025-09-19 |
Produkt | Sangoma FreePBX, moduł endpoint (Endpoint Manager); także PBXAct |
Wersje zagrożone | FreePBX 15, 16 i 17 z modułem endpoint w wersjach starszych niż 15.0.66, 16.0.89 i 17.0.3. Wg producenta systemy bez zainstalowanego modułu endpoint są prawdopodobnie niezagrożone. Podatność gałęzi starszych niż 15 nie została potwierdzona. Nie jest wymagane żadne konto |
Wersje bezpieczne | Moduł endpoint 15.0.66, 16.0.89, 17.0.3 i nowsze (kanał STABLE od 28 sierpnia 2025; kanał EDGE od 26 sierpnia 2025: 16.0.88.19 dla PBXAct 16 i 17.0.2.31 dla PBXAct 17). Najnowszą wersję pokazuje menedżer modułów; jej numeru nie weryfikowaliśmy |
Typ podatności | Wstrzyknięcie SQL i obejście uwierzytelnienia ścieżką alternatywną, prowadzące do wykonania kodu; CWE-89 i CWE-288 |
Ocena CVSS | GitHub: 10.0 KRYTYCZNA (CVSS 4.0, z wysokim wpływem na systemy następcze). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie biurowiec z recepcją, która starannie sprawdza dokumenty. Z boku budynku są jednak drzwi serwisowe dla techników telefonii i tam nikt nikogo nie sprawdza. Kto przez nie wejdzie, trafia prosto do pomieszczenia z centralą, może przestawić wszystkie ustawienia, dopisać sobie przepustkę na stałe i dzwonić na koszt firmy na dowolne numery świata.
Tak działa CVE-2025-57819. Moduł endpoint miał „boczne drzwi”: jego punkty końcowe przyjmowały dane, które trafiały do zapytań do bazy jako część polecenia. Napastnik mógł w ten sposób ominąć logowanie, dopisać własne konto administratora i uruchomić kod na serwerze. Skutek wychodzi poza serwer: przejęta centrala daje dostęp do łączy operatora (trunków SIP), przez które napastnik generuje drogie połączenia, a rachunek przychodzi do firmy.
💡 FreePBX to graficzny panel do zarządzania centralą telefoniczną Asterisk. Endpoint Manager to komercyjny moduł do konfiguracji aparatów telefonicznych. Wstrzyknięcie SQL to sytuacja, w której tekst od napastnika staje się częścią polecenia do bazy danych. Trunk SIP to łącze centrali z operatorem, przez które wychodzą połączenia zewnętrzne. Systemy następcze w CVSS 4.0 to systemy niepodatne same w sobie, ale ponoszące skutki ataku.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do panelu administratora centrali | Tylko po zalogowaniu | Możliwy bez żadnego hasła |
Baza danych centrali | Zmieniana przez administratora | Napastnik dopisuje konta i zmienia konfigurację |
Łącza do operatora (trunki SIP) | Połączenia pracowników | Połączenia na numery premium na koszt firmy |
Działanie telefonii po ataku | Normalne | Często normalne: producent ostrzega, że atak bywa bezobjawowy |
Aktualizacja po włamaniu | Zamyka problem | Nie usuwa kont i plików napastnika, wymagana odbudowa |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do wskaźników opublikowanych przez producenta. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta, a według oceny CISA jest automatyzowalny, więc panele FreePBX widoczne z internetu są przeczesywane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie paneli FreePBX dostępnych z internetu | Lista celów |
2. Obejście logowania | T+sekundy | Spreparowane żądania do punktów końcowych modułu endpoint (m.in. POST do | Dostęp administratora bez hasła |
3. Wykonanie kodu | T+minuty | Zmiany w bazie i uruchomienie skryptu (producent: plik | Kontrola nad serwerem centrali |
4. Utrwalenie | T+minuty | Dopisanie nieznanych kont w tabeli | Powrót możliwy po aktualizacji |
5. Nadużycie telefonii | T+godziny | Połączenia przez trunki SIP, ruch na numer wewnętrzny 9998 (wskaźnik producenta) | Koszty połączeń na rachunku firmy |
6. Dalszy ruch | T+dni | Wykorzystanie serwera jako przyczółka w sieci firmy | Szersze włamanie |
Centrala telefoniczna rzadko trafia na listę rzeczy do pilnego łatania: stoi w szafie i działa. Tymczasem tu nie trzeba nawet hasła, atak jest automatyczny, a jego koszt często widać dopiero na fakturze od operatora.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa centrali na nowej instalacji, zmiana wszystkich haseł, przerwa w telefonii | Dni | 15 tys. do 120 tys. PLN (odbudowa, przestój infolinii) |
Bezpieczeństwo danych | Dostęp do bazy centrali, nagrań, poczty głosowej, haseł do trunków i kont | Minuty od ataku | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Połączenia na numery premium i międzynarodowe na koszt firmy | Godziny do dni | 10 tys. do 500 tys. PLN (zależnie od limitów u operatora) |
Reputacyjny | Niedziałająca infolinia, wyciek nagrań rozmów z klientami | Tygodnie | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe lub nagrania; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spór z operatorem o rachunek | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla FreePBX z modułem endpoint bez poprawki
i panelem dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne, bo atak nie wymaga hasła, jest zautomatyzowany (EPSS 0,88) i przenosi się na łącza operatora; centrala bez modułu endpoint lub z panelem dostępnym tylko z sieci wewnętrznej jest w znacznie lepszej sytuacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ograniczyć dostęp do panelu administratora modułem Firewall wyłącznie do zaufanych adresów | Dziś | Administrator / firma obsługująca centralę |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję modułu endpoint i zaktualizować do 15.0.66, 16.0.89, 17.0.3 lub nowszej | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Sprawdzić wskaźniki włamania: plik | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Ustawić u operatora limit kosztów i zablokować połączenia na numery premium i międzynarodowe, jeśli nie są potrzebne | Dziś | CFO / administrator |
5 | 🟠 PILNIE | Przy śladach włamania: odbudować centralę na nowej instalacji z kopii sprzed 21 sierpnia 2025 | Do 3 dni | Firma obsługująca centralę |
6 | 🟠 PILNIE | Zmienić wszystkie hasła: systemowe, trunków SIP, kont, rozszerzeń, poczty głosowej i panelu UCP | Do 3 dni | Administrator |
7 | 🟡 WAŻNIE | Przejrzeć biling pod kątem połączeń międzynarodowych od sierpnia 2025 | Do 7 dni | CFO |
Producent wydał poprawki dla gałęzi 15, 16 i 17. Przed ich wydaniem zalecał ograniczenie dostępu do panelu, ale nie potwierdzono, by samo to wystarczało bez aktualizacji. Dla gałęzi starszych niż 15 brak publicznych informacji o poprawkach. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Panel administratora dostępny tylko z zaufanych adresów (moduł Firewall, zalecenie producenta) | Wysoka wobec skanowania z internetu, nie zastępuje poprawki | Łatwa |
Odinstalowanie modułu endpoint, jeśli nie jest używany | Wysoka: wg producenta systemy bez modułu są prawdopodobnie niezagrożone | Średnia: zmienia obsługę aparatów |
Limity kosztów i blokady kierunków u operatora | Niska wobec włamania, wysoka wobec strat finansowych | Łatwa |
Wymiana centrali na wspieraną wersję | Wysoka | Trudna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel administratora | Dostępny z internetu, do obejścia bez hasła | Dostępny tylko z zaufanych adresów, z poprawką |
Moduł endpoint | Wersja bez poprawki | 15.0.66, 16.0.89, 17.0.3 lub nowsza |
Wiedza o włamaniu | „Telefony działają, więc jest dobrze” | Sprawdzone wskaźniki producenta |
Hasła do trunków i kont | Mogły zostać odczytane z bazy | Zmienione wszystkie |
Ryzyko finansowe | Brak limitu u operatora | Limit kosztów i blokady kierunków |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); producent wskazuje ślady ataków od co najmniej 21 sierpnia 2025, przed poprawką |
Grupy przestępcze | Brak publicznych informacji o sprawcach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (GitHub, CVSS 4.0); 9.8 KRYTYCZNA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | NVD podlinkowuje repozytorium watchTowr dotyczące tej luki; techniczne szczegóły modułu (kod zamknięty) nie są publicznie potwierdzone |
Liczba atakowanych firm | Brak publicznych informacji; pojedyncza relacja z forum dotyczy instalacji z około 3000 rozszerzeń SIP i 500 trunkami |
Prognoza EPSS | 0,88269 (percentyl 0,99756) według odczytu z 24 sierpnia 2026 (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): tak; wpływ techniczny: całkowity |
Różnica 0,2 punktu między ocenami wynika z budowy skal: CVSS 4.0 potrafi opisać skutki dla systemów następczych, czyli tu łączy operatora.
Sygnały zagrożenia dla CVE-2025-57819
CVSS 4.0 (GitHub) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-08-21 Najwcześniejsze potwierdzone ślady ataków (logi Apache)
2025-08-26 Producent ostrzega klientów, poprawka w kanale EDGE
2025-08-28 Poprawka w kanale STABLE, publikacja CVE-2025-57819 w NVD
2025-08-29 CISA dodaje lukę do katalogu KEV, NCSC NL wydaje ostrzeżenie
2025-09-19 Termin naprawy wg CISA dla agencji federalnych
... blisko rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Doradztwo producenta ze wskaźnikami włamania: GHSA-m42g-xg4c-5f3h . Ostrzeżenie na forum FreePBX: Security Advisory: Please lock down your administrator access . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-57819 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy centrala działa na FreePBX lub PBXAct i czy ma moduł endpoint | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe zamknięcie panelu przed internetem i aktualizację | CTO | DZISIAJ |
3 | Zadzwonić do operatora: limit kosztów, blokada numerów premium i kierunków międzynarodowych | CFO | DZISIAJ |
4 | Uzyskać od obsługującego wynik sprawdzenia wskaźników włamania na piśmie | CTO | DO JUTRA |
5 | Zatwierdzić odbudowę centrali, jeśli wskaźniki coś wykażą | CTO | DO JUTRA |
6 | Przejrzeć faktury telefoniczne od sierpnia 2025 | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa obejmuje straty z nadużyć telekomunikacyjnych | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza centrala to FreePBX 15, 16 lub 17 i czy ma moduł endpoint? | TAK / NIE | 🔴 |
2 | Jaką wersję ma moduł endpoint? | [wersja] | 🔴 |
3 | Czy panel administratora odpowiada z internetu? | TAK / NIE | 🔴 |
4 | Czy na serwerze jest plik | TAK / NIE | 🔴 |
5 | Czy logi Asteriska pokazują połączenia na numer 9998? | TAK / NIE | 🟠 |
6 | Czy mamy kopię zapasową centrali sprzed 21 sierpnia 2025? | TAK / NIE, [data] | 🟠 |
7 | Kiedy zmieniono hasła do trunków SIP i poczty głosowej? | [data] | 🟡 |
CVE-2025-57819 w module endpoint centrali FreePBX pozwala bez hasła przejąć panel administratora, bazę danych i serwer, a atak jest zautomatyzowany i trwa od sierpnia 2025 roku. Zamknięcie panelu przed internetem, aktualizacja modułu i limit kosztów u operatora to zadania na dziś, a sprawdzenie wskaźników włamania, zmiana haseł i ewentualna odbudowa na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.