Luka w module filestore centrali FreePBX pozwala zalogowanemu użytkownikowi wykonać polecenia na serwerze. Grupa INJ3CTOR3 używa jej od grudnia 2025. Zaktualizuj moduł do 17.0.3 i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które mają centralę telefoniczną opartą na FreePBX (Sangoma), własną lub utrzymywaną przez firmę zewnętrzną. Werdykt: jeśli moduł filestore ma wersję od 17.0.2.36 do starszej niż 17.0.3, zaktualizuj go dziś i sprawdź, czy ktoś już nie zostawił sobie drogi powrotu, bo luka jest wykorzystywana od grudnia 2025 roku.
Amerykańska agencja CISA 3 lutego 2026 roku dopisała CVE-2025-64328 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy centrali telefonicznej FreePBX, a dokładniej modułu filestore w pakiecie Endpoint Manager. Zalogowany użytkownik panelu administracyjnego może w funkcji testowania połączenia wpisać własne polecenia systemowe i uzyskać zdalny dostęp do serwera jako użytkownik asterisk, na którym działa telefonia.
Fortinet opisał prawdziwe włamania z tą luką jako drzwiami wejściowymi, zaczęte na początku grudnia 2025 roku i przypisane grupie INJ3CTOR3. Poprawka była dostępna od 7 listopada 2025 roku. Termin naprawy wg CISA minął 24 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-64328 |
Data dodania do CISA KEV | 2026-02-03 |
Termin naprawy wg CISA | 2026-02-24 |
Produkt | Sangoma FreePBX, moduł filestore w Endpoint Manager (panel administracyjny centrali) |
Wersje zagrożone | Moduł filestore od 17.0.2.36 do wersji starszych niż 17.0.3. Uwaga: liczy się numer modułu, a nie numer całego systemu FreePBX. Wymagane konto w panelu administracyjnym |
Wersje bezpieczne | Moduł filestore 17.0.3 i nowsze (poprawka opublikowana 7 listopada 2025). Najnowszą dostępną wersję modułu pokazuje menedżer modułów FreePBX; jej numeru nie weryfikowaliśmy |
Typ podatności | Wstrzyknięcie polecenia systemowego po zalogowaniu (funkcja |
Ocena CVSS | NVD: 7.2 WYSOKA (CVSS 3.1). GitHub (producent): 8.6 WYSOKA (CVSS 4.0). Atak przez sieć, wymaga wysokich uprawnień (konto administracyjne), bez udziału użytkownika, pełny wpływ na system |
Wyobraź sobie formularz zamówienia z rubryką „uwagi dla kuriera”. Kurier czyta „proszę zostawić w recepcji” i wykonuje. Jeśli w tej samej rubryce ktoś dopisze „a przy okazji proszę oddać klucze do biura osobie czekającej przed budynkiem”, a kurier wykonuje wszystko, co przeczyta, klucze zmieniają właściciela. Naprawa nie polega na wykreśleniu tego jednego zdania, tylko na tym, żeby kurier w ogóle nie traktował uwag jak poleceń.
Tak działa ta luka. W panelu centrali jest funkcja sprawdzająca połączenie z serwerem plików: administrator podaje adres, a program składa z niego polecenie systemowe i je wykonuje. Podatna wersja nie sprawdzała, co wpisano w pole adresu. Po adresie można było dopisać znak kończący polecenie i własną komendę. Wymóg zalogowania wygląda na solidną zaporę, ale w praktyce hasło administratora centrali bywa niezmieniane od wdrożenia i znane wielu osobom.
💡 FreePBX to oprogramowanie, które zamienia serwer w centralę telefoniczną VoIP: numery wewnętrzne, kolejki, zapowiedzi, telefony na biurkach. Asterisk to silnik telefonii działający pod spodem. Wstrzyknięcie polecenia (command injection) to dopisanie własnej komendy do danych, które program przekazuje systemowi. Web shell to ukryty plik na serwerze, przez który napastnik wydaje polecenia z przeglądarki.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Test połączenia z serwerem plików w panelu | Sprawdza tylko połączenie | Wykonuje także dopisane polecenia |
Konto administratora centrali | Służy do konfiguracji telefonii | Daje wiersz poleceń na serwerze w sieci firmy |
Panel widoczny z internetu | Wygoda dla instalatora | Napastnik z hasłem może atakować z dowolnego miejsca |
Pytanie „czy centrala jest aktualna?” | Odpowiedź dotyczy całego systemu | Podatny moduł może mieć własny, stary numer |
Aktualizacja po włamaniu | Zamyka problem | Zamyka lukę, ale konta i klucze napastnika zostają |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie włamań przez Fortinet (28 stycznia 2026). To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu w konkretnej firmie. Atak wymaga konta w panelu, więc zaczyna się od zdobycia lub odgadnięcia hasła administratora centrali.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Dostęp do panelu | T+0 | Logowanie do panelu FreePBX widocznego z internetu hasłem domyślnym, starym lub skradzionym | Uwierzytelniona sesja administratora |
2. Wstrzyknięcie | T+kilka minut | Dopisanie polecenia w funkcji testu połączenia modułu filestore | Polecenia wykonywane na serwerze jako |
3. Web shell | T+kilkanaście minut | Pobranie programu z zewnętrznego adresu i instalacja web shella (Fortinet: EncystPHP) | Stały dostęp przez przeglądarkę |
4. Utrwalenie | T+godzina | Założenie konta z uprawnieniami root (Fortinet: | Powrót możliwy bez hasła |
5. Zacieranie śladów | T+godziny | Usunięcie podatnego modułu, cudzych web shelli i wpisów w dziennikach | Skan pokazuje „czysto”, a dostęp zostaje |
6. Nadużycie | T+dni do tygodni | Wykorzystanie centrali jako punktu wejścia do sieci firmy lub do nadużyć telefonicznych | Dalsze włamania, koszty połączeń |
Centrala telefoniczna to serwer jak każdy inny, tylko rzadziej doglądany. Stoi w firmowej sieci, często w tej samej szafie co router, a aktualizacje zależą od firmy zewnętrznej. Przejęta centrala daje napastnikowi punkt wejścia do sieci i dostęp do danych o rozmowach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa centrali, przerwa w obsłudze telefonicznej klientów | Dni | 15 tys. do 100 tys. PLN (odbudowa, przestój infolinii) |
Bezpieczeństwo danych | Dostęp do nagrań rozmów, rejestru połączeń, haseł do bazy; punkt wejścia do sieci | Godziny od wejścia | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Nieautoryzowane połączenia na koszt firmy, koszty reakcji | Dni | 10 tys. do 300 tys. PLN (zależnie od limitów u operatora) |
Reputacyjny | Niedostępna infolinia, wyciek nagrań rozmów z klientami | Tygodnie | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły nagrania lub dane klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla centrali FreePBX z podatnym modułem
i panelem dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (przejęcie serwera w sieci firmy, trwałe tylne furtki), a prawdopodobieństwo średnie, bo napastnik potrzebuje konta w panelu; przy panelu dostępnym z internetu i starym haśle ten warunek łatwo spełnić, a przy panelu tylko w sieci wewnętrznej ryzyko wyraźnie spada.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w menedżerze modułów FreePBX wersję modułu filestore i Endpoint Manager | Dziś | Administrator / firma obsługująca centralę |
2 | 🔴 NATYCHMIAST | Zaktualizować moduł filestore do 17.0.3 lub nowszej | Dziś | Administrator / firma obsługująca centralę |
3 | 🔴 NATYCHMIAST | Zablokować dostęp do panelu administracyjnego z internetu (tylko sieć wewnętrzna lub VPN) | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć konta systemowe (szczególnie z UID 0, np. | Do 3 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Poszukać nieznanych plików PHP w katalogach WWW centrali i sprawdzić uprawnienia plików | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Zmienić hasła wszystkich kont panelu i bazy danych, usunąć konta bez przypisanej osoby | Do 3 dni | Administrator |
7 | 🟡 WAŻNIE | Wpisać aktualizację modułów centrali do stałego harmonogramu z osobą odpowiedzialną | Do 30 dni | CTO |
Producent wydał poprawkę w module filestore 17.0.3, a CISA wymaga zastosowania zaleceń producenta albo zaprzestania używania produktu. Obejścia w samym module nie ma. Do czasu aktualizacji pomagają środki usuwające warunki ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Panel administracyjny dostępny tylko z sieci wewnętrznej lub przez VPN | Wysoka: odcina napastników z internetu | Łatwa do średniej |
Zmiana haseł i usunięcie zbędnych kont w panelu | Średnia do wysokiej: usuwa warunek konieczny ataku | Łatwa |
Ograniczenie dostępu do panelu do listy znanych adresów IP | Średnia | Łatwa |
Limity wydatków i blokada połączeń międzynarodowych u operatora | Niska wobec włamania, ogranicza straty finansowe | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Moduł filestore | 17.0.2.36 do 17.0.3 (bez poprawki) | 17.0.3 lub nowszy |
Panel administracyjny | Dostępny z internetu | Dostępny tylko z sieci firmy lub przez VPN |
Konta panelu | Hasło z wdrożenia, konta byłych pracowników | Nowe hasła, tylko aktywne osoby |
Ślady włamania | Nieznane | Sprawdzone konta systemowe, klucze SSH, zadania cron i pliki PHP |
Aktualizacje centrali | Ad hoc, „jak przyjedzie technik” | Stały harmonogram i odpowiedzialna osoba |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Fortinet opisał włamania od początku grudnia 2025 |
Grupy przestępcze | INJ3CTOR3 wg Fortinet; grupa znana od 2020 roku z ataków na FreePBX (CVE-2019-19006), w 2022 na Elastix (CVE-2021-45461) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA (NVD, CVSS 3.1); 8.6 WYSOKA (GitHub, CVSS 4.0) |
PoC dostępny publicznie? | Brak potwierdzonego publicznego PoC; Fortinet opisał narzędzie EncystPHP używane w atakach |
Liczba atakowanych firm | Brak publicznych informacji; Fortinet opisał incydent u firmy technologicznej z Indii, z atakiem prowadzonym z Brazylii |
Wskaźniki włamania | Konto |
Ocena CVSS jest „tylko” wysoka przez wymóg zalogowania, ale sygnały o realnym zagrożeniu są jednoznaczne:
Sygnały zagrożenia dla CVE-2025-64328
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
CVSS 4.0 (GitHub) 8.6/10 █████████████████░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Znana grupa (Fortinet) TAK ████████████████████ INJ3CTOR3
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-11-07 Publikacja CVE-2025-64328 i poprawki w filestore 17.0.3
2025-12 Początek włamań z użyciem luki (wg Fortinet)
2026-01-28 Fortinet publikuje analizę web shella EncystPHP
2026-02-03 CISA dodaje lukę do katalogu KEV
2026-02-24 Termin naprawy wg CISA dla agencji federalnych
... blisko 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Doradztwo producenta: GHSA-vm9p-46mv-5xvw . Analiza ataków Fortinet: Unveiling the Weaponized Web Shell EncystPHP . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-64328 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firmowa centrala działa na FreePBX i kto ją obsługuje | CTO | DZISIAJ |
2 | Uzyskać od obsługującego wersję modułu filestore na piśmie | CTO | DZISIAJ |
3 | Zatwierdzić zamknięcie dostępu do panelu z internetu | CTO | DZISIAJ |
4 | Zlecić przegląd centrali pod kątem wskaźników włamania z raportu Fortinet | CTO | DO JUTRA |
5 | Sprawdzić u operatora limity kosztów i blokady połączeń międzynarodowych | CFO | DO JUTRA |
6 | Sprawdzić bilingi z ostatnich miesięcy pod kątem nietypowych połączeń | CFO | DO JUTRA |
7 | Dopisać do umowy serwisowej obowiązek regularnych aktualizacji modułów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję ma moduł filestore w naszej centrali FreePBX? | [wersja] | 🔴 |
2 | Czy panel administracyjny centrali odpowiada z internetu? | TAK / NIE | 🔴 |
3 | Czy na serwerze centrali jest konto | TAK / NIE | 🔴 |
4 | Czy w | TAK / NIE | 🟠 |
5 | Kiedy ostatnio zmieniono hasła kont panelu i ile jest tych kont? | [data], [liczba] | 🟠 |
6 | Czy sprawdzono katalogi WWW centrali pod kątem obcych plików PHP? | TAK / NIE, [data] | 🟠 |
7 | Kto i jak często aktualizuje moduły centrali? | [osoba], [częstotliwość] | 🟡 |
CVE-2025-64328 w module filestore centrali FreePBX pozwala zalogowanemu użytkownikowi panelu przejąć serwer telefonii, a według Fortinet grupa INJ3CTOR3 wykorzystuje ją od grudnia 2025 roku, zostawiając konta root i klucze SSH, a potem usuwając podatny moduł. Aktualizacja do 17.0.3 i zamknięcie panelu przed internetem to zadanie na dziś, a przegląd śladów włamania na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.