CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują serwery z Red Hat Enterprise Linux 7, CentOS 7 lub pokrewnymi systemami z narzędziem ABRT. Werdykt: jeśli taki serwer nie ma aktualizacji pakietu abrt z listopada 2015 roku, zaktualizuj go dziś, a jeśli system jest już bez wsparcia producenta, zaplanuj jego wymianę, bo CISA potwierdza, że ta stara luka jest znowu wykorzystywana w atakach.
Amerykańska agencja CISA 26 sierpnia 2026 roku dopisała CVE-2015-5287 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. To luka sprzed prawie jedenastu lat w ABRT (Automatic Bug Reporting Tool), narzędziu, które w systemach z rodziny Red Hat zbiera informacje o awariach programów. Pozwala osobie, która ma już dostęp do serwera, zdobyć uprawnienia administratora (root).
Poprawka istnieje od 23 listopada 2015 roku. Dodanie do KEV zbiegło się z raportem Cisco Talos z 20 sierpnia 2026 roku, który wymienia tę lukę wśród narzędzi grupy przestępczej UAT-10147 atakującej serwery WWW. CISA zaznacza, że produkt może być już po końcu wsparcia i zaleca przejście na wspieraną wersję.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2015-5287 |
Data dodania do CISA KEV | 2026-08-26 |
Termin naprawy wg CISA | 2026-09-09 |
Produkt | Red Hat, Automatic Bug Reporting Tool (ABRT), komponent open source używany w wielu dystrybucjach |
Wersje zagrożone | ABRT przed wersją 2.7.1 (wg NVD do 2.7.0 włącznie). NVD wymienia Red Hat Enterprise Linux 7.0 (Server, Workstation, Desktop, HPC Node), Oracle Linux 7 oraz RHEL 6.0. Odkrywca luki potwierdził działanie na CentOS 7.1, Fedora 22 oraz RHEL 7.0 i 7.1. Napastnik musi już mieć dostęp do serwera |
Wersje bezpieczne | RHEL 7: pakiety abrt-2.1.11-35.el7 i libreport-2.1.11-31.el7 lub nowsze (biuletyn RHSA-2015:2505); w projekcie ABRT wersja 2.7.1 lub nowsza. Według Red Hat RHEL 6 nie jest podatny |
Typ podatności | Lokalne podniesienie uprawnień przez niebezpieczną obsługę dowiązań symbolicznych; CWE-59 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, NVD oraz CISA). 6.9 ŚREDNIA (CVSS 2.0, NVD i Red Hat). Red Hat ocenia wagę jako umiarkowaną (Moderate) |
💡 Rozbieżność w źródłach: NVD wymienia RHEL 6.0 jako podatny, a Red Hat oznacza RHEL 6 jako niepodatny. Przy inwentaryzacji warto sprawdzić oba wydania, ale priorytetem są systemy w wersji 7.
Wyobraź sobie biurowiec z pokojem, do którego sprzątaczka wrzuca notatki o usterkach. Kierownik techniczny z pełnym kompletem kluczy regularnie przenosi te notatki do archiwum. Ktoś sprytny podmienia tabliczkę na drzwiach archiwum tak, że kierownik, sam o tym nie wiedząc, zanosi dokument do sejfu zarządu i zostawia go otwartym.
Tak działa ta luka. ABRT działa z najwyższymi uprawnieniami i zapisuje pliki z informacjami o awariach. Nie sprawdzał jednak dokładnie, czy miejsce zapisu nie zostało podstawione. Osoba, która ma już jakikolwiek dostęp do serwera, na przykład przez przejętą stronę WWW, mogła to wykorzystać i zostać administratorem całego systemu.
💡 ABRT to narzędzie do automatycznego zgłaszania awarii programów w systemach Red Hat i pochodnych. Root to konto administratora w Linuksie z nieograniczonymi uprawnieniami. Dowiązanie symboliczne to skrót wskazujący na inny plik; błędna obsługa takich skrótów pozwala przekierować zapis w niepożądane miejsce. Podniesienie uprawnień to drugi krok włamania: po wejściu na zwykłe konto napastnik zdobywa pełną kontrolę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przejęta aplikacja WWW na serwerze | Napastnik ma prawa tylko tej aplikacji | Napastnik może zdobyć uprawnienia root |
Dane innych aplikacji na tym samym serwerze | Niedostępne dla zwykłego konta | Dostępne po przejęciu root |
Dzienniki zdarzeń i narzędzia ochrony | Zwykłe konto nie może ich zmienić | Napastnik z root może je wyłączyć lub wyczyścić |
Trwała obecność napastnika | Znika po naprawie aplikacji | Może pozostać w systemie mimo naprawy aplikacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia z internetu: napastnik musi najpierw uruchomić kod na serwerze, na przykład przez inną lukę w aplikacji WWW. Według Cisco Talos tak właśnie działa grupa UAT-10147: wchodzi przez znane luki w serwerach WWW, a potem podnosi uprawnienia zestawem starych exploitów lokalnych.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Wykorzystanie innej, znanej luki w aplikacji lub serwerze WWW | Dostęp z uprawnieniami aplikacji |
2. Rozpoznanie | T+kilka minut | Sprawdzenie wersji systemu i zainstalowanych pakietów | Wybór pasującego exploita lokalnego |
3. Podniesienie uprawnień | T+kilkanaście minut | Wykorzystanie luki w ABRT lub innej znanej luki lokalnej | Uprawnienia root |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu | Stały dostęp do serwera |
5. Wykorzystanie | T+dni | Kradzież danych, oszustwa SEO na stronach, ataki na kolejne systemy | Straty finansowe i wizerunkowe |
Mogę Ci jakoś pomóc?
Słowo „lokalna” w opisie luki usypia czujność. W praktyce serwery WWW są regularnie przejmowane przez luki w aplikacjach, a ta podatność zamienia ograniczony dostęp w pełną kontrolę. Najbardziej narażone są firmy, które nadal mają serwery na systemach w wersji 7, często działające latami bez aktualizacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtwarzanie przejętego serwera, przestój strony lub sklepu | Dni | 20 tys. do 150 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Kradzież baz danych klientów i haseł z serwera | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, utracona sprzedaż, pilna migracja systemu | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Spam i fałszywe treści na stronie firmy, spadek w wynikach wyszukiwania | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utracone zapytania i klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów RHEL 7 / CentOS 7
bez aktualizacji ABRT z listopada 2015
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo luka daje pełną kontrolę nad serwerem; prawdopodobieństwo jest średnie, bo napastnik potrzebuje wcześniejszego dostępu, a problem dotyczy tylko starych, nieaktualizowanych systemów.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie serwery z RHEL 7, CentOS 7, Oracle Linux 7 i starszymi systemami z rodziny Red Hat | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję pakietu abrt i zainstalować wersję z poprawką tam, gdzie jest dostępna | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | W pierwszej kolejności sprawdzić serwery WWW dostępne z internetu | Dziś | Administrator |
4 | 🟠 PILNIE | Przejrzeć te serwery pod kątem śladów włamania: nieznane konta, procesy, zaplanowane zadania | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Zaktualizować aplikacje WWW na tych serwerach, bo to one są zwykle pierwszym krokiem ataku | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Przygotować plan migracji z systemów bez wsparcia (np. CentOS 7 po 30 czerwca 2024) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić stały przegląd aktualizacji dla serwerów Linux | Do 30 dni | Kierownik IT |
Red Hat wydał poprawkę w listopadzie 2015 roku i nie podaje obejścia. Systemy po końcu wsparcia, takie jak CentOS 7, nie dostają nowych poprawek, a CISA dla takich produktów zaleca wycofanie z użycia lub przejście na wspieraną wersję. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Migracja serwera na wspierany system operacyjny | Wysoka | Trudna |
Odinstalowanie ABRT na serwerach, na których nie jest potrzebny, po sprawdzeniu zależności przez administratora | Średnia do wysokiej | Średnia |
Odcięcie starego serwera od bezpośredniego dostępu z internetu | Średnia | Średnia |
Aktualizacja aplikacji WWW i ograniczenie ich uprawnień | Średnia: utrudnia pierwszy krok ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przejęta aplikacja WWW | Może skończyć się przejęciem całego serwera | Szkoda ograniczona do aplikacji |
Pakiet abrt | Wersja sprzed 2015 roku | Wersja z poprawką lub narzędzie usunięte |
Systemy bez wsparcia | Działają, bo nikt ich nie rusza | Harmonogram migracji z datą i budżetem |
Wiedza o serwerach Linux | Niepełna lista | Aktualny spis z wersjami systemów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Według Cisco Talos: UAT-10147, chińskojęzyczna grupa motywowana finansowo, atakująca serwery WWW |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, NVD i CISA); 6.9 (CVSS 2.0, NVD i Red Hat) |
PoC dostępny publicznie? | TAK: działające programy opublikowano w grudniu 2015 roku na liście oss-security i w Exploit Database |
Liczba atakowanych firm | Brak publicznych informacji; według Talos grupa miała listę około 170 tys. adresów stron do skanowania |
Sektory celów | Według Talos: administracja, uczelnie, media, technologie, gry |
Luka ma bardzo niską barierę użycia, bo gotowy kod krąży od lat. W raporcie Talos jest wymieniona w jednym zestawie z innymi starymi lukami lokalnymi, co pokazuje, że przestępcy celowo szukają zaniedbanych serwerów.
Mogę Ci jakoś pomóc?
Wiek luki a jej wykorzystanie
2015 ██ poprawka i publiczny exploit
2016-2023 ░░░░░░░░░░░░░░░░ lata bez wpisu w KEV
2024 ██ koniec życia CentOS 7
2026 ████████ raport Talos i wpis w KEV 2015-07-01 Rezerwacja numeru CVE-2015-5287 przez Red Hat
2015-09 Zgłoszenie luki do Red Hat przez badacza
2015-11-23 Red Hat publikuje poprawkę (RHSA-2015:2505)
2015-12-01 Publikacja opisu i działających exploitów
2015-12-07 Publikacja CVE w NVD
2024-06-30 Koniec życia CentOS Linux 7
2026-08-20 Cisco Talos opisuje grupę UAT-10147 używającą tej luki
2026-08-26 CISA dodaje lukę do katalogu KEV
2026-09-09 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Poprawka w projekcie ABRT wskazana przez CISA: commit 3c1b60cf w repozytorium abrt . Biuletyn Red Hat: RHSA-2015:2505 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2015-5287 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów z systemami w wersji 7 i starszymi | CTO | DZISIAJ |
2 | Potwierdzić aktualizację pakietu abrt na serwerach dostępnych z internetu | CTO | DZISIAJ |
3 | Zlecić sprawdzenie śladów włamania na starych serwerach WWW | CTO | DO JUTRA |
4 | Ustalić, które serwery działają bez wsparcia producenta | CTO | DO JUTRA |
5 | Oszacować koszt migracji tych serwerów na wspierane systemy | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące systemów bez wsparcia | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów z RHEL 7, CentOS 7 lub Oracle Linux 7? | [liczba] | 🔴 |
2 | Czy na tych serwerach jest zainstalowany ABRT i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
3 | Które z tych serwerów są dostępne z internetu? | [lista] | 🔴 |
4 | Kiedy te serwery były ostatnio aktualizowane? | [data] | 🟠 |
5 | Czy sprawdziliśmy je pod kątem nieznanych kont i procesów? | TAK / NIE | 🟠 |
6 | Czy aplikacje WWW na tych serwerach mają aktualne wersje? | TAK / NIE | 🟠 |
7 | Czy istnieje plan i termin migracji z systemów bez wsparcia? | TAK / NIE, [data] | 🟡 |
CVE-2015-5287 to luka sprzed jedenastu lat, która znów trafiła do arsenału przestępców, bo wiele firm wciąż utrzymuje niezaktualizowane serwery z rodziny Red Hat 7. Sama nie otwiera drogi z internetu, ale po przejęciu aplikacji WWW daje napastnikowi pełną kontrolę nad serwerem. Aktualizacja pakietu abrt to zadanie na dziś, a wymiana systemów bez wsparcia to decyzja, której nie warto dłużej odkładać.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.