CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które mają starsze aplikacje internetowe napisane w technologii Microsoft ASP.NET, własne albo zamówione u wykonawców. Werdykt: jeśli któraś z Waszych aplikacji korzysta z biblioteki Ajax.NET Professional (AjaxPro), sprawdź to dziś, zaktualizuj ją do wersji nowszej niż 21.11.29 albo odetnij aplikację od internetu, bo luka jest aktywnie wykorzystywana, a gotowe narzędzie ataku jest publicznie dostępne.
Amerykańska agencja CISA 26 sierpnia 2026 roku dopisała CVE-2021-23758 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To luka sprzed prawie pięciu lat w Ajax.NET Professional, darmowej bibliotece, która według badaczy MOGWAI LABS była bardzo popularna w pierwszej dekadzie XXI wieku i nadal działa w części starszych aplikacji ASP.NET. Luka pozwala przestępcy z internetu uruchomić własny program na serwerze, na którym działa aplikacja.
Kilka dni wcześniej, 20 sierpnia 2026 roku, zespół Cisco Talos opisał grupę przestępczą, która według tego raportu używa tej luki do włamań na serwery WWW. CISA zaznacza też, że produkt może nie być już wspierany, i zaleca przejście na wspieraną wersję albo zaprzestanie używania. Termin naprawy dla amerykańskich agencji federalnych minął 9 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-23758 |
Data dodania do CISA KEV | 2026-08-26 |
Termin naprawy wg CISA | 2026-09-09 (14 dni od wpisu) |
Produkt | Ajax.NET Professional (AjaxPro), biblioteka open source autorstwa Michaela Schwarza dla aplikacji Microsoft ASP.NET; pakiety NuGet AjaxPro.2 i AjaxNetProfessional. CISA: komponent może być wbudowany w różne produkty |
Wersje zagrożone | Źródła się różnią. NVD: wersje przed 21.10.30.1. Biuletyn GitHub: pakiet AjaxNetProfessional do 21.11.29 włącznie. Rekord CVE i Snyk: wszystkie wersje starego pakietu AjaxPro.2 (ostatnia 6.10.6.2, bez poprawki). Według opisu modułu Metasploit także nowsza wersja bywa podatna, jeśli własny kod aplikacji przyjmuje parametry ogólnego typu |
Wersje bezpieczne | Biuletyn GitHub: pierwsza poprawiona 21.11.29.1. Najnowsza w NuGet: AjaxNetProfessional 24.10.10.1 (10 października 2024). Najnowsze wydanie na GitHubie: v23.5.10.1 |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Biuletyn GitHub: 9.8 (CVSS 3.1). Snyk jako wystawca CVE: 8.1 (CVSS 3.1, WYSOKA, z wysoką złożonością ataku). NVD historycznie: 7.5 (CVSS 2.0). Wszystkie: atak przez sieć, bez konta i bez udziału użytkownika |
Wyobraź sobie biuro podawcze, w którym urzędnik nie tylko przyjmuje przesyłki, ale też rozpakowuje je i składa przysłane w paczce elementy według dołączonej instrukcji. Zwykle ktoś przysyła formularz do wypełnienia. Ten urzędnik nie sprawdza jednak, co składa: jeśli w paczce przyjdzie zestaw „zbuduj klucz do sejfu i oddaj go kurierowi”, zrobi to bez pytania.
Tak działała podatna wersja AjaxPro. Aplikacja przyjmuje dane od przeglądarki i odtwarza z nich obiekty po stronie serwera. Starsze wersje biblioteki nie ograniczały, jakie obiekty wolno odtworzyć, więc odpowiednio przygotowane dane mogły zmusić serwer do wykonania dowolnego polecenia. Autor biblioteki wprowadził w 2021 roku domyślną odmowę i listę dozwolonych typów, ale aplikacje, których nikt nie zaktualizował, nadal działają po staremu.
💡 Biblioteka to gotowy fragment oprogramowania, który programiści wbudowują w aplikację, zamiast pisać wszystko od zera. Deserializacja to odtwarzanie obiektów programu z danych przesłanych przez sieć. Zdalne wykonanie kodu (RCE) oznacza, że przestępca uruchamia własne polecenia na cudzym serwerze. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane. EoL (end of life) to produkt, którego producent już nie rozwija i nie łata.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Formularz na stronie wysyła dane do serwera | Serwer odczytuje proste wartości, np. datę lub nazwisko | Serwer odtwarza obiekt, który wybrał przestępca |
Ktoś z internetu wysyła spreparowane dane | Aplikacja odrzuca je jako błędne | Aplikacja wykonuje polecenie przestępcy |
Uprawnienia | Aplikacja robi tylko to, do czego ją zaprojektowano | Przestępca działa z uprawnieniami konta, na którym działa strona |
Stara aplikacja, której nikt nie rozwija | Działa latami bez problemów | Staje się furtką do serwera i sieci firmy |
Aktualizacja biblioteki | Rutynowa praca utrzymaniowa | Wymaga wykonawcy, testów i czasem przeglądu kodu |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do opisu z raportu Cisco Talos o grupie UAT-10147. To scenariusz poglądowy: luka nie wymaga logowania, więc wystarczy, że podatna aplikacja jest dostępna z internetu. Publiczny moduł w narzędziu Metasploit istnieje od października 2023 roku, więc atak nie wymaga specjalistycznej wiedzy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie celów | T-dni | Automatyczne skanowanie tysięcy stron w poszukiwaniu aplikacji z AjaxPro (Talos: lista ok. 170 tys. adresów) | Lista podatnych serwerów |
2. Włamanie | T+0 min | Wysłanie spreparowanych danych do aplikacji | Wykonanie polecenia na serwerze bez logowania |
3. Zainstalowanie narzędzi | T+kilka minut | Pobranie programu do zdalnego dostępu lub tzw. web shella | Stały dostęp do serwera |
4. Podniesienie uprawnień | T+godziny | Użycie znanych narzędzi do przejęcia pełnych uprawnień systemu | Kontrola nad całym serwerem |
5. Utrwalenie i ukrycie | T+godziny | Wyłączanie ochrony antywirusowej dla wybranych folderów, zakładanie kont administratora | Obecność trudna do wykrycia |
6. Zarabianie na dostępie | T+dni do tygodni | Wstrzykiwanie treści do stron (oszustwa SEO), kradzież danych, dalsze ataki w sieci | Szkody dla klientów, wyciek danych, utrata pozycji w wyszukiwarce |
Najbardziej zagrożone są aplikacje, o których firma zapomniała: systemy zamówione lata temu, utrzymywane „bo działają”, często bez umowy serwisowej z wykonawcą. Ocena CVSS 9.8, brak wymogu logowania, publiczne narzędzie ataku i potwierdzone przez CISA wykorzystanie sprawiają, że taka aplikacja wystawiona do internetu to otwarte drzwi.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie aplikacji na czas naprawy, odtworzenie serwera, pilne prace wykonawcy | Godziny do dni | 20 tys. do 120 tys. PLN (przestój, praca wykonawcy) |
Bezpieczeństwo danych | Wyciek danych z baz podłączonych do aplikacji, przejęcie haseł zapisanych w konfiguracji | Minuty do dni od włamania | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszt migracji starej aplikacji, utracona sprzedaż, możliwy szantaż | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Podmienione treści na stronie, ostrzeżenia w wyszukiwarce, utrata zaufania klientów | Dni do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty, działania naprawcze) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z aplikacją AjaxPro dostępną z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Aplikacja tylko w sieci wewnętrznej: prawdopodobieństwo niższe (2-3),
wpływ bez zmian. Interpretacja: wpływ jest maksymalny, bo chodzi o pełne przejęcie serwera, a prawdopodobieństwo wysokie, bo narzędzie ataku jest publiczne od 2023 roku, a CISA i Cisco Talos potwierdzają wykorzystanie; dla aplikacji wystawionej do internetu to sprawa KRYTYCZNA.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, które aplikacje ASP.NET w firmie i u wykonawców używają AjaxPro (pakiety AjaxPro.2 lub AjaxNetProfessional, biblioteka AjaxPro.2.dll) | Dziś | CTO / kierownik IT |
2 | 🔴 NATYCHMIAST | Dla każdej znalezionej aplikacji sprawdzić wersję biblioteki i to, czy jest dostępna z internetu | Dziś | Administrator / wykonawca |
3 | 🔴 NATYCHMIAST | Aplikację z podatną wersją dostępną z internetu odciąć od internetu (VPN, lista dozwolonych adresów) do czasu aktualizacji | Dziś | Administrator |
4 | 🟠 PILNIE | Zaktualizować bibliotekę do najnowszej wersji AjaxNetProfessional (24.10.10.1) i zweryfikować, że własne metody aplikacji nie przyjmują parametrów ogólnego typu | Do 3 dni | Wykonawca / zespół programistów |
5 | 🟠 PILNIE | Sprawdzić serwery z tą aplikacją pod kątem śladów włamania: nieznane konta administratora, nowe zadania harmonogramu, wyjątki w antywirusie, nieznane moduły IIS | Do 3 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli ślady są obecne: odizolować serwer, zmienić hasła do baz danych i kont z konfiguracji aplikacji, zlecić analizę powłamaniową | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Zdecydować o przyszłości starej aplikacji: migracja na wspieraną technologię albo wyłączenie | Do 90 dni | Zarząd / CTO |
Autor biblioteki wydał poprawione wersje (pierwsza według biuletynu GitHub: 21.11.29.1), ale stary pakiet AjaxPro.2 nie ma wersji z poprawką, a aktualizacja starej aplikacji może wymagać wykonawcy i testów. Na ten czas pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie aplikacji od internetu i udostępnienie jej tylko przez VPN | Wysoka | Średnia: zmienia sposób pracy użytkowników |
Zablokowanie w konfiguracji serwera WWW dostępu do usług AjaxPro.Services (zalecenie MOGWAI LABS) | Średnia: usuwa domyślną drogę ataku, nie chroni podatnych metod własnych aplikacji | Łatwa dla administratora IIS |
Ograniczenie dostępu do aplikacji do znanych adresów IP partnerów | Wysoka dla aplikacji z zamkniętą grupą użytkowników | Łatwa |
Uruchomienie aplikacji na koncie z minimalnymi uprawnieniami i odseparowanie serwera od reszty sieci | Średnia: ogranicza skutki, nie zapobiega włamaniu | Średnia |
Wyłączenie aplikacji, jeśli nie jest już potrzebna | Pełna | Łatwa, decyzja biznesowa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o aplikacjach | Nikt nie wie, gdzie jest AjaxPro | Lista aplikacji z wersjami i właścicielami |
Dostęp z internetu | Każdy może wysłać dane do podatnej aplikacji | Dostęp tylko przez VPN lub z zaufanych adresów |
Wersja biblioteki | Stara, bez listy dozwolonych typów | 24.10.10.1 z domyślną odmową deserializacji |
Stan serwera | Nieznany | Sprawdzony pod kątem śladów włamania |
Plan na przyszłość | Aplikacja działa „bo działa” | Decyzja o migracji lub wyłączeniu z terminem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA w ocenie SSVC: wykorzystanie aktywne, wpływ techniczny całkowity |
Grupy przestępcze | Według Cisco Talos: UAT-10147, chińskojęzyczna grupa nastawiona na zysk (oszustwa SEO, kradzież danych), która według raportu automatyzuje ataki narzędziami sztucznej inteligencji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i GitHub (CVSS 3.1); 8.1 WYSOKA wg Snyk (CVSS 3.1) |
PoC dostępny publicznie? | TAK: moduł w Metasploit Framework od października 2023 roku, wcześniej szczegółowa analiza badaczy MOGWAI LABS |
Liczba atakowanych firm | Brak publicznych danych o liczbie ofiar tej luki. Talos opisuje ofiary grupy w m.in. Brazylii, Boliwii, Chinach, Kanadzie i Wietnamie, w sektorach: administracja, uczelnie, media, technologia, gry |
Status produktu | CISA: produkt może być wycofany ze wsparcia. Repozytorium nie jest zarchiwizowane, ostatnia wersja w NuGet pochodzi z października 2024 roku |
Sygnały zagrożenia dla CVE-2021-23758
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Snyk) 8.1/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ wykorzystanie potwierdzone
Publiczny exploit TAK ████████████████████ Metasploit od 2023
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2021-10-27 Autor biblioteki publikuje poprawkę w kodzie (commit b0e63be)
2021-11-18 Wydanie v21.10.30.1 na GitHubie
2021-11-22 Wydanie v21.11.22.1: domyślna odmowa deserializacji typów
2021-11-29 Wydanie v21.11.29.1: pierwsza wersja poprawiona wg GitHub
2021-12-03 Publikacja CVE-2021-23758 (zgłoszenie: MOGWAI LABS)
2021-12-07 Biuletyn GitHub GHSA-6r7c-6w96-8pvw
2023-10-27 Publiczny moduł ataku w Metasploit Framework
2024-10-10 Najnowsza wersja AjaxNetProfessional 24.10.10.1 w NuGet
2026-08-20 Cisco Talos opisuje wykorzystanie przez grupę UAT-10147
2026-08-26 Wpis do katalogu CISA KEV
2026-09-09 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Poprawka autora biblioteki: commit b0e63be w repozytorium Ajax.NET Professional . Aktualny pakiet: AjaxNetProfessional w NuGet . Biuletyn: GHSA-6r7c-6w96-8pvw . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-23758 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić wyszukanie AjaxPro we wszystkich aplikacjach ASP.NET, także tych utrzymywanych przez wykonawców | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie od internetu każdej podatnej aplikacji do czasu aktualizacji | CTO | DZISIAJ |
3 | Otrzymać wynik sprawdzenia serwerów pod kątem śladów włamania | CTO | DO JUTRA |
4 | Wysłać wykonawcom zapytanie o użycie AjaxPro w dostarczonych systemach i termin aktualizacji | CTO | DO JUTRA |
5 | Zarezerwować budżet na pilną aktualizację i ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić umowy serwisowe starych aplikacji i warunki polisy cyberubezpieczenia | CFO | DO JUTRA |
7 | Wpisać migrację lub wyłączenie starych aplikacji ASP.NET do planu budżetowego | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy którakolwiek z naszych aplikacji używa biblioteki AjaxPro (AjaxPro.2 lub AjaxNetProfessional)? | TAK / NIE, [lista aplikacji] | 🔴 |
2 | Jaka wersja biblioteki jest zainstalowana w każdej z nich? | [wersja] | 🔴 |
3 | Czy te aplikacje są dostępne z internetu bez VPN? | TAK / NIE | 🔴 |
4 | Czy serwery z tymi aplikacjami zostały sprawdzone pod kątem śladów włamania i kiedy? | TAK / NIE, [data] | 🔴 |
5 | Kiedy biblioteka zostanie zaktualizowana do wersji 24.10.10.1 lub aplikacja wyłączona? | [data] | 🟠 |
6 | Kto utrzymuje te aplikacje i czy mamy z nim aktualną umowę serwisową? | [wykonawca], TAK / NIE | 🟠 |
7 | Czy serwer WWW jest oddzielony od systemów księgowych i kontrolera domeny? | TAK / NIE | 🟡 |
CVE-2021-23758 to krytyczna luka w bibliotece Ajax.NET Professional, która pozwala przejąć serwer starej aplikacji ASP.NET bez logowania; poprawki istnieją od 2021 roku, ale CISA i Cisco Talos potwierdzają, że w 2026 roku przestępcy nadal ją wykorzystują. Największe ryzyko dotyczy zapomnianych aplikacji bez opiekuna, dlatego najpierw trzeba je znaleźć, odciąć od internetu i zaktualizować albo wyłączyć.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.