CISA potwierdza wykorzystanie luki w jądrze Linux z 2022 roku, która daje napastnikowi na serwerze pełne uprawnienia. Używa jej grupa UAT-10147. Zaktualizuj jądro na wszystkich serwerach.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują serwery lub urządzenia z systemem Linux, zwłaszcza serwery WWW dostępne z internetu. Werdykt: jeśli któryś serwer działa na jądrze Linux z lat 2020-2022 bez aktualizacji, zaktualizuj go dziś, bo stara luka z 2022 roku wróciła jako narzędzie aktywnej grupy przestępczej.
Amerykańska agencja CISA 26 sierpnia 2026 roku dopisała CVE-2022-0995 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. To błąd w jądrze Linux, w mechanizmie powiadomień systemowych. Osoba, która ma już dostęp do serwera na zwykłym koncie, może dzięki niemu zdobyć pełne uprawnienia administratora (root) albo zawiesić system.
Luka jest znana i załatana od marca 2022 roku. Wróciła do gry, bo według raportu Cisco Talos z 20 sierpnia 2026 roku grupa UAT-10147 używa jej do przejmowania serwerów WWW. Termin naprawy wg CISA minął 9 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-0995 |
Data dodania do CISA KEV | 2026-08-26 |
Termin naprawy wg CISA | 2026-09-09 |
Produkt | Linux, jądro systemu (podsystem powiadomień watch_queue) |
Wersje zagrożone | Wg NVD: jądra od 5.8 do wersji przed 5.10.106, od 5.11 do wersji przed 5.15.29, gałąź 5.16 bez poprawki, 5.17-rc1 do rc7. NVD wymienia też Fedorę 35 i firmware urządzeń NetApp z serii H. Wymagany wcześniejszy dostęp do systemu na zwykłym koncie |
Wersje bezpieczne | Stabilne jądra 5.10.106, 5.15.29 i 5.16.15 (marzec 2022) oraz nowsze. Dystrybucje: Debian bullseye od 5.10.106-1 (buster i stretch niepodatne), Ubuntu 22.04 wg Canonical od 5.15.0-138.148 (20.04, 24.04 i 26.04 niepodatne), Red Hat: żadne wydane jądro nie było podatne wg producenta |
Typ podatności | Zapis poza granicami bufora w pamięci jądra, lokalne podniesienie uprawnień; CWE-787 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1: NVD, CISA-ADP i Red Hat zgodnie); 7.2 w starszej skali CVSS 2.0 (NVD). Atak lokalny, niskie uprawnienia, bez udziału użytkownika |
Wyobraź sobie hotel, w którym gość z kartą do swojego pokoju odkrywa, że wrzucenie zbyt długiej wiadomości do skrzynki w recepcji pozwala mu dopisać się do listy personelu z kluczem uniwersalnym. Nie musi włamywać się do hotelu, bo już w nim jest. Wystarczy mu ten jeden błąd, by otworzyć każde drzwi.
Tak działa CVE-2022-0995. Sama luka nie wpuszcza nikogo z internetu. Przestępcy najpierw wchodzą na serwer inną drogą, na przykład przez dziurawą aplikację WWW, i dostają ograniczone konto. Ta luka zamienia to ograniczone konto w pełną kontrolę nad serwerem.
💡 Jądro systemu (kernel) to rdzeń Linuksa, który zarządza pamięcią i uprawnieniami. Root to najwyższy poziom uprawnień w Linuksie. Lokalne podniesienie uprawnień oznacza, że napastnik, który już jest w systemie, zdobywa większe prawa, niż mu nadano. KEV to katalog CISA z lukami wykorzystywanymi w realnych atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Włamanie przez dziurawą aplikację WWW | Napastnik ma prawa tylko tej aplikacji | Napastnik zdobywa uprawnienia root |
Program ochronny na serwerze | Ograniczone konto nie może go wyłączyć | Root może go wyłączyć lub ominąć |
Dane innych aplikacji na tym samym serwerze | Niedostępne dla przejętej aplikacji | Dostępne w całości |
Stabilność serwera | Błąd aplikacji nie wyłącza systemu | Możliwe zawieszenie całego serwera |
źródło: Wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na ogólnym opisie działań grupy UAT-10147 z raportu Cisco Talos. To scenariusz poglądowy. Luka jest drugim krokiem ataku: wymaga wcześniejszego wejścia na serwer.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie celów | T+0 | Masowe sprawdzanie serwerów WWW pod kątem znanych luk | Lista podatnych adresów |
2. Wejście | T+minuty | Wykorzystanie luki w aplikacji WWW i umieszczenie ukrytego panelu sterowania | Ograniczone konto na serwerze |
3. Podniesienie uprawnień | T+minuty do godzin | Uruchomienie gotowego narzędzia na CVE-2022-0995 lub innej starej luce | Uprawnienia root |
4. Utrwalenie | T+godziny | Instalacja oprogramowania do zdalnej kontroli | Stały dostęp do serwera |
5. Zarabianie na dostępie | T+dni | Kradzież danych, podmiana treści pod oszustwa w wyszukiwarkach | Straty finansowe i wizerunkowe |
Poprawka ma ponad cztery lata, więc łatwo uznać temat za zamknięty. Problem leży w serwerach, których nikt nie aktualizuje: starych maszynach wirtualnych, urządzeniach z wbudowanym Linuksem i serwerach „postawionych raz”. Talos opisuje grupę, która używa narzędzi AI do skalowania ataków i miała listę około 170 tysięcy adresów celów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer do odbudowy, przerwa w działaniu strony lub aplikacji | Godziny do dni | 20 tys. do 150 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Kradzież danych klientów i haseł z serwera | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty zewnętrznych specjalistów | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Strona z treściami oszustów, ostrzeżenia w wyszukiwarkach | Dni do miesięcy | 30 tys. do 300 tys. PLN (utracony ruch i klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Linux z jądrem bez poprawki
(dostępny z internetu)
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo CISA potwierdza wykorzystanie, a gotowe narzędzia krążą publicznie; wpływ jest wysoki, a nie maksymalny, bo luka wymaga wcześniejszego wejścia na serwer.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery i urządzenia z Linuksem oraz wersje ich jądra, zaczynając od dostępnych z internetu | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje jądra z dystrybucji i zrestartować serwery z wersjami 5.8 do 5.16 bez poprawki | Dziś | Administrator |
3 | 🟠 PILNIE | Sprawdzić serwery WWW pod kątem śladów włamania: nieznanych plików w katalogach strony, nowych kont, nieznanych procesów | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Zaktualizować aplikacje WWW i wtyczki, bo to nimi napastnicy wchodzą w pierwszym kroku | Do 3 dni | Zespół aplikacji |
5 | 🟠 PILNIE | Zapytać dostawców urządzeń z wbudowanym Linuksem (np. NetApp) o wersje firmware z poprawką | Do 7 dni | CTO |
6 | 🟡 WAŻNIE | Wyłączyć lub wymienić dystrybucje po końcu wsparcia | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport wersji jądra na wszystkich serwerach | Do 30 dni | Kierownik IT |
Poprawka istnieje od marca 2022 roku. Red Hat podaje, że nie ma obejścia spełniającego jego kryteria, więc jedyną pełną ochroną jest aktualizacja jądra. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie od internetu serwerów, których nie da się zaktualizować | Wysoka | Średnia |
Aktualizacja aplikacji WWW, by zamknąć pierwszy krok ataku | Średnia | Łatwa do średniej |
Firewall aplikacyjny (WAF) przed serwerami WWW | Średnia | Średnia |
Migracja usług na nowy, wspierany system | Wysoka | Trudna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Włamanie przez aplikację WWW | Kończy się pełnym przejęciem serwera | Napastnik zostaje z ograniczonym kontem |
Stare serwery i maszyny wirtualne | Nieznane wersje jądra | Spis i aktualne jądro |
Urządzenia z wbudowanym Linuksem | Poza nadzorem | Potwierdzony firmware z poprawką |
Wiedza o włamaniu | Brak sprawdzenia | Serwery WWW przejrzane pod kątem śladów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: aktywne wykorzystanie, całkowity wpływ techniczny |
Grupy przestępcze | UAT-10147, chińskojęzyczna grupa nastawiona na zysk, wg Cisco Talos |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); Talos opisuje oszustwa w wyszukiwarkach i kradzież danych |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, NVD, CISA-ADP, Red Hat) |
PoC dostępny publicznie? | Prawdopodobnie tak: NVD podlinkowuje dwa wpisy z exploitami w serwisie Packet Storm; ich treści nie udało się zweryfikować |
Liczba atakowanych firm | Brak publicznych informacji o liczbie ofiar tej luki; Talos znalazł u grupy listę około 170 tys. adresów celów |
Sektory celów | Wg Talos: administracja, edukacja, media, technologie, gry |
Sygnały zagrożenia dla CVE-2022-0995
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
Automatyzacja (CISA) NIE ████░░░░░░░░░░░░░░░░ wymaga wejścia na serwer
Wpływ techniczny pełny ████████████████████ root na serwerze
CISA KEV TAK ████████████████████ ataki potwierdzone
Wiek poprawki 4 lata ████████████████████ brak usprawiedliwienia 2022-03-11 Poprawki błędów watch_queue trafiają do głównego jądra Linux
2022-03-14 Zgłoszenie w Bugzilli Red Hat
2022-03-16 Stabilne jądra 5.16.15, 5.15.29 i 5.10.106 z poprawką
2022-03-25 Publikacja CVE-2022-0995 (Red Hat jako CNA, NVD)
2026-08-20 Cisco Talos publikuje raport o grupie UAT-10147
2026-08-26 CISA dodaje lukę do katalogu KEV
2026-09-09 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Poprawka w jądrze Linux: commit 93ce93587d36 na git.kernel.org . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-0995 . Status w dystrybucjach: Ubuntu , Debian , Red Hat .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów Linux dostępnych z internetu z wersją jądra | CTO | DZISIAJ |
2 | Zatwierdzić okno serwisowe na aktualizację jądra i restart | CTO | DZISIAJ |
3 | Zlecić przegląd serwerów WWW pod kątem śladów włamania | CTO | DO JUTRA |
4 | Ustalić listę systemów po końcu wsparcia i koszt ich wymiany | CFO | DO JUTRA |
5 | Potwierdzić, że kopie zapasowe serwerów WWW są aktualne i odtwarzalne | CTO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanych systemów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile serwerów z Linuksem mamy i ile z nich jest dostępnych z internetu? | [liczba] | 🔴 |
2 | Czy któryś serwer działa na jądrze z gałęzi 5.8 do 5.16 bez poprawki? | TAK / NIE | 🔴 |
3 | Kiedy serwery WWW były ostatnio restartowane po aktualizacji jądra? | [data] | 🔴 |
4 | Czy sprawdziliśmy serwery WWW pod kątem nieznanych plików i kont? | TAK / NIE | 🟠 |
5 | Jakie wersje firmware mają urządzenia z wbudowanym Linuksem (np. macierze NetApp)? | [wersja] | 🟠 |
6 | Czy używamy dystrybucji Linux po końcu wsparcia? | TAK / NIE | 🟠 |
7 | Czy aplikacje i wtyczki na serwerach WWW są aktualne? | TAK / NIE, [data] | 🟡 |
CVE-2022-0995 to luka z 2022 roku, która pozwala napastnikowi już obecnemu na serwerze Linux zdobyć pełne uprawnienia, a CISA i Cisco Talos potwierdzają jej użycie w atakach na serwery WWW w 2026 roku. Poprawka jest dostępna od ponad czterech lat, więc każdy serwer bez niej to zaległość do usunięcia dziś, a przegląd serwerów WWW pod kątem śladów włamania to zadanie na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.