Błąd w jądrze Linuksa obecny od 2006 roku pozwala zwykłemu użytkownikowi zdobyć uprawnienia root. Exploit jest publiczny od 2021 roku, a CISA potwierdza ataki. Zaktualizuj jądro na serwerach, zaczynając od współdzielonych i z kontenerami.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery z Linuksem (własne, w chmurze, w hostingu) albo urządzenia z Linuksem w środku, takie jak macierze dyskowe i przełączniki. Werdykt: jeśli jądro Linuksa nie ma poprawki z kwietnia 2021 roku (lub jej odpowiednika od dystrybucji), zaktualizuj je w tym tygodniu, a serwery współdzielone przez wielu użytkowników lub klientów dziś, bo błąd pozwala zwykłemu kontu przejąć całą maszynę i jest wykorzystywany w atakach.
Amerykańska agencja CISA 6 października 2025 roku dopisała podatność CVE-2021-22555 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy jądra Linuksa, w części odpowiedzialnej za filtrowanie ruchu sieciowego (netfilter, x_tables). Jest w kodzie od wersji 2.6.19-rc1 z 2006 roku, czyli przeleżał piętnaście lat, zanim znalazł go Andy Nguyen z Google.
Luka pozwala użytkownikowi bez uprawnień administratora zapisać kilka bajtów poza przydzielonym obszarem pamięci jądra i w ten sposób zdobyć pełne uprawnienia (root) albo wywołać awarię systemu. Poprawka jest dostępna od 2021 roku, a publiczny exploit istnieje od lipca 2021 roku. Termin naprawy wyznaczony przez CISA minął 27 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-22555 (GHSA-xxx5-8mvq-3528) |
Data dodania do CISA KEV | 2025-10-06 |
Termin naprawy wg CISA | 2025-10-27 |
Produkt | Jądro Linuksa (netfilter x_tables) oraz produkty zbudowane na nim, m.in. macierze i urządzenia sieciowe (np. NetApp wydał osobny biuletyn) |
Wersje zagrożone | Jądra od 2.6.19 do wersji przed: 4.4.267, 4.9.267, 4.14.231, 4.19.188, 5.4.113, 5.10.31 oraz 5.11.x (wg NVD). Wykorzystanie przez zwykłego użytkownika wymaga włączonych przestrzeni nazw użytkownika (user namespaces), na których działają kontenery |
Wersje bezpieczne | Jądra 4.4.267, 4.9.267, 4.14.231, 4.19.188, 5.4.113, 5.10.31, 5.12 i nowsze. W dystrybucjach: jądro z poprawką wydane przez producenta dystrybucji (terminy różniły się od 2021 do października 2025 dla najstarszych linii z wydłużonym wsparciem) |
Typ podatności | Zapis poza granicami bufora na stercie jądra; CWE-787 |
Ocena CVSS | NVD: 7.8 (CVSS 3.1, WYSOKA, atak lokalny, niskie uprawnienia). Google (zgłaszający): 8.3 (CVSS 3.1, WYSOKA, atak z sieci sąsiedniej, wysoka złożoność, bez uprawnień, skutki poza komponentem). NVD w starszej skali CVSS 2.0: 4.6 (ŚREDNIA) |
Wyobraź sobie szeregowiec, w którym każdy lokator ma własny domek, a ostatni segment zajmuje zarządca z kluczami do wszystkich drzwi. Ściany między segmentami mają chronić prywatność. Luka działa tak, jakby lokator mógł przesunąć cztery cegły ściany wspólnej z zarządcą: niewiele, ale dokładnie w tym miejscu, gdzie wisi tablica z kluczami. Od tej chwili „gość” staje się gospodarzem całego szeregowca.
Na serwerze „lokatorami” są konta użytkowników, strony internetowe klientów, aplikacje i kontenery, a „zarządcą” jest jądro systemu. Napastnik, który zdobył jakikolwiek dostęp do serwera (przejęta strona, wyciekłe hasło pracownika, konto podwykonawcy), używa tej luki jako drugiego kroku i zamienia wąski dostęp w pełną władzę nad maszyną. Dlatego zdanie „trzeba już być w środku” nie jest pocieszeniem: to typowy etap prawie każdego włamania.
💡 Jądro (kernel) to najgłębsza warstwa systemu, która rozdziela pamięć i pilnuje uprawnień. Root to administrator z pełną władzą nad systemem Linux. Przestrzenie nazw użytkownika (user namespaces) to mechanizm izolacji, na którym działają kontenery. Eskalacja uprawnień to przejście ze zwykłego konta na konto administratora.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przejęta jedna strona na serwerze współdzielonym | Napastnik ma dostęp do jednego konta | Może zdobyć root i dostęp do wszystkich stron oraz baz |
Zwykłe konto pracownika na serwerze | Ograniczone uprawnienia | Może zostać administratorem |
Aplikacja w kontenerze | Odizolowana od reszty systemu | Izolacja może zostać pokonana na poziomie jądra |
Macierz dyskowa lub przełącznik z Linuksem | Traktowane jak „sprzęt” | Też podatne, jeśli producent nie wydał poprawki |
Długie działanie serwera bez restartu | Wygląda na stabilność | Często oznacza stare, niezałatane jądro |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie jest drzwiami wejściowymi: napastnik musi najpierw uruchomić kod na serwerze z uprawnieniami zwykłego użytkownika. Gotowy exploit jest publiczny od 2021 roku (m.in. w materiałach Google i w module Metasploit), więc drugi krok ataku jest prosty.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwsze wejście | T-dni | Przejęcie strony przez podatną wtyczkę, wyciekłe hasło SSH, konto podwykonawcy | Kod napastnika działa na koncie bez uprawnień |
2. Rozpoznanie | T+0 min | Sprawdzenie wersji jądra i dostępności przestrzeni nazw użytkownika | Potwierdzony podatny serwer |
3. Eskalacja | T+minuty | Uruchomienie publicznego exploita CVE-2021-22555 | Uprawnienia root |
4. Utrwalenie | T+godziny | Tylne drzwi, nowe klucze SSH, ukryte procesy | Stała kontrola nad serwerem |
5. Kradzież i ekspansja | T+dni | Kopiowanie baz danych wszystkich klientów, haseł i kluczy do innych systemów | Wyciek obejmujący wszystkich użytkowników serwera |
6. Szkody | T+dni do tygodni | Szyfrowanie, koparki kryptowalut, wysyłka spamu lub atak na kolejne serwery | Przestój, kary, utrata klientów |
Linux działa na większości serwerów, w hostingu, w chmurze i w wielu urządzeniach, o których zarząd myśli jako o „sprzęcie”. Serwery z Linuksem często pracują latami bez restartu, więc jądro bywa bardzo stare. Luka z publicznym exploitem od pięciu lat, dopisana do KEV w 2025 roku, pokazuje, że napastnicy nadal ją znajdują i wykorzystują.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przeinstalowanie serwerów, przerwa w działaniu sklepów, aplikacji i stron | Dni | 20 tys. do 250 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Dostęp do wszystkich baz danych i plików na serwerze, także innych klientów | Godziny od pierwszego wejścia | 30 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, rachunki za nadużyte zasoby chmurowe, rekompensaty dla klientów | Tygodnie | 30 tys. do 500 tys. PLN |
Reputacyjny | Powiadomienie wszystkich klientów hostowanych na serwerze, utrata części z nich | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; odpowiedzialność wobec klientów jako podmiot przetwarzający | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów z Linuksem bez poprawki
(serwery współdzielone i z kontenerami)
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne uprawnienia root na serwerze), a prawdopodobieństwo wysokie dla serwerów z wieloma użytkownikami lub klientami, bo exploit jest publiczny, a EPSS bliski 80%; dla serwera z jednym zaufanym administratorem i bez usług wystawionych do internetu ryzyko jest niższe, bo brakuje łatwego pierwszego kroku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery z Linuksem i sprawdzić wersję jądra oraz datę ostatniego restartu | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zaktualizować jądro na serwerach współdzielonych, hostingowych i z kontenerami, z restartem lub łatką na żywo | Dziś | Administrator |
3 | 🟠 PILNIE | Zaktualizować jądro na pozostałych serwerach i maszynach wirtualnych | Do 7 dni | Administrator |
4 | 🟠 PILNIE | Sprawdzić u producentów macierzy, NAS i urządzeń sieciowych, czy wydali poprawkę dla swojego oprogramowania | Do 7 dni | Administrator / partner IT |
5 | 🟠 PILNIE | Tam, gdzie aktualizacja musi poczekać, zastosować obejście (patrz niżej) | Do 3 dni | Administrator |
6 | 🟡 WAŻNIE | Przejrzeć konta na serwerach i usunąć nieużywane, zwłaszcza podwykonawców | Do 14 dni | Administrator |
7 | 🟡 WAŻNIE | Wdrożyć usługę łatania jądra bez restartu lub stałe okno serwisowe raz w miesiącu | Do 30 dni | CTO |
Poprawki jądra są dostępne od 2021 roku, a dystrybucje wydały własne pakiety (niektóre także łatki na żywo bez restartu). Jeśli restart lub aktualizacja muszą poczekać, istnieją obejścia z realnym kosztem. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie nieuprzywilejowanych przestrzeni nazw użytkownika (parametr systemu ustawiony na zero) | Wysoka: zamyka drogę dla zwykłego użytkownika | Łatwa, ale zatrzymuje kontenery i część aplikacji na tym serwerze |
Polityka seccomp blokująca wywołania systemowe potrzebne do ataku (dla serwerów z kontenerami) | Wysoka, jeśli poprawnie skonfigurowana | Średnia: wymaga pracy specjalisty |
Łatka na żywo od producenta dystrybucji (bez restartu) | Wysoka | Łatwa, jeśli firma ma taką usługę |
Ograniczenie kont i usług, przez które można uruchomić kod na serwerze | Średnia: utrudnia pierwszy krok, nie usuwa luki | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jądro | Bez poprawki, często sprzed lat | Z poprawką, udokumentowane |
Przejęcie jednego konta | Może dać root na całym serwerze | Kończy się na jednym koncie |
Urządzenia z Linuksem w środku | Poza listą aktualizacji | Sprawdzone u producentów |
Restart serwera | Odkładany miesiącami | Okno serwisowe lub łatanie na żywo |
Konta podwykonawców | Aktywne od lat | Przejrzane i ograniczone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wpis z 6 października 2025) |
Grupy przestępcze | Brak publicznych informacji w źródłach powiązanych z wpisem KEV |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg NVD (CVSS 3.1); 8.3 WYSOKA wg Google (CVSS 3.1); 4.6 ŚREDNIA wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | TAK: opis i exploit Google Security Research (GHSA-xxx5-8mvq-3528), moduł Metasploit opublikowany w Packet Storm |
Liczba atakowanych firm | Brak publicznych informacji |
Łatki bez restartu | Canonical wydał powiadomienia Kernel Live Patch (LSN-0080-1, LSN-0081-1, LSN-0083-1) |
Prognoza EPSS | Blisko 0,80, najwyższy ułamek procenta wszystkich podatności (wg analizy źródłowej) |
Różne oceny CVSS opisują różne założenia: NVD zakłada napastnika z kontem na serwerze, Google napastnika w sąsiedniej sieci. Traktuj obie jako listę zadań: pilnuj, kto ma konta na serwerze, i kto jest w tej samej sieci.
Sygnały zagrożenia dla CVE-2021-22555
CVSS 3.1 (Google) 8.3/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
EPSS ~0,80 ████████████████░░░░ BARDZO WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
PoC publiczny TAK ████████████████████ od 2021 roku 2006 Błąd trafia do jądra Linuksa (2.6.19-rc1)
2021-04 Poprawki w jądrze (m.in. 5.4.113, 5.10.31, 5.12)
2021-07-07 Publikacja CVE-2021-22555 i opisu z exploitem od Google
2021-08-05 Biuletyn NetApp dla produktów z Linuksem
2025-10-06 CISA dodaje lukę do katalogu KEV
2025-10-10 Poprawka dla najstarszej linii jednej z dystrybucji
z wydłużonym wsparciem (wg analizy źródłowej)
2025-10-27 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Poprawki w jądrze Linuksa: commit 9fa492cdc160 i commit b29c457a6511 . Opis Google: github.com/google/security-research/security/advisories/GHSA-xxx5-8mvq-3528 . Biuletyn NetApp: security.netapp.com/advisory/ntap-20210805-0010 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-22555 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę serwerów z Linuksem z wersją jądra i datą ostatniego restartu | CTO | DZISIAJ |
2 | Wskazać serwery współdzielone (hosting klientów, wiele aplikacji, kontenery) jako pierwsze do aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na restart lub zakup usługi łatania na żywo | CTO / CFO | DZISIAJ |
4 | Zlecić sprawdzenie macierzy, NAS i urządzeń sieciowych u producentów | CTO | DO JUTRA |
5 | Sprawdzić, czy dostawca hostingu potwierdził aktualizację jądra na serwerach z naszymi usługami | CTO | DO JUTRA |
6 | Oszacować koszt wymiany systemów bez wsparcia, dla których nie ma poprawki | CFO | DO JUTRA |
7 | Ustalić comiesięczny raport wersji jądra na serwerach | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów i maszyn wirtualnych z Linuksem? | [liczba] | 🔴 |
2 | Jaka jest najstarsza wersja jądra w tej grupie? | [wersja] | 🔴 |
3 | Kiedy ostatnio restartowano najstarszy serwer? | [data] | 🔴 |
4 | Czy na serwerach współdzielonych i z kontenerami jest już jądro z poprawką? | TAK / NIE | 🟠 |
5 | Czy korzystamy z łatania jądra bez restartu? | TAK / NIE | 🟠 |
6 | Czy producenci naszych macierzy, NAS i przełączników wydali poprawkę dla CVE-2021-22555? | TAK / NIE, [lista urządzeń] | 🟠 |
7 | Czy mamy serwery z systemem po zakończeniu wsparcia, dla którego nie będzie poprawki? | TAK / NIE, [liczba] | 🟡 |
CVE-2021-22555 to piętnastoletni błąd w jądrze Linuksa, który pozwala zwykłemu kontu zdobyć pełne uprawnienia, z publicznym exploitem od 2021 roku i potwierdzonymi atakami wg CISA. Poprawki są dostępne od lat, termin CISA minął 27 października 2025 roku, więc aktualizacja jądra na serwerach współdzielonych to zadanie na dziś, a na pozostałych serwerach i urządzeniach na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.