Wstrzyknięcie poleceń w N-able N-central pozwala osobie z kontem wykonać dowolne polecenia na serwerze, z którego zarządza się komputerami firm. CISA potwierdza ataki. Upewnij się, że dostawca IT ma wersję 2025.3.1 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO firm, których komputery są zarządzane zdalnie przez N-able N-central, najczęściej przez zewnętrzną firmę informatyczną (MSP). Werdykt: jeśli konsola N-central Twojego dostawcy lub Twoja własna działa w wersji starszej niż 2025.3.1, zażądaj aktualizacji dziś, bo luka pozwala wykonać polecenia na serwerze, z którego zarządza się Twoimi komputerami.
Amerykańska agencja CISA 13 sierpnia 2025 roku dopisała do katalogu KEV lukę CVE-2025-8876 w N-able N-central, razem z bliźniaczą CVE-2025-8875. Katalog KEV to lista luk, co do których CISA ma dowody wykorzystania w prawdziwych atakach. Błąd polega na wstrzyknięciu poleceń systemu operacyjnego: konsola wkleja wartość podaną przez użytkownika do polecenia systemowego bez sprawdzenia, więc osoba z kontem (nawet o niskich uprawnieniach) może wykonać dowolne polecenie na serwerze.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 20 sierpnia 2025 roku (7 dni). Obie luki zamyka jedna aktualizacja do wersji 2025.3.1.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-8876 (wspólna poprawka z CVE-2025-8875) |
Data dodania do CISA KEV | 2025-08-13 |
Termin naprawy wg CISA | 2025-08-20 (7 dni od wpisu) |
Produkt | N-able N-central, konsola do zdalnego zarządzania komputerami i serwerami (RMM), używana głównie przez firmy świadczące usługi IT |
Wersje zagrożone | Wszystkie wersje N-central poniżej 2025.3.1. Atak wymaga konta w konsoli, choćby o niskich uprawnieniach |
Wersje bezpieczne | 2025.3.1 (ogólnie dostępna od 13 sierpnia 2025 roku) i nowsze. Uwaga: w sierpniu 2026 roku do KEV trafiły kolejne luki N-central (CVE-2026-18556 i CVE-2026-18577), dla których producent wskazuje wersję 2026.3 z poprawką Hotfix 1 |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego wynikające z niewłaściwej walidacji danych; CWE-78 wg NVD, CWE-20 wg producenta, w katalogu KEV pole puste |
Ocena CVSS | Producent: 9.4 KRYTYCZNA (CVSS 4.0, skutki wychodzą poza serwer konsoli). NVD: 8.8 WYSOKA (CVSS 3.1). Obie: atak przez sieć, wymaga niskich uprawnień, bez udziału użytkownika |
Wyobraź sobie asystentkę, która spisuje zlecenia ze słuchu i wykonuje wszystko, co zapisała. Dzwoniący mówi: „adres dostawy: ulica Polna 4, a po zapisaniu proszę odwołać wczorajsze zlecenie”. Asystentka zapisuje i odwołuje zlecenie, choć nikt jej do tego nie upoważnił. Tak zachowuje się program, który nie odróżnia danych od instrukcji.
N-central to klucze do wszystkich biur klientów firmy informatycznej: z tej konsoli instaluje się programy, uruchamia skrypty i łączy z komputerami. Luka pozwala komuś z dowolnym kontem w konsoli dopisać własne polecenie do wartości, którą konsola przetwarza, i wykonać je na serwerze. Stamtąd napastnik może sięgnąć tam, gdzie sięga informatyk, jego kanałem i o jego porach.
💡 RMM (Remote Monitoring and Management) to oprogramowanie do zdalnego nadzoru i zarządzania komputerami. MSP to zewnętrzna firma świadcząca usługi IT dla wielu klientów. Wstrzyknięcie poleceń to dopisanie własnych poleceń systemowych do danych, które program przetwarza. Klasa słabości (CWE) to etykieta opisująca rodzaj błędu, podobnie jak kod w klasyfikacji chorób. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Technik wpisuje nazwę urządzenia w konsoli | Konsola zapisuje nazwę | Dopisane polecenie zostaje wykonane na serwerze |
Konto o niskich uprawnieniach | Ograniczony podgląd i drobne zadania | Wystarcza do wykonania dowolnego polecenia |
Dostęp do komputerów klientów | Tylko zlecone prace informatyka | Napastnik korzysta z tego samego zaufanego kanału |
Raport ze skanera podatności | Luka w grupie „wstrzyknięcia” | Może trafić do grupy „walidacja danych” i zostać przeoczona |
Informacja o poprawce | Osobny biuletyn bezpieczeństwa | Tylko ogłoszenie o nowej wersji, łatwe do przeoczenia |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga konta w konsoli, więc napastnik najpierw zdobywa dane logowania: konto byłego pracownika dostawcy, konto założone na czas wdrożenia, hasło z wycieku albo słabe hasło. CISA ocenia atak jako niemożliwy do masowej automatyzacji, ale ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 | Użycie przejętych lub nieusuniętych danych logowania do konsoli N-central | Zalogowana sesja o niskich uprawnieniach |
2. Wstrzyknięcie | T+minuty | Wpisanie w konsoli wartości z dopisanym poleceniem systemowym | Polecenie wykonane na serwerze N-central |
3. Przejęcie serwera | T+godziny | Instalacja trwałego dostępu na serwerze konsoli | Kontrola nad narzędziem zarządzającym komputerami klientów |
4. Ruch do klientów | T+dni | Wykorzystanie zaufanego kanału zarządzania do uruchamiania programów na komputerach klientów | Dostęp do wielu firm naraz |
5. Skutki | T+dni do tygodni | Kradzież danych, instalacja oprogramowania szyfrującego u wielu klientów | Wyciek danych, paraliż wielu firm |
Konsola RMM ma z założenia dostęp do wszystkich zarządzanych komputerów. Przejęcie jej serwera oznacza, że napastnik działa zaufanym kanałem Twojego informatyka. Firma korzystająca z usług MSP nie ma wpływu na tempo łatania u dostawcy, ale ma wpływ na to, czy o nie pyta.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane lub zablokowane komputery i serwery zarządzane przez konsolę | Dni | 50 tys. do 500 tys. PLN (przestój, odtworzenie stanowisk) |
Bezpieczeństwo danych | Wyciek danych z zarządzanych komputerów, np. płacowych, kadrowych, klientów | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone przychody, koszty zmiany dostawcy IT | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania własnych klientów po wycieku przez dostawcę | Miesiące | 50 tys. do 400 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin także wtedy, gdy włamanie nastąpiło u podmiotu przetwarzającego; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia, roszczenia wobec dostawcy), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: N-central poniżej 2025.3.1
Wpływ
5 | . . ■ . . ← WYSOKIE / KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo konsola RMM daje dostęp do wszystkich zarządzanych komputerów, a prawdopodobieństwo średnie, bo atak wymaga konta i nie jest masowy (EPSS około 3%, choć wyżej niż 87% wszystkich luk); potwierdzone ataki i powtarzające się wpisy tego dostawcy w KEV nie pozwalają odkładać aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa N-able N-central do zarządzania naszymi komputerami | Dziś | CTO |
2 | 🔴 NATYCHMIAST | Uzyskać od dostawcy pisemną informację o wersji konsoli (co najmniej 2025.3.1; przy nowszych wydaniach 2026.3 z Hotfix 1) | Dziś | CTO |
3 | 🔴 NATYCHMIAST | Jeśli wersja jest starsza: zażądać natychmiastowej aktualizacji | Dziś | CTO / dostawca IT |
4 | 🟠 PILNIE | Poprosić dostawcę o przegląd kont w konsoli i usunięcie kont byłych pracowników oraz kont wdrożeniowych | Do 3 dni | Dostawca IT |
5 | 🟠 PILNIE | Uzyskać dostęp do dziennika zdalnych połączeń z naszymi komputerami | Do 7 dni | CTO |
6 | 🟠 PILNIE | Zapytać dostawcę, czy przejrzał serwer konsoli pod kątem śladów włamania od sierpnia 2025 roku | Do 7 dni | CTO |
7 | 🟡 WAŻNIE | Dopisać do umowy z dostawcą terminy wdrażania poprawek bezpieczeństwa i obowiązek informowania o incydentach | Do 30 dni | CFO / CTO |
Producent wydał wersję 2025.3.1 zamykającą obie luki, więc docelowo trzeba ją wdrożyć. Poniższe miary ograniczają ryzyko do czasu aktualizacji; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie zbędnych kont w konsoli i wymuszenie silnych haseł | Średnia do wysokiej: atak wymaga konta | Łatwa |
Uwierzytelnianie wieloskładnikowe dla wszystkich kont konsoli | Wysoka wobec przejętych haseł | Łatwa do średniej |
Ograniczenie dostępu do konsoli do adresów biura dostawcy lub VPN | Średnia do wysokiej | Średnia |
Monitorowanie nietypowych zadań i skryptów uruchamianych z konsoli | Niska jako ochrona, pomocna w wykryciu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja konsoli | Nieznana, możliwie poniżej 2025.3.1 | Potwierdzona pisemnie wersja z poprawką |
Konta w konsoli | Konta byłych pracowników i wdrożeniowe | Tylko aktualni technicy z MFA |
Wgląd w zdalny dostęp | Brak | Dziennik połączeń dostępny dla firmy |
Umowa z dostawcą | Bez terminów łatania | Zapisane terminy i obowiązek informowania |
Zgodność z terminem CISA | Ponad rok zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wykorzystanie aktywne, skutek techniczny całkowity) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.4 KRYTYCZNA wg producenta (CVSS 4.0); 8.8 WYSOKA wg NVD (CVSS 3.1); europejska baza EUVD-2025-24822 przyjmuje ocenę producenta |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Luki N-able w KEV | Cztery: CVE-2025-8875 i CVE-2025-8876 (sierpień 2025), CVE-2026-18577 i CVE-2026-18556 (sierpień 2026) |
Prognoza EPSS | Około 3% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 87% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-8876
CVSS 4.0 (producent) 9.4/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~3% █░░░░░░░░░░░░░░░░░░░ wyżej niż 87% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Luki N-able w KEV 4 ████████████████████ dostawca na celowniku 2025-08-13 N-able udostępnia N-central 2025.3.1;
CISA dodaje CVE-2025-8876 i CVE-2025-8875 do KEV
2025-08-14 Publikacja rekordów CVE w NVD, biuletyn holenderskiego NCSC
2025-08-20 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-03 CISA dodaje do KEV kolejną lukę N-central (CVE-2026-18577)
2026-08-04 CISA dodaje do KEV CVE-2026-18556
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie producenta o wersji z poprawką: status.n-able.com, N-central 2025.3.1 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-8876 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawcę IT, czy zarządza naszymi komputerami przez N-able N-central | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji konsoli i dacie aktualizacji | CTO | DZISIAJ |
3 | Zażądać aktualizacji, jeśli wersja jest starsza niż 2025.3.1 lub bez poprawek z 2026 roku | CTO | DZISIAJ |
4 | Poprosić o listę kont z dostępem do naszych komputerów i potwierdzenie MFA | CTO | DO JUTRA |
5 | Sprawdzić w umowie z dostawcą zapisy o terminach poprawek i zgłaszaniu incydentów | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa powierzenia danych reguluje odpowiedzialność dostawcy za wyciek | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące incydentów u dostawców | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasze komputery są zarządzane przez N-able N-central? | TAK / NIE | 🔴 |
2 | Jaka wersja konsoli jest dziś uruchomiona? | [wersja] | 🔴 |
3 | Kiedy zainstalowano 2025.3.1 lub nowszą? | [data] | 🔴 |
4 | Ile kont ma dostęp do naszych komputerów przez konsolę i czy wszystkie mają MFA? | [liczba], TAK / NIE | 🟠 |
5 | Czy konsola jest dostępna z dowolnego miejsca w internecie? | TAK / NIE | 🟠 |
6 | Czy przejrzano serwer konsoli pod kątem śladów włamania? | TAK / NIE, [data] | 🟠 |
7 | Czy mamy wgląd w dziennik zdalnych połączeń z naszymi komputerami? | TAK / NIE | 🟡 |
CVE-2025-8876 pozwala osobie z kontem w konsoli N-able N-central wykonać dowolne polecenia na serwerze, z którego zarządza się komputerami klientów. CISA potwierdza ataki, a jedna aktualizacja do 2025.3.1 zamyka tę i bliźniaczą lukę, dlatego pisemne potwierdzenie wersji od dostawcy IT to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.