Luka w Craft CMS pozwala bez logowania wykonać kod na serwerze strony, jeśli w PHP włączono register_argc_argv. Publiczny exploit, ataki potwierdzone przez CISA. Zaktualizuj stronę i sprawdź konfigurację u hostingodawcy.
Ten alert jest dla zarządu, CTO i CFO firm, których strona internetowa lub sklep działa na systemie Craft CMS. Werdykt: jeśli strona ma wersję starszą niż 3.9.14, 4.13.2 lub 5.5.2, zaktualizuj ją dziś, a jeśli to niemożliwe, poproś hostingodawcę o wyłączenie opcji PHP register_argc_argv, bo luka pozwala przejąć serwer bez logowania i jest masowo wykorzystywana.
Amerykańska agencja CISA 2 czerwca 2025 roku dopisała CVE-2024-56145 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w Craft CMS, systemie do zarządzania treścią stron i sklepów, pozwala obcej osobie z internetu wykonać własny kod na serwerze. Warunek jest jeden: w konfiguracji PHP serwera musi być włączona opcja register_argc_argv.
To oznacza, że dwie identyczne strony w tej samej wersji mogą być w zupełnie innej sytuacji, zależnie od ustawień u hostingodawcy. Poprawki są dostępne od 18 grudnia 2024 roku, publiczny kod ataku również. Termin CISA minął 23 czerwca 2025 roku, a tego samego dnia agencja dopisała do katalogu drugą lukę w Craft CMS.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-56145 (biuletyn GHSA-2p6p-9rc9-62j9) |
Data dodania do CISA KEV | 2025-06-02 |
Termin naprawy wg CISA | 2025-06-23 (21 dni od wpisu) |
Produkt | Craft CMS (system zarządzania treścią stron i sklepów internetowych) |
Wersje zagrożone | 3.0.0 do 3.9.14 (bez niej), 4.0.0 do 4.13.2 (bez niej), 5.0.0 do 5.5.2 (bez niej). Warunek konieczny: włączona opcja register_argc_argv w php.ini. Bez niej instalacja nie jest podatna |
Wersje bezpieczne | 3.9.14, 4.13.2, 5.5.2 i nowsze (pierwsze wydania z poprawką w każdej gałęzi); zalecana aktualna wersja producenta |
Typ podatności | Wstrzyknięcie kodu prowadzące do zdalnego wykonania kodu; CWE-94 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). GitHub (wystawca CVE): 9.3 KRYTYCZNA (CVSS 4.0). Atak przez sieć, prosty, bez konta i bez udziału użytkownika |
Wyobraź sobie budynek z kilkoma mieszkaniami na wspólnym przyłączu wodnym. W każdym mieszkaniu zamontowano ten sam, wadliwy kran. Czy z kranu poleje się coś groźnego, zależy jednak od zaworu w piwnicy, do którego lokatorzy nie mają klucza i o którego istnieniu nie wiedzą. U jednych zawór jest zamknięty i nic się nie dzieje, u drugich otwarty i woda leje się na podłogę.
Tak działa ta luka. Wadliwy kod siedzi w samym Craft CMS, ale da się go wykorzystać tylko wtedy, gdy w konfiguracji PHP serwera włączona jest opcja register_argc_argv. Tę opcję ustawia firma hostingowa albo administrator serwera, a nie właściciel strony. Pytanie „czy nasza strona jest zagrożona” trzeba więc zadać dwóm osobom: temu, kto aktualizuje stronę, i temu, kto zarządza serwerem.
💡 CMS (system zarządzania treścią) to oprogramowanie, dzięki któremu redaktor zmienia teksty i zdjęcia na stronie bez programowania. PHP to język, w którym działa Craft CMS; jego ustawienia są w pliku php.ini. register_argc_argv to opcja PHP przekazująca programowi parametry wywołania. Wstrzyknięcie kodu to sytuacja, gdy dane od napastnika są wykonywane jak polecenia. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba odwiedza stronę firmy | Widzi treści | Może wykonać polecenia na serwerze (przy włączonym register_argc_argv) |
Dwie firmy z tą samą wersją Craft CMS | Jednakowe bezpieczeństwo | Jedna podatna, druga nie, zależnie od konfiguracji PHP |
Formularz kontaktowy | Wysyła zgłoszenia do firmy | Może zostać zmieniony tak, by kopie trafiały do napastnika |
Wyniki wyszukiwania | Pokazują stronę firmy | Mogą pojawić się ukryte podstrony ze spamem, a strona zostać oznaczona jako niebezpieczna |
Przeprowadzka na nowy serwer | Strona działa jak wcześniej | Wyłączona wcześniej opcja może wrócić do stanu podatnego |
źródło: Unsplash, Godspower AbdulahiPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że atak da się zautomatyzować, a publiczny kod ataku jest dostępny, więc skanery próbują go na każdej znalezionej stronie z Craft CMS.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie stron na Craft CMS | Lista celów |
2. Próba ataku | T+sekundy | Wysłanie spreparowanego żądania z użyciem publicznego kodu | Na serwerach z register_argc_argv: wykonanie kodu |
3. Utrwalenie | T+minuty | Wgranie pliku dającego stały dostęp (powłoki WWW) | Dostęp niezależny od aktualizacji |
4. Nadużycie strony | T+godziny do dni | Dodanie ukrytych podstron ze spamem, zmiana formularzy, wysyłka poczty z serwera | Spam SEO, przechwytywanie zgłoszeń, czarne listy |
5. Kradzież danych | T+dni | Odczyt haseł do bazy danych, danych klientów i zamówień | Wyciek danych osobowych |
6. Dalsze ataki | T+tygodnie | Wykorzystanie serwera do ataków na inne strony lub klientów | Szkody wizerunkowe i prawne |
Strona firmowa jest często jedynym systemem, którym po odbiorze projektu nikt się nie zajmuje: agencja nie ma umowy na utrzymanie, a hostingodawca odpowiada za serwer, nie za oprogramowanie. Luka o ocenie 9.8 z publicznym kodem ataku i prawdopodobieństwem wykorzystania bliskim pewności trafia właśnie w to miejsce.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie serwera, odtwarzanie strony, przerwa w sprzedaży online | Dni | 10 tys. do 80 tys. PLN (praca specjalisty, przestój) |
Bezpieczeństwo danych | Wyciek danych z formularzy, zamówień i bazy klientów | Dni od włamania | 15 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, spadek ruchu z wyszukiwarek, koszty odbudowy pozycji | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Ostrzeżenie „strona niebezpieczna” w przeglądarkach, domena na czarnych listach | Dni do miesięcy | 20 tys. do 200 tys. PLN (utracone zamówienia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla strony na Craft CMS bez poprawki
Wpływ
5 | . . . . .
4 | . ■ . . ■ ← KRYTYCZNE: register_argc_argv włączone
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
↑
register_argc_argv wyłączone: luka niewykorzystywalna,
ale aktualizacja nadal potrzebna Interpretacja: przy włączonej opcji register_argc_argv ryzyko jest krytyczne (publiczny kod, automatyzacja, EPSS około 97%, przejęcie serwera); przy wyłączonej opcji prawdopodobieństwo jest niskie, dopóki ktoś jej nie włączy, np. przy przeprowadzce na inny serwer.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Craft CMS w panelu administracyjnym strony | Dziś | Administrator strony / agencja |
2 | 🔴 NATYCHMIAST | Zapytać hostingodawcę wprost: „czy w konfiguracji PHP dla naszego konta włączona jest opcja register_argc_argv?” | Dziś | Osoba odpowiedzialna za stronę |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: wyłączyć register_argc_argv (obejście zalecane przez producenta i CISA) | Dziś | Hostingodawca / administrator serwera |
4 | 🟠 PILNIE | Zaktualizować Craft CMS do 3.9.14, 4.13.2, 5.5.2 lub nowszej, razem z wtyczkami | Do 3 dni | Agencja / programista |
5 | 🟠 PILNIE | Sprawdzić, czy na serwerze nie ma nieznanych plików, nowych kont redaktorów i ukrytych podstron | Do 7 dni | Programista / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła do bazy danych, kont redaktorów i kluczy usług zapisanych w konfiguracji strony | Do 7 dni | Programista |
7 | 🟡 WAŻNIE | Sprawdzić drugą lukę Craft CMS dodaną przez CISA tego samego dnia i przejrzeć całą instalację | Do 14 dni | Agencja / programista |
8 | 🟡 WAŻNIE | Wskazać z imienia i nazwiska osobę lub firmę odpowiedzialną za aktualizacje strony, zawrzeć umowę serwisową | Do 30 dni | Zarząd |
Producent wydał poprawki dla gałęzi 3, 4 i 5, więc aktualizacja jest dostępna. Jeśli nie da się jej wykonać od razu, producent i CISA wskazują obejście. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie register_argc_argv w php.ini (producent, CISA) | Wysoka: odcina warunek konieczny ataku | Łatwa: jedna linia w konfiguracji, zadanie dla hostingodawcy |
Zapisanie tej zmiany w dokumentacji strony, by przetrwała przeprowadzkę na inny serwer | Średnia: chroni przed powrotem do stanu podatnego | Łatwa |
Zapora aplikacyjna (WAF) z regułami blokującymi znane próby ataku | Średnia: warianty mogą ją ominąć | Średnia |
Monitorowanie zmian plików na serwerze | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Craft CMS | Starsza niż 3.9.14 / 4.13.2 / 5.5.2 | Wersja z poprawką lub nowsza |
Opcja register_argc_argv | Nieznana | Sprawdzona i wyłączona, zapisana w dokumentacji |
Ślady włamania | Niesprawdzone | Pliki, konta i podstrony przejrzane |
Hasła strony | Te same od wdrożenia | Wymienione |
Odpowiedzialność za stronę | Nikt po odbiorze projektu | Wskazana osoba lub umowa serwisowa |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 9.3 KRYTYCZNA wg GitHub (CVSS 4.0) |
PoC dostępny publicznie? | TAK: NVD odsyła do publicznego repozytorium z kodem ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Uwaga do danych | Europejska baza ENISA w polu produktu podaje nazwę innego systemu CMS przy poprawnym producencie; przy decyzjach opieraj się na biuletynie producenta |
Prognoza EPSS | Około 97% szansy wykorzystania w ciągu 30 dni, wyżej stoi mniej niż 0,1% podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-56145
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (GitHub) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (analiza źr.) ~97% ███████████████████░ PRAKTYCZNIE PEWNE
PoC publiczny TAK ████████████████████ dostępny
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-12-18 Craft CMS publikuje biuletyn GHSA-2p6p-9rc9-62j9 i poprawki,
NVD publikuje CVE-2024-56145
2025-06-02 CISA dodaje lukę do katalogu KEV (razem z drugą luką Craft CMS)
2025-06-06 Ocena CISA: wykorzystanie aktywne i automatyzowalne
2025-06-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 15 miesięcy od terminu CISA, 21 miesięcy od poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami i obejściem: GHSA-2p6p-9rc9-62j9 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-56145 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, na jakim systemie działa strona firmowa i sklep | CTO | DZISIAJ |
2 | Uzyskać od agencji lub programisty numer wersji Craft CMS | CTO | DZISIAJ |
3 | Wysłać hostingodawcy pytanie o register_argc_argv i prośbę o wyłączenie | CTO | DZISIAJ |
4 | Zatwierdzić aktualizację strony | CTO | DO JUTRA |
5 | Zlecić sprawdzenie strony pod kątem nieznanych plików i podstron | CTO | DO JUTRA |
6 | Zarezerwować budżet na aktualizację i ewentualne czyszczenie strony | CFO | DO JUTRA |
7 | Sprawdzić, czy firma ma umowę na utrzymanie strony, a jeśli nie, zamówić wycenę | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza strona lub sklep działa na Craft CMS i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
2 | Czy w konfiguracji PHP naszego serwera włączona jest opcja register_argc_argv? | TAK / NIE | 🔴 |
3 | Kiedy strona została zaktualizowana do wersji z poprawką? | [data] | 🔴 |
4 | Czy sprawdziliśmy serwer pod kątem nieznanych plików, kont i podstron? | TAK / NIE, [data] | 🟠 |
5 | Czy hasła do bazy danych i kont redaktorów zostały zmienione? | TAK / NIE | 🟠 |
6 | Czy druga luka Craft CMS z katalogu CISA też jest zamknięta? | TAK / NIE | 🟠 |
7 | Kto odpowiada za aktualizacje strony i na jakiej podstawie? | [osoba / firma], [umowa] | 🟡 |
CVE-2024-56145 pozwala obcej osobie przejąć serwer strony na Craft CMS, jeśli w konfiguracji PHP włączona jest opcja register_argc_argv. Luka ma publiczny kod ataku, jest wykorzystywana automatycznie, a poprawki są dostępne od grudnia 2024 roku. Dziś trzeba sprawdzić wersję strony i ustawienie u hostingodawcy, a następnie zaktualizować Craft CMS i przejrzeć serwer.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.