Błąd w obsłudze protokołu AS2 w CrushFTP daje napastnikowi z internetu uprawnienia administratora. Luka była wykorzystywana od lipca 2025. Zaktualizuj do 10.8.5 lub 11.3.5 i sprawdź konta, bo aktualizacja nie usuwa śladów włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które wymieniają pliki z kontrahentami przez serwer CrushFTP (zamówienia, faktury, zlecenia transportowe, wyniki badań). Werdykt: jeśli CrushFTP ma wersję starszą niż 10.8.5 lub 11.3.4_23 i nie stoi za serwerem DMZ, zaktualizuj go dziś i sprawdź konta administracyjne, bo luka daje napastnikowi pełną kontrolę nad serwerem, a ataki trwają od lipca 2025 roku.
Amerykańska agencja CISA 22 lipca 2025 roku, cztery dni po publikacji luki, dopisała podatność CVE-2025-54309 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Producent opisał, że 18 lipca 2025 roku zaobserwował ataki na serwery, które nie były aktualizowane: napastnicy przeanalizowali zmianę w kodzie i znaleźli sposób na wykorzystanie wcześniejszego błędu.
CrushFTP nieprawidłowo sprawdzał przesyłki w protokole AS2, co pozwalało przez zwykłe połączenie HTTPS, bez hasła, zdobyć uprawnienia administratora serwera. Podatne są tylko instalacje bez funkcji DMZ proxy, czyli takie, w których właściwy serwer odbiera ruch wprost z internetu. CISA jako instrukcję naprawczą wskazuje stronę producenta poświęconą incydentowi, a nie zwykły biuletyn.
Termin naprawy wyznaczony przez CISA minął 12 sierpnia 2025 roku, ponad rok temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-54309 |
Data dodania do CISA KEV | 2025-07-22 |
Termin naprawy wg CISA | 2025-08-12 (21 dni od wpisu) |
Produkt | CrushFTP, serwer wymiany plików (FTP, SFTP, HTTPS, AS2) |
Wersje zagrożone | CrushFTP 10 przed 10.8.5 oraz 11 przed 11.3.4_23, gdy nie jest używana funkcja DMZ proxy |
Wersje bezpieczne | Wszystkie 10.8.5; 11.3.4_23; producent wydał 11.3.5, więc każda wersja 11.3.5 i nowsza jest bezpieczna |
Typ podatności | Niechroniony kanał alternatywny (obsługa AS2 przez HTTPS); CWE-420 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, atak łatwy). MITRE (zakładający wpis): 9.0 KRYTYCZNA (CVSS 3.1, atak trudniejszy, skutek wychodzi poza program). ENISA przyjęła 9.0. Obie oceny: przez sieć, bez hasła, bez udziału użytkownika |
Wyobraź sobie firmową kancelarię, która przyjmuje przesyłki przez okienko w ścianie. W dobrze zorganizowanej firmie za okienkiem jest tylko podawczy, a archiwum z dokumentami leży za kolejnymi drzwiami. W wielu firmach okienko prowadzi jednak prosto do archiwum. Okazało się, że przesyłka w pewnym formacie (AS2) była sprawdzana tak słabo, że nadawca mógł z nią wejść przez okienko i usiąść za biurkiem kierownika archiwum.
Tak działa ta luka. Serwer CrushFTP, na którym leżą pliki wymieniane z kontrahentami, wpuszczał napastnika jako administratora. Firmy z osobną maszyną pośredniczącą (DMZ) były chronione, bo ruch z internetu nie trafiał wprost na właściwy serwer. Pozostałe mogły stracić dokumenty własne i powierzone przez klientów.
💡 AS2 to protokół do automatycznej wymiany dokumentów (np. zamówień i faktur) między systemami dwóch firm. DMZ proxy to osobna maszyna wystawiona do internetu, która przekazuje ruch do właściwego serwera ukrytego w sieci wewnętrznej. HTTPS to szyfrowane połączenie internetowe. Konto administratora pozwala zarządzać wszystkimi użytkownikami, plikami i ustawieniami serwera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kontrahent przesyła plik AS2 | Serwer sprawdza nadawcę i przyjmuje plik | Spreparowana przesyłka daje uprawnienia administratora |
Serwer bez DMZ proxy | Odbiera ruch z internetu | Podatny |
Serwer za DMZ proxy | Ruch trafia najpierw do pośrednika | Niepodatny na tę lukę |
Konta i hasła do integracji z kontrahentami | Widoczne tylko dla administratora | Dostępne dla napastnika |
Numer wersji w panelu | Pokazuje prawdziwą wersję | Wg producenta napastnicy podmieniali wyświetlaną wersję na fałszywą |
źródło: Pexels, Amar PreciadoPoniżej typowy przebieg ataku dla tej klasy podatności, uzupełniony o oznaki opisane przez producenta. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako nieautomatyzowalny (każdy cel wymaga osobnej pracy), ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 | Wyszukiwanie serwerów CrushFTP dostępnych przez HTTPS | Lista celów |
2. Wejście | T+minuty | Spreparowana przesyłka AS2 przez HTTPS, bez hasła | Uprawnienia administratora |
3. Utrwalenie | T+minuty | Nadanie uprawnień administratora użytkownikowi „default”, założenie kont o długich losowych nazwach | Dostęp przetrwa aktualizację |
4. Maskowanie | T+godzina | Podmiana wyświetlanej wersji na fałszywą, instalacja dodatkowego kodu | Fałszywe poczucie bezpieczeństwa |
5. Kradzież | T+godziny do dni | Pobieranie plików kontrahentów, haseł i kluczy do integracji | Wyciek dokumentów własnych i powierzonych |
6. Skutek | T+tygodnie | Szantaż publikacją danych lub dalsze ataki na kontrahentów | Naruszenie ochrony danych, spory z klientami |
Mogę Ci jakoś pomóc?
Serwer wymiany plików to skrzyżowanie, przez które przechodzą dokumenty firmy i jej kontrahentów. Przejęcie go oznacza wyciek danych cudzych, nie tylko własnych, a aktualizacja nie usuwa kont i zmian zostawionych przez napastnika.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera, wymiana haseł i kluczy u wszystkich kontrahentów, przerwa w automatycznej wymianie | Dni | 30 tys. do 200 tys. PLN |
Bezpieczeństwo danych | Wyciek zamówień, faktur, dokumentów i danych osobowych powierzonych przez klientów | Godziny od wejścia | 50 tys. do 400 tys. PLN (analiza, powiadomienia) |
Finansowy | Okup, roszczenia kontrahentów, kary umowne | Tygodnie do miesięcy | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Kontrahenci dowiadują się, że ich dane wyciekły przez Twój serwer | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Wyciek danych osobowych: zgłoszenie do UODO w 72 godziny, obowiązki wobec administratorów danych, dla których firma przetwarza dane; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) | 72 godziny od wykrycia | 30 tys. do 250 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla CrushFTP bez poprawki
i bez DMZ proxy
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko krytyczne, bo luka daje uprawnienia administratora bez hasła, ataki są potwierdzone od lipca 2025, a EPSS przekracza 94%; prawdopodobieństwo nie jest maksymalne tylko dlatego, że CISA ocenia atak jako wymagający osobnej pracy przy każdym celu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję CrushFTP i czy serwer stoi za DMZ proxy; zweryfikować wersję funkcją sprawdzania sum kontrolnych w zakładce About, bo wyświetlana wersja mogła zostać podmieniona | Dziś | Administrator serwera |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.8.5 lub 11.3.5 i nowszej | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Sprawdzić oznaki włamania wskazane przez producenta: uprawnienia administratora użytkownika „default”, nieznane konta o długich losowych nazwach, nowe konta z prawami administratora, zwykli użytkownicy z przyciskiem Admin | Dziś | Administrator serwera / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Przejrzeć raporty wysyłek i pobrań pod kątem transferów, których nikt nie zlecał | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła i klucze integracji z kontrahentami | Do 7 dni | Administrator / kontrahenci |
6 | 🟠 PILNIE | Przy śladach włamania: odtworzyć użytkownika „default” z kopii sprzed ataku lub postawić serwer od nowa, przenosząc tylko dane | Do 7 dni | CTO / zewnętrzny zespół reagowania |
7 | 🟡 WAŻNIE | Ograniczyć adresy IP z dostępem do administracji, wdrożyć DMZ proxy, włączyć automatyczne aktualizacje i powiadomienia producenta | Do 30 dni | CTO |
Producent wydał poprawione wersje w obu gałęziach. Poniżej miary zalecane przez producenta na przyszłość i do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instancja DMZ CrushFTP przed głównym serwerem (wg producenta klienci z DMZ nie byli podatni) | Wysoka | Średnia: wymaga drugiej maszyny i licencji Enterprise |
Lista dozwolonych adresów IP mogących łączyć się z serwerem | Wysoka, jeśli kontrahenci mają stałe adresy | Średnia |
Ograniczenie adresów IP z dostępem do administracji | Średnia | Łatwa |
Automatyczne aktualizacje i zapis na powiadomienia awaryjne producenta | Wysoka na przyszłość | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przesyłki AS2 przez HTTPS | Mogą dać uprawnienia administratora | Poprawnie sprawdzane |
Konta na serwerze | Nieznany stan, możliwe konta napastnika | Przejrzane, zbędne usunięte |
Wersja serwera | Wyświetlana, być może fałszywa | Zweryfikowana sumami kontrolnymi |
Architektura | Serwer z danymi wprost w internecie | DMZ proxy i lista dozwolonych adresów |
Zgodność z terminem CISA | Zaległość od 12 sierpnia 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); producent zaobserwował ataki 18 lipca 2025, możliwe wcześniejsze |
Grupy przestępcze | Brak publicznych informacji; producent: napastnicy używali skryptów z wcześniejszych ataków na CrushFTP |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 9.0 KRYTYCZNA (MITRE, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,944, powyżej 99,8% wszystkich luk (wg analizy źródłowej) |
Oznaki włamania wg producenta | Użytkownik „default” z prawami administratora, konta o długich losowych nazwach, podmieniona wyświetlana wersja |
Sygnały zagrożenia dla CVE-2025-54309
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (MITRE) 9.0/10 ██████████████████░░ KRYTYCZNA
EPSS (wg źródła) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Od publikacji do KEV 4 dni ████████████████████ ataki przed ogłoszeniem
Mogę Ci jakoś pomóc?
2025-07 (ok. 1) Wg producenta: kod naprawczy w nowszych wydaniach
2025-07-18 Producent obserwuje ataki, publikacja CVE-2025-54309
2025-07-22 CISA dodaje lukę do katalogu KEV
2025-08-12 Termin naprawy wg CISA dla agencji federalnych
2025-08-15 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2025-10-21 Ostatnia zmiana strony incydentu u producenta
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona producenta o incydencie z instrukcją i oznakami włamania: CrushFTP CompromiseJuly2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-54309 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca IT używa CrushFTP | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja zweryfikowana sumami kontrolnymi i czy jest DMZ proxy | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i przegląd kont | CTO | DZISIAJ |
4 | Uzyskać wynik przeglądu raportów transferów od lipca 2025 | CTO | DO JUTRA |
5 | Przygotować komunikację do kontrahentów na wypadek potwierdzenia wycieku | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualne wdrożenie DMZ | CFO | DO JUTRA |
7 | Sprawdzić w umowach powierzenia danych obowiązki informacyjne wobec klientów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja CrushFTP działa u nas (zweryfikowana sumami kontrolnymi)? | [wersja] | 🔴 |
2 | Czy serwer stoi za DMZ proxy? | TAK / NIE | 🔴 |
3 | Czy użytkownik „default” ma uprawnienia administratora? | TAK / NIE | 🔴 |
4 | Czy na serwerze są nieznane konta o długich losowych nazwach lub nowe konta administratorów? | TAK / NIE | 🔴 |
5 | Kiedy zaktualizowano serwer do wersji z poprawką? | [data] | 🟠 |
6 | Czy raporty transferów pokazują pobrania, których nikt nie zlecał? | TAK / NIE | 🟠 |
7 | Czy mamy włączone automatyczne aktualizacje i powiadomienia awaryjne producenta? | TAK / NIE | 🟡 |
CVE-2025-54309 pozwala bez hasła przejąć serwer CrushFTP przez spreparowaną przesyłkę AS2, jeśli serwer nie stoi za DMZ proxy. Ataki trwają od lipca 2025 roku, a producent opisał konkretne oznaki włamania. Aktualizacja do 10.8.5 lub 11.3.5 zamyka wejście, ale dopiero przegląd kont, transferów i wymiana haseł pokażą, czy napastnik już był w środku.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.