Pozostawiony tryb deweloperski i błąd autoryzacji w Adobe AEM Forms pozwalają bez logowania wykonać kod na serwerze formularzy. CISA potwierdza ataki. Zainstaluj poprawkę APSB25-82 i odetnij serwer od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które przyjmują wnioski, umowy lub zgłoszenia przez elektroniczne formularze Adobe Experience Manager (AEM) Forms, zwłaszcza w wariancie JEE. Werdykt: jeśli Twój AEM Forms ma wersję 6.5.23.0 lub starszą bez poprawki z biuletynu Adobe APSB25-82, zainstaluj poprawkę i odetnij serwer od internetu dziś, bo luka z oceną 10/10 jest aktywnie wykorzystywana.
Amerykańska agencja CISA 15 października 2025 roku dopisała podatność CVE-2025-54253 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Napastnik bez konta i bez udziału użytkownika może wykonać dowolny kod na serwerze AEM Forms. Adobe opisał przyczynę jako błędną konfigurację pozwalającą obejść zabezpieczenia, a później jako nieprawidłową autoryzację.
Badacze Searchlight Cyber, którzy zgłosili błąd pod koniec kwietnia 2025 roku, opisali go jako łańcuch obejścia uwierzytelnienia i wykonania kodu przez pozostawiony włączony tryb deweloperski Struts2 (devMode). Szczegóły opublikowali 29 lipca 2025 roku, jeszcze przed poprawką. Termin naprawy wg CISA minął 5 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-54253 |
Data dodania do CISA KEV | 2025-10-15 |
Termin naprawy wg CISA | 2025-11-05 (21 dni od wpisu) |
Produkt | Adobe Experience Manager Forms (CISA: AEM Forms na JEE); Adobe w opisie: Adobe Experience Manager |
Wersje zagrożone | AEM (Forms) 6.5.23.0 i wcześniejsze. Najbardziej narażone są instalacje AEM Forms na JEE dostępne z internetu; znaczenie ma także konfiguracja wdrożenia |
Wersje bezpieczne | Wersja z poprawką opisaną w biuletynie Adobe APSB25-82 (sierpień 2025 roku); dokładny numer kompilacji nie został przez nas zweryfikowany, trzeba go potwierdzić w biuletynie dla swojego wariantu wdrożenia |
Typ podatności | Błędna konfiguracja (Struts2 devMode) i nieprawidłowa autoryzacja prowadzące do wykonania dowolnego kodu; CWE: brak w katalogu CISA, Adobe podaje nieprawidłową autoryzację |
Ocena CVSS | Adobe: 10.0 KRYTYCZNA (CVSS 3.1). NVD nie wystawiła własnej oceny. Atak przez sieć, prosty, bez logowania, bez udziału użytkownika, skutki wychodzą poza aplikację |
Wyobraź sobie nowy biurowiec, w którym na czas budowy zostawiono boczne drzwi dla ekipy technicznej, bez zamka i bez ochrony. Budowa się skończyła, recepcja działa, wszyscy wchodzą przez bramki, ale boczne drzwi nadal są otwarte i prowadzą prosto do serwerowni. Nikt nie popełnił błędu w projekcie budynku, po prostu nie zamknięto czegoś, co miało służyć tylko ekipie.
Tak działa ta luka. W AEM Forms pozostał włączony tryb deweloperski frameworka Struts2, przeznaczony dla programistów na etapie budowy. W połączeniu z obejściem logowania pozwala on obcej osobie uruchomić na serwerze dowolne polecenia. Serwer formularzy jest zwykle połączony z bazą wniosków, repozytorium dokumentów, pocztą i katalogiem użytkowników, więc napastnik dziedziczy wszystkie te połączenia.
💡 AEM Forms to system Adobe do tworzenia i obsługi elektronicznych formularzy, np. wniosków kredytowych czy ubezpieczeniowych. JEE to wariant instalacji na serwerze aplikacji Java. Struts2 devMode to tryb diagnostyczny dla programistów, który nie powinien działać w systemie produkcyjnym. Zmieniony zakres (scope changed) w CVSS oznacza, że szkoda wychodzi poza podatny program na inne systemy. KEV to katalog CISA z lukami wykorzystywanymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do funkcji administracyjnych | Tylko zalogowani uprawnieni pracownicy | Obca osoba bez logowania |
Tryb deweloperski | Wyłączony po wdrożeniu | Pozostawiony i możliwy do nadużycia |
Skany dowodów i zaświadczeń klientów | Widoczne dla obsługi wniosków | Do skopiowania przez napastnika |
Hasła do bazy i poczty zapisane na serwerze | Używane przez aplikację | Przejęte razem z serwerem |
Aktualne poprawki | Zamykają błędy w kodzie | Mogą nie wystarczyć, jeśli zostanie zła konfiguracja |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Opis techniczny badaczy jest publiczny od lipca 2025 roku, a atak nie wymaga logowania, więc najbardziej narażone są serwery AEM Forms dostępne z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów AEM Forms po charakterystycznych adresach stron logowania i usług | Lista serwerów |
2. Obejście logowania | T+kilka minut | Wykorzystanie błędu autoryzacji, żeby dostać się do funkcji niedostępnych z zewnątrz | Dostęp bez konta |
3. Wykonanie kodu | T+kilka minut | Nadużycie trybu deweloperskiego Struts2 do uruchomienia poleceń | Kod napastnika na serwerze |
4. Przejęcie połączeń | T+1 godzina | Odczyt haseł do bazy, repozytorium dokumentów i poczty zapisanych w konfiguracji | Dostęp do systemów obok |
5. Kradzież | T+godziny do dni | Kopiowanie wniosków, skanów dokumentów tożsamości, umów | Wyciek danych klientów |
6. Szantaż lub dalszy atak | T+dni do tygodni | Żądanie okupu, szyfrowanie, atak na dalsze systemy w sieci | Przestój i kryzys |
Serwer formularzy przyjmuje najbardziej wrażliwe dane: dokumenty tożsamości, dane finansowe, podpisane umowy. Po wykonaniu obcego kodu trudno udowodnić, że serwer jest czysty, więc zwykle trzeba go odtworzyć od zera, a przyjmowanie wniosków stoi.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie przyjmowania wniosków, odtworzenie serwera od zera | Dni do tygodni | 50 tys. do 400 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Wyciek dokumentów tożsamości, danych finansowych, umów | Godziny od ataku | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracone wnioski i sprzedaż, szantaż, koszty powiadomień i monitoringu dla klientów | Tygodnie | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów w branży opartej na zaufaniu (finanse, ubezpieczenia) | Miesiące | 100 tys. do 1 mln PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i powiadomienia osób przy wysokim ryzyku; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dodatkowe wymogi nadzoru sektorowego | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z AEM Forms bez poprawki,
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: to najwyższy poziom ryzyka, bo wykonanie kodu bez logowania na serwerze z wrażliwymi danymi łączy się z potwierdzonymi atakami, publicznym opisem techniki i EPSS blisko 90%; dla serwera dostępnego wyłącznie z sieci wewnętrznej prawdopodobieństwo jest niższe, ale wpływ taki sam.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma AEM Forms, w jakim wariancie (JEE czy wspólnie z AEM) i w jakiej wersji | Dziś | Administrator / integrator |
2 | 🔴 NATYCHMIAST | Odciąć AEM Forms od dostępu z internetu, jeśli nie jest to absolutnie konieczne (zalecenie Searchlight) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować poprawkę z biuletynu APSB25-82 dla swojego wariantu | Dziś lub jutro | Administrator / integrator |
4 | 🟠 PILNIE | Sprawdzić, czy tryb deweloperski Struts2 jest wyłączony i przejrzeć konfigurację z czasu wdrożenia | Do 3 dni | Integrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera od lipca 2025 roku pod kątem nietypowych żądań i procesów | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła do bazy, repozytorium i poczty zapisane w konfiguracji serwera | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Ograniczyć uprawnienia konta serwera w bazie do niezbędnych tabel | Do 30 dni | Administrator bazy danych |
8 | 🟡 WAŻNIE | Zainstalować także poprawkę powiązanej luki CVE-2025-54254 (XXE) z tego samego biuletynu | Do 30 dni | Integrator |
Adobe wydał poprawkę w biuletynie APSB25-82, więc docelowo trzeba ją zainstalować. Zanim to nastąpi, poniższe miary ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do AEM Forms z internetu (samodzielne wdrożenie JEE) | Wysoka wobec ataków z zewnątrz | Średnia: klienci mogą stracić dostęp do formularzy |
Wyłączenie trybu deweloperskiego Struts2 w konfiguracji | Średnia do wysokiej, zależnie od pełnej zgodności z poprawką | Średnia, wymaga integratora |
Zapora aplikacyjna (WAF) blokująca dostęp do ścieżek administracyjnych i usług | Średnia | Średnia |
Przegląd logów i ruchu wychodzącego z serwera | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wykonanie kodu bez logowania | Możliwe | Zablokowane poprawką |
Tryb deweloperski | Nieznany stan | Sprawdzony i wyłączony |
Dostęp z internetu | Otwarty | Ograniczony do niezbędnego minimum |
Hasła do systemów obok | Stare, szerokie uprawnienia | Zmienione, ograniczone uprawnienia |
Status wobec terminu CISA | Zaległość od 5 listopada 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg Adobe (CVSS 3.1) |
PoC dostępny publicznie? | Publiczna analiza techniczna Searchlight Cyber z 29 lipca 2025 roku, opublikowana przed poprawką; gotowego exploita nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Zespół badawczy Searchlight Cyber (Assetnote) |
Powiązana luka | CVE-2025-54254 (XXE w usługach AEM Forms), naprawiona tym samym biuletynem |
Prognoza EPSS | 0,87515, wyżej niż 99,7% znanych luk, stabilnie przez 30 dni (wg analizy źródłowej) |
Źródła różnią się zakresem: Adobe pisze ogólnie o Adobe Experience Manager, CISA zawęża sprawę do AEM Forms na JEE, a NVD wskazuje AEM Forms do 6.5.23.0. O tym, czy luka dotyczy Twojej firmy, rozstrzyga inwentaryzacja: moduł, wariant wdrożenia i konfiguracja.
Sygnały zagrożenia dla CVE-2025-54253
CVSS 3.1 (Adobe) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
Publiczny opis ataku TAK ████████████████████ od lipca 2025
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-04 Searchlight Cyber zgłasza błędy do Adobe
2025-07-29 Searchlight publikuje analizę (bez poprawki dla tej luki)
2025-08-05 Publikacja CVE-2025-54253 w NVD, biuletyn Adobe APSB25-82
2025-10-15 CISA dodaje lukę do katalogu KEV
2025-11-05 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z poprawką: Adobe APSB25-82 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-54253 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub integrator używa Adobe AEM Forms i w jakim wariancie | CTO | DZISIAJ |
2 | Zatwierdzić czasowe odcięcie serwera formularzy od internetu, jeśli poprawki nie ma | CTO | DZISIAJ |
3 | Uzyskać od integratora datę instalacji poprawki APSB25-82 | CTO | DZISIAJ |
4 | Zlecić przegląd konfiguracji z czasu wdrożenia (tryb deweloperski, zapisane hasła) | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli logi budzą wątpliwości | CFO | DO JUTRA |
6 | Przygotować z działem prawnym procedurę powiadomienia klientów na wypadek wycieku | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Adobe AEM Forms, w wariancie JEE czy razem z AEM? | TAK / NIE, [wariant] | 🔴 |
2 | Jaka jest dokładna wersja i czy zainstalowano poprawkę APSB25-82? | [wersja], [data] | 🔴 |
3 | Czy AEM Forms jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy tryb deweloperski Struts2 jest wyłączony? | TAK / NIE | 🔴 |
5 | Jakie hasła do innych systemów są zapisane na serwerze formularzy? | [lista] | 🟠 |
6 | Czy przejrzano logi od lipca 2025 roku? | TAK / NIE, [data] | 🟠 |
7 | Czy poprawiono także CVE-2025-54254? | TAK / NIE | 🟡 |
CVE-2025-54253 pozwala bez logowania wykonać kod na serwerze Adobe AEM Forms przez pozostawiony tryb deweloperski i błąd autoryzacji, a serwer ten zwykle trzyma najbardziej wrażliwe dokumenty klientów. CISA potwierdza ataki, opis techniki jest publiczny od lipca 2025 roku, więc instalacja poprawki APSB25-82, odcięcie od internetu i przegląd konfiguracji to zadania na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.