Błąd w Wing FTP Server starszym niż 7.4.4 pozwala bez logowania, także przez konto anonimowe, wykonać polecenia jako root lub SYSTEM. Ataki są automatyczne. Zaktualizuj serwer i sprawdź ślady przejęcia dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które wymieniają pliki z klientami lub wykonawcami przez Wing FTP Server. Werdykt: jeśli serwer ma wersję starszą niż 7.4.4, zaktualizuj go dziś do najnowszej wersji i sprawdź, czy nie został już przejęty, bo luka ma ocenę 10/10, działa bez logowania (także przez konto anonimowe) i jest wykorzystywana automatycznie.
Amerykańska agencja CISA 14 lipca 2025 roku, cztery dni po publikacji rekordu CVE, dopisała podatność CVE-2025-47812 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w Wing FTP Server pozwala przez interfejs webowy wstrzyknąć kod Lua do plików sesji i wykonać dowolne polecenia systemowe z uprawnieniami usługi FTP, domyślnie root lub SYSTEM, czyli z pełną kontrolą nad maszyną.
Producent naprawił błąd w wersji 7.4.4 wydanej 14 maja 2025 roku, opisując go w historii wersji jako „możliwe zdalne wykonanie kodu”. Osobnego biuletynu bezpieczeństwa nie ma. Termin CISA minął 4 sierpnia 2025 roku. W marcu 2026 roku do KEV trafiła też druga luka tego serwera, CVE-2025-47813 (ujawnienie informacji).
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-47812 |
Data dodania do CISA KEV | 2025-07-14 |
Termin naprawy wg CISA | 2025-08-04 (21 dni od wpisu) |
Produkt | Wing FTP Server (serwer udostępniania plików przez FTP, SFTP i przeglądarkę), interfejsy webowe użytkownika i administratora |
Wersje zagrożone | Wszystkie wersje starsze niż 7.4.4. Lukę można wykorzystać także przez anonimowe konto FTP |
Wersje bezpieczne | 7.4.4 (14 maja 2025, pierwsza z poprawką) i nowsze; najnowsza wersja na stronie producenta: 8.2.4 z 4 września 2026 |
Typ podatności | Niewłaściwa obsługa bajtu zerowego (NUL) prowadząca do wstrzyknięcia kodu Lua i zdalnego wykonania poleceń; CWE-158 |
Ocena CVSS | MITRE: 10.0 (CVSS 3.1, KRYTYCZNA). NVD nie nadała własnej oceny. Atak przez sieć, bez logowania, bez udziału użytkownika, zakres zmieniony |
Wyobraź sobie urząd, w którym jeden urzędnik sprawdza wniosek, a drugi go realizuje. Sprawdzający czyta tylko do pierwszej kropki i widzi samo nazwisko. Realizujący czyta całość, razem z poleceniem dopisanym po kropce. Wniosek przechodzi kontrolę, bo sprawdzający widział krótszą wersję, a potem zostaje wykonany w całości.
Bajt zerowy to niewidzialny znak, który w części programów oznacza koniec tekstu. Wing FTP Server sprawdzał dane z formularza tylko do tego znaku, a do pliku sesji zapisywał całość, łącznie z dopisanym kodem Lua. Serwer odczytuje i wykonuje pliki sesji, więc wstrzyknięty kod staje się jego poleceniem. Ponieważ usługa działa domyślnie jako root lub SYSTEM, napastnik przejmuje całą maszynę, a nie tylko folder z plikami.
💡 Bajt zerowy (NUL) to niewidoczny znak, który w wielu programach kończy tekst. Lua to język skryptowy, którego Wing FTP Server używa wewnętrznie. Anonimowe FTP to tryb, w którym serwer wpuszcza każdego bez hasła. Root i SYSTEM to konta o najwyższych uprawnieniach w systemach Linux i Windows. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient pobiera plik z katalogu publicznego | Pobiera plik | Tak samo |
Obca osoba loguje się anonimowo | Widzi tylko publiczny katalog | Może wstrzyknąć kod i wykonać polecenia |
Uprawnienia napastnika | Brak lub dostęp do jednego folderu | Root lub SYSTEM na całej maszynie |
Kopie zapasowe na tym samym serwerze | Chronią przed awarią | Mogą zostać zaszyfrowane lub usunięte |
Silne hasła i logowanie dwuskładnikowe | Chronią konta | Nie pomagają, bo logowanie nie jest potrzebne |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery plików są często wystawione do internetu, atak nie wymaga hasła, a CISA ocenia go jako możliwy do zautomatyzowania. Szczegółowy opis techniczny (RCE Security) i relacja firmy Huntress o atakach są publicznie dostępne.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów Wing FTP w wersji starszej niż 7.4.4 | Lista celów |
2. Wstrzyknięcie | T+kilka minut | Logowanie anonimowe lub dowolnym kontem z bajtem zerowym i kodem Lua w danych | Złośliwy kod w pliku sesji |
3. Wykonanie poleceń | T+kilka minut | Serwer odczytuje sesję i wykonuje kod | Polecenia jako root lub SYSTEM |
4. Utrwalenie | T+kilkanaście minut | Nowe konta administracyjne, zaplanowane zadania, programy uruchamiane przy starcie | Stały dostęp mimo późniejszej aktualizacji |
5. Wykorzystanie | T+godziny do dni | Kradzież plików klientów, szyfrowanie danych i kopii, ruch do sieci firmy | Wyciek, przestój, szantaż |
Luka łączy maksymalną ocenę, brak wymogu logowania, automatyczne skanowanie i uprawnienia najwyższego poziomu. Firma z takim serwerem w internecie nie jest wybierana, tylko znajdowana. Brak biuletynu bezpieczeństwa producenta sprawia, że o poprawce łatwo się nie dowiedzieć.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowany serwer plików i kopie zapasowe, wstrzymana wymiana plików z klientami | Godziny do dni | 20 tys. do 200 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Wyciek plików klientów i wykonawców, dalszy dostęp do sieci firmy | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Żądanie okupu, koszty specjalistów, utracone zlecenia | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Informowanie klientów o wycieku przekazanych plików | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli pliki zawierały dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Wing FTP Server starszym niż 7.4.4
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka daje pełne uprawnienia na maszynie bez logowania, ataki są automatyczne i potwierdzone, a EPSS przekracza 90%; serwer w wersji 7.4.4 lub nowszej jest poza zasięgiem tej luki, ale wymaga sprawdzenia śladów z okresu sprzed aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma używa Wing FTP Server i w jakiej wersji | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zaktualizować do najnowszej wersji (co najmniej 7.4.4) | Dziś | Administrator / dostawca |
3 | 🔴 NATYCHMIAST | Wyłączyć anonimowe konto FTP, jeśli nie jest niezbędne | Dziś | Administrator |
4 | 🟠 PILNIE | Sprawdzić konta administracyjne, zaplanowane zadania i programy uruchamiane przy starcie systemu | Do 2 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć pliki sesji i logi serwera od lipca 2025 pod kątem nietypowych logowań i wpisów | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przenieść kopie zapasowe na osobne urządzenie, niedostępne z serwera plików | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Uruchamiać usługę FTP na koncie o ograniczonych uprawnieniach zamiast root lub SYSTEM | Do 30 dni | Administrator |
8 | 🟡 WAŻNIE | Ustalić listę systemów dostępnych z internetu, które aktualizuje się natychmiast, bez czekania na okno serwisowe | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 7.4.4 (i nowszych), ale nie opublikował biuletynu ani obejść. W NVD podlinkowane są skrypty łagodzące i wykrywające od firmy zewnętrznej; przed uruchomieniem trzeba je sprawdzić jak każde obce oprogramowanie. Efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie serwera od internetu lub dostęp tylko z zaufanych adresów | Wysoka: usuwa skanowanie jako drogę ataku | Średnia: może utrudnić pracę klientom |
Wyłączenie anonimowego FTP | Średnia: usuwa najłatwiejsze wejście, ale atak jest możliwy także z innych kont | Łatwa |
Uruchomienie usługi na koncie o ograniczonych uprawnieniach | Średnia: ogranicza skutki, nie usuwa luki | Średnia |
Przeniesienie kopii zapasowych poza serwer | Nie blokuje ataku, chroni przed utratą danych | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Wing FTP Server | Starsza niż 7.4.4 | Najnowsza wersja |
Anonimowy dostęp | Włączony „od instalacji” | Wyłączony lub świadomie ograniczony |
Uprawnienia usługi | Root lub SYSTEM | Ograniczone konto usługowe |
Kopie zapasowe | Na tym samym serwerze | Na osobnym urządzeniu |
Wiedza o włamaniu | Brak | Przejrzane konta, zadania i logi |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Huntress opisał wykorzystanie w rzeczywistych atakach; CISA ocenia atak jako automatyzowalny |
Grupy przestępcze | Brak publicznych informacji w analizowanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg MITRE (CVSS 3.1); NVD bez własnej oceny |
PoC dostępny publicznie? | TAK w formie szczegółowego opisu wykorzystania (RCE Security), oznaczonego w NVD jako zawierający sposób ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Druga luka w KEV | CVE-2025-47813 (ujawnienie informacji przez długą wartość ciasteczka UID), dodana 16 marca 2026 |
Prognoza EPSS | Ok. 95% szans próby wykorzystania w 30 dni, powyżej 99. percentyla |
Sygnały zagrożenia dla CVE-2025-47812
CVSS 3.1 (MITRE) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~95% ███████████████████░ MAKSYMALNA
Atak automatyzowalny TAK ████████████████████ wg CISA
Logowanie wymagane NIE ████████████████████ także konto anonimowe
CISA KEV TAK ████████████████████ po 4 dniach od publikacji 2025-05-14 Wing FTP Server 7.4.4 z poprawką „możliwego zdalnego wykonania kodu”
2025-06 RCE Security publikuje analizę techniczną luki
2025-07-10 Publikacja CVE-2025-47812
2025-07-14 CISA dodaje lukę do katalogu KEV (4 dni po publikacji)
2025-08-04 Termin naprawy wg CISA dla agencji federalnych
2026-03-16 CISA dodaje do KEV drugą lukę Wing FTP (CVE-2025-47813)
2026-09-04 Producent wydaje wersję 8.2.4
2026-09-17: TUTAJ JESTEŚMY Historia wersji producenta (jedyne źródło informacji o poprawce): wftpserver.com/serverhistory.htm . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-47812 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Wing FTP Server i czy jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację bez czekania na okno serwisowe | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie anonimowego dostępu i uprzedzić klientów, jeśli z niego korzystali | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera pod kątem śladów przejęcia | CTO | DO JUTRA |
5 | Zarezerwować budżet na osobne urządzenie do kopii zapasowych | CFO | DO JUTRA |
6 | Przy kolejnych zakupach oprogramowania pytać dostawcę, gdzie publikuje informacje o lukach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Wing FTP Server i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
2 | Czy serwer jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy anonimowe konto FTP jest włączone? | TAK / NIE | 🔴 |
4 | Na jakim koncie działa usługa (root, SYSTEM czy konto ograniczone)? | [konto] | 🟠 |
5 | Czy sprawdzono konta administracyjne i zaplanowane zadania pod kątem obcych wpisów? | TAK / NIE, [data] | 🟠 |
6 | Gdzie leżą kopie zapasowe plików z tego serwera? | [miejsce] | 🟠 |
7 | Kto i jak często sprawdza historię wersji producenta? | [osoba], [częstotliwość] | 🟡 |
CVE-2025-47812 w Wing FTP Server starszym niż 7.4.4 pozwala każdemu z internetu, także przez konto anonimowe, przejąć serwer z uprawnieniami root lub SYSTEM. Ataki są automatyczne i potwierdzone przez CISA, więc aktualizacja, wyłączenie anonimowego dostępu i sprawdzenie śladów przejęcia to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.