Błąd we frameworku PHP Yii 2 pozwala bez logowania uruchomić kod na serwerze strony lub aplikacji, także zbudowanej na Craft CMS. CISA potwierdza ataki. Zleć aktualizację do Yii 2.0.52 lub nowszej i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, których strona, sklep lub aplikacja internetowa została zbudowana w PHP na frameworku Yii 2 albo na systemie, który go wykorzystuje, na przykład Craft CMS. Werdykt: jeśli projekt używa Yii starszego niż 2.0.52 (lub Craft CMS bez poprawki), zleć aktualizację programiście dziś, bo luka pozwala przejąć serwer bez logowania i jest wykorzystywana w atakach.
Amerykańska agencja CISA 2 maja 2025 roku dopisała podatność CVE-2024-58136 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. NVD odnotowuje wykorzystanie w atakach od lutego do kwietnia 2025 roku, czyli jeszcze przed publikacją rekordu 10 kwietnia 2025.
Yii 2 to framework, czyli gotowy szkielet aplikacji internetowych w PHP. Błąd dotyczy mechanizmu doczepiania do komponentów dodatkowego kodu („zachowań”) wskazywanego kluczem __class. Napastnik może przesłać do strony spreparowane dane, które szkielet potraktuje jako polecenie załadowania kodu, i w efekcie uruchomić własny program na serwerze. To regresja, czyli powrót wcześniej naprawionej luki CVE-2024-4990.
CISA zaznacza, że luka może dotyczyć innych produktów zbudowanych na Yii, w tym Craft CMS, gdzie występuje jako CVE-2025-32432. Termin naprawy minął 23 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-58136 |
Data dodania do CISA KEV | 2025-05-02 |
Termin naprawy wg CISA | 2025-05-23 (21 dni od wpisu) |
Produkt | Yii Framework (Yii 2, framework PHP); pośrednio produkty zbudowane na Yii, m.in. Craft CMS |
Wersje zagrożone | Yii 2 starsze niż 2.0.52 (NVD, producent). Craft CMS (osobny numer CVE-2025-32432): 3.0.0-RC1 do 3.9.14, 4.0.0-RC1 do 4.14.14, 5.0.0-RC1 do 5.6.16. Atak przez sieć, bez logowania |
Wersje bezpieczne | Yii 2.0.52 lub nowszy; najnowsze wydanie Yii 2 to 2.0.55 (maj 2026). Craft CMS: 3.9.15, 4.14.15, 5.6.17 lub nowsze |
Typ podatności | Niewłaściwa ochrona ścieżki alternatywnej prowadząca do zdalnego wykonania kodu; CWE-424 (MITRE, CISA), w NVD oznaczona jako „inna” |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA), atak łatwy, bez logowania. MITRE: 9.0 (CVSS 3.1, KRYTYCZNA), atak trudniejszy, ale skutki wychodzą poza zaatakowany komponent |
Wyobraź sobie dom zbudowany z gotowych elementów prefabrykowanych od znanego producenta. Wykonawca dołożył kuchnię i łazienkę, ale ściany, drzwi i zamki pochodzą z fabryki. Okazało się, że w jednej serii drzwi zamek otwiera się, gdy przyłoży się do niego odpowiednio przygotowany przedmiot. Producent kiedyś to poprawił, ale w późniejszej serii błąd wrócił. Właściciel domu nie wie, jakie drzwi ma, bo nigdy nie pytał wykonawcy o producenta elementów.
Tak działa ta luka. Strona firmy stoi na cudzym szkielecie, a szkielet w wersjach sprzed 2.0.52 pozwalał, by dane przysłane z zewnątrz wskazały kod do uruchomienia. Aktualizacja systemu na serwerze tego nie naprawi, bo Yii nie jest częścią systemu, tylko leży w katalogu konkretnej strony. Podnieść jego wersję musi programista, a nie administrator czy firma hostingowa.
💡 Framework to gotowy szkielet aplikacji z obsługą formularzy, sesji i bazy danych, na którym programista buduje stronę. Regresja to powrót błędu, który był już naprawiony. Zdalne wykonanie kodu oznacza, że obca osoba uruchamia własny program na serwerze. Composer to narzędzie, którym programista pobiera i aktualizuje biblioteki w projekcie PHP. CMS to system do zarządzania treścią strony.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Odwiedzający wysyła formularz | Strona zapisuje dane | Spreparowane dane mogą uruchomić kod napastnika |
Firma hostingowa aktualizuje serwer | Serwer jest bezpieczny | Serwer aktualny, a strona dalej podatna |
„To było łatane w zeszłym roku” | Sprawa zamknięta | Regresja: błąd wrócił w późniejszej wersji |
Firma używa Craft CMS | Nie słyszała o Yii | Jest narażona przez szkielet pod spodem |
Aktualizacja do wersji z poprawką | Usuwa problem | Zamyka lukę, ale nie usuwa plików podłożonych wcześniej |
źródło: Pexels, Towfiqu barbhuiyaPoniżej typowy przebieg ataku dla tej klasy podatności, zbieżny z przebiegiem opisanym przez Orange Cyberdefense dla Craft CMS. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Strona jest dostępna dla każdego w internecie, a atak nie wymaga logowania; CISA ocenia go jako trudny do prostej masowej automatyzacji, ale Orange Cyberdefense znalazło około 300 prawdopodobnie przejętych instalacji Craft CMS.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie | T+0 min | Wyszukiwanie w internecie stron na Craft CMS lub innych aplikacjach na Yii w starych wersjach | Lista celów |
2. Przygotowanie | T+kilkanaście minut | Znalezienie na stronie elementu (np. identyfikatora obrazka), który pozwala wysłać spreparowane żądanie | Gotowe żądanie ataku |
3. Wykonanie kodu | T+kilka minut | Wysłanie danych z kluczem __class, które szkielet ładuje jako kod | Kod napastnika działa na serwerze |
4. Utrwalenie | T+godziny | Wgranie menedżera plików w PHP i kolejnych plików, np. filemanager.php | Stały dostęp do serwera, także po aktualizacji |
5. Wykorzystanie | T+dni | Kradzież danych z bazy, podmiana treści, przekierowania, rozsyłanie spamu | Strona pracuje dla napastnika |
6. Skutek | T+tygodnie | Ostrzeżenia w wyszukiwarkach, blokada domeny, wyciek danych klientów | Spadek sprzedaży i obowiązki z RODO |
Mogę Ci jakoś pomóc?
Luka pozwala bez logowania przejąć serwer, na którym działa strona lub aplikacja. Problem jest niewidoczny w standardowych aktualizacjach serwera i często nie ma osoby odpowiedzialnej za wersje bibliotek w projekcie. Firma może być narażona, nie znając nawet nazwy Yii.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie strony lub sklepu na czas czyszczenia i odtwarzania, awaryjne szukanie programisty | Dni do tygodni | 20 tys. do 150 tys. PLN (przestój sprzedaży, prace awaryjne) |
Bezpieczeństwo danych | Wyciek danych klientów, zamówień i kont z bazy aplikacji | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracone zamówienia, koszty pilnej pracy, ewentualna przebudowa zaniedbanego projektu | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Ostrzeżenia w wyszukiwarkach, spam wysyłany z domeny, utrata zaufania | Dni do miesięcy | 20 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla aplikacji na Yii starszym niż 2.0.52
lub Craft CMS bez poprawki
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, potwierdzone kampanie, EPSS około 85%), a wpływ wysoki, bo napastnik przejmuje serwer aplikacji, choć zwykle nie całą sieć firmy; aplikacja na aktualnej wersji Yii jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, które strony i aplikacje firmy są zbudowane na Yii 2 lub Craft CMS i w jakich wersjach | Dziś | CTO / programista / agencja |
2 | 🔴 NATYCHMIAST | Podnieść Yii do 2.0.52 lub nowszej (aktualnie 2.0.55), a Craft CMS do 3.9.15, 4.14.15, 5.6.17 lub nowszej, i wdrożyć na serwer | Dziś | Programista / agencja |
3 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych plików PHP (np. filemanager.php, autoload_classmap.php w katalogu głównym strony) | Do 2 dni | Programista / zewnętrzny zespół bezpieczeństwa |
4 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem żądań POST zawierających __class | Do 3 dni | Administrator / programista |
5 | 🟠 PILNIE | Jeśli są ślady włamania: odtworzyć stronę z czystego kodu, zmienić hasła do bazy i kluczy aplikacji | Do 7 dni | Programista / agencja |
6 | 🟡 WAŻNIE | Upewnić się, że firma ma u siebie kod źródłowy strony i dostęp do repozytorium | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wpisać do umowy z wykonawcą cykliczne (np. kwartalne) aktualizacje bibliotek z terminem reakcji na krytyczne luki | Do 30 dni | CTO / CFO |
Producent wydał poprawkę w Yii 2.0.52, a Craft CMS w swoich wydaniach z 10 kwietnia 2025, więc docelowo trzeba je wdrożyć. Jeśli programisty nie ma od ręki, poniższe miary zmniejszają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Biblioteka Craft CMS Security Patches jako rozwiązanie przejściowe (zalecenie Craft CMS) | Średnia do wysokiej, tylko dla Craft CMS | Średnia: wymaga programisty |
Reguła zapory aplikacyjnej (WAF) blokująca żądania z __class w treści | Średnia: może zostać obejściem ominięta | Średnia |
Tymczasowe wyłączenie strony lub podatnej funkcji | Wysoka, kosztem dostępności | Łatwa |
Przegląd logów i plików na serwerze | Niska jako ochrona, ważna do wykrycia włamania | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Yii | Starsza niż 2.0.52 | 2.0.52 lub nowsza |
Craft CMS (jeśli używany) | Bez poprawki | 3.9.15, 4.14.15, 5.6.17 lub nowszy |
Pliki na serwerze | Nieprzejrzane, możliwe tylne furtki | Sprawdzone, obce pliki usunięte |
Kod źródłowy strony | U wykonawcy lub nie wiadomo gdzie | W repozytorium firmy |
Aktualizacje bibliotek | Ad hoc, po alarmach | Cyklicznie, z terminem w umowie |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD odnotowuje ataki od lutego do kwietnia 2025 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD); 9.0 KRYTYCZNA (CVSS 3.1, MITRE) |
PoC dostępny publicznie? | TAK: Orange Cyberdefense (SensePost) opublikowało szczegóły techniczne ataku na Craft CMS; NVD oznacza tę publikację jako zawierającą exploit |
Liczba atakowanych firm | Brak pełnych danych; Orange Cyberdefense w kwietniu 2025 znalazło około 13 tys. podatnych instalacji Craft CMS (z około 35 tys.) i około 300 prawdopodobnie przejętych |
Kto wykrył błąd | Nicolas Bourras i Thomas Reynolds z Orange Cyberdefense, podczas analizy włamania z lutego 2025 |
Prognoza EPSS | Około 85% szansy próby wykorzystania w ciągu 30 dni, powyżej 99. percentyla wszystkich podatności (wg analizy źródłowej) |
Obie oceny CVSS są krytyczne, a różnica między nimi nie zmienia decyzji. Wszystkie sygnały wskazują na pilną aktualizację:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-58136
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (MITRE) 9.0/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~85% █████████████████░░░ BARDZO WYSOKA
Szczegóły ataku TAK ████████████████████ publiczna analiza
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-02-14 Włamanie do serwera z Craft CMS badane później przez Orange Cyberdefense
2025-04-07 Craft CMS otrzymuje zgłoszenie luki opartej na błędzie w Yii
2025-04-09 Yii publikuje komunikat: zaktualizuj do 2.0.52
2025-04-10 Publikacja CVE-2024-58136 w NVD; Craft CMS wydaje 3.9.15, 4.14.15, 5.6.17
2025-04-17 Craft CMS potwierdza ślady wykorzystania i ostrzega klientów
2025-04-18 Orange Cyberdefense (SensePost) publikuje analizę kampanii
2025-05-02 CISA dodaje lukę do katalogu KEV
2025-05-23 Termin naprawy wg CISA dla agencji federalnych
2026-05-09 Wydanie Yii 2.0.55
... prawie 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: yiiframework.com/news/709/please-upgrade-to-yii-2-0-52 . Komunikat Craft CMS: craftcms.com/knowledge-base/craft-cms-cve-2025-32432 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-58136 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać wykonawców, na jakim frameworku i CMS stoją strony i aplikacje firmy | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji Yii i Craft CMS w każdym projekcie | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub czasowe wyłączenie podatnej strony | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwerów pod kątem podłożonych plików | CTO | DO JUTRA |
5 | Ustalić, gdzie jest kod źródłowy stron i czy firma ma do niego prawa i dostęp | CFO | DO JUTRA |
6 | Zarezerwować budżet na prace awaryjne lub przebudowę zaniedbanego projektu | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące aktualizacji oprogramowania | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy któraś z naszych stron lub aplikacji używa Yii 2 lub Craft CMS? | TAK / NIE | 🔴 |
2 | Jaka wersja Yii jest zapisana w projekcie (plik composer.lock)? | [wersja] | 🔴 |
3 | Jaka jest wersja Craft CMS, jeśli go używamy? | [wersja] | 🔴 |
4 | Kiedy aktualizacja została wdrożona na serwer produkcyjny? | [data] | 🟠 |
5 | Czy sprawdzono serwer pod kątem obcych plików PHP i żądań z __class w logach? | TAK / NIE, [data przeglądu] | 🟠 |
6 | Gdzie przechowywany jest kod źródłowy strony i kto ma do niego dostęp? | [lokalizacja], [osoby] | 🟠 |
7 | Jak często aktualizujemy biblioteki w projektach i kto za to odpowiada? | [częstotliwość], [osoba] | 🟡 |
CVE-2024-58136 we frameworku Yii 2 pozwala bez logowania uruchomić kod na serwerze strony lub aplikacji, także pośrednio w Craft CMS. CISA potwierdza ataki, analiza Orange Cyberdefense pokazuje setki przejętych instalacji, a termin CISA minął 23 maja 2025 roku, więc aktualizacja do Yii 2.0.52 lub nowszej i sprawdzenie serwera to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.