Błąd w lokalnym serwerze Apex One pozwala osobie z dostępem administratora wstrzyknąć kod, który serwer roześle do agentów na wszystkich komputerach. CISA i Trend Micro potwierdzają ataki. Zainstaluj poprawkę i sprawdź konta administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią komputery pracowników programem Trend Micro Apex One zainstalowanym na własnym serwerze. Werdykt: jeśli serwer Apex One (On Premise) ma build starszy niż wersja z poprawką, zaktualizuj serwer i agentów dziś i sprawdź, kto ma konto administratora konsoli, bo luka jest już wykorzystywana w atakach.
Amerykańska agencja CISA 21 maja 2026 roku dopisała podatność CVE-2026-34926 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia Trend Micro opublikował biuletyn bezpieczeństwa i potwierdził, że obserwuje ataki z użyciem tej luki.
Błąd siedzi w serwerze zarządzającym Apex One, czyli w maszynie, która rozsyła aktualizacje i ustawienia do programów ochronnych (agentów) na wszystkich firmowych komputerach. Napastnik, który ma już dostęp administracyjny do tego serwera, może zmienić na nim kluczową tabelę i wstrzyknąć złośliwy kod, a serwer sam roześle go do agentów w całej firmie.
Ocena CVSS jest tylko średnia, bo atak wymaga wcześniejszego zdobycia uprawnień administratora. Mimo to termin naprawy wyznaczony przez CISA minął 4 czerwca 2026 roku, ponad trzy miesiące temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34926 |
Data dodania do CISA KEV | 2026-05-21 |
Termin naprawy wg CISA | 2026-06-04 (14 dni od wpisu) |
Produkt | Trend Micro (TrendAI) Apex One, serwer zarządzający w wersji instalowanej lokalnie (On Premise) |
Wersje zagrożone | Apex One (On Premise) dla Windows: serwer w buildzie starszym niż 17079, agent starszy niż 14.0.17079 (NVD, JVN). Wariant usługowy Apex One as a Service i Vision One Endpoint Security (Standard Endpoint Protection) figuruje w NVD z agentem starszym niż 14.0.20731, ale według producenta luka da się wykorzystać wyłącznie w instalacji lokalnej. Warunek ataku: dostęp do serwera Apex One i wcześniej zdobyte poświadczenia administratora |
Wersje bezpieczne | Apex One (On Premise): Service Pack 1 Critical Patch build 18012 dla serwera oraz agent 14.0.18012 lub nowsze (poprawka wskazana w JVN). Apex One as a Service i Vision One SEP: serwer naprawiony przez producenta podczas prac serwisowych w kwietniu 2026, agent 14.0.20731 lub nowszy |
Typ podatności | Przejście po ścieżce względnej (path traversal) pozwalające podmienić pliki na serwerze; CWE-23 |
Ocena CVSS | Trend Micro (w NVD): 6.7 (CVSS 3.1, ŚREDNIA), wektor lokalny, wysoka złożoność, wymagane wysokie uprawnienia, zmiana zakresu skutków. JVN: 4.9 (CVSS 4.0, ŚREDNIA), z wysokim wpływem na systemy zależne, czyli agentów |
Wyobraź sobie sieć sklepów, w której centrala co rano rozsyła do wszystkich placówek segregator z procedurami. Kierownicy sklepów wykonują polecenia bez dyskusji, bo przyszły z centrali. Teraz ktoś, kto zdobył klucze do biura centrali, podmienia jedną kartkę w segregatorze. Następnego dnia sto sklepów wykonuje jego instrukcję, a każdy kierownik jest przekonany, że działa zgodnie z procedurą.
Tak wygląda ta luka. Serwer Apex One jest centralą, a agenci na komputerach pracowników to kierownicy sklepów. Błąd w serwerze pozwala osobie z dostępem administracyjnym wyjść poza przewidziany katalog i zmienić plik sterujący, a zaufany kanał aktualizacji rozniesie złośliwy kod po całej firmie. Czyszczenie jednego zainfekowanego komputera nie pomoże, bo przy najbliższej synchronizacji serwer podłoży to samo jeszcze raz.
💡 Agent to mały program ochronny na każdym komputerze, który słucha poleceń serwera zarządzającego. Path traversal (przejście po ścieżce) to sztuczka z nazwą pliku zawierającą polecenia „wróć o katalog wyżej”, dzięki której program zapisuje plik tam, gdzie nie powinien. CVSS to punktowa skala trudności i skutków ataku od 0 do 10. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer rozsyła aktualizację do agentów | Agenci dostają zaufane komponenty producenta | Agenci mogą dostać kod podłożony przez napastnika |
Ktoś loguje się do konsoli skradzionym hasłem administratora | Może zmieniać ustawienia ochrony, co widać w konsoli | Może dodatkowo podmienić pliki serwera i rozesłać własny kod |
Dział IT czyści zainfekowany komputer | Problem znika | Problem wraca przy kolejnej synchronizacji z serwerem |
Ocena na liście zadań IT | Luka „średnia” czeka na planowe okno | Luka „średnia” jest już wykorzystywana w atakach |
Zasięg jednego włamania | Jeden serwer | Wszystkie komputery z agentem Apex One |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie otwiera drzwi z internetu: napastnik musi najpierw dostać się do serwera Apex One i zdobyć poświadczenia administratora inną drogą, na przykład przez wyłudzone hasło, konto serwisowe firmy zewnętrznej albo wcześniejsze włamanie do sieci. Luka zamienia ten jeden przejęty serwer w kontrolę nad wszystkimi chronionymi komputerami.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wcześniejsze włamanie | T+0 (dni lub tygodnie przed użyciem luki) | Zdobycie dostępu do sieci i hasła administratora serwera Apex One, np. przez phishing lub stare konto serwisowe | Napastnik ma dostęp do serwera zarządzającego |
2. Rozpoznanie | T+kilka godzin | Sprawdzenie wersji serwera i listy podłączonych agentów | Wiadomo, czy serwer jest bez poprawki i ile komputerów obejmuje |
3. Podmiana tabeli | T+kilkadziesiąt minut | Wykorzystanie przejścia po ścieżce do zmiany kluczowej tabeli na serwerze i wstrzyknięcia kodu | Złośliwy kod czeka w kanale aktualizacji |
4. Rozesłanie | T+najbliższa synchronizacja agentów | Serwer rozsyła kod jako zaufany komponent | Kod uruchomiony na wielu komputerach jednocześnie |
5. Wykorzystanie | T+1 do 7 dni | Kradzież danych, instalacja narzędzi zdalnego dostępu, osłabienie ochrony | Trwała obecność w całej firmie |
6. Skutek | T+dni do tygodni | Wyciek danych, szpiegostwo lub przygotowanie do szyfrowania | Przestój i koszty obsługi incydentu |
Mogę Ci jakoś pomóc?
Program ochronny ma najwyższe uprawnienia na każdym komputerze i jest domyślnie zaufany przez pracowników i inne zabezpieczenia. Przejęcie kanału, którym ten program dostaje aktualizacje, daje napastnikowi zasięg całej firmy za jednym razem. Warunek wstępny, czyli dostęp administratora do serwera, ogranicza liczbę możliwych ataków, ale nie skutki udanego.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność sprawdzenia lub przeinstalowania wielu komputerów naraz, praca stoi | Dni od rozesłania kodu | 40 tys. do 300 tys. PLN (przestój, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Kradzież dokumentów, haseł i danych klientów z wielu stanowisk | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty zewnętrznych specjalistów, nadgodzin, ewentualnego okupu przy dalszej eskalacji | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania od partnerów i ubezpieczyciela o nienaprawioną znaną lukę | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Apex One (On Premise) bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo jedna podmiana trafia na wszystkie komputery, a prawdopodobieństwo średnie, bo napastnik musi najpierw zdobyć dostęp administracyjny do serwera; firma z wieloma osobami i firmami zewnętrznymi znającymi hasło do konsoli powinna przesunąć się w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma Apex One na własnym serwerze czy w wersji usługowej, oraz sprawdzić build serwera i agentów | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zainstalować na serwerze Apex One (On Premise) Critical Patch z biuletynu producenta (build 18012 lub nowszy) i zaktualizować agentów | Dziś | Administrator systemów / partner IT |
3 | 🔴 NATYCHMIAST | Zmienić hasła wszystkich kont administracyjnych konsoli i usunąć konta, których nikt nie potrafi przypisać do osoby | Dziś | Administrator systemów |
4 | 🟠 PILNIE | Przejrzeć logi logowań do konsoli i serwera oraz ostatnio rozesłane komponenty od kwietnia 2026 | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ograniczyć dostęp do serwera i konsoli Apex One do wybranych stacji administratorów | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Włączyć uwierzytelnianie wieloskładnikowe dla kont administracyjnych serwerów | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zmienić zasadę priorytetów: luki z katalogu KEV łatane w pierwszej kolejności niezależnie od oceny CVSS | Do 30 dni | CTO |
Producent wydał poprawkę dla wersji lokalnej, a w wersji usługowej naprawił serwer podczas kwietniowych prac serwisowych, więc docelowo trzeba wgrać poprawkę. Do czasu okna serwisowego pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zmiana haseł i przegląd kont administratora konsoli Apex One | Wysoka: usuwa warunek wstępny ataku, jeśli hasła wyciekły | Łatwa |
Dostęp do konsoli i serwera tylko z wybranych adresów lub stacji administratorów | Średnia do wysokiej: utrudnia użycie skradzionego hasła | Średnia |
Uwierzytelnianie wieloskładnikowe przy logowaniu na serwer | Średnia: nie chroni, jeśli napastnik już jest na serwerze | Średnia |
Monitorowanie zmian plików i logowań na serwerze Apex One | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer Apex One | Build bez poprawki, podatny na podmianę tabeli | Critical Patch zainstalowany, luka zamknięta |
Konta administratorów | Nieznana lista, stare hasła, konta firm zewnętrznych | Aktualna lista, nowe hasła, MFA |
Kanał aktualizacji do agentów | Może rozsyłać podłożony kod | Rozsyła tylko komponenty producenta |
Wiedza o incydencie | Brak przeglądu logów | Wiadomo, czy ktoś logował się do konsoli bez uzasadnienia |
Zgodność z terminem CISA | Zaległość od 4 czerwca 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Trend Micro również zgłosił obserwowane ataki (według JVN i JPCERT/CC) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.7 ŚREDNIA (CVSS 3.1, Trend Micro); 4.9 ŚREDNIA (CVSS 4.0, JVN) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kogo dotyczy realnie | Tylko instalacji lokalnych Apex One; w wersjach usługowych serwer naprawiono w kwietniu 2026 |
Prognoza EPSS | Około 12,7% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 96% znanych podatności (wg analizy źródłowej) |
Dla decyzji biznesowej kluczowe jest to, że niska ocena punktowa i realne zagrożenie wskazują w różne strony. CVSS mierzy trudność ataku, a katalog KEV mówi, że ktoś już tę trudność pokonał:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-34926
CVSS 3.1 (Trend Micro) 6.7/10 █████████████░░░░░░░ ŚREDNIA
CVSS 4.0 (JVN) 4.9/10 ██████████░░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~12.7% ███░░░░░░░░░░░░░░░░░ wyżej niż 96% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-04 Trend Micro naprawia serwery w wersjach usługowych (prace serwisowe)
2026-05-21 Biuletyn Trend Micro, publikacja CVE w NVD, alert JPCERT/CC
2026-05-21 CISA dodaje lukę do katalogu KEV
2026-05-22 Aktualizacja alertu JPCERT/CC i wpisu JVN
2026-06-04 Termin naprawy wg CISA dla agencji federalnych
2026-07-23 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... ponad 3 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z poprawkami: success.trendmicro.com/en-US/solution/KA-0023430 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-34926 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa Apex One na własnym serwerze | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o buildzie serwera i agentów oraz dacie ostatniej poprawki | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację Critical Patch i zmianę haseł administratorów konsoli | CTO | DZISIAJ |
4 | Zlecić przegląd logowań do konsoli i rozesłanych komponentów od kwietnia 2026 | CTO | DO JUTRA |
5 | Poprosić partnera IT o listę osób i firm z dostępem administracyjnym do serwera | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące znanych, nienaprawionych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasz Apex One działa na własnym serwerze (On Premise), czy jako usługa? | [On Premise / usługa] | 🔴 |
2 | Jaki build ma serwer Apex One i czy zainstalowano Critical Patch z maja 2026? | [build] | 🔴 |
3 | Jaką wersję mają agenci na komputerach i czy wszyscy się zaktualizowali? | [wersja agenta] | 🔴 |
4 | Kiedy ostatnio zmieniono hasła kont administracyjnych konsoli i ile jest takich kont? | [data] / [liczba kont] | 🟠 |
5 | Czy firmy zewnętrzne mają dostęp administracyjny do serwera Apex One? | TAK / NIE | 🟠 |
6 | Czy przejrzano logowania do konsoli i zmiany na serwerze od kwietnia 2026? | TAK / NIE, [data przeglądu] | 🟠 |
7 | Czy dostęp do serwera zarządzającego jest ograniczony do wybranych stacji i chroniony MFA? | TAK / NIE | 🟡 |
CVE-2026-34926 pozwala osobie z dostępem administracyjnym do serwera Trend Micro Apex One (On Premise) rozesłać złośliwy kod do wszystkich chronionych komputerów. Ocena CVSS jest średnia, ale Trend Micro i CISA potwierdzają ataki, a termin CISA minął 4 czerwca 2026 roku, więc instalacja poprawki i przegląd kont administratorów to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.