Błąd w Commvault Web Server pozwala użytkownikowi z legalnym hasłem podrzucić na serwer powłokę webową. CISA potwierdza wykorzystanie, a Commvault wiąże je z atakiem napastnika państwowego. Zaktualizuj CommServe, Web Server i Command Center.
Ten alert jest dla zarządu, CTO i CFO firm, które robią kopie zapasowe w Commvault (instalacja własna lub usługa chmurowa Metallic). Werdykt: jeśli serwery CommServe, Web Server lub Command Center działają na wersji starszej niż poprawiona dla ich linii, zaktualizuj je i włącz logowanie dwuskładnikowe dziś, bo luka pozwala przejąć system kopii jednym zdobytym hasłem i została już wykorzystana.
Amerykańska agencja CISA 28 kwietnia 2025 roku dopisała podatność CVE-2025-3928 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w Commvault Web Server pozwala napastnikowi z ważnymi poświadczeniami zwykłego użytkownika utworzyć i uruchomić na serwerze powłokę webową (webshell), czyli ukryty panel do wykonywania poleceń. Mechanizmu błędu producent nie opublikował.
Commvault podaje, że 20 lutego 2025 roku Microsoft powiadomił firmę o nieautoryzowanej aktywności w jej środowisku Azure, prowadzonej przez podejrzewanego napastnika państwowego, który wykorzystał tę nieznaną wcześniej lukę. Według producenta nie doszło do dostępu do przechowywanych danych kopii zapasowych klientów. Termin naprawy wg CISA minął 19 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-3928 (biuletyn Commvault CV_2025_03_1; w europejskiej bazie EUVD-2025-12508) |
Data dodania do CISA KEV | 2025-04-28 |
Termin naprawy wg CISA | 2025-05-19 (21 dni od wpisu) |
Produkt | Commvault Web Server; poprawkę instaluje się na serwerach CommServe, Web Server i Command Center (Windows i Linux). Komputery klienckie nie są objęte |
Wersje zagrożone | 11.36.0 do 11.36.45; 11.32.0 do 11.32.88; 11.28.0 do 11.28.140; 11.20.0 do 11.20.216. Warunki wg producenta dla instalacji lokalnych: dostęp z internetu, wcześniejsze przejęcie inną drogą i użycie legalnych poświadczeń. Dostęp bez uwierzytelnienia nie jest podatny |
Wersje bezpieczne | 11.36.46, 11.32.89, 11.28.141, 11.20.217 i wyższe w danej linii. Uwaga: porównuj numery tylko w obrębie własnej linii (11.28.140 jest podatna, choć 140 to więcej niż 46) |
Typ podatności | Nieokreślona (NVD: brak wystarczających informacji, CISA: pole puste); skutek: tworzenie i uruchamianie powłok webowych |
Ocena CVSS | NVD i Commvault: 8.8 (CVSS 3.1, WYSOKA). Commvault: 8.7 (CVSS 4.0, WYSOKA). Atak przez sieć, niska złożoność, wymagane niskie uprawnienia (zwykłe konto), bez udziału innego użytkownika. Biuletyn producenta: w tytule „krytyczna”, w polu wagi „wysoka” |
Wyobraź sobie firmę, w której ochrona archiwum ma klucze do wszystkich pomieszczeń, bo co noc musi zrobić kopię każdego dokumentu. Pracownik z dostępem tylko do recepcji odkrywa, że przez niezabezpieczone okienko w recepcji może zostawić w archiwum „swojego człowieka”, który od tej chwili przyjmuje jego polecenia i ma dostęp do tego samego pęku kluczy co ochrona.
Tak działała ta luka. System kopii zapasowych z definicji ma dostęp do serwerów plików, baz danych i poczty oraz hasła, by je kopiować bez udziału człowieka. Napastnik, który zdobył hasło zwykłego użytkownika Commvault, mógł podrzucić na serwer powłokę webową, czyli plik udający zwykłą podstronę, a w rzeczywistości wykonujący jego polecenia. Ruch do niej wygląda jak zwykłe przeglądanie strony.
💡 Powłoka webowa (webshell) to podrzucony na serwer plik, przez który napastnik wydaje polecenia z przeglądarki. CommServe to centralny serwer zarządzający kopiami w Commvault. Poświadczenia to login i hasło (lub klucz) pozwalające się zalogować. Logowanie dwuskładnikowe (MFA) to wymóg podania oprócz hasła drugiego potwierdzenia, np. kodu z telefonu. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zwykły użytkownik loguje się do panelu Commvault | Widzi tylko swoje zadania | Może podrzucić powłokę webową |
Hasło użytkownika wycieka z innego serwisu | Ograniczone szkody | Klucz do przejęcia systemu kopii |
System kopii zapasowych | Ostatnia linia obrony | Punkt dostępu do wszystkich kopiowanych serwerów |
Ruch do serwera kopii | Normalne korzystanie z panelu | Polecenia napastnika ukryte w zwykłym ruchu WWW |
Numer wersji 11.28.140 | Wygląda na „nowszy” niż 11.36.46 | Nadal podatny, bo liczy się linia wersji |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od „każdego z internetu”: napastnik musi najpierw zdobyć ważne hasło użytkownika Commvault, a panel musi być dla niego osiągalny. Ta luka jest drugim krokiem ataku, który zamienia jedno hasło w kontrolę nad systemem kopii.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie hasła | T+0 | Kradzież hasła z komputera pracownika, phishing lub użycie hasła z wycieku innego serwisu | Legalne poświadczenia zwykłego użytkownika |
2. Logowanie | T+minuty do dni | Logowanie do panelu Commvault dostępnego z internetu | Dostęp jako zwykły użytkownik |
3. Wykorzystanie luki | T+minuty | Utworzenie i uruchomienie powłoki webowej na Web Server | Wykonywanie poleceń na serwerze |
4. Kradzież sekretów | T+godziny | Odczyt haseł i kluczy, którymi Commvault łączy się z serwerami i chmurą | Dostęp do serwerów plików, baz, poczty, Microsoft 365 |
5. Rozszerzenie dostępu | T+dni | Przechodzenie do systemów objętych kopiami | Kontrola nad dużą częścią infrastruktury |
6. Skutek dla firmy | T+dni do tygodni | Kradzież danych, sabotaż lub usunięcie kopii przed atakiem szyfrującym | Wyciek, brak możliwości odtworzenia danych |
System kopii zapasowych ma klucze do całej infrastruktury i jest ostatnią linią obrony. Jego przejęcie oznacza jednocześnie dostęp do danych i ryzyko utraty możliwości ich odtworzenia. Niska prognoza EPSS (ok. 2%) opisuje masowość ataków, nie zagrożenie dla wybranej firmy: tę lukę wykorzystał napastnik państwowy w ataku ukierunkowanym.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata zaufanych kopii, niemożność odtworzenia danych po ataku, odbudowa systemu kopii | Dni do tygodni | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Dostęp do serwerów plików, baz danych, poczty i Microsoft 365 przez klucze systemu kopii | Godziny do dni | 40 tys. do 300 tys. PLN (analiza powłamaniowa, wymiana kluczy) |
Finansowy | Koszty specjalistów, możliwe żądanie okupu, utracone zamówienia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i audytorów do ciągłości działania | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w 72 godziny przy wycieku danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Commvault bez poprawki,
panelem dostępnym z internetu i bez MFA
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo system kopii ma klucze do całej infrastruktury, a prawdopodobieństwo średnie, bo napastnik potrzebuje najpierw ważnego hasła i dostępu do panelu; MFA i ukrycie panelu przed internetem przesuwają znacznik w lewo, a panel otwarty bez MFA w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję CommServe, Web Server i Command Center i porównać z poprawioną wersją dla własnej linii (11.20, 11.28, 11.32, 11.36) | Dziś | Administrator kopii zapasowych |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy panel zarządzania Commvault odpowiada z internetu, i ograniczyć dostęp do zaufanych sieci | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Włączyć logowanie dwuskładnikowe dla wszystkich kont w Commvault | Dziś | Administrator kopii zapasowych |
4 | 🟠 PILNIE | Zainstalować poprawkę na serwerach CommServe, Web Server i Command Center, a po aktualizacji sprawdzić, czy raporty i zadania kopii działają | Do 3 dni | Administrator kopii / partner Commvault |
5 | 🟠 PILNIE | Sprawdzić serwery WWW Commvault pod kątem nieznanych plików w katalogach aplikacji (możliwych powłok webowych) | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przy usłudze Metallic: wymienić sekrety aplikacji udostępnione między lutym a majem 2025, ograniczyć logowanie konta usługowego do adresów z listy producenta i monitorować zmiany poświadczeń (zalecenia CISA) | Do 7 dni | Administrator Microsoft 365 |
7 | 🟡 WAŻNIE | Zapewnić kopię odseparowaną od systemu Commvault (niezmienialną lub offline) | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Wprowadzić wymianę sekretów aplikacji chmurowych co 30 dni | Do 30 dni | CTO |
Commvault wydał poprawki dla wszystkich czterech linii. Do czasu ich wdrożenia CISA zaleca dla instalacji lokalnych ograniczenie dostępu do interfejsów zarządzania i zaporę aplikacyjną. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do interfejsów zarządzania Commvault do zaufanych sieci (zalecenie CISA) | Wysoka: usuwa warunek dostępu z internetu | Średnia |
Zapora aplikacyjna (WAF) blokująca próby wyjścia poza dozwolone ścieżki (zalecenie CISA) | Średnia | Średnia do trudnej |
Logowanie dwuskładnikowe dla wszystkich kont | Wysoka wobec wykradzionych haseł | Łatwa do średniej |
Przegląd i ograniczenie liczby kont z dostępem do panelu | Średnia | Łatwa |
Wymiana sekretów aplikacji chmurowych i monitoring zmian poświadczeń (Metallic, zalecenie CISA) | Wysoka dla usługi chmurowej | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Commvault | Podatna w swojej linii | Poprawiona: 11.36.46, 11.32.89, 11.28.141 lub 11.20.217+ |
Dostęp do panelu | Z internetu, samo hasło | Z zaufanych sieci, z MFA |
Sekrety chmurowe (Metallic) | Mogły wyciec w 2025 | Wymienione, rotacja co 30 dni |
Kopie zapasowe | Tylko w systemie, który mógł zostać przejęty | Dodatkowa kopia odseparowana |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Commvault: wykorzystana jako nieznana luka przez podejrzewanego napastnika państwowego w jego środowisku Azure |
Grupy przestępcze | Commvault i Microsoft: podejrzewany napastnik państwowy, bez publicznej nazwy grupy w źródłach tego alertu |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD i Commvault (CVSS 3.1); 8.7 WYSOKA wg Commvault (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznych informacji; mechanizm błędu nie został opublikowany |
Liczba atakowanych firm | Brak publicznych danych; CISA ocenia, że aktywność może być częścią szerszej kampanii wobec aplikacji chmurowych dostawców usług |
Dane klientów | Commvault: brak nieautoryzowanego dostępu do przechowywanych danych kopii zapasowych klientów |
Prognoza EPSS | Ok. 2,1% szansy próby wykorzystania w 30 dni, percentyl ok. 80 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-3928
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 4.0 (Commvault) 8.7/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~2,1% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Napastnik państwowy TAK ████████████████████ atak ukierunkowany 2025-02-20 Microsoft powiadamia Commvault o nieautoryzowanej
aktywności w środowisku Azure
2025-03-07 Commvault publikuje biuletyn bezpieczeństwa
2025-04-25 Publikacja CVE-2025-3928 w NVD
2025-04-28 CISA dodaje lukę do katalogu KEV
2025-05-19 Termin naprawy wg CISA
2025-05-22 CISA publikuje zalecenia dla usługi Metallic
i instalacji lokalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: Commvault CV_2025_03_1 . Aktualizacja informacji producenta: commvault.com/blogs/notice-security-advisory-update . Zalecenia CISA: alert z 22 maja 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-3928 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Commvault (lokalnie lub Metallic) i kto nim zarządza | CTO | DZISIAJ |
2 | Uzyskać wersję serwerów CommServe, Web Server i Command Center z nazwą linii | CTO | DZISIAJ |
3 | Zatwierdzić włączenie MFA i ograniczenie dostępu do panelu | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację | CTO | DO JUTRA |
5 | Przy usłudze Metallic: zlecić wymianę sekretów i przegląd logów Microsoft 365 | CTO | DO JUTRA |
6 | Zarezerwować budżet na odseparowaną kopię zapasową | CFO | DO JUTRA |
7 | Zapytać dostawców usług abonamentowych, jakie uprawnienia mają ich aplikacje w środowisku firmy i jak często wymieniają klucze | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest linia i wersja naszych serwerów CommServe, Web Server i Command Center? | [linia], [wersja] | 🔴 |
2 | Czy panel zarządzania Commvault jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy wszystkie konta w Commvault mają logowanie dwuskładnikowe? | TAK / NIE | 🔴 |
4 | Ile osób ma dostęp do panelu i czy wszystkie go potrzebują? | [liczba] | 🟠 |
5 | Czy sprawdziliśmy serwery Commvault pod kątem nieznanych plików (powłok webowych)? | TAK / NIE | 🟠 |
6 | Czy korzystamy z Metallic i czy wymieniliśmy sekrety aplikacji po maju 2025? | TAK / NIE, data: [data] | 🟠 |
7 | Czy mamy kopię zapasową odseparowaną od systemu Commvault? | TAK / NIE | 🟡 |
CVE-2025-3928 pozwala użytkownikowi z legalnym hasłem przejąć serwer Commvault przez powłokę webową, a CISA potwierdza wykorzystanie, które Commvault wiąże z atakiem napastnika państwowego. Ponieważ system kopii ma klucze do całej infrastruktury, zadanie na dziś to sprawdzić wersję w obrębie własnej linii, ukryć panel przed internetem i włączyć MFA, a w tym tygodniu zainstalować poprawkę i wymienić sekrety chmurowe.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.