Przepełnienie bufora w routerze D-Link GO-RT-AC750 pozwala bez hasła przejąć urządzenie. CISA potwierdza ataki, a D-Link zakończył wsparcie w 2020 roku. Jedyne rozwiązanie to wymiana routera.
Ten alert jest dla właścicieli i zarządów małych firm, biur i gabinetów, w których internet działa przez router kupiony w sklepie z elektroniką. Werdykt: jeśli w firmie pracuje router D-Link GO-RT-AC750 (dowolna rewizja), wymień go jak najszybciej, najlepiej dziś, bo luka pozwala przejąć go bez hasła, jest aktywnie wykorzystywana, a producent nie wyda już poprawki.
Amerykańska agencja CISA 8 grudnia 2025 roku dopisała CVE-2022-37055 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To przepełnienie bufora w oprogramowaniu routera D-Link GO-RT-AC750, w programie cgibin obsługującym protokół zdalnego zarządzania HNAP. Napastnik z sieci może bez logowania i bez udziału użytkownika uruchomić na routerze własny kod.
Nietypowe jest zalecenie. CISA nie napisała „zaktualizuj”, tylko ostrzegła, że urządzenia mogą być po zakończeniu wsparcia i należy zaprzestać ich używania. D-Link potwierdza: wszystkie rewizje GO-RT-AC750 straciły wsparcie 29 lutego 2020 roku, a poprawionego oprogramowania nie ma i nie będzie.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-37055 (w tym samym komunikacie D-Link: CVE-2022-37056 i CVE-2022-37057, wstrzyknięcie poleceń) |
Data dodania do CISA KEV | 2025-12-08 |
Termin naprawy wg CISA | 2025-12-29 (21 dni od wpisu) |
Produkt | D-Link, router GO-RT-AC750 (w katalogu KEV opisany ogólnie jako „D-Link Routers”) |
Wersje zagrożone | NVD: oprogramowanie 1.01b03 (rewizja A) i 2.00b02 (rewizja B). Komunikat D-Link SAP10308: wszystkie rewizje sprzętowe i wszystkie wersje oprogramowania, bo urządzenie nie ma wsparcia |
Wersje bezpieczne | Brak. D-Link: poprawione oprogramowanie niedostępne, koniec wsparcia 29.02.2020, zalecenie wycofania i wymiany urządzenia |
Typ podatności | Przepełnienie bufora (kopiowanie danych bez sprawdzenia rozmiaru) w cgibin, funkcja hnap_main; CWE-120 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1), zgodnie wg NVD i CISA. Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie papierowy formularz z rubryką na 20 znaków. Ktoś wpisuje w nią 500 znaków, a tekst wychodzi poza kratkę i zamazuje pole na dole formularza z instrukcją „po wypełnieniu przekaż do działu X”. Urzędnik czyta już podmienioną instrukcję i wykonuje ją posłusznie, bo nie ma jak zauważyć, że została nadpisana.
Router działa tak samo. Protokół HNAP służy do zarządzania routerem przez sieć i przyjmuje dane, których program nie mierzy. Zbyt długie dane nadpisują w pamięci informację o tym, co router ma zrobić dalej, a napastnik dobiera je tak, by router uruchomił jego kod. Router to zaś urządzenie, przez które przechodzi cały ruch firmy: bankowość, poczta, terminal płatniczy, kamery i kopie zapasowe.
💡 Router to urządzenie łączące sieć biurową z internetem. Przepełnienie bufora to zapisanie do pamięci więcej danych, niż przewidziano, z nadpisaniem sąsiednich informacji. HNAP to protokół do zdalnego zarządzania urządzeniem sieciowym. Koniec wsparcia (EoL/EoS) oznacza, że producent nie wydaje już żadnych poprawek. Botnet to sieć przejętych urządzeń używanych wspólnie do ataków. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu wysyła zapytanie do routera | Router odrzuca obce polecenia | Router wykonuje kod napastnika bez hasła |
Pracownik wpisuje adres banku | Trafia na stronę banku | Przejęty router może przekierować go na fałszywą stronę |
Poczta wychodząca z firmy | Trafia do skrzynek klientów | Gdy router wysyła spam jako część botnetu, adres firmy trafia na czarne listy, a poczta do spamu |
Szukanie aktualizacji w panelu | Producent wydaje poprawkę | Poprawki nie ma i nie będzie |
Router „działa” | Nic nie trzeba robić | Brak sygnału, że urządzenie jest niebezpieczne |
źródło: Pexels, Sami TÜRKPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że atak da się zautomatyzować, więc nikt nie wybiera ofiary ręcznie: program przeczesuje internet i próbuje na każdym znalezionym routerze. Atak wymaga dostępu sieciowego do interfejsu zarządzania routera, np. gdy jest on dostępny od strony internetu, lub z sieci lokalnej.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie urządzeń odpowiadających jak podatne routery D-Link | Lista adresów do ataku |
2. Wykorzystanie | T+sekundy do minut | Wysłanie zbyt długich danych do HNAP | Wykonanie kodu na routerze |
3. Instalacja | T+kilka minut | Wgranie złośliwego programu, często dołączającego router do botnetu | Router pod kontrolą napastnika |
4. Wykorzystanie routera | T+godziny do dni | Ataki na inne firmy, wysyłka spamu, podsłuch lub przekierowanie ruchu | Firma staje się źródłem ataków, jej ruch jest widoczny dla napastnika |
5. Skutki | T+dni do tygodni | Czarne listy adresu, ograniczenie łącza przez operatora, możliwa kradzież danych logowania | Przerwy w pracy, problemy z pocztą i płatnościami |
Router widzi cały ruch firmy, a luka ma ocenę 9.8, nie wymaga hasła i jest wykorzystywana automatycznie. Najważniejsze jest jednak to, że nie da się jej naprawić aktualizacją. Każdy dzień pracy tego routera to dzień z otwartą, znaną i atakowaną luką.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwy w internecie, ograniczenie łącza, problemy z pocztą i terminalem płatniczym | Dni od przejęcia | 5 tys. do 50 tys. PLN (przestój, diagnoza) |
Bezpieczeństwo danych | Podsłuch i przekierowanie ruchu, kradzież haseł, dostęp do sieci biura | Godziny do dni | 10 tys. do 100 tys. PLN (analiza, zmiana haseł, czyszczenie komputerów) |
Finansowy | Kradzież z konta przez fałszywą stronę banku, utracone zamówienia | Dni do tygodni | 10 tys. do 300 tys. PLN łącznie |
Reputacyjny | Adres firmy na czarnych listach, klienci nie dostają wiadomości | Tygodnie | 5 tys. do 80 tys. PLN (utracone zlecenia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; używanie sprzętu bez wsparcia utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 5 tys. do 50 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z routerem GO-RT-AC750
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE (brak poprawki, ataki automatyczne)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (ataki automatyczne, EPSS powyżej 55%, brak poprawki), a wpływ wysoki, bo router kontroluje cały ruch firmy; dla firmy bez tego modelu luka nie ma znaczenia.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić naklejkę na spodzie routera: model i rewizję sprzętową; w panelu odczytać wersję oprogramowania | Dziś | Osoba odpowiedzialna za IT / właściciel |
2 | 🔴 NATYCHMIAST | Jeśli to GO-RT-AC750: zamówić nowy router ze wsparciem producenta | Dziś | Właściciel / partner IT |
3 | 🔴 NATYCHMIAST | Do czasu wymiany wyłączyć zarządzanie routerem od strony internetu i zmienić hasło do panelu | Dziś | Osoba odpowiedzialna za IT |
4 | 🟠 PILNIE | Wymienić router i skonfigurować nowy od zera (nowe hasła Wi-Fi i panelu, bez kopiowania starej konfiguracji) | Do 3 dni | Partner IT |
5 | 🟠 PILNIE | Zmienić hasła do bankowości i poczty używane w sieci biura, sprawdzić historię przelewów | Do 3 dni | Właściciel / księgowość |
6 | 🟠 PILNIE | Sprawdzić, czy adres IP firmy nie jest na czarnych listach poczty | Do 7 dni | Partner IT |
7 | 🟡 WAŻNIE | Założyć listę urządzeń sieciowych z datą końca wsparcia producenta | Do 30 dni | Właściciel / partner IT |
W tym przypadku aktualizacja nie jest i nie będzie dostępna: D-Link zakończył wsparcie w 2020 roku i zaleca wycofanie urządzenia, a CISA zaprzestanie używania. Poniższe miary tylko zmniejszają ryzyko na kilka dni do wymiany. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana routera na model ze wsparciem (jedyne trwałe rozwiązanie) | Wysoka | Łatwa, koszt kilkuset złotych |
Wyłączenie zdalnego zarządzania od strony internetu | Średnia: utrudnia atak z internetu, nie chroni przed atakiem z sieci lokalnej | Łatwa |
Zmiana domyślnego hasła panelu i silne szyfrowanie Wi-Fi (zalecenie D-Link dla użytkowników sprzętu bez wsparcia) | Niska wobec tej luki, ogólne utwardzenie | Łatwa |
Podłączenie za routerem operatora z wyłączonym przekierowaniem portów do D-Linka | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Router | GO-RT-AC750 bez wsparcia od 2020 roku | Nowy model ze wsparciem producenta |
Znane luki | Krytyczna, wykorzystywana, bez poprawki | Brak znanej niezałatanej luki |
Hasła | Te same od lat, możliwe że domyślne | Nowe hasła panelu, Wi-Fi, banku i poczty |
Wiedza o sprzęcie | Nikt nie wie, ile lat ma router | Lista urządzeń z datami końca wsparcia |
Zgodność z zaleceniem CISA | Urządzenie nadal w użyciu | Urządzenie wycofane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1), zgodnie wg NVD i CISA |
PoC dostępny publicznie? | NVD oznacza link do materiału badacza jako zawierający kod ataku; treści nie udało się zweryfikować |
Liczba atakowanych firm | Brak publicznych informacji |
Wsparcie producenta | Zakończone 29 lutego 2020 roku dla wszystkich rewizji; brak poprawionego oprogramowania |
Prognoza EPSS | Ponad 55% szansy próby ataku w ciągu 30 dni, powyżej 99. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2022-37055
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (analiza źr.) >55% ███████████░░░░░░░░░ WYSOKA (top 1%)
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko wymiana 2020-02-29 Koniec wsparcia D-Link dla GO-RT-AC750 (wszystkie rewizje)
2022-08-28 Publikacja CVE-2022-37055 w NVD
2022-09-13 D-Link publikuje komunikat SAP10308: brak poprawki, wymiana
2025-12-08 CISA dodaje lukę do katalogu KEV, zalecenie: zaprzestać użycia;
aktualizacja komunikatu D-Link
2025-12-29 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat D-Link o końcu wsparcia i lukach GO-RT-AC750: SAP10308 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-37055 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić model routera we wszystkich lokalizacjach firmy | Właściciel / CTO | DZISIAJ |
2 | Zatwierdzić zakup nowego routera, jeśli to GO-RT-AC750 | CFO / właściciel | DZISIAJ |
3 | Wyłączyć zdalne zarządzanie i zmienić hasło panelu do czasu wymiany | CTO / partner IT | DZISIAJ |
4 | Umówić instalację i konfigurację nowego routera | CTO | DO JUTRA |
5 | Zmienić hasła do bankowości i sprawdzić ostatnie przelewy | CFO | DO JUTRA |
6 | Zlecić sprawdzenie, czy adres firmy nie jest na czarnych listach poczty | CTO | DO JUTRA |
7 | Wprowadzić zasadę zapisywania daty końca wsparcia przy zakupie sprzętu sieciowego | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model routera mamy w każdej lokalizacji? | [model], [rewizja] | 🔴 |
2 | Czy którykolwiek z nich to D-Link GO-RT-AC750? | TAK / NIE | 🔴 |
3 | Czy zarządzanie routerem jest dostępne od strony internetu? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio zmieniono hasło do panelu routera? | [data] | 🟠 |
5 | Czy mamy inne urządzenia sieciowe po zakończeniu wsparcia producenta? | TAK / NIE, [lista] | 🟠 |
6 | Czy adres IP firmy był ostatnio na czarnych listach lub operator zgłaszał nietypowy ruch? | TAK / NIE | 🟠 |
7 | Do kiedy producent wspiera router, który kupimy w zamian? | [data] | 🟡 |
CVE-2022-37055 pozwala bez hasła przejąć router D-Link GO-RT-AC750 przez przepełnienie bufora w protokole HNAP. CISA potwierdza ataki, także zautomatyzowane, a D-Link zakończył wsparcie tego modelu w 2020 roku i nie wyda poprawki. Jedynym skutecznym działaniem jest wymiana routera, a do tego czasu wyłączenie zdalnego zarządzania i zmiana haseł.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.