Błąd w SNMP w Cisco IOS i IOS XE pozwala restartować urządzenia, a z hasłem administratora przejąć je i wgrać rootkit. CISA potwierdza ataki. Ogranicz SNMP, zmień hasła i zaktualizuj oprogramowanie.
Ten alert jest dla zarządu, CTO i CFO firm, które mają routery lub przełączniki Cisco z oprogramowaniem IOS albo IOS XE, zwłaszcza z włączonym monitorowaniem SNMP. Werdykt: jeśli SNMP jest włączony, ogranicz go dziś do adresu serwera monitoringu, zmień hasła SNMP i administratora oraz zaplanuj aktualizację według narzędzia Cisco Software Checker, bo luka jest wykorzystywana do instalowania ukrytego oprogramowania na przełącznikach.
Amerykańska agencja CISA 29 września 2025 roku dopisała podatność CVE-2025-20352 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy podsystemu SNMP w oprogramowaniu Cisco IOS i IOS XE, czyli usługi, przez którą programy monitorujące odpytują urządzenia sieciowe o ich stan.
To przepełnienie bufora na stosie. Napastnik, który zna hasło SNMP do odczytu (tzw. community string) albo ma dane konta SNMPv3, może spreparowanym pakietem zrestartować urządzenie. Jeśli dodatkowo ma dane administratora urządzenia (poziom uprawnień 15), na IOS XE może uruchomić własny kod jako root i przejąć urządzenie. Cisco poinformował, że o udanym ataku dowiedział się po tym, jak napastnicy przejęli lokalne dane administratora.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 20 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-20352 (biuletyn cisco-sa-snmp-x4LPhte) |
Data dodania do CISA KEV | 2025-09-29 |
Termin naprawy wg CISA | 2025-10-20 (21 dni od wpisu) |
Produkt | Cisco IOS Software i Cisco IOS XE Software (routery i przełączniki); IOS XR i NX-OS nie są podatne |
Wersje zagrożone | Podatne wydania IOS i IOS XE z włączonym SNMP (każda wersja protokołu: v1, v2c, v3), jeśli nie wykluczono podatnego obiektu OID. Lista obejmuje ponad tysiąc kombinacji produktu i wersji (NVD: 1096 dopasowań). Restart: IOS i IOS XE. Wykonanie kodu jako root: tylko IOS XE |
Wersje bezpieczne | Cisco nie podaje listy w biuletynie; pierwszą poprawioną wersję dla konkretnego wydania wskazuje narzędzie Cisco Software Checker. Klienci przełączników Meraki zarządzanych z chmury mają kontaktować się ze wsparciem Meraki |
Typ podatności | Przepełnienie bufora na stosie (stack overflow); CWE-121 |
Ocena CVSS | 7.7 WYSOKA (CVSS 3.1) wg Cisco; NVD nie wystawiła własnej oceny. Atak przez sieć, wymaga uwierzytelnienia SNMP (niskie uprawnienia do restartu, wysokie do przejęcia), bez udziału użytkownika |
Wyobraź sobie stację pogodową na dachu firmy, do której technik może zadzwonić i zapytać o temperaturę, podając wspólne hasło. Hasło ustalono przy montażu pięć lat temu i zna je firma instalacyjna, poprzedni informatyk i program monitorujący. W tej stacji pytanie ułożone w nietypowy sposób powoduje, że urządzenie się zawiesza i restartuje. A jeśli dzwoniący zna też hasło serwisowe, może stację przeprogramować, żeby wysyłała fałszywe odczyty i wpuszczała go w przyszłości bez hasła.
Router i przełącznik to taki sprzęt, przez który przechodzi cały ruch w firmie. SNMP to linia do zadawania pytań o stan urządzenia. Restart przełącznika to kilka minut bez sieci, kas, telefonów i programu magazynowego, a powtarzany co kwadrans to dzień bez sprzedaży. Przejęcie urządzenia to znacznie gorzej: napastnik może podsłuchiwać i przekierowywać ruch, a według Trend Micro instalował na przełącznikach ukryte oprogramowanie z „uniwersalnym hasłem”.
💡 SNMP to protokół, którym programy monitorujące pytają urządzenia sieciowe o stan pracy. Community string to wspólne hasło w starszych wersjach SNMP (v1, v2c). SNMPv3 to nowsza wersja z osobnymi kontami. Privilege 15 to najwyższy poziom uprawnień administratora na urządzeniu Cisco. Rootkit to ukryte oprogramowanie dające napastnikowi stały dostęp. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapytanie SNMP od serwera monitoringu | Urządzenie odpowiada danymi o stanie | Tak samo |
Spreparowany pakiet SNMP z hasłem do odczytu | Zwykła odpowiedź lub odmowa | Restart urządzenia i przerwa w sieci |
Spreparowany pakiet z hasłem SNMP i danymi administratora (IOS XE) | Brak możliwości uruchomienia kodu | Kod napastnika działa jako root, pełna kontrola |
Przejście na SNMPv3 | Lepsze uwierzytelnienie | Nie chroni, luka dotyczy wszystkich wersji SNMP |
Wykluczony obiekt OID i SNMP tylko z adresu monitoringu | Normalny monitoring | Znacznie trudniejszy atak |
źródło: Pexels, Ehaan DewaPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z opisem kampanii „Operation Zero Disco” przez Trend Micro. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga znajomości hasła SNMP, a do przejęcia urządzenia także danych administratora, więc zwykle nie jest pierwszym krokiem włamania. CISA oceniła, że nie da się go zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie haseł | Dni lub tygodnie wcześniej | Kradzież hasła administratora urządzenia i hasła SNMP (z konfiguracji, programu monitorującego, od byłego dostawcy, przez phishing) | Dane potrzebne do ataku |
2. Dostęp do SNMP | T+0 min | Wysyłanie pakietów SNMP do routera lub przełącznika z sieci, z której SNMP jest dostępny (według Trend Micro także ze sfałszowanych adresów) | Kontakt z podatną usługą |
3. Wykonanie kodu | T+minuty | Spreparowane pakiety SNMP z poleceniami, dzielonymi na małe porcje | Kod jako root na IOS XE |
4. Instalacja rootkitu | T+minuty | Wgranie ukrytego oprogramowania ustawiającego „uniwersalne hasło” i haki w pamięci systemu | Stały, niewidoczny dostęp do urządzenia |
5. Wykorzystanie | T+dni do tygodni | Podsłuch i przekierowanie ruchu, ukrywanie własnych połączeń | Dostęp do danych przepływających przez sieć |
6. Sabotaż (wariant) | Dowolny moment | Powtarzane restarty urządzenia | Przerwy w działaniu sieci firmy |
Mogę Ci jakoś pomóc?
Urządzenia sieciowe są pomijane przez antywirusy i rzadko aktualizowane, a hasła SNMP często nie były zmieniane od montażu. Przejęty router lub przełącznik daje napastnikowi wgląd w cały ruch i przetrwa porządki na komputerach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Powtarzane restarty i przerwy w sieci, zatrzymanie sprzedaży, magazynu, telefonii | Minuty od ataku | 10 tys. do 200 tys. PLN (przestój, diagnostyka) |
Bezpieczeństwo danych | Podsłuch i przekierowanie ruchu, kradzież danych przesyłanych w sieci | Dni do tygodni po przejęciu | 30 tys. do 250 tys. PLN (analiza urządzeń, obsługa incydentu) |
Finansowy | Wymiana lub pełna reinstalacja urządzeń, koszty specjalistów sieciowych | Tygodnie | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania po wycieku lub długich przerwach w obsłudze klientów | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Cisco IOS/IOS XE bez poprawki,
SNMP włączony i dostępny z sieci firmowej
A = napastnik zna tylko hasło SNMP (restart urządzenia)
B = napastnik zna też dane administratora (przejęcie IOS XE)
Wpływ
5 | . . B . . ← KRYTYCZNE (B)
4 | . . . . .
3 | . . . A . ← WYSOKIE (A)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: restart urządzenia jest łatwiejszy do osiągnięcia (wystarczy hasło SNMP, często domyślne lub stare), ale ma mniejszy wpływ; przejęcie IOS XE ma wpływ maksymalny, a jego prawdopodobieństwo zależy od tego, czy napastnik zdobył już dane administratora.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać routery i przełączniki Cisco z IOS lub IOS XE i sprawdzić, czy SNMP jest włączony ( | Dziś | Administrator sieci / serwis |
2 | 🔴 NATYCHMIAST | Jeśli SNMP nie jest potrzebny, wyłączyć go; jeśli jest, ograniczyć dostęp wyłącznie do adresu serwera monitoringu | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zmienić hasła SNMP (community string, konta SNMPv3) oraz hasła administratorów urządzeń | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Wykluczyć podatny obiekt OID widokiem SNMP według biuletynu Cisco ( | Do 2 dni | Administrator sieci |
5 | 🟠 PILNIE | Sprawdzić wersje oprogramowania każdego urządzenia w Cisco Software Checker i zaplanować aktualizację | Do 7 dni | Administrator sieci / partner Cisco |
6 | 🟠 PILNIE | Przejrzeć konfigurację urządzeń pod kątem nieznanych kont, zmian i nietypowych restartów; przy podejrzeniu przejęcia zlecić analizę specjalistów | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ustalić, kto zna hasła do urządzeń sieciowych (byli dostawcy, pracownicy), i wprowadzić ich regularną zmianę | Do 30 dni | CTO |
Cisco wydał poprawione wersje oprogramowania, ale traktuje obejścia jako rozwiązanie tymczasowe. Nie ma obejścia usuwającego lukę, jest natomiast środek łagodzący opisany w biuletynie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wykluczenie podatnego obiektu OID przez widok SNMP (zalecenie Cisco) | Wysoka wobec tej luki; może ograniczyć część funkcji monitoringu, np. inwentaryzację sprzętu | Łatwa do średniej: kilka poleceń na urządzenie |
SNMP dostępny tylko dla zaufanych adresów i użytkowników (zalecenie Cisco) | Wysoka wobec ataków z przypadkowych komputerów w sieci | Łatwa |
Wyłączenie SNMP, jeśli nie jest używany | Bardzo wysoka | Łatwa |
Zmiana haseł SNMP i administratora | Średnia do wysokiej: odcina napastników znających stare hasła | Łatwa |
Monitorowanie hostów SNMP ( | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
SNMP | Włączony, dostępny z całej sieci, hasło z montażu | Wyłączony lub tylko dla serwera monitoringu, nowe hasło |
Podatny obiekt OID | Obsługiwany | Wykluczony widokiem SNMP |
Hasła administratora | Znane byłym dostawcom | Zmienione, lista osób z dostępem |
Wersja oprogramowania | Nieznana, brak inwentaryzacji | Sprawdzona w Software Checker, aktualizacja zaplanowana |
Wykrywanie | Restarty tłumaczone „awarią zasilania” | Monitorowane i wyjaśniane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco potwierdza udane ataki po przejęciu lokalnych danych administratora; CISA ocenia wpływ jako całkowity, a atak jako nieautomatyzowalny |
Grupy przestępcze | Brak publicznej atrybucji. Trend Micro opisał 15 października 2025 roku kampanię „Operation Zero Disco”, w której lukę wykorzystano do instalacji rootkitów na przełącznikach Cisco 9400, 9300 i starszych 3750G |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.7 WYSOKA wg Cisco (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie; Trend Micro opisał przechwycone fragmenty ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Cisco, podczas obsługi zgłoszenia klienta w centrum wsparcia technicznego (TAC) |
Prognoza EPSS | Około 0,39, wyżej niż 98% znanych podatności (wg analizy źródłowej) |
Według Trend Micro nowsze modele przełączników mają zabezpieczenie (losowe rozmieszczenie pamięci), które zmniejsza szansę powodzenia ataku, ale powtarzane próby wciąż mogą się udać. Część elementów rootkitu działa tylko w pamięci i znika po restarcie, co utrudnia późniejszą analizę.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-20352
CVSS 3.1 (Cisco) 7.7/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~39% ████████░░░░░░░░░░░░ WYSOKA (top 2%)
CISA KEV TAK ████████████████████ ataki potwierdzone
Kampania rootkitów TAK ████████████████████ Zero Disco
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-09-24 Cisco publikuje biuletyn cisco-sa-snmp-x4LPhte; CVE w NVD
2025-09-26 Aktualizacja listy podatnych produktów
2025-09-29 CISA dodaje lukę do katalogu KEV
2025-09-30 Poprawiony przykład wykluczenia obiektów OID
2025-10-06 Dopisana informacja dla klientów Meraki
2025-10-15 Trend Micro publikuje raport „Operation Zero Disco”
2025-10-20 Termin naprawy wg CISA dla agencji federalnych
... prawie 11 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco ze środkami łagodzącymi: cisco-sa-snmp-x4LPhte . Sprawdzenie wersji: Cisco Software Checker . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-20352 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę urządzeń Cisco z IOS lub IOS XE i informację, czy mają włączony SNMP | CTO | DZISIAJ |
2 | Zatwierdzić ograniczenie lub wyłączenie SNMP i zmianę haseł do urządzeń | CTO | DZISIAJ |
3 | Ustalić, kto zna obecne hasła do sprzętu sieciowego (w tym byli dostawcy) | CTO | DZISIAJ |
4 | Zlecić sprawdzenie wersji w Cisco Software Checker i plan aktualizacji | CTO | DO JUTRA |
5 | Sprawdzić, czy firma ma aktywne wsparcie Cisco lub partnera uprawniające do pobrania poprawek | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę urządzeń, jeśli pojawią się niewyjaśnione restarty lub zmiany | CFO | DO JUTRA |
7 | Wprowadzić zasadę okresowej zmiany haseł do urządzeń sieciowych | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy urządzeń Cisco z IOS lub IOS XE i jakie wersje oprogramowania? | [liczba i wersje] | 🔴 |
2 | Na których urządzeniach SNMP jest włączony? | [lista] | 🔴 |
3 | Z jakich adresów można odpytywać urządzenia przez SNMP? | [adresy] | 🔴 |
4 | Kiedy ostatnio zmieniono hasła SNMP i administratora? | [data] | 🔴 |
5 | Czy wykluczono podatny obiekt OID widokiem SNMP? | TAK / NIE | 🟠 |
6 | Czy w ostatnich miesiącach były niewyjaśnione restarty urządzeń sieciowych? | TAK / NIE | 🟠 |
7 | Kiedy planowana jest aktualizacja do wersji wskazanej przez Software Checker? | [data] | 🟡 |
CVE-2025-20352 pozwala osobie znającej hasło SNMP restartować routery i przełączniki Cisco, a z danymi administratora przejąć urządzenia z IOS XE i zainstalować na nich rootkit. CISA potwierdza ataki, więc ograniczenie SNMP, zmiana haseł i wykluczenie podatnego obiektu to zadania na dziś, a aktualizacja według Cisco Software Checker na najbliższy tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.