Dell RecoverPoint for Virtual Machines miał zaszyte na stałe konto administratora. Grupa UNC6201 wykorzystywała je od połowy 2024 roku do przejęcia urządzeń jako root. Zaktualizuj do 6.0.3.1 HF1 i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią maszyny wirtualne VMware za pomocą Dell RecoverPoint for Virtual Machines (RP4VMs). Werdykt: jeśli masz wersję starszą niż 6.0.3.1 HF1, zaktualizuj ją lub zastosuj skrypt naprawczy Della dziś i przejrzyj logi, bo fabryczne hasło administratora było wykorzystywane przez grupę szpiegowską przez około półtora roku, zanim sprawa wyszła na jaw.
Amerykańska agencja CISA 18 lutego 2026 roku dopisała podatność CVE-2026-22769 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. W urządzeniu Dell RecoverPoint for Virtual Machines zostawiono zaszyte na stałe konto admin w konfiguracji panelu Apache Tomcat Manager, jednakowe we wszystkich egzemplarzach.
Kto znał to hasło, mógł bez konta w firmie zalogować się do panelu, wgrać własną aplikację i wykonywać polecenia z najwyższymi uprawnieniami (root). Mandiant i Google Threat Intelligence opisali, że klaster UNC6201, podejrzewany o powiązania z Chinami, wykorzystywał lukę co najmniej od połowy 2024 roku.
Termin naprawy wyznaczony przez CISA minął 21 lutego 2026 roku, prawie siedem miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-22769 |
Data dodania do CISA KEV | 2026-02-18 |
Termin naprawy wg CISA | 2026-02-21 (3 dni od wpisu) |
Produkt | Dell RecoverPoint for Virtual Machines (RP4VMs), ochrona i replikacja maszyn wirtualnych |
Wersje zagrożone | Wszystkie wersje przed 6.0.3.1 HF1, m.in. 5.3 SP4 P1 oraz 6.0, 6.0 SP1, SP1 P1, SP1 P2, SP2, SP2 P1, SP3, SP3 P1 |
Wersje bezpieczne | 6.0.3.1 HF1 lub zastosowanie skryptu naprawczego wskazanego przez Della (DSA-2026-079) |
Typ podatności | Zaszyte na stałe poświadczenia; CWE-798 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, identycznie NVD i Dell). Atak przez sieć, bez konta, bez udziału użytkownika, skutek wychodzi poza panel i obejmuje cały system urządzenia |
Wyobraź sobie, że producent sejfów montuje w każdym egzemplarzu ten sam serwisowy zamek i do wszystkich pasuje jeden klucz. Nie ma znaczenia, jak dobre są Twoje szyfry i procedury, bo ktoś, kto zdobył ten jeden klucz, otwiera sejfy w każdej firmie na świecie. Co gorsza, może w środku zostawić ukryty mikrofon, który zostanie tam nawet po wymianie zamka.
Tak działała ta luka. Konto administratora było zapisane w pliku konfiguracyjnym panelu Tomcat na każdym urządzeniu. Firmowa polityka haseł, zmiana co 90 dni i lista uprawnionych osób nie miały tu znaczenia, bo tego konta nie było na żadnej liście. Napastnicy nie łamali zabezpieczeń, tylko użyli normalnej funkcji panelu: wgrywania aplikacji.
💡 Zaszyte poświadczenia (hard-coded credentials) to login i hasło wpisane przez producenta na stałe w oprogramowanie. Tomcat Manager to panel do wgrywania i uruchamiania aplikacji na serwerze Apache Tomcat. Plik WAR to paczka z aplikacją dla Tomcata. Root to konto z pełnymi uprawnieniami w systemie. Tylna furtka (backdoor) to ukryty program utrzymujący dostęp napastnika. Powłoka webowa (web shell) to podrzucony plik, który przyjmuje polecenia przez przeglądarkę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu urządzenia | Tylko administratorzy firmy znający swoje hasła | Każdy, kto zna fabryczne hasło z dowolnego egzemplarza |
Wgrywanie aplikacji na urządzenie | Tylko przez producenta przy aktualizacji | Napastnik wgrywa własną paczkę i wykonuje polecenia jako root |
Restart urządzenia | Czyści procesy uruchomione przez intruza | Zmodyfikowany skrypt startowy ponownie uruchamia tylną furtkę |
Polityka haseł firmy | Chroni wszystkie konta | Nie obejmuje konta, o którym firma nie wie |
Aktualizacja | Zamyka sprawę | Usuwa klucz, ale nie usuwa już zainstalowanych furtek |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie Mandiant i Google. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako możliwy do automatyzacji, a skutek techniczny jako całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Odnalezienie dostępnego sieciowo urządzenia RecoverPoint | Cel |
2. Logowanie | T+1 min | Logowanie do Tomcat Manager fabrycznym kontem | Dostęp do panelu |
3. Wykonanie kodu | T+5 min | Wgranie własnego pliku WAR przez | Polecenia wykonywane jako root |
4. Utrwalenie | T+30 min | Instalacja powłoki SLAYSTYLE i tylnych furtek BRICKSTORM lub GRIMBOLT; dopisanie furtki do skryptu startowego | Dostęp przetrwa restart |
5. Ruch w sieci | T+dni do miesięcy | Wykorzystanie urządzenia z dostępem do środowiska wirtualizacji jako punktu wyjścia | Dostęp do maszyn wirtualnych i danych |
6. Szpiegostwo | T+miesiące | Ciche wyprowadzanie danych | Wg Mandiant ataki trwały około półtora roku przed ujawnieniem |
Mogę Ci jakoś pomóc?
RecoverPoint for VMs to element planu odtwarzania po awarii: ma dostęp do środowiska wirtualizacji i danych wszystkich chronionych maszyn. Przejęcie takiego urządzenia to jednocześnie dostęp do danych i podważenie zdolności firmy do podniesienia się po incydencie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata zaufania do systemu odtwarzania, konieczność odbudowy urządzeń i testów planu awaryjnego | Dni do tygodni | 50 tys. do 300 tys. PLN |
Bezpieczeństwo danych | Długotrwały, cichy dostęp do danych maszyn wirtualnych | Mogło już nastąpić | 100 tys. do 500 tys. PLN (analiza powłamaniowa całego środowiska) |
Finansowy | Koszty specjalistów, wymiany infrastruktury, możliwe straty z wycieku tajemnic firmy | Tygodnie do miesięcy | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Informacja o wieloletnim, niewykrytym włamaniu | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny od stwierdzenia naruszenia; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); obowiązki zgłoszenia incydentu dla podmiotów objętych przepisami o cyberbezpieczeństwie | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla RecoverPoint for VMs
starszego niż 6.0.3.1 HF1
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko krytyczne, bo luka ma ocenę 10/10, wymaga jedynie znajomości jednego hasła wspólnego dla wszystkich egzemplarzy, jest potwierdzona w wieloletniej kampanii, a skutkiem jest pełne przejęcie urządzenia z dostępem do środowiska wirtualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa RecoverPoint for VMs i w jakiej wersji | Dziś | Administrator wirtualizacji |
2 | 🔴 NATYCHMIAST | Przed zmianami zabezpieczyć log | Dziś | Administrator / zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Zaktualizować do 6.0.3.1 HF1 lub zastosować skrypt naprawczy Della | Dziś | Administrator / partner Dell |
4 | 🔴 NATYCHMIAST | Przejrzeć log pod kątem żądań do | Dziś | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić skrypt | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przy jakimkolwiek trafieniu traktować urządzenie i środowisko wirtualizacji jako przejęte, zlecić analizę powłamaniową | Do 3 dni | CTO / zewnętrzny zespół reagowania |
7 | 🟡 WAŻNIE | Ograniczyć dostęp sieciowy do paneli zarządzania urządzeń do wydzielonej sieci administracyjnej | Do 30 dni | Administrator sieci |
Dell wydał wersję 6.0.3.1 HF1 oraz skrypt naprawczy dla starszych wydań, więc jedno z tych rozwiązań trzeba zastosować. CISA wymaga zastosowania środków producenta albo zaprzestania używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Skrypt naprawczy Della dla DSA-2026-079 (zalecenie producenta) | Wysoka, usuwa zaszyte poświadczenie | Średnia: wymaga okna serwisowego |
Zablokowanie dostępu sieciowego do Tomcat Manager ( | Średnia do wysokiej: ogranicza, kto może użyć hasła | Średnia |
Wyłączenie urządzenia do czasu naprawy (opcja wskazana przez CISA) | Wysoka | Trudna: firma traci ochronę maszyn wirtualnych |
Monitorowanie logu audytu pod kątem żądań do | Niska jako ochrona, kluczowa do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Fabryczne konto | Działa na każdym egzemplarzu | Usunięte przez poprawkę lub skrypt |
Panel wgrywania aplikacji | Dostępny z sieci | Niedostępny poza siecią administracyjną |
Tylne furtki | Nieznany stan | Sprawdzony log i skrypt startowy |
Plan odtwarzania po awarii | Oparty na urządzeniu o niepewnym stanie | Zweryfikowany i przetestowany |
Zgodność z terminem CISA | Zaległość od 21 lutego 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Mandiant wykrył ją podczas obsługi incydentów |
Grupy przestępcze | UNC6201, klaster podejrzewany o powiązania z Chińską Republiką Ludową (wg Mandiant i Google) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, NVD i Dell) |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie; sposób ataku jest opisany szczegółowo w analizie Mandiant |
Liczba atakowanych firm | Brak publicznych informacji |
Narzędzia napastników | Powłoka SLAYSTYLE, tylne furtki BRICKSTORM i GRIMBOLT |
Prognoza EPSS | 0,131 (percentyl 0,961, odczyt z 23 sierpnia 2026 wg analizy źródłowej); niska masowość typowa dla ataków celowanych |
Inne rejestry | Europejska baza ENISA: EUVD-2026-7966 |
Sygnały zagrożenia dla CVE-2026-22769
CVSS 3.1 (NVD/Dell) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~13% ███░░░░░░░░░░░░░░░░░ percentyl 96
CISA KEV TAK ████████████████████ ataki potwierdzone
Czas ukrytych ataków ~18 mies████████████████████ od połowy 2024
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2024 (połowa) Najwcześniejsze wykorzystanie zaobserwowane przez Mandiant
2026-02-17 Publikacja CVE-2026-22769 i analizy Mandiant/Google
2026-02-18 CISA dodaje lukę do katalogu KEV
2026-02-19 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2026-02-21 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Della: DSA-2026-079 . Skrypt naprawczy: RecoverPoint for VMs, remediation script . Analiza Google i Mandiant: UNC6201 exploiting Dell RecoverPoint . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-22769 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub dostawca usług IT) używa Dell RecoverPoint for VMs | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i czy zastosowano HF1 lub skrypt Della | CTO | DZISIAJ |
3 | Zatwierdzić zabezpieczenie logów przed aktualizacją, potem aktualizację | CTO | DZISIAJ |
4 | Uzyskać wynik przeglądu logu audytu i skryptu startowego | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową środowiska wirtualizacji | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia i obowiązki zgłoszeniowe | CFO | DO JUTRA |
7 | Zlecić test odtwarzania po awarii po zakończeniu naprawy | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja RecoverPoint for VMs działa u nas? | [wersja] | 🔴 |
2 | Kiedy zainstalowano 6.0.3.1 HF1 lub skrypt naprawczy Della? | [data] | 🔴 |
3 | Czy w | TAK / NIE | 🔴 |
4 | Czy skrypt | TAK / NIE | 🔴 |
5 | Czy panel Tomcat Manager jest dostępny z sieci użytkowników lub z internetu? | TAK / NIE | 🟠 |
6 | Od jakiej daty mamy logi urządzenia? | [data] | 🟠 |
7 | Kiedy ostatnio testowaliśmy odtworzenie maszyn wirtualnych z RecoverPoint? | [data] | 🟡 |
CVE-2026-22769 to fabryczne konto administratora w Dell RecoverPoint for Virtual Machines, które pozwalało przejąć urządzenie jako root bez konta w firmie. Grupa UNC6201 wykorzystywała je od połowy 2024 roku, a CISA dała tylko trzy dni na naprawę. Aktualizacja do 6.0.3.1 HF1 zamyka wejście, ale dopiero przegląd logów i skryptu startowego pokaże, czy napastnik już jest w środku.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.