Luka w lokalnym SharePoint w łańcuchu ToolShell pozwala bez logowania przejąć serwer. Wykorzystywana przez chińskie grupy i ransomware Warlock. Zainstaluj aktualizacje, wymień klucze maszynowe i zrestartuj IIS.
Ten alert jest dla zarządu, CTO i CFO firm, które mają intranet lub repozytorium dokumentów na własnym serwerze Microsoft SharePoint (2016, 2019 lub Subscription Edition). Werdykt: jeśli serwer nie ma lipcowych aktualizacji z 2025 roku dla CVE-2025-53770, zainstaluj je dziś, wymień klucze maszynowe i zrestartuj IIS, bo luka jest używana przez chińskie grupy państwowe i w atakach ransomware, a sama łatka nie usuwa intruza.
Amerykańska agencja CISA 22 lipca 2025 roku dopisała CVE-2025-49704 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i dała tylko jeden dzień na reakcję. Luka to wstrzyknięcie kodu w SharePoint instalowanym na własnym serwerze: zalogowany użytkownik z niskimi uprawnieniami może wykonać kod na serwerze. W połączeniu z drugą luką, CVE-2025-49706 (podszycie się), atak działa bez logowania. Ten łańcuch opisano publicznie jako ToolShell.
Microsoft wydał poprawki 8 lipca 2025 roku, ale napastnicy znaleźli sposób ich obejścia (CVE-2025-53770), więc później ukazały się mocniejsze aktualizacje. Według Microsoftu atakowały grupy Linen Typhoon, Violet Typhoon i Storm-2603, która instalowała ransomware Warlock. SharePoint Online w Microsoft 365 nie jest podatny.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-49704 (łańcuch z CVE-2025-49706; obejścia poprawek: CVE-2025-53770 i CVE-2025-53771) |
Data dodania do CISA KEV | 2025-07-22 |
Termin naprawy wg CISA | 2025-07-23 (1 dzień od wpisu) |
Produkt | Microsoft SharePoint Server instalowany lokalnie; nie dotyczy SharePoint Online w Microsoft 365 |
Wersje zagrożone | Według NVD dla CVE-2025-49704: SharePoint Enterprise Server 2016 i SharePoint Server 2019 bez poprawek. Aktualizacje dla łańcucha ataku Microsoft wydał także dla Subscription Edition. SharePoint 2013 i starsze: bez wsparcia, CISA każe odłączyć je od internetu |
Wersje bezpieczne | Pierwsze poprawki z 8.07.2025: KB5002744 (2016, kompilacja 16.0.5508.1000) i KB5002741 (2019, kompilacja 16.0.10417.20027). Mocniejsze aktualizacje dla CVE-2025-53770: KB5002768 (Subscription Edition), KB5002754 z pakietem językowym KB5002753 (2019), KB5002760 z KB5002759 (2016). Zalecane: najnowsze aktualizacje zbiorcze |
Typ podatności | Wstrzyknięcie kodu (niewłaściwa kontrola generowania kodu); CWE-94 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, Microsoft; NVD przyjął ocenę producenta). Atak przez sieć, niska złożoność, niskie uprawnienia (w łańcuchu z CVE-2025-49706 bez logowania) |
Wyobraź sobie firmowe archiwum, do którego pracownicy składają zamówienia na formularzach. Archiwista traktuje wszystko, co jest na formularzu, jako polecenie do wykonania. Ktoś dopisuje w rubryce „uwagi” zdanie „wydaj mi też klucze do sejfu i skopiuj pieczątkę dyrektora”, a archiwista je wykonuje. Druga luka sprawia, że formularz może złożyć ktoś, kto tylko udaje pracownika. Po wszystkim firma wymienia archiwistę, ale skopiowana pieczątka dalej działa.
Tak działa ToolShell. SharePoint traktował część danych od użytkownika jak kod do wykonania, a druga luka pozwalała ominąć logowanie. Napastnicy wgrywali na serwer mały program (powłokę WWW) i wykradali klucze maszynowe ASP.NET, którymi serwer podpisuje dane sesji. Kto ma te klucze, może podrabiać ważne „przepustki” także po instalacji poprawki, dopóki klucze nie zostaną wymienione.
💡 SharePoint Server to serwer dokumentów i stron intranetu instalowany we własnej serwerowni. Wstrzyknięcie kodu to sytuacja, w której program wykonuje dane od użytkownika jako instrukcje. Powłoka WWW (web shell) to plik na serwerze pozwalający wydawać mu polecenia z przeglądarki. Klucze maszynowe (machine keys) to tajne klucze do podpisywania danych sesji. AMSI to mechanizm Windows pozwalający programowi antywirusowemu skanować treści w aplikacjach. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba z internetu otwiera intranet | Musi się zalogować | Łańcuch ToolShell pozwala wykonać kod bez logowania |
Pracownik z prawami właściciela witryny | Zarządza stroną zespołu | Sama CVE-2025-49704 pozwala mu wykonać kod na serwerze |
Instalacja poprawki | Zamyka sprawę | Zamyka lukę, ale skradzione klucze maszynowe i powłoka WWW mogą zostać |
Pierwsza poprawka z lipca 2025 | Uznana za wystarczającą | Obchodzona (CVE-2025-53770), potrzebne mocniejsze aktualizacje |
Biuletyn producenta, pole „wykorzystywana” | Aktualny stan wiedzy | Według analizy źródłowej rekord MSRC długo wskazywał „nie”, choć CISA i analitycy Microsoftu potwierdzali ataki |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tego łańcucha, oparty na opisach Microsoftu i CISA. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Sama CVE-2025-49704 wymaga zalogowania, ale w realnych atakach łączono ją z CVE-2025-49706, co usuwało ten warunek dla serwerów dostępnych z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie serwerów SharePoint dostępnych z internetu | Lista celów |
2. Obejście logowania i wykonanie kodu | T+kilka minut | Żądanie POST na /_layouts/15/ToolPane.aspx?DisplayMode=Edit z nagłówkiem Referer wskazującym /_layouts/SignOut.aspx | Wykonanie kodu na serwerze |
3. Powłoka WWW | T+kilka minut | Wgranie pliku spinstall0.aspx (lub podobnej nazwy) | Stały dostęp do serwera z przeglądarki |
4. Kradzież kluczy | T+kilkanaście minut | Odczyt kluczy maszynowych ASP.NET | Możliwość podrabiania sesji także po poprawce |
5. Ruch w sieci | T+godziny do dni | Wykorzystanie uprawnień konta usługi SharePoint do baz danych i zasobów sieciowych | Dostęp do dokumentów i innych systemów |
6. Kradzież lub szyfrowanie | T+dni | Szpiegostwo (grupy państwowe) lub ransomware Warlock (Storm-2603) | Wyciek dokumentów, zaszyfrowane serwery, żądanie okupu |
SharePoint przechowuje najcenniejsze dokumenty firmy, a jego konto usługowe ma zwykle szeroki dostęp do bazy danych i sieci. Łańcuch ToolShell działa bez logowania, jest używany przez grupy państwowe i ransomware, a skradzione klucze pozwalają wrócić po instalacji poprawki. Dlatego naprawa to cztery kroki, a nie jeden.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, niedostępny intranet i dokumenty, odbudowa farmy SharePoint | Dni od włamania | 80 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek umów, danych kadrowych, dokumentacji projektów | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty specjalistów | Tygodnie | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Publikacja dokumentów, utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SharePoint Server dostępnym z internetu,
bez aktualizacji z lipca 2025 i bez wymiany kluczy
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo łańcuch działa bez logowania, EPSS wynosi praktycznie 100%, a CISA potwierdza użycie w ransomware; dla serwera dostępnego tylko z sieci wewnętrznej prawdopodobieństwo jest niższe, ale sama CVE-2025-49704 nadal pozwala nadużyć konta pracownika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję i numer kompilacji każdego serwera SharePoint (2016, 2019, Subscription Edition, starsze) | Dziś | Administrator SharePoint |
2 | 🔴 NATYCHMIAST | Odłączyć od internetu serwery SharePoint 2013 i starsze (zalecenie CISA) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować aktualizacje dla CVE-2025-53770 (KB5002768 / KB5002754 + KB5002753 / KB5002760 + KB5002759) lub nowsze zbiorcze | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Wymienić klucze maszynowe ASP.NET i zrestartować IIS (iisreset.exe) na wszystkich serwerach farmy | Dziś, po aktualizacji | Administrator |
5 | 🟠 PILNIE | Włączyć AMSI w trybie pełnym i program antywirusowy (np. Microsoft Defender) na serwerach SharePoint | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Przeszukać serwery i dzienniki: pliki spinstall*.aspx, żądania POST do ToolPane.aspx z Referer SignOut.aspx, od lipca 2025 roku | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟠 PILNIE | Przy śladach włamania: izolacja serwera, analiza powłamaniowa, zmiana haseł kont usługowych | Do 7 dni | CTO / zewnętrzny zespół |
8 | 🟡 WAŻNIE | Rozważyć przeniesienie intranetu do SharePoint Online lub ograniczenie dostępu do serwera przez VPN | Do 90 dni | CTO / CFO |
Microsoft wydał aktualizacje dla wszystkich wspieranych wersji (2016, 2019, Subscription Edition). Dla SharePoint 2013 i starszych poprawek nie ma, a CISA nakazuje odłączenie ich od internetu. Do czasu instalacji Microsoft zaleca poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
AMSI w trybie pełnym z programem antywirusowym (Microsoft: zatrzymuje ataki bez uwierzytelnienia) | Wysoka wobec znanych wariantów | Średnia |
Odcięcie serwera od internetu (gdy AMSI nie da się włączyć) | Wysoka wobec ataków z zewnątrz, nie chroni przed nadużyciem kont pracowników | Łatwa do średniej |
Wymiana kluczy maszynowych i restart IIS | Wysoka wobec podrabiania sesji po kradzieży kluczy | Łatwa |
Monitorowanie żądań do ToolPane.aspx i nowych plików .aspx | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje SharePoint | Brak lub tylko pierwsza poprawka z 8 lipca 2025 | Aktualizacje dla CVE-2025-53770 lub nowsze |
Klucze maszynowe | Możliwe, że w rękach napastnika | Wymienione, IIS zrestartowany |
Ochrona w czasie rzeczywistym | Brak AMSI | AMSI w trybie pełnym z antywirusem |
Ślady włamania | Niesprawdzone | Serwery i dzienniki przejrzane, wynik udokumentowany |
Stare serwery 2013 | W internecie | Odłączone i zaplanowane do wycofania |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft ocenia, że próby wykorzystania łańcucha trwały od 7 lipca 2025 roku (wg analizy źródłowej) |
Grupy przestępcze | Linen Typhoon i Violet Typhoon (chińskie grupy państwowe) oraz Storm-2603 (grupa z Chin), wg Microsoft |
Kampanie ransomware | TAK (CISA KEV: Known); Storm-2603 instalowała ransomware Warlock |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, Microsoft) |
PoC dostępny publicznie? | Łańcuch ToolShell został opisany publicznie; CISA opublikowała analizę sześciu plików powiązanych z atakami |
Liczba atakowanych firm | Brak publicznych danych liczbowych w materiałach źródłowych |
Kto wykrył błąd | Viettel Cyber Security we współpracy z Trend Zero Day Initiative |
Prognoza EPSS | 0,99983, praktycznie pewne wykorzystanie (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-49704
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS (analiza źr.) ~100% ████████████████████ PRAKTYCZNIE PEWNE
Łańcuch bez logowania TAK ████████████████████ z CVE-2025-49706
CISA KEV TAK ████████████████████ termin 1 dzień
Ransomware (CISA) Known ████████████████████ Warlock (Storm-2603) 2025-07-07 Pierwsze próby wykorzystania wg Microsoft
2025-07-08 Microsoft publikuje poprawki (KB5002744, KB5002741),
publikacja CVE-2025-49704 w NVD
2025-07-18 Storm-2603 zaczyna instalować ransomware Warlock
2025-07-19 Microsoft publikuje wytyczne o aktywnych atakach
2025-07-20 Alert CISA o CVE-2025-53770 (obejście poprawki)
2025-07-22 CISA dodaje CVE-2025-49704 i CVE-2025-49706 do KEV;
analiza Microsoft Threat Intelligence
2025-07-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Wytyczne Microsoft z listą aktualizacji i krokami (AMSI, klucze, IIS): Disrupting active exploitation of on-premises SharePoint vulnerabilities . Alert CISA: CVE-2025-53770 . Biuletyn MSRC: CVE-2025-49704 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-49704 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma SharePoint na własnym serwerze (a nie tylko w Microsoft 365) | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersje, numery kompilacji i listę zainstalowanych aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, wymianę kluczy i restart IIS | CTO | DZISIAJ |
4 | Zlecić przeszukanie serwerów pod kątem powłok WWW i śladów ToolShell | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualne odtworzenie farmy | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia w zakresie ransomware | CFO | DO JUTRA |
7 | Przygotować porównanie kosztów utrzymania SharePoint lokalnie i w Microsoft 365 | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje SharePoint Server mamy i jakie są numery kompilacji? | [wersja], [kompilacja] | 🔴 |
2 | Czy zainstalowano aktualizacje dla CVE-2025-53770 i kiedy? | TAK / NIE, [data] | 🔴 |
3 | Czy po aktualizacji wymieniono klucze maszynowe i zrestartowano IIS? | TAK / NIE, [data] | 🔴 |
4 | Czy serwer SharePoint jest dostępny z internetu? | TAK / NIE | 🔴 |
5 | Czy AMSI działa w trybie pełnym z programem antywirusowym? | TAK / NIE | 🟠 |
6 | Czy na serwerach są pliki spinstall*.aspx lub w dziennikach żądania POST do ToolPane.aspx? | TAK / NIE | 🟠 |
7 | Czy mamy jeszcze SharePoint 2013 lub starszy? | TAK / NIE | 🟡 |
CVE-2025-49704 w połączeniu z CVE-2025-49706 pozwala bez logowania przejąć lokalny serwer SharePoint, co wykorzystywały chińskie grupy państwowe i grupa instalująca ransomware Warlock. CISA dała jeden dzień na reakcję, a pierwsza poprawka Microsoftu została obejściem unieważniona. Dziś trzeba zainstalować aktualizacje dla CVE-2025-53770, wymienić klucze maszynowe, zrestartować IIS i sprawdzić serwery pod kątem śladów włamania.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.