Jeden pakiet sieciowy bez hasła może przejąć VMware vCenter Server. Obejścia nie ma, CISA i Broadcom potwierdzają ataki. Zaktualizuj do 7.0 U3r, 8.0 U1e, 8.0 U2d lub nowszej.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery wirtualne zarządzane przez VMware vCenter Server (także w ramach VMware Cloud Foundation). Werdykt: jeśli vCenter nie ma wersji 7.0 U3r, 8.0 U1e, 8.0 U2d lub nowszej, zaktualizuj go w najbliższym oknie serwisowym, najlepiej dziś, bo luka pozwala bez hasła przejąć narzędzie sterujące wszystkimi serwerami firmy, producent nie zna obejścia, a ataki są potwierdzone.
Amerykańska agencja CISA 23 stycznia 2026 roku dopisała podatność CVE-2024-37079 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia Broadcom (właściciel VMware) uzupełnił swój biuletyn z czerwca 2024 roku o informację, że luka jest wykorzystywana. Błąd tkwi w obsłudze protokołu DCERPC w vCenter Server: jeden spreparowany pakiet sieciowy może doprowadzić do wykonania kodu napastnika.
Poprawka istnieje od 17 czerwca 2024 roku, a producent napisał wprost, że obejścia zbadano i uznano za niewykonalne. Termin naprawy wg CISA minął 13 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-37079 (biuletyn Broadcom VMSA-2024-0012) |
Data dodania do CISA KEV | 2026-01-23 |
Termin naprawy wg CISA | 2026-02-13 (21 dni od wpisu) |
Produkt | Broadcom VMware vCenter Server; także VMware Cloud Foundation 4.x i 5.x |
Wersje zagrożone | vCenter Server 7.0 sprzed 7.0 U3r; vCenter Server 8.0 sprzed 8.0 U1e (linia U1) i 8.0 U2d (linia U2); VMware Cloud Foundation 4.x i 5.x bez poprawki z artykułu bazy wiedzy producenta |
Wersje bezpieczne | vCenter Server 7.0 U3r, 8.0 U1e, 8.0 U2d i każde nowsze wydanie; dla Cloud Foundation poprawka wg osobnego artykułu bazy wiedzy Broadcom. Zalecane jest najnowsze wydanie w danej linii |
Typ podatności | Przepełnienie sterty w implementacji protokołu DCERPC prowadzące do zdalnego wykonania kodu; CWE-787 (zapis poza granicą bufora) |
Ocena CVSS | 9.8/10 (CVSS 3.1, KRYTYCZNA) wg producenta i NVD. Atak przez sieć, bez logowania, bez udziału użytkownika; wystarczy dostęp sieciowy do vCenter |
Wyobraź sobie statek, na którym jest jedno koło sterowe. Z mostka kapitańskiego można skierować statek w dowolną stronę, zatrzymać maszyny i otworzyć każdą ładownię. vCenter jest takim mostkiem dla serwerowni: z niego administrator włącza, wyłącza i kopiuje wszystkie serwery wirtualne firmy, od programu księgowego po kopie zapasowe.
Błąd działa jak źle zabezpieczona skrzynka pocztowa na mostku. Program przygotowuje miejsce na przesyłkę o znanym rozmiarze, ale nie sprawdza, czy to, co przyszło, rzeczywiście się mieści. Nadmiar trafia na sąsiednią półkę, gdzie leżą instrukcje, co program ma zrobić za chwilę. Napastnik dobiera nadmiar tak, by podmienić te instrukcje na własne. Nie potrzebuje hasła ani pomocy pracownika, wystarczy, że może wysłać pakiet do vCenter.
💡 Serwer wirtualny to programowy odpowiednik komputera; na jednej fizycznej maszynie może działać ich kilkanaście. vCenter Server to aplikacja do zarządzania wszystkimi serwerami wirtualnymi VMware w firmie. DCERPC to wewnętrzny protokół, którym elementy systemu komunikują się przez sieć. Przepełnienie sterty to zapis danych poza zarezerwowanym obszarem pamięci. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś w sieci firmowej łączy się z vCenter | Musi się zalogować | Może wykonać kod bez logowania |
Dostęp do serwera księgowego | Wymaga konta na tym serwerze | Napastnik kopiuje dysk całej maszyny przez vCenter |
Kopie zapasowe w tym samym środowisku | Chronią przed awarią | Mogą zostać usunięte lub zaszyfrowane razem z resztą |
Szkolenia pracowników z phishingu | Zmniejszają ryzyko | Nie mają znaczenia, nikt nie musi nic kliknąć |
Obejście w konfiguracji do czasu aktualizacji | Zwykle dostępne w biuletynie | Wg producenta niewykonalne |
źródło: Unsplash, Frank EiffertPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. vCenter zwykle działa w sieci wewnętrznej, więc napastnik najczęściej musi najpierw dostać się do sieci firmy inną drogą (przez VPN, skradzione hasło lub zainfekowany komputer), chyba że vCenter jest wystawiony do internetu. Od tego momentu atak nie wymaga konta ani udziału użytkownika, a CISA ocenia, że da się go zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T+0 | Zdobycie dostępu do sieci firmowej inną drogą lub znalezienie vCenter w internecie | Napastnik może wysyłać pakiety do vCenter |
2. Rozpoznanie | T+1 do 24 godz. | Wyszukanie serwera vCenter i ustalenie wersji | Potwierdzony podatny cel |
3. Wykorzystanie luki | T+minuty | Wysłanie spreparowanego pakietu DCERPC | Kod napastnika działa na serwerze vCenter |
4. Przejęcie środowiska | T+1 do 4 godz. | Dostęp do zarządzania wszystkimi maszynami wirtualnymi | Kontrola nad całą serwerownią |
5. Kradzież danych | T+godziny do dni | Kopiowanie dysków serwerów, w tym kontrolera domeny i baz danych | Hasła wszystkich pracowników i dane firmy u napastnika |
6. Szantaż | T+dni do tygodni | Usunięcie kopii zapasowych, wyłączenie lub zaszyfrowanie serwerów | Paraliż firmy i żądanie okupu |
Przejęcie vCenter to nie przejęcie jednego serwera, tylko wszystkich naraz, łącznie z możliwością skopiowania ich dysków bez logowania do żadnego z nich. Dotyczy to też kopii zapasowych, jeśli działają w tym samym środowisku, co w małych firmach zdarza się często, bo tak było najtaniej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączone lub zaszyfrowane wszystkie serwery: księgowość, pliki, poczta, logowanie | Godziny do dni od wejścia | 100 tys. do 800 tys. PLN (przestój, odtwarzanie całego środowiska) |
Bezpieczeństwo danych | Kopie dysków wszystkich serwerów, w tym baz haseł i danych klientów | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty specjalistów | Dni do tygodni | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie przy wycieku ich danych | Miesiące | 100 tys. do 800 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i powiadomienia osób przy wysokim ryzyku; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla vCenter Server bez poprawki
z VMSA-2024-0012
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo chodzi o narzędzie sterujące całą serwerownią, a atak nie wymaga hasła; prawdopodobieństwo jest wysokie, ale nie maksymalne, bo vCenter zwykle stoi w sieci wewnętrznej i napastnik musi najpierw do niej dotrzeć, chyba że vCenter jest widoczny z internetu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję vCenter Server i ewentualnie VMware Cloud Foundation | Dziś | Administrator wirtualizacji |
2 | 🔴 NATYCHMIAST | Upewnić się, że vCenter nie jest dostępny z internetu, a dostęp z sieci firmowej mają tylko administratorzy | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Wykonać kopię zapasową vCenter i zaplanować aktualizację do 7.0 U3r, 8.0 U1e, 8.0 U2d lub nowszej | Dziś | Administrator wirtualizacji / partner IT |
4 | 🟠 PILNIE | Zainstalować aktualizację (zamyka też dwie inne luki z tego samego biuletynu) | Do 3 dni | Administrator wirtualizacji |
5 | 🟠 PILNIE | Przejrzeć logi vCenter i listę kont administracyjnych pod kątem nieznanych logowań, nowych kont i nietypowych operacji na maszynach | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Przenieść kopie zapasowe poza zasięg vCenter (osobne urządzenie, kopia niezmienialna lub poza siedzibą) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wydzielić sieć zarządzania serwerami, dostępną tylko z określonych stanowisk administratorów | Do 30 dni | CTO / administrator sieci |
Producent wydał poprawki dla vCenter 7.0 i 8.0 oraz Cloud Foundation i jednocześnie stwierdził, że obejścia w konfiguracji produktu są niewykonalne. Jedyną naprawą jest aktualizacja. Poniższe miary tylko ograniczają, kto może dosięgnąć vCenter. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie vCenter od internetu | Wysoka wobec napastników z zewnątrz, nie chroni przed kimś w sieci | Łatwa |
Ograniczenie dostępu sieciowego do vCenter do kilku stanowisk administratorów (zapora, osobna sieć) | Średnia do wysokiej, zależnie od szczelności reguł | Średnia |
Wymuszenie VPN z logowaniem wieloskładnikowym dla dostępu do sieci zarządzania | Średnia: utrudnia pierwszy krok ataku | Średnia |
Kopia zapasowa maszyn wirtualnych poza środowiskiem vCenter | Nie zapobiega atakowi, ale ratuje firmę po nim | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja vCenter | Podatna, bez obejścia | 7.0 U3r, 8.0 U1e, 8.0 U2d lub nowsza |
Kto może połączyć się z vCenter | Każdy w sieci firmowej, czasem z internetu | Tylko stanowiska administratorów |
Kopie zapasowe | W tym samym środowisku co serwery | Poza zasięgiem vCenter |
Wiedza o incydencie | Brak | Logi przejrzane |
Zgodność z terminem CISA | Zaległość sprzed 7 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Broadcom 23 stycznia 2026 roku dopisał do biuletynu informację o atakach |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, producent i NVD zgodnie) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA możliwa, skutek techniczny całkowity |
Kto zgłosił błąd | Hao Zheng i Zibo Li z zespołu TianGong (Qi'anxin) |
Prognoza EPSS | Ok. 22% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Umiarkowana prognoza EPSS przy ocenie 9.8 nie jest sprzecznością: CVSS mówi, co się stanie po ataku, a EPSS, jak często ktoś próbuje. vCenter rzadko jest widoczny w internecie, więc częściej bywa celem drugiego kroku po wejściu do sieci niż masowego skanowania.
Sygnały zagrożenia dla CVE-2024-37079
CVSS 3.1 (producent, NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~22% ████░░░░░░░░░░░░░░░░ UMIARKOWANA
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście w konfiguracji BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-06-17 Broadcom publikuje biuletyn VMSA-2024-0012 z poprawkami
2024-06-18 Publikacja CVE-2024-37079 w NVD
... półtora roku bez publicznych informacji o atakach
2026-01-23 Broadcom aktualizuje biuletyn: luka wykorzystywana w atakach
2026-01-23 CISA dodaje lukę do katalogu KEV
2026-02-13 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z wersjami poprawek: support.broadcom.com, VMSA-2024-0012 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-37079 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa vCenter Server i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że vCenter nie jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację vCenter | CTO | DZISIAJ |
4 | Ustalić, gdzie fizycznie są kopie zapasowe i czy vCenter ma do nich dostęp | CTO | DO JUTRA |
5 | Zlecić przegląd logów vCenter od czerwca 2024 roku, w pierwszej kolejności z ostatnich miesięcy | CTO | DO JUTRA |
6 | Zarezerwować budżet na kopię zapasową poza środowiskiem wirtualnym | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja naszego vCenter Server? | [wersja] | 🔴 |
2 | Czy vCenter jest osiągalny z internetu w jakikolwiek sposób? | TAK / NIE | 🔴 |
3 | Kiedy zainstalujemy wersję 7.0 U3r, 8.0 U1e, 8.0 U2d lub nowszą? | [data] | 🔴 |
4 | Z ilu stanowisk w sieci można połączyć się z vCenter? | [liczba] | 🟠 |
5 | Czy kopie zapasowe są poza zasięgiem vCenter? | TAK / NIE | 🟠 |
6 | Czy przejrzano logi i konta administracyjne vCenter? | TAK / NIE | 🟠 |
7 | Czy korzystamy z VMware Cloud Foundation i czy zastosowano poprawkę z bazy wiedzy? | TAK / NIE | 🟡 |
CVE-2024-37079 pozwala bez hasła przejąć VMware vCenter Server, a z nim wszystkie serwery wirtualne firmy. Poprawki istnieją od czerwca 2024 roku, obejścia nie ma, a od stycznia 2026 roku producent i CISA potwierdzają ataki, więc aktualizacja, ograniczenie dostępu do vCenter i wyprowadzenie kopii zapasowych poza jego zasięg to priorytety na ten tydzień, a sprawdzenie wersji na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.