Krytyczna luka w HPE OneView pozwala bez logowania wykonać polecenia na konsoli zarządzającej serwerami. Gotowy moduł ataku jest publiczny, CISA potwierdza wykorzystanie. Wgraj łatkę HPE lub OneView 11.00 i odetnij konsolę od sieci.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery HPE zarządzane przez HPE OneView (także w systemach HPE Synergy). Werdykt: jeśli OneView ma wersję niższą niż 11.00 i nie ma zainstalowanej łatki awaryjnej producenta, zainstaluj łatkę lub aktualizację i odetnij konsolę od sieci ogólnej dziś, bo istnieje gotowy moduł ataku w darmowym narzędziu, a CISA potwierdza wykorzystanie luki.
Amerykańska agencja CISA 7 stycznia 2026 roku dopisała podatność CVE-2025-37164 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy HPE OneView, oprogramowania do centralnego zarządzania serwerami, macierzami i przełącznikami HPE.
To luka typu wstrzyknięcie kodu: osoba z sieci, bez konta i hasła, może uruchomić na serwerze OneView dowolne polecenia. Według analizy Rapid7 wejściem jest punkt REST API /rest/id-pools/executeCommand, dostępny bez uwierzytelnienia. Przejęcie konsoli, która steruje sprzętem i jego oprogramowaniem układowym, daje napastnikowi kontrolę nad całą infrastrukturą serwerową.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 28 stycznia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-37164 (także EUVD-2025-203803) |
Data dodania do CISA KEV | 2026-01-07 |
Termin naprawy wg CISA | 2026-01-28 (21 dni od wpisu) |
Produkt | Hewlett Packard Enterprise (HPE) OneView, w tym OneView dla HPE Synergy |
Wersje zagrożone | Wszystkie wersje poniżej 11.00, według HPE (za Rapid7) od 5.20 do 10.20, o ile nie zainstalowano łatki awaryjnej. NVD wskazuje jako ostatnią podatną 10.20.00. Według opisu modułu Metasploit część wydań maszyny wirtualnej nie włącza podatnej funkcji ID Pools |
Wersje bezpieczne | OneView 11.00 i nowsze albo starsza wersja z łatką awaryjną HPE (osobna dla maszyny wirtualnej OneView i dla HPE Synergy). Łatka blokuje dostęp do podatnego punktu API |
Typ podatności | Wstrzyknięcie kodu prowadzące do zdalnego wykonania poleceń; CWE-94 |
Ocena CVSS | HPE (producent): 10.0 KRYTYCZNA (CVSS 3.1, zakres zmieniony: skutki wychodzą poza sam system). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie dużą fabrykę z centralną sterownią, z której da się otworzyć każdą bramę, wyłączyć zasilanie w każdej hali i przeprogramować każdą maszynę. Do sterowni prowadzą drzwi z czytnikiem kart, ale w bocznej ścianie jest okienko podawcze, przez które każdy może wsunąć kartkę z poleceniem, a dyżurny je wykonuje, nie pytając, kto je napisał.
HPE OneView to właśnie taka sterownia dla serwerowni. Z jednego ekranu administrator wgrywa oprogramowanie układowe na serwery, tworzy konfiguracje i zarządza sprzętem. Luka to okienko podawcze: podatny punkt API przyjmuje polecenia od nieuwierzytelnionej osoby. Dlatego producent ocenił lukę na maksymalne 10 punktów: przejęcie konsoli nie kończy się na niej samej, tylko sięga do sprzętu, którym zarządza.
💡 HPE OneView to konsola do zarządzania serwerami, macierzami i przełącznikami HPE. REST API to interfejs, przez który programy wydają polecenia konsoli. Oprogramowanie układowe (firmware) to program działający w samym sprzęcie, poniżej systemu operacyjnego; antywirus w systemie go nie widzi. Metasploit to darmowe narzędzie do testów bezpieczeństwa z gotowymi modułami ataków. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do funkcji konsoli | Tylko po zalogowaniu administratora | Podatny punkt API wykonuje polecenia bez logowania |
Serwer z OneView | Pod kontrolą działu IT | Napastnik uruchamia na nim własne polecenia |
Poświadczenia do sprzętu | Przechowywane w konsoli, dostępne administratorom | Potencjalnie w rękach napastnika |
Oprogramowanie układowe serwerów | Zmieniane tylko przez IT w oknie serwisowym | Ryzyko zmian trudnych do wykrycia |
Przeprowadzenie ataku | Wymagałoby wiedzy eksperckiej | Gotowy moduł w darmowym narzędziu Metasploit |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunkiem jest dostęp sieciowy do konsoli OneView: z internetu, jeśli jest wystawiona, albo z wnętrza sieci po wcześniejszym włamaniu. CISA oceniła, że atak da się w pełni zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie sieci lub internetu w poszukiwaniu konsol OneView i odczyt wersji | Lista podatnych konsol |
2. Wykonanie kodu | T+kilka minut | Wysłanie spreparowanego żądania do podatnego punktu API, np. gotowym modułem Metasploit | Polecenia napastnika działają na serwerze OneView |
3. Utrwalenie | T+kilkanaście minut | Instalacja narzędzia zdalnego dostępu na konsoli | Stały kanał kontroli |
4. Kradzież poświadczeń | T+godziny | Szukanie haseł i kluczy do kontrolerów serwerów, macierzy i przełączników | Dostęp do sprzętu poniżej systemów operacyjnych |
5. Rozprzestrzenienie | T+1 do 7 dni | Przejmowanie serwerów, kopii zapasowych i systemów w serwerowni | Kontrola nad infrastrukturą |
6. Sabotaż lub szantaż | T+dni do tygodni | Wyłączenie serwerów, szyfrowanie danych, kradzież informacji | Przestój całej firmy |
Mogę Ci jakoś pomóc?
Konsole zarządzania sprzętem mają najwyższe uprawnienia w serwerowni i często są słabo monitorowane, bo uchodzą za zaufane. Istnienie publicznego modułu ataku sprawia, że przeprowadzić go może niemal każdy, kto ma dostęp sieciowy do konsoli.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub zaszyfrowanie serwerów, zatrzymanie produkcji, sprzedaży i usług | Godziny do dni od wejścia | 100 tys. do 1 mln PLN (przestój, odbudowa infrastruktury) |
Bezpieczeństwo danych | Kradzież danych z serwerów, poświadczeń do sprzętu, możliwe zmiany w oprogramowaniu układowym | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa, weryfikacja sprzętu) |
Finansowy | Okup, kary umowne, koszty wymiany lub weryfikacji sprzętu | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów po długim przestoju | Miesiące | 100 tys. do 800 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; obowiązki zgłoszeniowe dla podmiotów objętych przepisami o cyberbezpieczeństwie | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla HPE OneView < 11.00 bez łatki awaryjnej
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (kontrola nad całą infrastrukturą serwerową), a prawdopodobieństwo najwyższe (ataki potwierdzone, pełna automatyzacja, gotowy moduł Metasploit, EPSS około 0,90); konsola dostępna wyłącznie z wydzielonej sieci administracyjnej obniża prawdopodobieństwo, ale nie usuwa ryzyka.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa HPE OneView (także w HPE Synergy), w jakiej wersji i czy zainstalowano łatkę awaryjną | Dziś | CTO / administrator infrastruktury |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp sieciowy do konsoli wyłącznie do wydzielonej sieci administracyjnej lub kilku adresów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować łatkę awaryjną HPE dla swojej wersji (maszyna wirtualna lub Synergy) | Dziś | Administrator infrastruktury |
4 | 🟠 PILNIE | Zaplanować aktualizację do OneView 11.00 lub nowszej | Do 14 dni | Administrator / partner HPE |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW konsoli pod kątem żądań do | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli są ślady ataku: zmienić poświadczenia do kontrolerów serwerów, macierzy i przełączników, zweryfikować wersje oprogramowania układowego | Do 7 dni | Administrator infrastruktury / zespół reagowania |
7 | 🟡 WAŻNIE | Objąć konsole zarządzania stałym monitorowaniem i oddzielić je od sieci użytkowników | Do 30 dni | CTO |
HPE wydał zarówno nową wersję 11.00, jak i łatki awaryjne dla starszych wydań, więc zawsze jest dostępna oficjalna droga naprawy. Jeśli nawet łatki nie da się od razu wgrać, pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Łatka awaryjna HPE blokująca podatny punkt API | Wysoka: według analizy Rapid7 blokuje wektor ataku | Łatwa do średniej: instalacja pakietu na konsoli |
Dostęp do konsoli tylko z wydzielonej sieci administracyjnej lub listy adresów | Wysoka wobec ataków z internetu i sieci biurowej, nie chroni przed napastnikiem w sieci administracyjnej | Średnia: zmiany na zaporze i w segmentacji |
Blokada żądań do | Średnia: zależy od tego, czy cały ruch do konsoli przez nie przechodzi | Średnia |
Monitorowanie połączeń wychodzących z konsoli | Niska jako ochrona, przydatna do wykrycia włamania | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Podatny punkt API | Wykonuje polecenia bez logowania | Zablokowany łatką lub usunięty w wersji 11.00 |
Dostęp sieciowy do konsoli | Z sieci biurowej lub internetu | Tylko z wydzielonej sieci administracyjnej |
Poświadczenia do sprzętu | Mogły zostać odczytane | Zmienione, jeśli były ślady ataku |
Widoczność | Konsola bez monitorowania | Logi przejrzane, alerty na nietypowy ruch |
Oprogramowanie układowe | Brak pewności co do integralności | Wersje zweryfikowane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA oceniła wykorzystanie jako aktywne, w pełni automatyzowalne, z całkowitym wpływem technicznym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg HPE (CVSS 3.1); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK: moduł „HPE OneView unauthenticated RCE” w Metasploit (dodany 19 grudnia 2025 roku) oraz analiza techniczna Rapid7 na AttackerKB |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Badacz Nguyen Quoc Khanh, zgłoszenie do HPE |
Prognoza EPSS | Około 0,90 (około 90% szansy próby wykorzystania w 30 dni, wg analizy źródłowej) |
Różnica 10.0 i 9.8 dotyczy jednego pola: czy skutki ataku wychodzą poza zaatakowany system. HPE uznał, że tak, bo konsola steruje sprzętem, którym zarządza. Dla firmy z własną serwerownią ocena producenta lepiej opisuje realne zagrożenie.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-37164
CVSS 3.1 (HPE) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~90% ██████████████████░░ BARDZO WYSOKA
Moduł Metasploit TAK ████████████████████ gotowy atak
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-12-16 Publikacja CVE-2025-37164 w NVD
2025-12-17 HPE publikuje biuletyn bezpieczeństwa (wg Rapid7)
2025-12-18 Rapid7 publikuje ostrzeżenie i analizę łatki
2025-12-19 Moduł ataku trafia do Metasploit
2026-01-07 CISA dodaje lukę do katalogu KEV
2026-01-28 Termin naprawy wg CISA dla agencji federalnych
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn HPE z łatkami i wersjami: HPE Security Bulletin hpesbgn04985 . Analiza łatki i zagrożenia: Rapid7, CVE-2025-37164 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-37164 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej dostawca infrastruktury używa HPE OneView | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji, łatce awaryjnej i dostępności konsoli z sieci | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe ograniczenie dostępu do konsoli i instalację łatki | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację do OneView 11.00 | CTO | DO JUTRA |
5 | Zlecić przegląd logów konsoli pod kątem śladów ataku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i weryfikację sprzętu, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki wsparcia HPE i polisy cyberubezpieczenia dotyczące incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy HPE OneView (samodzielnie lub w HPE Synergy)? | TAK / NIE | 🔴 |
2 | Jaka jest wersja OneView? | [wersja] | 🔴 |
3 | Czy zainstalowano łatkę awaryjną HPE dla CVE-2025-37164? | TAK / NIE, [data] | 🔴 |
4 | Z jakich sieci można połączyć się z konsolą OneView? | [lista sieci] | 🔴 |
5 | Czy przejrzano logi konsoli od grudnia 2025 roku pod kątem żądań do podatnego punktu API? | TAK / NIE | 🟠 |
6 | Kiedy planowana jest aktualizacja do OneView 11.00 lub nowszej? | [data] | 🟠 |
7 | Czy konsole zarządzania sprzętem są objęte monitorowaniem bezpieczeństwa? | TAK / NIE | 🟡 |
CVE-2025-37164 pozwala osobie bez konta wykonać dowolne polecenia na konsoli HPE OneView, która steruje całą infrastrukturą serwerową, a gotowy moduł ataku jest publicznie dostępny od grudnia 2025 roku. CISA potwierdza ataki, więc łatka awaryjna lub aktualizacja do 11.00 oraz odcięcie konsoli od sieci ogólnej to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.