Błąd w TeamT5 ThreatSonar Anti-Ransomware (CVE-2024-7694) pozwala administratorowi platformy wgrać plik i przejąć serwer. CISA potwierdza ataki. Zaktualizuj do 3.5.0 lub Hotfix-20240715 i przejrzyj konta administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią komputery platformą TeamT5 ThreatSonar Anti-Ransomware, samodzielnie lub przez firmę wdrożeniową. Werdykt: jeśli konsola ThreatSonar ma wersję starszą niż 3.5.0 i nie ma poprawki Hotfix-20240715, zaktualizuj ją dziś i przejrzyj konta administratorów, bo CISA potwierdza ataki na ten błąd.
Amerykańska agencja CISA 17 lutego 2026 roku dopisała podatność CVE-2024-7694 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy ThreatSonar Anti-Ransomware, platformy tajwańskiej firmy TeamT5 do wykrywania i powstrzymywania oprogramowania szyfrującego dane. Platforma nie sprawdza poprawnie zawartości wgrywanych plików, więc osoba z uprawnieniami administratora platformy może wgrać złośliwy plik i wykonać dowolne polecenia na serwerze.
Błąd jest znany od sierpnia 2024 roku, a producent wydał poprawkę w lipcu 2024 roku. Wpis do KEV pojawił się półtora roku później, co oznacza, że ataki trafiają w instalacje, których nikt nie zaktualizował. Termin CISA minął 10 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-7694 (TWCERT/CC: TVN-202408002) |
Data dodania do CISA KEV | 2026-02-17 |
Termin naprawy wg CISA | 2026-03-10 (21 dni od wpisu) |
Produkt | TeamT5 ThreatSonar Anti-Ransomware (serwer i konsola zarządzająca) |
Wersje zagrożone | 3.4.5 i starsze (TWCERT/CC, ENISA); wg NVD wszystkie wersje niższe niż 3.5.0. Wykorzystanie wymaga uprawnień administratora platformy |
Wersje bezpieczne | 3.5.0 lub nowsza albo starsza wersja z zainstalowaną poprawką Hotfix-20240715 (TWCERT/CC) |
Typ podatności | Nieograniczone wgrywanie pliku niebezpiecznego typu prowadzące do wykonania poleceń systemowych; CWE-434 |
Ocena CVSS | TWCERT/CC: 7.2 (CVSS 3.1, WYSOKA), wektor AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. Atak przez sieć, niska złożoność, wymaga wysokich uprawnień (administrator platformy), pełny wpływ na poufność, integralność i dostępność. NVD nie wystawił własnej oceny |
Źródła są zgodne co do warunku: to nie jest luka dostępna dla każdego z internetu. Jest groźna dla kogoś, kto już zdobył hasło administratora konsoli, na przykład wyłudzone od pracownika lub firmy wdrożeniowej.
Wyobraź sobie firmę ochroniarską, która ma klucze do wszystkich pomieszczeń, podgląd ze wszystkich kamer i prawo wyłączania alarmów. Jej dyspozytornia przyjmuje od kierowników zmian paczki z „instrukcjami”, sprawdzając tylko naklejkę na kartonie, a nie zawartość. Kto zdobędzie przepustkę kierownika zmiany, może wnieść do dyspozytorni cokolwiek i wydawać polecenia całej ochronie.
Tak wygląda ten błąd. Konsola ThreatSonar musi widzieć każdy komputer, zatrzymywać procesy i wysyłać polecenia na stacje, bo tylko tak może powstrzymać ransomware. Luka pozwala administratorowi platformy wgrać plik, który zamiast raportu lub konfiguracji zawiera kod do wykonania. Napastnik z hasłem administratora zamienia więc panel ochrony w serwer, który sam kontroluje, a raporty dalej mogą świecić na zielono.
💡 Anti-Ransomware to oprogramowanie wykrywające programy szyfrujące dane dla okupu. Wgrywanie pliku niebezpiecznego typu (unrestricted file upload) oznacza, że system przyjmuje plik bez sprawdzenia, czy nie jest programem do uruchomienia. Uprawnienia administratora platformy to najwyższe konto w konsoli ThreatSonar, a nie konto administratora Windows. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator wgrywa plik do konsoli | Konsola przyjmuje tylko bezpieczne typy danych | Konsola przyjmuje plik z kodem i pozwala go uruchomić |
Ktoś zdobywa hasło administratora konsoli | Może zmieniać ustawienia ochrony | Przejmuje cały serwer i polecenia systemowe |
Serwer ochrony po przejęciu | Nie dotyczy | Napastnik ma widok na wszystkie stacje i może osłabić ochronę |
Raporty bezpieczeństwa | Pokazują stan faktyczny | Generuje je przejęty system |
Wersja wdrożona lata temu | „Działa, nie ruszamy” | Pozostaje podatna od 2024 roku |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga konta administratora platformy, więc atak zaczyna się od zdobycia tego dostępu. CISA ocenia, że ataku nie da się zautomatyzować: to działanie ręczne, wymierzone w wybrane organizacje.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie dostępu | T+0 (dni lub tygodnie przygotowań) | Wyłudzenie, kradzież lub odgadnięcie hasła administratora konsoli, np. od firmy wdrożeniowej | Logowanie do konsoli ThreatSonar |
2. Wgranie pliku | T+minuty po zalogowaniu | Wgranie złośliwego pliku przez funkcję przyjmującą pliki | Plik z kodem na serwerze |
3. Wykonanie poleceń | T+minuty | Uruchomienie poleceń systemowych na serwerze platformy | Kontrola nad serwerem ochrony |
4. Osłabienie ochrony | T+godziny | Zmiana polityk, wyłączenie reakcji na stacjach, ukrycie śladów w raportach | Ochrona działa tylko na papierze |
5. Rozprzestrzenienie | T+godziny do dni | Wykorzystanie uprzywilejowanego serwera do dostępu do innych maszyn | Dostęp do sieci firmy |
6. Kradzież lub szyfrowanie | T+dni | Kopiowanie danych, uruchomienie ransomware przy wyłączonej ochronie | Wyciek, przestój, żądanie okupu |
Mogę Ci jakoś pomóc?
Narzędzie ochronne ma zwykle więcej uprawnień niż serwer plików czy poczta. Przejęcie go oznacza podwójną stratę: firma traci ochronę przed ransomware i jednocześnie daje napastnikowi uprzywilejowany punkt w sieci. Ocena 7.2 składa się z małej łatwości ataku (wymóg konta administratora) i niemal maksymalnych skutków.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane stacje i serwery przy wyłączonej ochronie, przestój pracy | Dni od przejęcia konsoli | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych z maszyn, które widzi platforma | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odtwarzanie systemów, ponowne wdrożenie platformy ochronnej | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i ubezpieczyciela, pytania o skuteczność zabezpieczeń | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z ThreatSonar starszym niż 3.5.0
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęty zostaje serwer ochrony z dostępem do całej floty, a prawdopodobieństwo średnie: ataki są potwierdzone, ale wymagają wcześniejszego zdobycia konta administratora platformy i są prowadzone ręcznie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa ThreatSonar Anti-Ransomware i w jakiej wersji (także u partnera, który go wdrożył) | Dziś | CTO / dział IT |
2 | 🔴 NATYCHMIAST | Zaktualizować do 3.5.0 lub nowszej albo zainstalować Hotfix-20240715 | Dziś | Administrator platformy / partner wdrożeniowy |
3 | 🔴 NATYCHMIAST | Przejrzeć wszystkie konta administratorów konsoli, usunąć nieużywane i konta byłych dostawców | Dziś | Administrator platformy |
4 | 🟠 PILNIE | Zmienić hasła kont administracyjnych i włączyć drugi składnik logowania, jeśli jest dostępny | Do 2 dni | Administrator platformy |
5 | 🟠 PILNIE | Ograniczyć dostęp do konsoli: bez wystawienia do internetu, tylko z sieci administracyjnej lub VPN | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Przejrzeć logi konsoli i serwera pod kątem nieznanych wgranych plików, nowych kont i zmian polityk | Do 7 dni | Dział IT / zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Objąć system ochronny tym samym harmonogramem aktualizacji co systemy produkcyjne | Do 30 dni | CTO |
Producent wydał poprawkę w lipcu 2024 roku (wersja 3.5.0 lub Hotfix-20240715), a żadne źródło nie wskazuje obejścia konfiguracyjnego. CISA dopuszcza zaprzestanie używania produktu, jeśli nie da się wdrożyć zaleceń. Poniższe miary tylko zmniejszają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie liczby kont administratora platformy do minimum | Wysoka: luka wymaga takiego konta | Łatwa |
Dostęp do konsoli tylko z wydzielonej sieci lub VPN | Wysoka: utrudnia użycie skradzionego hasła | Średnia |
Drugi składnik logowania dla administratorów | Wysoka, jeśli platforma lub brama dostępu to obsługuje | Średnia |
Monitorowanie logowań i zmian w konsoli | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja platformy | 3.4.5 lub starsza, bez poprawki | 3.5.0 lub nowsza albo Hotfix-20240715 |
Konta administratorów | Nieznana liczba, w tym konta dawnych wdrożeniowców | Tylko potrzebne konta, nowe hasła |
Dostęp do konsoli | Możliwy z internetu | Tylko z sieci administracyjnej lub VPN |
Wiedza o włamaniu | Brak | Przejrzane logi, wgrane pliki i zmiany polityk |
Zgodność z wymogami | Ponad 6 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, wpływ techniczny pełny |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA wg TWCERT/CC (CVSS 3.1); składowa łatwości ataku 1,2, składowa skutków 5,9 |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): atak celowany, prowadzony ręcznie |
Kto zgłosił błąd | TeamT5 (producent), koordynacja TWCERT/CC |
Prognoza EPSS | 0,018 (ok. 1,8%), percentyl ok. 77; bez zmian przez co najmniej miesiąc do 23 sierpnia 2026 (wg analizy źródłowej) |
Niski EPSS przy potwierdzonych atakach to typowy obraz ataków celowanych, które nie generują masowych sygnałów:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-7694
CVSS 3.1 (TWCERT) 7.2/10 ██████████████░░░░░░ WYSOKA
Łatwość ataku 1,2 ██████░░░░░░░░░░░░░░ wymaga konta administratora
Skutki 5,9 ████████████████████ pełne
EPSS (próba w 30 dni) ~1,8% ░░░░░░░░░░░░░░░░░░░░ percentyl ok. 77
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-07-15 TeamT5 publikuje komunikat i poprawkę Hotfix-20240715
2024-08-12 TWCERT/CC publikuje TVN-202408002, publikacja CVE w NVD
2026-02-17 CISA dodaje lukę do katalogu KEV
2026-03-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 6 miesięcy od terminu CISA, 2 lata od poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: teamt5.org: Vulnerability Notice ThreatSonar Anti-Ransomware . Opis TWCERT/CC z wersjami i poprawką: twcert.org.tw: TVN-202408002 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-7694 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy w firmie działa ThreatSonar Anti-Ransomware i kto nim zarządza | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i dacie ostatniej aktualizacji platformy | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub instalację Hotfix-20240715 | CTO | DZISIAJ |
4 | Zlecić przegląd kont administratorów konsoli, także kont firm zewnętrznych | CTO | DO JUTRA |
5 | Sprawdzić w umowie z partnerem wdrożeniowym, kto odpowiada za aktualizacje platformy | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd logów coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące skuteczności zabezpieczeń przed ransomware | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję ThreatSonar Anti-Ransomware mamy zainstalowaną? | [wersja] | 🔴 |
2 | Czy zainstalowano Hotfix-20240715 lub wersję 3.5.0 i kiedy? | [data] | 🔴 |
3 | Ile kont administratora ma konsola i czy wszystkie są potrzebne? | [liczba] | 🔴 |
4 | Czy konsola jest dostępna z internetu? | TAK / NIE | 🟠 |
5 | Czy logowanie administratorów wymaga drugiego składnika? | TAK / NIE | 🟠 |
6 | Czy przejrzano logi konsoli pod kątem wgranych plików i zmian polityk? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowano systemy ochronne (antywirus, EDR, anti-ransomware)? | [data] | 🟡 |
CVE-2024-7694 pozwala osobie z kontem administratora ThreatSonar Anti-Ransomware przejąć serwer platformy, a CISA potwierdza ataki na niezaktualizowane instalacje. Poprawka istnieje od lipca 2024 roku, więc aktualizacja do 3.5.0 lub instalacja Hotfix-20240715 oraz przegląd kont administratorów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.