Luka w konsoli Trend Micro Apex One na własnym serwerze pozwala bez logowania wykonać polecenia i sterować ochroną wszystkich komputerów. CISA potwierdza ataki. Zainstaluj Critical Patch 14081 i odetnij konsolę od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią komputery programem Trend Micro Apex One z konsolą zarządzania na własnym serwerze. Werdykt: jeśli serwer Apex One ma kompilację 14039 lub starszą, zainstaluj poprawkę krytyczną producenta dziś i odetnij konsolę od internetu, bo luka pozwala przejąć konsolę bez hasła, a CISA potwierdza ataki.
Amerykańska agencja CISA 18 sierpnia 2025 roku dopisała podatność CVE-2025-54948 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w konsoli zarządzania Trend Micro Apex One instalowanej u klienta: napastnik z sieci, bez logowania, może wgrać własny kod i uruchomić polecenia na serwerze konsoli.
To wyjątkowo groźne, bo konsola programu ochronnego steruje wszystkimi komputerami w firmie: może wyłączyć ochronę i rozesłać program na każde stanowisko. Trend Micro zaobserwował co najmniej jedną próbę aktywnego wykorzystania. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 8 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-54948 (bliźniacza luka na inną architekturę procesora: CVE-2025-54987, niewpisana do KEV) |
Data dodania do CISA KEV | 2025-08-18 |
Termin naprawy wg CISA | 2025-09-08 |
Produkt | Trend Micro Apex One 2019 (on-premise), konsola zarządzania na serwerze Windows. Apex One as a Service i Trend Vision One Endpoint Security zostały zabezpieczone przez producenta 31 lipca 2025 roku |
Wersje zagrożone | Serwer zarządzający Apex One 2019 w kompilacji 14039 i starszej (wg producenta) |
Wersje bezpieczne | Apex One SP1 Critical Patch w kompilacji 14081 (wydana 15 sierpnia 2025 roku) i nowsze. Tymczasowe narzędzie FixTool_Aug2025 (5 i 6 sierpnia 2025 roku) blokuje znane ataki, ale nie zastępuje poprawki. Uwaga: w części baz jako wersję naprawioną podaje się 14.0.0.14039, podczas gdy producent wymienia 14039 jako podatną |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego; CWE-78 |
Ocena CVSS | Trend Micro: 9.4 (CVSS 3.1, KRYTYCZNA). NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Różnica dotyczy tylko wpływu na integralność danych. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie kuchnię restauracji, w której kucharz wykonuje wszystko, co jest napisane na bloczku zamówienia. Ktoś obcy podaje bloczek: „dwie zupy, kropka, a potem otwórz zaplecze i wydaj klucze do sejfu”. Kucharz nie odróżnia zamówienia od instrukcji, bo obie przyszły tym samym okienkiem, więc wykonuje całość.
Tak działa wstrzyknięcie poleceń. Konsola Apex One przy niektórych zadaniach buduje polecenie dla systemu Windows i wstawia w nie dane przysłane z zewnątrz, bez sprawdzenia. Napastnik dopisuje własne polecenie i system wykonuje je z uprawnieniami serwera. Stawka jest wyjątkowa: kto przejmie konsolę programu ochronnego, dostaje gotowy, zaufany kanał do wyłączenia ochrony i rozesłania własnego programu na wszystkie komputery firmy.
💡 Apex One to program Trend Micro chroniący komputery przed złośliwym oprogramowaniem, a konsola zarządzania to serwer, z którego administrator steruje ochroną wszystkich stanowisk. On-premise oznacza instalację na własnym serwerze firmy. Wstrzyknięcie poleceń (command injection) to przemycenie poleceń systemowych w danych przekazywanych programowi. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z sieci łączy się z konsolą Apex One | Bez logowania nic nie może zrobić | Może wgrać kod i wykonać polecenia |
Wyłączenie ochrony na komputerach | Tylko administrator, świadomie | Także napastnik, na wszystkich stanowiskach naraz |
Rozsyłanie programów na stanowiska | Aktualizacje i agenci ochrony | Kanał dystrybucji programu napastnika |
Zapisy zdarzeń w konsoli | Pokazują działania administratora | Działania napastnika wyglądają jak zwykła praca konsoli |
Konsola dostępna z internetu dla pracy z domu | Wygoda informatyka | Cel automatycznego skanowania |
źródło: Pexels, Betül ÜstünPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do konsoli, dlatego producent wskazuje jako czynnik łagodzący ograniczenie dostępu do niej. CISA ocenia atak jako automatyzowalny, więc konsole wystawione do internetu są wyszukiwane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie konsol Apex One dostępnych z internetu | Lista celów |
2. Wgranie pliku | T+5 do 15 min | Wgranie własnego kodu na serwer konsoli bez logowania | Kod napastnika na serwerze |
3. Wykonanie poleceń | T+15 do 30 min | Uruchomienie wgranego kodu przez wstrzyknięcie polecenia | Kontrola nad serwerem konsoli |
4. Wyłączenie ochrony | T+30 min do kilku godzin | Wyłączenie skanowania i ochrony na stanowiskach z poziomu konsoli | Komputery bez ochrony |
5. Rozesłanie programu | T+kilka godzin | Użycie mechanizmów konsoli do dystrybucji własnego programu na wszystkie komputery | Program napastnika na każdym stanowisku |
6. Szyfrowanie lub kradzież | T+godziny do dni | Szyfrowanie danych, kradzież dokumentów, szantaż | Przestój całej firmy |
Program ochronny ma z definicji najwyższe uprawnienia na wszystkich komputerach. Przejęcie jego konsoli daje napastnikowi to, co zwykle zdobywa się tygodniami: wyłączoną ochronę i zaufany kanał dystrybucji na każde stanowisko.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane lub niedziałające wszystkie komputery, zatrzymana produkcja i obsługa klientów | Godziny do dni | 100 tys. do 800 tys. PLN (przestój, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Kradzież dokumentów z wielu stanowisk naraz | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, kary umowne za niedotrzymane terminy, nadgodziny | Dni do tygodni | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla konsoli Apex One w kompilacji 14039
lub starszej
Wpływ
5 | . . . . ■ ← KRYTYCZNE (konsola dostępna z internetu)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy konsoli dostępnej z internetu ryzyko jest krytyczne (atak bez logowania, automatyzowalny, potwierdzony, a skutek obejmuje wszystkie komputery firmy); konsola dostępna tylko z sieci firmowej ma niższe prawdopodobieństwo, ale wpływ przejęcia pozostaje maksymalny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma używa Apex One na własnym serwerze i jaka jest kompilacja serwera zarządzającego | Dziś | Administrator bezpieczeństwa |
2 | 🔴 NATYCHMIAST | Zainstalować Critical Patch w kompilacji 14081 lub nowszej (obejmuje CVE-2025-54948 i CVE-2025-54987) | Dziś | Administrator / partner Trend Micro |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy konsola jest dostępna z internetu, i ograniczyć dostęp do zaufanych adresów lub VPN | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć serwer konsoli pod kątem nieznanych plików, procesów i kont od lipca 2025 roku | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić historię zmian polityk ochrony: czy ktoś wyłączał skanowanie lub rozsyłał pakiety | Do 7 dni | Administrator bezpieczeństwa |
6 | 🟡 WAŻNIE | Upewnić się, że kopie zapasowe są poza zasięgiem kont administracyjnych konsoli i domeny | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Traktować katalog CISA KEV jako listę priorytetów, a nie jedyne źródło poprawek (przykład: CVE-2025-54987) | Do 30 dni | CTO |
Trend Micro wydał stałą poprawkę 15 sierpnia 2025 roku, więc docelowo trzeba ją zainstalować. Wcześniej producent udostępnił narzędzie tymczasowe. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Narzędzie producenta FixTool_Aug2025 (wersja z 6 sierpnia 2025 roku) | Wysoka wobec znanych ataków wg producenta; wyłącza funkcję Remote Install Agent do czasu instalacji poprawki | Łatwa |
Ograniczenie dostępu do konsoli do znanych adresów (zalecenie producenta) | Wysoka wobec ataków z internetu | Łatwa do średniej |
Dostęp do konsoli tylko przez VPN do sieci firmowej | Wysoka | Średnia |
Monitorowanie zmian polityk ochrony i nowych zadań dystrybucji w konsoli | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja serwera Apex One | 14039 lub starsza | 14081 lub nowsza |
Dostęp do konsoli | Z internetu, bez ograniczeń | Tylko z zaufanych adresów lub przez VPN |
Bliźniacza luka CVE-2025-54987 | Pominięta, bo nie ma jej w KEV | Zamknięta tą samą poprawką |
Kopie zapasowe | W zasięgu kont administracyjnych | Odseparowane |
Zgodność z terminem CISA | Zaległość od 8 września 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Trend Micro zaobserwował co najmniej jedną próbę aktywnego wykorzystania. Ocena CISA: aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.4 KRYTYCZNA wg Trend Micro; 9.8 KRYTYCZNA wg NVD (obie CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zespół reagowania na incydenty Trend Micro oraz Jacky Hsieh (CoreCloud Tech) przez Trend Zero Day Initiative (ZDI-25-771) |
Prognoza EPSS | 0,20790, powyżej 97% wszystkich śledzonych podatności, stabilnie (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-54948
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (Trend Micro)9.4/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~21% ████░░░░░░░░░░░░░░░░ percentyl 97+
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-07-31 Trend Micro zabezpiecza wersje chmurowe (Apex One as a
Service, Vision One Endpoint Security)
2025-08-05 Biuletyn KA-0020652, narzędzie FixTool_Aug2025, publikacja
CVE w NVD
2025-08-06 Poprawiona wersja narzędzia tymczasowego; biuletyn
holenderskiego zespołu reagowania o obu lukach
2025-08-15 Stała poprawka: Apex One SP1 Critical Patch 14081
2025-08-18 CISA dodaje CVE-2025-54948 do katalogu KEV
2025-09-08 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z poprawką i narzędziem tymczasowym: success.trendmicro.com/en-US/solution/KA-0020652 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-54948 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Apex One na własnym serwerze, czy w wersji chmurowej | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o kompilacji serwera zarządzającego | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację Critical Patch 14081 lub nowszej | CTO | DZISIAJ |
4 | Potwierdzić, że konsola nie jest dostępna z internetu | CTO | DO JUTRA |
5 | Zlecić przegląd serwera konsoli i historii zmian polityk ochrony | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje atak przez przejęte narzędzie ochronne | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Apex One na własnym serwerze? | TAK / NIE | 🔴 |
2 | Jaka jest kompilacja serwera zarządzającego Apex One? | [kompilacja] | 🔴 |
3 | Kiedy zainstalowano Critical Patch 14081 lub nowszą? | [data] | 🔴 |
4 | Czy konsola Apex One jest dostępna z internetu? | TAK / NIE | 🔴 |
5 | Czy od lipca 2025 roku ktoś wyłączał ochronę lub rozsyłał nieznane pakiety z konsoli? | TAK / NIE | 🟠 |
6 | Czy kopie zapasowe są poza zasięgiem kont administracyjnych konsoli? | TAK / NIE | 🟠 |
7 | Czy instalujemy poprawki także dla luk spoza katalogu CISA KEV (np. CVE-2025-54987)? | TAK / NIE | 🟡 |
CVE-2025-54948 pozwala bez logowania przejąć konsolę Trend Micro Apex One na własnym serwerze, a z nią możliwość wyłączenia ochrony i rozesłania programu na wszystkie komputery firmy. CISA potwierdza ataki, więc instalacja Critical Patch 14081 lub nowszej i odcięcie konsoli od internetu to zadania na dziś, a przegląd serwera i historii zmian polityk na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.