Błąd w serwerze Wazuh 4.4.0-4.9.0 pozwala osobie z dostępem do API wykonać kod na serwerze, który pilnuje bezpieczeństwa firmy. CISA potwierdza ataki. Zaktualizuj do 4.9.1 i zamknij API.
Ten alert jest dla zarządu, CTO i CFO firm, które wdrożyły platformę Wazuh do wykrywania zagrożeń, samodzielnie lub przez firmę zewnętrzną. Werdykt: jeśli serwer Wazuh działa w wersji od 4.4.0 do 4.9.0, zaktualizuj go do 4.9.1 lub nowszej i zamknij jego API przed internetem, bo luka pozwala przejąć serwer, który ma pilnować bezpieczeństwa całej firmy, i jest wykorzystywana w atakach.
Amerykańska agencja CISA 10 czerwca 2025 roku dopisała CVE-2025-24016 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy serwera Wazuh, otwartej platformy zbierającej zdarzenia bezpieczeństwa ze wszystkich komputerów w firmie. Serwer rozpakowywał dane przesyłane między częściami systemu bez sprawdzenia ich treści, więc napastnik z dostępem do API mógł przemycić w nich kod, który serwer wykonywał.
Producent naprawił błąd w październiku 2024 roku w wersji 4.9.1. W czerwcu 2025 roku pojawiły się doniesienia o użyciu luki przez sieci botów, a termin naprawy wg CISA minął 1 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24016 |
Data dodania do CISA KEV | 2025-06-10 |
Termin naprawy wg CISA | 2025-07-01 (21 dni od wpisu) |
Produkt | Wazuh Server (komponent DistributedAPI) |
Wersje zagrożone | Wazuh od 4.4.0 do 4.9.0 (przed 4.9.1). Warunek: dostęp do API serwera. Wg komunikatu GitHub: każdy z dostępem do API (np. przejęty panel lub inny serwer w klastrze), a w niektórych konfiguracjach przejęty agent. Wg bloga producenta: potrzebne są ważne dane logowania do API na poziomie administratora |
Wersje bezpieczne | Wazuh 4.9.1 (październik 2024 roku) i nowsze |
Typ podatności | Niebezpieczna deserializacja prowadząca do wykonania kodu na serwerze; CWE-502 (Deserialization of Untrusted Data) |
Ocena CVSS | 9.9 (CVSS 3.1, KRYTYCZNA; ocena z komunikatu GitHub, przyjęta przez NVD i ENISA bez własnej). Atak przez sieć, niska złożoność, wymaga niskich uprawnień, skutek wychodzi poza sam program, wysoki wpływ na integralność i dostępność, niski na poufność |
Źródła różnią się co do wymaganych uprawnień. Ocena CVSS zakłada niskie uprawnienia, a producent pisze o danych administratora API, zwykle zdobytych przez kradzież haseł, hasła domyślne lub API wystawione do internetu. W praktyce ryzyko zależy od tego, jak łatwo w danej firmie zdobyć jeden z tych przyczółków.
Wyobraź sobie magazyn, w którym magazynier ma polecenie: rozpakuj każdą paczkę i wykonaj to, co znajdziesz w środku, bo dotąd zawsze była tam lista towarów do przyjęcia. Nikt nie przewidział, że ktoś włoży do paczki kartkę: „wydaj zawartość magazynu osobie, która przyjdzie po południu”. Magazynier wykonuje polecenie, bo tak go nauczono.
Tak działa ta luka. Części systemu Wazuh pakują polecenia i przesyłają je sobie nawzajem, a serwer je rozpakowuje. Napastnik, który może wstrzyknąć do tej wymiany własne dane, podrabia w nich opis błędu, a serwer, próbując go obsłużyć, wykonuje przemycony kod. Najgorsze jest to, że chodzi o serwer, który ma widzieć wszystko, co dzieje się w firmie.
💡 Wazuh to otwarta platforma SIEM/XDR: agenty na komputerach zbierają zdarzenia, a centralny serwer je analizuje i ostrzega. Deserializacja to odtworzenie danych przesłanych przez sieć do postaci, na której pracuje program. API to interfejs, przez który programy i panele wydają serwerowi polecenia. Agent to mały program zainstalowany na komputerze pracownika lub serwerze.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Część systemu wysyła serwerowi polecenie | Serwer wykonuje zwykłą operację | Spreparowane dane uruchamiają kod napastnika |
Przejęte konto do API lub panelu | Pozwala przeglądać i konfigurować | Pozwala przejąć cały serwer |
Zainfekowany laptop z agentem | Zdarzenia trafiają do monitoringu | W niektórych konfiguracjach może być drogą do serwera |
Ślady włamania w innych systemach | Widoczne na panelu Wazuh | Napastnik może je usunąć lub wyłączyć zbieranie |
API serwera dostępne z internetu | Wygoda dla administratora | Cel dla botów szukających podatnych instalacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od „każdego z internetu”: napastnik potrzebuje dostępu do API, np. hasła domyślnego, skradzionego hasła administratora albo przejętej maszyny w klastrze. CISA ocenia atak jako nieautomatyzowalny w całości, o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie dostępu do API | T+0 | Próby haseł domyślnych na API wystawionym do internetu, kradzież haseł lub przejęcie maszyny w klastrze | Możliwość wysyłania poleceń do serwera |
2. Wstrzyknięcie danych | T+minuty | Wysłanie spreparowanego żądania z podrobionym opisem błędu | Wykonanie kodu na serwerze Wazuh |
3. Oślepienie monitoringu | T+godziny | Wyłączenie reguł, usuwanie zdarzeń, zmiana konfiguracji | Firma przestaje widzieć, co się dzieje |
4. Wykorzystanie serwera | T+godziny do dni | Instalacja własnych narzędzi, np. włączenie serwera do sieci botów, lub ruch do innych maszyn | Serwer pracuje dla napastnika |
5. Dalszy atak | T+dni do tygodni | Włamania do innych systemów bez śladów w monitoringu | Kradzież danych, przestój |
Mogę Ci jakoś pomóc?
Serwer monitoringu widzi wszystkie maszyny i ma z nimi stałe połączenie. Jego przejęcie daje napastnikowi jednocześnie podgląd i możliwość zatarcia śladów. Narzędzie kupione po to, żeby „spać spokojnie”, staje się ślepą plamką, a odtworzenie przebiegu zdarzeń jest trudne, bo zapisy przechodziły przez maszynę pod kontrolą napastnika.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata monitoringu, odbudowa serwera, przegląd wszystkich maszyn | Dni | 30 tys. do 250 tys. PLN (praca zespołów, odbudowa) |
Bezpieczeństwo danych | Niewykryte włamania do innych systemów, usunięte zapisy zdarzeń | Dni do tygodni | 50 tys. do 300 tys. PLN (analiza powłamaniowa bez pełnych logów) |
Finansowy | Koszty specjalistów, ewentualne straty po dalszych atakach | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Informacja o incydencie od klienta zamiast z własnego monitoringu | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; utrudnione wykazanie należytej staranności bez logów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Wazuh 4.4.0-4.9.0
Wpływ
5 | . . . ■ . ← KRYTYCZNE (API w internecie
4 | . . . . . lub hasła domyślne)
3 | . . ■ . . ← WYSOKIE (API tylko w sieci firmy)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest bardzo wysoki, bo przejęty zostaje serwer monitoringu całej firmy; prawdopodobieństwo zależy od konfiguracji: API wystawione do internetu z hasłami domyślnymi to realny cel botów, a API dostępne tylko wewnątrz sieci wymaga wcześniejszego przyczółka.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję serwera Wazuh (panel lub serwer): podatne są 4.4.0 do 4.9.0 | Dziś | Administrator Wazuh / firma utrzymująca |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do 4.9.1 lub nowszej wersji | Dziś | Administrator Wazuh |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy API serwera nie jest dostępne z internetu, i zamknąć je | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Zmienić hasła domyślne i hasła kont administracyjnych API | Do 2 dni | Administrator Wazuh |
5 | 🟠 PILNIE | Przejrzeć serwer pod kątem nieznanych procesów, zmian w regułach i luk w zapisach zdarzeń | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ustalić z firmą utrzymującą, kto i jak często aktualizuje samo narzędzie monitoringu | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wysyłać kopię kluczowych zdarzeń poza serwer Wazuh, żeby nie dało się ich usunąć w jednym miejscu | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 4.9.1 w październiku 2024 roku, więc docelowo trzeba ją wgrać. Do czasu aktualizacji pomagają miary zalecane przez producenta. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zamknięcie API Wazuh przed internetem (zalecenie producenta) | Wysoka wobec ataków z zewnątrz | Łatwa do średniej |
Zmiana haseł domyślnych i silne hasła do API (zalecenie producenta) | Wysoka wobec ataków na hasła domyślne | Łatwa |
Ograniczenie dostępu do API do adresów administratorów | Średnia do wysokiej | Średnia |
Monitorowanie serwera Wazuh z zewnętrznego systemu | Niska jako ochrona, przydatna do wykrycia przejęcia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja serwera | 4.4.0 do 4.9.0 z wdrożenia | 4.9.1 lub nowsza |
Dostęp do API | Możliwy z internetu, hasła domyślne | Tylko z sieci firmy, nowe hasła |
Zapisy zdarzeń | Tylko na serwerze Wazuh | Kopia kluczowych zdarzeń poza serwerem |
Odpowiedzialność za aktualizacje narzędzia | Nieustalona | Wskazana osoba i harmonogram |
Zgodność z terminem CISA | Zaległość od 1 lipca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent w czerwcu 2025 roku odniósł się do artykułów łączących lukę z aktywnością sieci botów i napisał, że nie dotknęła jego klientów |
Grupy przestępcze | Brak nazw w komunikatach producenta i CISA; doniesienia dotyczą sieci botów |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, ocena z komunikatu GitHub; NVD i ENISA EUVD-2025-3595 bez własnej oceny) |
PoC dostępny publicznie? | Brak potwierdzonych informacji; komunikat GitHub szczegółowo opisuje mechanizm |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 94% szansy prób wykorzystania w 30 dni, percentyl 0,998 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-24016
CVSS 3.1 (GitHub) 9.9/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wymagany dostęp API ████████████░░░░░░░░ hasło lub przyczółek
Poprawka dostępna od 2024 ████████████████████ wersja 4.9.1
Mogę Ci jakoś pomóc?
2024-10 Wazuh wydaje wersję 4.9.1 z poprawką
2025-01-16 Rezerwacja numeru CVE
2025-02-10 Publikacja CVE-2025-24016 i komunikatu na GitHub
2025-06-10 CISA dodaje lukę do katalogu KEV
2025-06-11 Wazuh publikuje wpis o luce w odpowiedzi na doniesienia o botnetach
2025-07-01 Termin naprawy wg CISA dla agencji federalnych
... ponad 14 miesięcy od terminu CISA, prawie 2 lata od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: wazuh.com/blog/addressing-the-cve-2025-24016-vulnerability . Komunikat bezpieczeństwa na GitHub: GHSA-hcrc-79hj-m3qh . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24016 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Wazuh i kto go utrzymuje | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera i dostępności API z internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację do 4.9.1 lub nowszej i zamknięcie API | CTO | DZISIAJ |
4 | Zlecić przegląd serwera pod kątem śladów przejęcia | CTO | DO JUTRA |
5 | Sprawdzić w umowie z firmą utrzymującą zapisy o aktualizacji samego narzędzia | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja serwera Wazuh działa w firmie? | [wersja] | 🔴 |
2 | Czy API serwera Wazuh jest dostępne z internetu? | TAK / NIE | 🔴 |
3 | Kiedy serwer zaktualizowano do 4.9.1 lub nowszej? | [data] | 🔴 |
4 | Czy hasła domyślne zostały zmienione przy wdrożeniu? | TAK / NIE | 🟠 |
5 | Ile kont ma uprawnienia administratora API? | [liczba] | 🟠 |
6 | Czy kluczowe zdarzenia są kopiowane poza serwer Wazuh? | TAK / NIE | 🟠 |
7 | Kto odpowiada za aktualizacje samego narzędzia monitoringu? | [osoba] | 🟡 |
CVE-2025-24016 pozwala osobie z dostępem do API przejąć serwer Wazuh w wersjach od 4.4.0 do 4.9.0, a więc system, który ma pilnować bezpieczeństwa całej firmy. CISA potwierdza ataki, a poprawka jest dostępna od października 2024 roku, więc aktualizacja do 4.9.1, zamknięcie API przed internetem i zmiana haseł to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.