Przykładowy klucz maszynowy z przewodników Sitecore, przepisany do produkcji, pozwala obcym uruchomić kod na serwerze bez logowania. CISA potwierdza atak. Sprawdź i wymień klucz dziś.
Ten alert jest dla zarządu, CTO i CFO firm, których strona internetowa lub sklep działają na platformie Sitecore (Experience Manager, Experience Platform, Experience Commerce lub Managed Cloud). Werdykt: sama aktualizacja tu nie pomaga, więc dziś sprawdź, skąd pochodzi klucz maszynowy w konfiguracji wdrożenia, i wymień go na unikalny, bo przykładowy klucz z dokumentacji pozwala obcym uruchomić kod na serwerze i był wykorzystany w ataku.
Amerykańska agencja CISA 4 września 2025 roku dopisała CVE-2025-53690 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Problem nie leży w kodzie Sitecore, tylko w konfiguracji: w przewodnikach wdrożeniowych producenta z 2017 roku i wcześniejszych był przykładowy klucz maszynowy ASP.NET, a część firm przepisała go do środowiska produkcyjnego. Kto zna ten publiczny klucz, może podpisać spreparowane dane tak, że serwer je przyjmie i wykona zawarte w nich instrukcje, bez logowania.
Włamanie z użyciem tej luki opisał zespół Mandiant Threat Defense (Google), a Sitecore potwierdził, że nowsze wdrożenia generują unikalny klucz automatycznie i powiadomił klientów, których to dotyczy. Termin naprawy wg CISA minął 25 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-53690 |
Data dodania do CISA KEV | 2025-09-04 |
Termin naprawy wg CISA | 2025-09-25 (21 dni od wpisu) |
Produkt | Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC), Managed Cloud |
Wersje zagrożone | Rekord CVE: XM i XP do wersji 9.0 włącznie; KEV i NVD dodają XC i Managed Cloud. Wg Mandiant: każde wdrożenie korzystające z przykładowego klucza z publicznych przewodników (w opisanym przypadku XP 9.0 i moduł Active Directory 1.4 lub starszy). Kluczowy warunek: przykładowy klucz maszynowy w konfiguracji |
Wersje bezpieczne | Nie ma wersji, która sama zamyka problem. Naprawa: wymiana klucza maszynowego na losowy i unikalny, włączenie ochrony podpisem dla ViewState, zaszyfrowanie sekretów w pliku konfiguracyjnym, zgodnie z komunikatem Sitecore (KB1003865, SC2025-005) |
Typ podatności | Deserializacja niezaufanych danych prowadząca do wykonania kodu (ViewState z przykładowym kluczem); CWE-502 (Deserialization of Untrusted Data) |
Ocena CVSS | Rekord CVE: 9.0 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, wysoka złożoność (trzeba mieć pasujący klucz), bez konta i bez udziału użytkownika, skutek wychodzi poza sam program. NVD nie wystawiła własnej oceny |
Najważniejsza różnica wobec typowych luk: firma, która na pytanie o aktualną wersję systemu usłyszała „tak”, mogła nadal mieć otwarty serwer. Właściwe pytanie brzmi: skąd pochodzi klucz maszynowy w tym wdrożeniu i kiedy był zmieniany.
Wyobraź sobie producenta zamków, który w instrukcji montażu drukuje przykładowy numer klucza, a monter wpisuje ten numer, bo instrukcja tak mówi. Zamek działa bez zarzutu i przez lata nikt nie ma zastrzeżeń. Tyle że klucz pasuje do wszystkich drzwi zamontowanych według tej samej instrukcji, a instrukcję może przeczytać każdy.
Strona na Sitecore przekazuje przeglądarce zapakowany opis swojego stanu i podpisuje go sekretnym kluczem, żeby nikt nie podmienił zawartości. Jeśli klucz pochodzi z publicznego dokumentu, napastnik podpisuje własną paczkę, w której zamiast stanu strony są instrukcje do wykonania. Wejściem w opisanym ataku była strona /sitecore/blocked.aspx, wyświetlana przy zablokowanym dostępie i osiągalna bez logowania.
💡 Klucz maszynowy (machine key) to sekret, którym serwer ASP.NET podpisuje i szyfruje dane przesyłane przez przeglądarkę. ViewState to ukryte pole formularza z zapisanym stanem strony. Deserializacja to rozpakowanie danych z powrotem do postaci, na której pracuje program; gdy dane są spreparowane, może to uruchomić obcy kod. Konfiguracja domyślna to ustawienia z instrukcji lub z fabryki, których nikt nie zmienił.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przeglądarka odsyła stan strony | Serwer sprawdza podpis sekretnym kluczem | Napastnik podpisuje paczkę znanym kluczem z dokumentacji |
Strona dla zablokowanego dostępu | Odmawia wejścia | Służy jako drzwi do wykonania kodu |
Pytanie o aktualność wersji | „Tak” oznacza bezpieczeństwo | „Tak” nic nie zmienia, problem jest w konfiguracji |
Skaner szukający starych wersji | Wykrywa zaległe aktualizacje | Nie widzi przykładowego klucza |
Serwer strony w sieci firmy | Tylko publikuje treści | Staje się wejściem do sieci wewnętrznej |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku, oparty na przebiegu włamania opisanym przez Mandiant i uogólniony do scenariusza poglądowego. Atak nie wymaga konta, ale działa tylko tam, gdzie w konfiguracji został przykładowy klucz. CISA ocenia go jako nieautomatyzowalny, o całkowitym skutku technicznym. Mandiant przerwał opisany atak krótko po rozpoczęciu reakcji, więc nie zaobserwował całego cyklu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Wysłanie spreparowanego ViewState, podpisanego przykładowym kluczem, do strony blocked.aspx | Wykonanie kodu z uprawnieniami konta usługi serwera stron |
2. Rozpoznanie | T+minuty | Uruchomienie programu zbierającego informacje o systemie, wyniki odsyłane w polu stanu strony | Wiedza o serwerze, ruch wyglądający jak praca serwisu |
3. Kradzież konfiguracji | T+godziny | Spakowanie katalogu strony z plikiem konfiguracyjnym | Klucze i hasła do baz oraz usług zewnętrznych |
4. Przejęcie serwera | T+godziny | Podniesienie uprawnień, założenie kont administracyjnych asp$ i sawadmin, zrzut skrótów haseł, narzędzie zdalnego dostępu i tunel do sieci | Trwała kontrola i droga do sieci wewnętrznej |
5. Ruch w sieci | T+dni | Mapowanie katalogu użytkowników, kradzież żetonów sesji, pulpit zdalny przez tunel | Dostęp do innych serwerów i kont organizacji |
Mogę Ci jakoś pomóc?
Serwer publicznej strony bywa uważany za mało ważny, bo „dane klientów są w innym systemie”. Opisane włamanie pokazuje, że jest on drzwiami do sieci wewnętrznej i do katalogu użytkowników całej organizacji. Do tego zwykłe zarządzanie poprawkami tego problemu nie wykryje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera strony, wymiana haseł w wielu systemach, przestój sklepu | Dni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież kluczy i haseł z konfiguracji, dostęp do sieci wewnętrznej | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż w sklepie, koszty specjalistów, ewentualny szantaż | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Podmiana treści strony, utrata zaufania klientów sklepu | Dni do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla wdrożenia Sitecore z przykładowym kluczem
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (wykonanie kodu i droga do sieci wewnętrznej), a prawdopodobieństwo wysokie, jeśli klucz pochodzi z dokumentacji; dla wdrożenia z unikalnym kluczem ta luka praktycznie nie ma zastosowania.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy klucz maszynowy w konfiguracji Sitecore nie jest przykładem z przewodników wdrożeniowych | Dziś | Administrator Sitecore / partner wdrożeniowy |
2 | 🔴 NATYCHMIAST | Wymienić klucz maszynowy na losowy i unikalny, włączyć ochronę podpisem ViewState | Dziś | Administrator Sitecore |
3 | 🔴 NATYCHMIAST | Przejrzeć dziennik aplikacji Windows pod kątem serii zdarzeń 1316 („Viewstate verification failed”), zwłaszcza dla blocked.aspx | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Sprawdzić, czy na serwerze nie ma nieznanych kont administracyjnych (np. asp$, sawadmin) ani połączeń z adresami 130.33.156.194 i 103.235.46.102 opisanymi przez Mandiant | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zaszyfrować sekrety w pliku konfiguracyjnym i wymienić hasła do baz oraz usług, jeśli był używany przykładowy klucz | Do 7 dni | Administrator Sitecore |
6 | 🟠 PILNIE | Postępować zgodnie z komunikatem Sitecore KB1003865 | Do 7 dni | Partner wdrożeniowy |
7 | 🟡 WAŻNIE | Przenieść serwer strony do osobnego segmentu sieci bez zaufania do katalogu użytkowników firmy | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Dodać do przeglądów bezpieczeństwa kontrolę haseł, kluczy i kont domyślnych | Do 30 dni | CTO |
W tym przypadku nie ma aktualizacji, która sama rozwiązuje problem: naprawa to zmiana konfiguracji opisana przez Sitecore. Poniższe miary pomagają do czasu jej wdrożenia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana klucza maszynowego na unikalny (zalecenie producenta) | Wysoka: usuwa przyczynę | Łatwa do średniej, wymaga restartu aplikacji |
Blokada lub ograniczenie dostępu do /sitecore/blocked.aspx na zaporze aplikacyjnej | Średnia: zamyka opisane wejście, nie przyczynę | Średnia |
Alarm przy serii zdarzeń 1316 w dzienniku aplikacji | Niska jako ochrona, wysoka jako wykrywanie prób | Łatwa |
Osobny segment sieci dla serwera strony | Średnia: ogranicza skutki włamania | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Klucz maszynowy | Możliwy przykład z dokumentacji | Losowy, unikalny, udokumentowana data zmiany |
Sekrety w konfiguracji | Otwartym tekstem | Zaszyfrowane, hasła wymienione |
Wykrywanie prób | Nikt nie patrzy na zdarzenia 1316 | Alarm przy serii błędów weryfikacji |
Położenie serwera strony | W sieci obok katalogu użytkowników | Osobny segment bez zaufania do domeny |
Przeglądy bezpieczeństwa | Tylko numery wersji | Wersje oraz hasła, klucze i konta domyślne |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); włamanie opisał Mandiant Threat Defense |
Grupy przestępcze | Brak publicznie przypisanej nazwy grupy; Mandiant wskazuje na napastnika dobrze znającego produkt |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.0 KRYTYCZNA (CVSS 3.1, rekord CVE) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie; przykładowy klucz był dostępny w publicznych przewodnikach |
Liczba atakowanych firm | Brak publicznych informacji; Sitecore powiadomił klientów, których to dotyczy |
Ocena CISA | Wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 0,51 w bieżącym odczycie; europejska baza pokazuje wcześniejszą wartość około 0,31 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-53690
CVSS 3.1 (rekord CVE) 9.0/10 ██████████████████░░ KRYTYCZNA
EPSS (odczyt bieżący) ~51% ██████████░░░░░░░░░░ ŚREDNIA / WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak zero-day TAK ████████████████████ przed publikacją CVE
Naprawa przez wersję NIE ░░░░░░░░░░░░░░░░░░░░ trzeba zmienić klucz
Mogę Ci jakoś pomóc?
2017 Przykładowy klucz maszynowy w przewodnikach wdrożeniowych Sitecore
(dokumenty z 2017 roku i wcześniejsze)
2025-07-08 Rezerwacja numeru CVE
2025-09-03 Mandiant opisuje atak; publikacja CVE-2025-53690 i wpisu w NVD
2025-09-04 CISA dodaje lukę do katalogu KEV
2025-09-05 CISA: wykorzystanie aktywne, skutek całkowity
2025-09-25 Termin naprawy wg CISA dla agencji federalnych
... prawie 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z krokami naprawczymi: support.sitecore.com, KB1003865 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-53690 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy strona lub sklep działa na Sitecore i kto jest partnerem wdrożeniowym | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: skąd pochodzi klucz maszynowy i kiedy był zmieniany | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową wymianę klucza, jeśli to przykład z dokumentacji | CTO | DZISIAJ |
4 | Zlecić przegląd dziennika zdarzeń i kont administracyjnych na serwerze | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić umowę z partnerem wdrożeniowym pod kątem odpowiedzialności za konfigurację | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasz klucz maszynowy Sitecore pochodzi z przykładu w dokumentacji? | TAK / NIE | 🔴 |
2 | Kiedy ostatnio zmieniono klucz maszynowy? | [data] | 🔴 |
3 | Czy w dzienniku aplikacji są serie zdarzeń 1316 dla blocked.aspx? | TAK / NIE | 🔴 |
4 | Czy na serwerze są nieznane konta administracyjne? | TAK / NIE | 🟠 |
5 | Czy sekrety w pliku konfiguracyjnym są zaszyfrowane? | TAK / NIE | 🟠 |
6 | Czy serwer strony jest w osobnym segmencie sieci? | TAK / NIE | 🟠 |
7 | Ile innych systemów wdrożonych według instrukcji może mieć domyślne klucze lub hasła? | [liczba] | 🟡 |
CVE-2025-53690 pozwala uruchomić kod na serwerze Sitecore, jeśli we wdrożeniu został przykładowy klucz maszynowy z dokumentacji producenta. CISA potwierdza wykorzystanie, a aktualizacja wersji sama problemu nie usuwa, więc sprawdzenie i wymiana klucza oraz przegląd dziennika zdarzeń to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.