Błąd deserializacji w N-able N-central pozwala zalogowanemu użytkownikowi z niskimi uprawnieniami wykonać kod na serwerze, który zarządza wieloma komputerami. CISA potwierdza ataki. Sprawdź, czy serwer ma wersję 2025.3.1 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO firm, których komputery są zarządzane zdalnie przez platformę N-able N-central, własną albo należącą do zewnętrznego dostawcy usług IT. Werdykt: jeśli serwer N-central działa w wersji starszej niż 2025.3.1, zaktualizuj go dziś albo wymagaj tego od dostawcy, bo luka jest wykorzystywana w atakach, a CISA dała na naprawę tylko siedem dni.
Amerykańska agencja CISA 13 sierpnia 2025 roku dopisała podatność CVE-2025-8875 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Wpis w katalogu pojawił się dzień przed publikacją oficjalnego rekordu podatności w NVD.
Błąd dotyczy N-able N-central, platformy zdalnego zarządzania komputerami (RMM), z której firmy informatyczne obsługują biura klientów: instalują programy, uruchamiają skrypty i pilnują aktualizacji. To niebezpieczna deserializacja danych, która według producenta pozwala wykonać kod, a według CISA wykonać polecenia. Atak wymaga zalogowania, ale wystarczą niskie uprawnienia.
Termin naprawy wyznaczony przez CISA to 20 sierpnia 2025 roku, czyli tylko tydzień od wpisu. Minął ponad rok temu. Razem z tą luką CISA dodała bliźniaczą CVE-2025-8876 (wstrzykiwanie poleceń), naprawioną w tej samej wersji.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-8875 |
Data dodania do CISA KEV | 2025-08-13 |
Termin naprawy wg CISA | 2025-08-20 (7 dni od wpisu) |
Produkt | N-able N-central, platforma zdalnego zarządzania i monitorowania komputerów |
Wersje zagrożone | Wszystkie wydania N-central starsze niż 2025.3.1 (NVD, producent). Producent wskazuje, że aktualizacji wymagają instalacje lokalne (on-premises). Warunek ataku: konto w systemie, choćby z niskimi uprawnieniami |
Wersje bezpieczne | N-central 2025.3.1 (wydanie z 13 sierpnia 2025) i nowsze. Najnowszej wersji producenta nie weryfikowaliśmy, sprawdź ją w komunikatach N-able |
Typ podatności | Deserializacja niezaufanych danych prowadząca do wykonania kodu lub poleceń; CWE-502 (w katalogu KEV pole CWE jest puste, klasę podał producent) |
Ocena CVSS | N-able: 9.4 (CVSS 4.0, KRYTYCZNA), atak przez sieć, skutki także dla systemów zależnych. NVD: 7.8 (CVSS 3.1, WYSOKA), atak lokalny, skutki ograniczone do serwera. Obie oceny zakładają, że napastnik ma niskie uprawnienia |
Wyobraź sobie księgową, która wykonuje wszystko, co przyjdzie w kopercie z logo znanego kontrahenta. Zwykle w kopercie jest faktura. Ktoś jednak zauważył, że nikt nie sprawdza zawartości, i wkłada do koperty kartkę: „przelej 50 tysięcy na ten rachunek”. Księgowa rozpakowuje, czyta i wykonuje, bo nie odróżnia dokumentu od polecenia.
Tak działa ten błąd. N-central przyjmuje od zalogowanego użytkownika spakowane dane i rozpakowuje je bez sprawdzenia, czy w środku nie ma instrukcji do wykonania. Problem jest poważniejszy niż zwykle, bo N-central to konsola, która ma zdalny dostęp do wszystkich zarządzanych komputerów. Właściciel małej kancelarii często nie wie, że taki program w ogóle obsługuje jego firmę, bo kupił usługę IT, a narzędzie należy do dostawcy.
💡 RMM (Remote Monitoring and Management) to platforma, z której informatyk zarządza wieloma komputerami naraz przez zainstalowanych na nich agentów. Deserializacja to rozpakowanie danych przesłanych między programami; niebezpieczna jest wtedy, gdy program nie sprawdza, co rozpakowuje. CVSS to punktowa skala dotkliwości luki od 0 do 10. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Informatyk loguje się do konsoli | Zarządza komputerami w zakresie swoich uprawnień | Tak samo, nic nie zauważa |
Ktoś ma konto z niskimi uprawnieniami (np. pozostałe po wdrożeniu) | Widzi tylko wybrane informacje | Może wysłać spreparowane dane i wykonać kod na serwerze |
Serwer N-central wysyła skrypt na komputery klientów | Tylko skrypty zatwierdzone przez dostawcę IT | Napastnik z kontrolą nad serwerem może wysłać własne |
Firma kliencka nie ma N-central na fakturach | Nie musi się nim interesować | Jest narażona przez konsolę swojego dostawcy |
Szukanie biuletynu bezpieczeństwa | Osobny komunikat o luce | Poprawka ogłoszona w informacji o wydaniu 2025.3.1, szczegóły luki opublikowano później |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania do N-central, więc napastnik najpierw zdobywa dowolne konto, na przykład wyłudzone hasło technika lub nieużywane konto po byłym pracowniku. CISA ocenia, że ataku nie da się zautomatyzować, ale jego skutek techniczny jest całkowity: to praca ręczna na wybranych celach, najczęściej dostawcach usług IT.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 (dni przed atakiem) | Phishing wobec techników lub użycie starego konta z niskimi uprawnieniami | Dostęp do konsoli N-central |
2. Rozpoznanie | T+kilka godzin | Sprawdzenie wersji N-central i zakresu zarządzanych firm | Wiadomo, czy serwer jest bez poprawki |
3. Wykonanie kodu | T+kilkadziesiąt minut | Wysłanie spreparowanych danych do podatnej funkcji | Kod napastnika działa na serwerze N-central |
4. Przejęcie konsoli | T+1 do 2 dni | Podniesienie uprawnień, utrwalenie dostępu, ewentualnie połączenie z bliźniaczą luką CVE-2025-8876 | Pełna kontrola nad platformą zarządzania |
5. Zejście do klientów | T+2 do 7 dni | Rozesłanie skryptów lub programów przez agentów na komputery zarządzanych firm | Obecność w wielu firmach jednocześnie |
6. Skutek | T+tygodnie | Kradzież danych, szyfrowanie, szantaż | Przestój u wielu klientów dostawcy IT |
Mogę Ci jakoś pomóc?
Platforma zdalnego zarządzania to klucz do wszystkich komputerów naraz. Przejęcie jej daje napastnikowi gotowy, zaufany kanał, którym zwykle płyną instalacje i skrypty, i w którym wygląda dokładnie jak informatyk. Firma kliencka ponosi skutki nawet wtedy, gdy sama nie popełniła żadnego błędu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zablokowane lub zaszyfrowane komputery w całej firmie, zatrzymana praca biura | Dni od przejęcia konsoli | 50 tys. do 400 tys. PLN (przestój, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Kradzież dokumentów, haseł, danych klientów z wielu komputerów | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, nadgodzin, ewentualnego okupu, zmiany dostawcy IT | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania partnerów i ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z dostawcą IT o odpowiedzialność | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy zarządzanej przez N-central
starszy niż 2025.3.1
Wpływ
5 | . . ■ . . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęta konsola daje dostęp do wszystkich zarządzanych komputerów, a prawdopodobieństwo średnie, bo atak wymaga konta i ręcznej pracy (EPSS poniżej 2%); ponad rok po wydaniu poprawki ryzyko dotyczy głównie serwerów, których nikt nie zaktualizował.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa N-able N-central do zarządzania firmowymi komputerami | Dziś | CTO / kierownik IT |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję serwera N-central; jeśli jest starsza niż 2025.3.1, zaktualizować go | Dziś | Administrator N-central / dostawca IT |
3 | 🔴 NATYCHMIAST | Wyłączyć zbędne konta w konsoli, zwłaszcza po byłych pracownikach, testach i zakończonych wdrożeniach | Dziś | Administrator N-central |
4 | 🟠 PILNIE | Przejrzeć dziennik zdarzeń konsoli: logowania, nowe skrypty, zaplanowane zadania od sierpnia 2025 | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Włączyć uwierzytelnianie wieloskładnikowe dla wszystkich kont konsoli | Do 7 dni | Administrator N-central |
6 | 🟡 WAŻNIE | Włączyć eksport dziennika zdarzeń użytkowników do zewnętrznego serwera Syslog (dostępny w N-central) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Dopisać do umowy z dostawcą IT obowiązek informowania o krytycznych lukach w jego narzędziach | Do 30 dni | CTO / CFO |
Producent wydał poprawkę w wersji 2025.3.1 i nie opisał obejścia pozwalającego zostać na starszej wersji; CISA zaleca zastosować poprawkę albo przestać używać produktu. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie zbędnych kont i zmiana haseł pozostałych | Średnia do wysokiej: atak wymaga zalogowania | Łatwa |
Uwierzytelnianie wieloskładnikowe dla kont konsoli | Średnia: utrudnia użycie skradzionego hasła | Łatwa do średniej |
Dostęp do konsoli tylko z VPN lub znanych adresów | Średnia: zmniejsza grono potencjalnych napastników | Średnia |
Codzienny przegląd dziennika zdarzeń i nowych skryptów | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja N-central | Starsza niż 2025.3.1, podatna | 2025.3.1 lub nowsza |
Konta w konsoli | Stare, nieużywane, bez MFA | Tylko aktywne osoby, z MFA |
Widoczność działań w konsoli | Brak przeglądu logów | Dziennik eksportowany i przeglądany |
Wiedza zarządu | Nie wiadomo, jakim narzędziem dostawca zarządza komputerami | Znana nazwa, wersja i osoba odpowiedzialna |
Zgodność z terminem CISA | Zaległość od 20 sierpnia 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, niezautomatyzowane, ze skutkiem całkowitym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.4 KRYTYCZNA (CVSS 4.0, N-able); 7.8 WYSOKA (CVSS 3.1, NVD) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2025-8876 (wstrzykiwanie poleceń), dodana do KEV tego samego dnia, naprawiona w 2025.3.1 |
Prognoza EPSS | Około 1,7% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Oceny CVSS różnią się, bo producent uznał atak za sieciowy z wpływem na systemy zależne, a NVD za lokalny. Niski EPSS oznacza brak masowego skanowania, a nie brak ataków:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-8875
CVSS 4.0 (N-able) 9.4/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~1.7% ░░░░░░░░░░░░░░░░░░░░ ataki ręczne, nie masowe
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 7 dni ████████████████████ skrócony, zwykle ok. 21 2025-08-13 N-able wydaje N-central 2025.3.1 z poprawką CVE-2025-8875 i CVE-2025-8876
2025-08-13 CISA dodaje obie luki do katalogu KEV
2025-08-14 Publikacja CVE-2025-8875 w NVD
2025-08-20 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta o wydaniu 2025.3.1 z poprawką: status.n-able.com: Announcing the GA of N-central 2025.3.1 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-8875 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawcę IT, jakim programem zdalnie zarządza firmowymi komputerami | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji N-central i dacie aktualizacji do 2025.3.1 lub nowszej | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i usunięcie zbędnych kont w konsoli | CTO | DZISIAJ |
4 | Zlecić przegląd dziennika zdarzeń konsoli od sierpnia 2025 | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa z dostawcą IT reguluje odpowiedzialność za incydenty w jego narzędziach | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące znanych, nienaprawionych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasze komputery są zarządzane przez N-able N-central (naszą lub dostawcy)? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera N-central i kiedy go zaktualizowano? | [wersja], [data] | 🔴 |
3 | Czy serwer działa lokalnie (on-premises), czy jest hostowany przez N-able? | [lokalny / hostowany] | 🔴 |
4 | Ile kont ma dostęp do konsoli i czy wszystkie należą do aktywnych osób? | [liczba kont] | 🟠 |
5 | Czy wszystkie konta konsoli mają włączone uwierzytelnianie wieloskładnikowe? | TAK / NIE | 🟠 |
6 | Czy przejrzano logowania, nowe skrypty i zaplanowane zadania od sierpnia 2025? | TAK / NIE, [data przeglądu] | 🟠 |
7 | Czy dziennik zdarzeń konsoli jest eksportowany poza serwer N-central? | TAK / NIE | 🟡 |
CVE-2025-8875 pozwala zalogowanemu użytkownikowi, nawet z niskimi uprawnieniami, wykonać kod na serwerze N-able N-central, czyli platformie, która zarządza wieloma komputerami naraz. CISA potwierdza ataki i dała na naprawę tylko tydzień, a od terminu minął ponad rok, więc sprawdzenie wersji 2025.3.1 i przegląd kont w konsoli to zadanie na dziś, także gdy N-central należy do dostawcy IT.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.