Błąd w SimpleHelp pozwala technikowi o najniższych uprawnieniach zostać administratorem serwera i dostać się do wszystkich podłączonych komputerów. CISA potwierdza użycie w ransomware. Sprawdź wersję dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które same używają SimpleHelp albo korzystają z usług zewnętrznej firmy informatycznej łączącej się z ich komputerami. Werdykt: jeśli serwer SimpleHelp działa w wersji 5.5.7 lub starszej bez poprawki, zaktualizuj go dziś lub odetnij od internetu, bo luka jest używana w atakach ransomware.
Amerykańska agencja CISA 24 kwietnia 2026 roku dopisała CVE-2024-57726 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SimpleHelp, programu do zdalnego wsparcia, przez który technik przejmuje pulpit komputera klienta. Technik o najniższych uprawnieniach mógł wystawić sobie klucz API z szerszymi prawami, niż wynika z jego roli, i przy jego pomocy zostać administratorem serwera, a więc zyskać dostęp do wszystkich podłączonych komputerów.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 8 maja 2026 roku. Pole dotyczące kampanii ransomware ma przy tym wpisie wartość potwierdzającą, a Microsoft łączy wykorzystanie błędów SimpleHelp z grupą prowadzącą ataki Medusa.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-57726 |
Data dodania do CISA KEV | 2026-04-24 |
Termin naprawy wg CISA | 2026-05-08 (14 dni od wpisu) |
Produkt | SimpleHelp, oprogramowanie do zdalnego wsparcia (serwer SimpleHelp) |
Wersje zagrożone | SimpleHelp 5.5.7 i wszystkie wcześniejsze wydania bez poprawki. Do ataku potrzebne jest dowolne konto technika, choćby o najniższych uprawnieniach |
Wersje bezpieczne | 5.5.8 i nowsze; dla gałęzi 5.4 poprawka producenta do wersji 5.4.10, dla gałęzi 5.3 poprawka do wersji 5.3.9. Najnowsze wydanie jest na stronie pobierania producenta |
Typ podatności | Eskalacja uprawnień przez brak kontroli autoryzacji; CWE-862 (Missing Authorization) wg CISA, NVD nie przypisała klasy słabości |
Ocena CVSS | 9.9 (CVSS 3.1, KRYTYCZNA; ocena CISA prezentowana w NVD). Atak przez sieć, niska złożoność, wymaga konta o niskich uprawnieniach, bez udziału użytkownika, skutek wychodzi poza sam program. Producent nie podał własnej oceny |
Producent opisał ten błąd razem z dwiema innymi lukami (CVE-2024-57727 i CVE-2024-57728) w jednym komunikacie i zaleca po aktualizacji zmianę hasła administratora oraz haseł techników.
Wyobraź sobie firmę ochroniarską, która ma klucze do czterdziestu biurowców w mieście. Każdy pracownik dostaje identyfikator z przypisanymi drzwiami: stażysta tylko do portierni, szef zmiany do wszystkiego. Okazało się, że stażysta mógł sam w dyżurce wydrukować sobie kartę-matkę, która otwiera każde drzwi we wszystkich budynkach. Wystarczy więc przejąć identyfikator najmniej ważnego pracownika, żeby wejść wszędzie.
SimpleHelp działa tak samo: jeden serwer u dostawcy usług informatycznych, a na komputerach klientów programy, które się z nim łączą. Najważniejsze jest to, że ofiarą może być firma, która sama o SimpleHelp nigdy nie słyszała, bo używa go jej dostawca.
💡 Klucz API to ciąg znaków, którym program przedstawia się serwerowi zamiast loginu i hasła. Eskalacja uprawnień oznacza, że ktoś z małymi prawami zdobywa większe. Oprogramowanie zdalnego wsparcia (RMM, remote support) pozwala serwisowi pracować na komputerze klienta bez przyjazdu. Ransomware to złośliwy program, który szyfruje dane i żąda okupu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Stażysta w serwisie IT | Obsługuje proste zgłoszenia, widzi tylko wybranych klientów | Może wystawić sobie klucz i zostać administratorem serwera |
Stare konto testowe lub byłego pracownika | Mało istotne, „nikomu nie przeszkadza” | Wystarcza napastnikowi do przejęcia całej instalacji |
Rozsyłanie programów na komputery klientów | Tylko przez uprawnionych administratorów | Napastnik rozsyła własny program na wszystkie podłączone stanowiska |
Reakcja antywirusa | Ruch serwisu uznany za normalny | Ruch napastnika też wygląda jak normalna praca serwisu |
Firma klienta | Korzysta z wygodnej obsługi na odległość | Może zostać zaszyfrowana przez program swojego dostawcy |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa „z ulicy”: napastnik musi najpierw zdobyć dowolne konto technika, na przykład hasło z wycieku albo z fałszywej wiadomości. CISA ocenia atak jako nieautomatyzowalny, co oznacza ataki ukierunkowane na wybrane cele, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 min | Użycie hasła technika z wycieku lub wyłudzenia, próby na starych kontach | Dostęp do panelu SimpleHelp z najniższą rolą |
2. Eskalacja | T+kilka minut | Utworzenie klucza API z nadmiernymi uprawnieniami i przejście do roli administratora serwera | Pełna kontrola nad serwerem |
3. Rozpoznanie | T+kilka godzin | Przegląd listy podłączonych komputerów i klientów serwisu | Wybór najcenniejszych celów |
4. Rozesłanie narzędzi | T+1 do 3 dni | Instalacja własnych programów na stanowiskach kanałem serwisowym | Stały dostęp do sieci wielu firm |
5. Kradzież danych | T+3 do 10 dni | Kopiowanie dokumentów i baz | Materiał do szantażu |
6. Szyfrowanie | T+1 do 3 tygodni | Uruchomienie ransomware na wszystkich stanowiskach naraz | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
Narzędzie zdalnego wsparcia ma z założenia dostęp do wszystkich komputerów. Przejęcie serwera daje napastnikowi jedną konsolę do całej floty stanowisk, a jego działania wyglądają jak rutynowa praca serwisu. Ryzyko dotyczy także firm, które SimpleHelp znają tylko z faktury od dostawcy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane wszystkie stanowiska i serwery, zatrzymana sprzedaż i fakturowanie | Dni do tygodni od przejęcia serwera | 80 tys. do 600 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, pracowników i dokumentów firmowych | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty zewnętrznych specjalistów | Tygodnie | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów; dla serwisu IT utrata wielu klientów naraz | Miesiące | 50 tys. do 800 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z dostawcą lub klientami o odpowiedzialność | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera SimpleHelp 5.5.7 lub starszego
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęty serwer oznacza dostęp do wszystkich obsługiwanych komputerów, a prawdopodobieństwo wysokie (ataki ransomware potwierdzone), ale nie maksymalne, bo napastnik potrzebuje najpierw konta technika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa SimpleHelp i w jakiej wersji (strona /allversions na adresie serwera) | Dziś | CTO / dostawca IT |
2 | 🔴 NATYCHMIAST | Jeśli wersja to 5.5.7 lub starsza bez poprawki: odciąć serwer od internetu lub zatrzymać jego proces do czasu aktualizacji | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Zaktualizować do 5.5.8 lub nowszej albo wgrać poprawkę producenta dla 5.4.10 lub 5.3.9 | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Zmienić hasło administratora i hasła techników, usunąć zbędne i nieużywane konta | Do 2 dni | Administrator serwera |
5 | 🟠 PILNIE | Ograniczyć adresy IP, z których mogą logować się technicy i administratorzy | Do 3 dni | Administrator serwera |
6 | 🟠 PILNIE | Sprawdzić listę kluczy API i historię działań na serwerze od stycznia 2025 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić do umowy z dostawcą IT obowiązek informowania o aktualizacjach narzędzi zdalnego dostępu | Do 30 dni | CFO / zarząd |
8 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane od komputerów dostępnych przez narzędzie zdalne | Do 30 dni | CTO |
Producent wydał wersję 5.5.8 oraz poprawki dla 5.4.10 i 5.3.9, więc docelowo trzeba je wgrać. Starsze gałęzie należy zaktualizować do wersji wspieranej. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera od internetu lub zatrzymanie jego procesu (zalecenie CISA) | Wysoka: usuwa możliwość ataku z zewnątrz | Łatwa, ale przerywa zdalną obsługę |
Ograniczenie adresów IP logowania techników i administratorów (zalecenie producenta) | Średnia do wysokiej: napastnik spoza dozwolonych adresów nie zaloguje się | Średnia |
Usunięcie nieużywanych kont i zmiana haseł techników | Średnia: zmniejsza pulę kont do przejęcia, nie usuwa luki | Łatwa |
Logowanie techników przez zewnętrzną usługę tożsamości z drugim składnikiem | Średnia: utrudnia przejęcie konta | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja serwera | 5.5.7 lub starsza, podatna | 5.5.8 lub nowsza, albo gałąź z poprawką producenta |
Konta techników | Stare, testowe i nieużywane konta aktywne | Tylko potrzebne konta, nowe hasła |
Dostęp do panelu | Z dowolnego miejsca w internecie | Tylko z zaufanych adresów |
Wiedza o incydencie | Brak przeglądu kluczy API i logów | Przejrzane klucze i historia działań |
Relacja z dostawcą IT | Brak informacji o wersji narzędzia | Pisemne potwierdzenie wersji i daty aktualizacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Europejska baza ENISA odnotowuje tę samą datę potwierdzonego wykorzystania |
Grupy przestępcze | Microsoft Threat Intelligence (opracowanie z 6 kwietnia 2026 roku, wg analizy źródłowej) wiąże wykorzystanie błędów SimpleHelp z grupą Storm-1175 |
Kampanie ransomware | TAK (CISA KEV: Known). Wg analizy źródłowej: Medusa (Storm-1175); CISA w doradztwie AA25-163A pisała o atakach ransomware na niezałatane instalacje SimpleHelp od stycznia 2025 roku |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, ocena CISA prezentowana w NVD) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie ataku; szczegóły błędów opisał w styczniu 2025 roku zespół Horizon3.ai |
Liczba atakowanych firm | Brak publicznych informacji; doradztwo AA25-163A opisuje atak na dostawcę oprogramowania do rozliczeń mediów i jego klientów |
Ocena CISA | Wykorzystanie aktywne, skutek techniczny całkowity, atak nieautomatyzowalny |
Prognoza EPSS | Około 0,67 prawdopodobieństwa prób wykorzystania w 30 dni, powyżej 99. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-57726
CVSS 3.1 (CISA/NVD) 9.9/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~67% █████████████░░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Wymagane konto TAK ██████████░░░░░░░░░░ ogranicza zasięg
Mogę Ci jakoś pomóc?
2025-01-09 Rezerwacja numeru CVE
2025-01 Producent wydaje SimpleHelp 5.5.8 i poprawkę dla 5.4.10
2025-01-12 Producent dodaje poprawkę dla wersji 5.3.9
2025-01-15 Publikacja CVE-2024-57726 (opis błędów: Horizon3.ai)
2025-01 Początek ataków ransomware na niezałatane serwery (wg CISA)
2025-02-12 Producent dopisuje numery CVE do swojego komunikatu
2025-06-12 CISA publikuje doradztwo AA25-163A
2026-04-06 Microsoft wiąże błędy SimpleHelp z grupą Storm-1175 (Medusa)
2026-04-24 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-05-08 Termin naprawy wg CISA dla agencji federalnych
... ponad 4 miesiące od terminu CISA, 20 miesięcy od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z instrukcją aktualizacji i poprawkami: simple-help.com/kb---security-vulnerabilities-01-2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-57726 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać na piśmie dostawcę IT, jakiego narzędzia zdalnego wsparcia używa i w jakiej wersji | CTO | DZISIAJ |
2 | Jeśli to SimpleHelp 5.5.7 lub starszy: zatwierdzić natychmiastowe odcięcie serwera lub aktualizację | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie zmiany haseł i przeglądu kont techników | CTO | DO JUTRA |
4 | Zlecić przegląd kluczy API i historii działań na serwerze | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą IT zapisy o odpowiedzialności za incydenty i aktualizacje | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące dostawców zewnętrznych | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy my lub nasz dostawca IT używamy SimpleHelp? | TAK / NIE | 🔴 |
2 | Jaka wersja serwera SimpleHelp jest widoczna na stronie /allversions? | [wersja] | 🔴 |
3 | Kiedy serwer został zaktualizowany do 5.5.8 lub załatany? | [data] | 🔴 |
4 | Ile aktywnych kont techników jest na serwerze i czy wszystkie są potrzebne? | [liczba] | 🟠 |
5 | Czy po aktualizacji zmieniono hasło administratora i hasła techników? | TAK / NIE | 🟠 |
6 | Czy logowanie do panelu jest ograniczone do zaufanych adresów IP? | TAK / NIE | 🟠 |
7 | Czy kopie zapasowe są poza zasięgiem narzędzia zdalnego wsparcia? | TAK / NIE | 🟡 |
CVE-2024-57726 pozwala dowolnemu technikowi SimpleHelp zostać administratorem serwera, a przez to dostać się do wszystkich obsługiwanych komputerów. CISA potwierdza użycie w atakach ransomware, a poprawka jest dostępna od stycznia 2025 roku, więc sprawdzenie wersji u siebie i u dostawcy IT to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.