Zalogowany użytkownik ScadaBR może wgrać plik, który serwer sam uruchamia, i przejąć system sterowania instalacją. CISA potwierdza ataki. Odetnij panel od sieci ogólnej, uporządkuj konta i zaplanuj migrację.
Ten alert jest dla zarządu, CTO i CFO firm, które nadzorują instalacje (nawadnianie, wentylację, chłodzenie, linie produkcyjne, media) przez oprogramowanie ScadaBR. Werdykt: jeśli używasz ScadaBR do wersji 0.9.1 na Linuksie lub 1.12.4 na Windowsie, dziś odetnij panel od sieci ogólnej i uporządkuj konta, a z serwisantem zaplanuj przejście na utrzymywane oprogramowanie z poprawką.
Amerykańska agencja CISA 3 grudnia 2025 roku dopisała CVE-2021-26828 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd pozwala zalogowanemu użytkownikowi ScadaBR wgrać przez stronę view_edit.shtm plik JSP, który serwer sam uruchamia. W efekcie napastnik wykonuje własny kod na serwerze systemu nadzoru.
Luka jest publicznie opisana od czerwca 2021 roku, razem z gotowym opisem ataku. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 24 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-26828 |
Data dodania do CISA KEV | 2025-12-03 |
Termin naprawy wg CISA | 2025-12-24 (21 dni od wpisu) |
Produkt | ScadaBR (w katalogu KEV jako OpenPLC ScadaBR), webowe oprogramowanie SCADA do nadzoru instalacji. CISA zaznacza, że wada może dotyczyć składnika używanego w różnych produktach |
Wersje zagrożone | ScadaBR do 0.9.1 włącznie na Linuksie i do 1.12.4 włącznie na Windowsie. Atak wymaga konta w aplikacji (dowolnego, także o niskich uprawnieniach) |
Wersje bezpieczne | Brak publicznych informacji o wydaniu ScadaBR z poprawką. Poprawkę (filtrowanie wgrywanych plików) wprowadzono w odgałęzieniu Scada-LTS, zmiana z 27 kwietnia 2022 roku w gałęzi 2.7.1 |
Typ podatności | Nieograniczone wgrywanie plików niebezpiecznego typu; CWE-434 |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, NVD i CISA); w starszej skali CVSS 2.0: 6.5 ŚREDNIA. Atak przez sieć, wymaga konta o niskich uprawnieniach, bez udziału innego użytkownika |
Wyobraź sobie skrzynkę przy wejściu do biura z napisem „faktury”, z której sekretariat bez czytania wykonuje wszystko, co znajdzie w środku. Dopóki ktoś wrzuca faktury, wszystko działa. Wystarczy jednak wrzucić kartkę z poleceniem przelewu, a zostanie wykonane, bo procedura mówi „wykonuj”, a nie „sprawdzaj”.
Tak działała ta luka. W ScadaBR jest pole do wgrywania grafik z symbolami instalacji. Przyjmowało ono jednak też pliki JSP, które serwer traktuje nie jak obrazek, tylko jak program do uruchomienia. Każdy, kto ma konto w panelu, mógł wgrać taki plik i przejąć serwer, a z niego sięgnąć do sterowania instalacją i dalej do sieci firmy.
💡 SCADA to system nadzoru nad instalacjami: zbiera odczyty z czujników, pokazuje schematy i pozwala operatorowi sterować urządzeniami. JSP to format plików, które serwer aplikacji uruchamia jak program. Powłoka (web shell) to wgrany plik, przez który napastnik wydaje serwerowi dowolne polecenia. CVSS to punktacja powagi błędu od 0 do 10. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Operator wgrywa grafikę z symbolem pompy | Grafika pojawia się na schemacie | Tak samo |
Użytkownik z kontem wgrywa plik JSP | Plik zostaje odrzucony | Serwer uruchamia plik jako program |
Konto pracownika sezonowego lub byłego serwisanta | Dostęp do podglądu i drobnych zmian | Wystarcza do przejęcia serwera |
Sterowanie instalacją | Tylko przez uprawnionego operatora | Napastnik może zmieniać nastawy lub wyłączać urządzenia |
Sieć firmy | Serwer SCADA tylko obsługuje instalację | Serwer staje się punktem wyjścia do innych komputerów |
źródło: Pexels, Liton MiahPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania, więc napastnik najpierw musi zdobyć dowolne konto w panelu: zgadnąć wspólne hasło, użyć konta byłego pracownika lub serwisanta albo przejąć komputer, na którym hasło jest zapisane. CISA ocenia atak jako niemożliwy do pełnej automatyzacji, ale ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 | Wyszukanie paneli ScadaBR dostępnych z internetu lub z przejętej sieci | Lista celów |
2. Zdobycie konta | T+minuty do dni | Próby wspólnych i słabych haseł, użycie kont, których nikt nie wyłączył | Zalogowana sesja |
3. Wgranie pliku | T+minuty od zalogowania | Wgranie pliku JSP przez view_edit.shtm | Własny kod działa na serwerze |
4. Przejęcie serwera | T+godziny | Instalacja trwałego dostępu, rozpoznanie sieci i urządzeń sterowanych | Kontrola nad systemem nadzoru |
5. Skutki | T+dni | Zmiana nastaw instalacji, wyłączenie urządzeń, ruch do komputerów biurowych i kopii zapasowych | Straty w produkcji, wyciek danych, możliwe szyfrowanie |
Wymóg posiadania konta brzmi uspokajająco, ale w panelach instalacji konta bywają wspólne, zapisane na kartce przy ekranie i nigdy nie usuwane. Skutki przejęcia nie kończą się na IT: dotyczą fizycznej instalacji, produkcji i bezpieczeństwa ludzi.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie lub rozregulowanie instalacji (nawadnianie, chłodzenie, linia) | Godziny | 30 tys. do 500 tys. PLN (straty produkcji, zepsuty towar, przestój) |
Bezpieczeństwo danych | Dostęp do danych procesowych i dalej do komputerów biurowych | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracone zamówienia, kary umowne, koszty serwisu i odtworzenia | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Niedotrzymane dostawy, utrata zaufania odbiorców | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utraceni odbiorcy) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; podmioty objęte przepisami o cyberbezpieczeństwie mają też obowiązki zgłoszenia incydentu | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: ScadaBR z niezaktualizowanym oprogramowaniem
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE (wspólne hasła, panel w sieci ogólnej)
3 | . ● . . . ● panel odcięty, konta uporządkowane
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo chodzi o sterowanie fizyczną instalacją, a prawdopodobieństwo średnie, bo atak wymaga konta i nie jest masowy; każde wspólne hasło i panel dostępny z internetu przesuwają firmę w stronę ryzyka krytycznego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy panel ScadaBR jest dostępny z internetu lub z sieci ogólnej firmy | Dziś | Kierownik techniczny / administrator |
2 | 🔴 NATYCHMIAST | Odciąć panel od internetu i sieci ogólnej, zostawić dostęp tylko z komputerów operatorów | Dziś | Administrator sieci / serwisant |
3 | 🔴 NATYCHMIAST | Wypisać konta w panelu, usunąć konta byłych pracowników i nieaktywnych serwisantów | Dziś | Kierownik techniczny |
4 | 🟠 PILNIE | Zastąpić wspólne hasła osobnymi hasłami dla każdej osoby | Do 3 dni | Kierownik techniczny |
5 | 🟠 PILNIE | Sprawdzić katalogi aplikacji na serwerze pod kątem obcych plików JSP i przejrzeć logi | Do 7 dni | Serwisant / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ustalić z serwisantem przejście na utrzymywane oprogramowanie z poprawką (np. odgałęzienie Scada-LTS) lub wymianę systemu | Do 60 dni | CTO / kierownik techniczny |
7 | 🟡 WAŻNIE | Oddzielić sieć sterowania instalacją od sieci biurowej | Do 60 dni | CTO / administrator sieci |
Źródła nie wskazują wydania ScadaBR z poprawką; poprawka istnieje w odgałęzieniu Scada-LTS. CISA dopuszcza zaprzestanie używania produktu, gdy środki zaradcze nie są dostępne. Do czasu decyzji pomagają poniższe miary; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Panel niedostępny z internetu i sieci ogólnej, dostęp tylko z wybranych komputerów | Wysoka wobec napastników z zewnątrz | Łatwa: jedno popołudnie |
Usunięcie zbędnych kont i osobne hasła dla każdej osoby | Średnia do wysokiej: zawęża krąg osób mogących wykorzystać lukę | Łatwa |
Blokada dostępu do strony view_edit.shtm na serwerze pośredniczącym dla zwykłych użytkowników | Średnia, zależy od architektury instalacji | Średnia |
Regularna kontrola katalogów aplikacji pod kątem nowych plików JSP | Niska jako ochrona, pomocna w wykryciu | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do panelu | Z sieci ogólnej, czasem z internetu | Tylko z komputerów operatorów |
Konta | Wspólne hasła, konta byłych pracowników | Osobne konta tylko dla aktualnych osób |
Luka CVE-2021-26828 | Każde konto wystarcza do przejęcia serwera | Zawężony krąg osób, plan przejścia na oprogramowanie z poprawką |
Sieć sterowania | Połączona z biurem | Zaplanowane oddzielenie |
Zgodność z zaleceniem CISA | Brak środków zaradczych | Ograniczenia wdrożone, decyzja o poprawce lub wymianie |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Europejska baza EUVD wskazuje 3 grudnia 2025 roku jako początek wykorzystywania |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA); 6.5 ŚREDNIA w starszej skali CVSS 2.0 |
PoC dostępny publicznie? | TAK: od 2021 roku NVD wskazuje opis ataku w serwisie Packet Storm i nagranie wideo |
Liczba atakowanych firm | Brak publicznych informacji |
Inne identyfikatory | EUVD-2021-13613, GHSA-j87g-5g8x-jjxc; w bazach dostawca zapisywany różnie (OpenPLC, scadabr), dlatego szukaj po numerze CVE |
Prognoza EPSS | Około 39% szansy próby wykorzystania w ciągu 30 dni, górne 1,5% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2021-26828
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~39% ████████░░░░░░░░░░░░ wyżej niż 98% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny opis ataku TAK ████████████████████ od 2021 roku
Wymaga konta TAK ██████████░░░░░░░░░░ ogranicza krąg napastników 2021-06-11 Publikacja CVE-2021-26828, w NVD od razu odnośniki
do opisu ataku (Packet Storm) i nagrania wideo
2022-04-27 Poprawka w odgałęzieniu Scada-LTS (filtrowanie plików)
... ponad 3 lata bez wpisu w KEV
2025-12-03 CISA dodaje lukę do katalogu KEV
2025-12-24 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Poprawka wskazana przez CISA (odgałęzienie Scada-LTS): github.com/SCADA-LTS/Scada-LTS/pull/2174 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-26828 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej serwisant instalacji używa ScadaBR, i w jakiej wersji | CTO | DZISIAJ |
2 | Potwierdzić, że panel nie jest dostępny z internetu | CTO | DZISIAJ |
3 | Zlecić usunięcie zbędnych kont i wspólnych haseł | CTO | DZISIAJ |
4 | Poprosić serwisanta o plan przejścia na oprogramowanie z poprawką lub wymianę | CTO | DO JUTRA |
5 | Oszacować koszt jednej nocy lub jednego dnia przestoju instalacji | CFO | DO JUTRA |
6 | Zarezerwować budżet na migrację i oddzielenie sieci sterowania | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa ubezpieczeniowa obejmuje szkody wywołane cyberatakiem na instalację | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy ScadaBR i w jakiej wersji (Linux czy Windows)? | TAK / NIE, [wersja] | 🔴 |
2 | Czy panel jest dostępny z internetu lub z sieci biurowej? | TAK / NIE | 🔴 |
3 | Ile kont ma panel i czy któreś są wspólne lub należą do osób spoza firmy? | [liczba], TAK / NIE | 🔴 |
4 | Czy w katalogach aplikacji są pliki JSP, których nie wgrał dostawca? | TAK / NIE | 🟠 |
5 | Czy sieć sterowania jest oddzielona od sieci biurowej? | TAK / NIE | 🟠 |
6 | Kiedy serwisant może przeprowadzić migrację na oprogramowanie z poprawką? | [data] | 🟠 |
7 | Czy mamy kopię konfiguracji systemu nadzoru, z której da się go odtworzyć? | TAK / NIE, [data kopii] | 🟡 |
CVE-2021-26828 pozwala każdemu zalogowanemu użytkownikowi ScadaBR wgrać plik, który serwer uruchamia, i przejąć system nadzoru nad instalacją. Opis ataku jest publiczny od 2021 roku, a CISA potwierdza wykorzystanie, dlatego odcięcie panelu od sieci ogólnej i uporządkowanie kont to zadania na dziś, a przejście na oprogramowanie z poprawką na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.