Błąd w Craft CMS pozwala każdemu z internetu wykonać kod na serwerze strony. Ataki są zautomatyzowane, a CISA dopisała lukę do KEV. Zaktualizuj do 3.9.15, 4.14.15 lub 5.6.17 i sprawdź logi dziś.
Ten alert jest dla zarządu, CTO i CFO firm, których strona, sklep lub serwis działa na Craft CMS instalowanym na własnym serwerze lub u firmy hostingowej. Werdykt: jeśli wersja jest niższa niż 3.9.15, 4.14.15 lub 5.6.17 (zależnie od linii), zaktualizuj dziś i sprawdź, czy strona nie została już przejęta, bo luka pozwala przejąć serwer bez hasła i jest masowo wykorzystywana.
Amerykańska agencja CISA 20 marca 2026 roku dopisała podatność CVE-2025-32432 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w Craft CMS pozwala osobie z internetu, bez konta i bez hasła, wykonać na serwerze dowolny kod.
Sprawa nie jest nowa. Producent wydał poprawki 10 kwietnia 2025 roku, a 17 kwietnia 2025 roku znalazł dowody ataków i rozesłał ostrzeżenia do właścicieli licencji. Poprawka jest uzupełnieniem wcześniejszej, niepełnej naprawy tego samego obszaru kodu (CVE-2023-41892), więc firmy, które załatały system w 2023 roku, mogły żyć w przekonaniu, że temat jest zamknięty. Termin CISA minął 3 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32432 |
Data dodania do CISA KEV | 2026-03-20 |
Termin naprawy wg CISA | 2026-04-03 (14 dni od wpisu) |
Produkt | Craft CMS (system zarządzania treścią), instalacje własne; Craft Cloud objęty dodatkową blokadą producenta |
Wersje zagrożone | Od 3.0.0-RC1 do wersji niższych niż 3.9.15; od 4.0.0-RC1 do niższych niż 4.14.15; od 5.0.0-RC1 do niższych niż 5.6.17 |
Wersje bezpieczne | 3.9.15, 4.14.15, 5.6.17 (pierwsze z poprawką, wydane 10.04.2025) i nowsze w danej linii |
Typ podatności | Wstrzyknięcie kodu prowadzące do zdalnego wykonania kodu; CWE-94. Błąd wywodzi się z frameworka Yii (naprawionego w Yii 2.0.52) |
Ocena CVSS | NVD: 10.0 (CVSS 3.1, KRYTYCZNA, pełny wpływ na poufność, integralność i dostępność). GitHub (zgłaszający): 10.0 (CVSS 3.1, KRYTYCZNA, niższy wpływ na dostępność). Atak przez sieć, bez logowania, bez udziału użytkownika, zakres zmieniony |
Wyobraź sobie drukarnię, która przyjmuje zamówienia przez okienko: klient podaje kartkę z opisem, jaki format zdjęcia chce dostać, a pracownik wykonuje zlecenie. Pracownik ufa kartce i robi dokładnie to, co na niej napisano. Jeśli ktoś dopisze „a potem oddaj mi klucze do zaplecza”, pracownik to zrobi, bo nikt nie kazał mu sprawdzać, czy zlecenie dotyczy tylko zdjęć.
Tak działała ta luka. Craft CMS ma funkcję przygotowującą przeskalowane wersje obrazów. Napastnik wysyłał do niej spreparowane żądanie, w którym zamiast opisu obrazu przemycał polecenie dla serwera. Serwer je wykonywał i od tej chwili był w rękach obcej osoby, choć strona dalej wyświetlała logo firmy.
💡 CMS (system zarządzania treścią) to program, w którym redaktor pisze teksty i publikuje podstrony bez programowania. Wstrzyknięcie kodu to błąd, w którym dane od użytkownika zostają potraktowane jak polecenie do wykonania. Zakres zmieniony w CVSS oznacza, że skutki wychodzą poza sam program, np. na inne strony na tym samym serwerze. Klucz bezpieczeństwa (security key) to sekret, którym Craft podpisuje dane; jego kradzież ułatwia dalsze ataki.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient ogląda stronę | Widzi treść i zdjęcia | Tak samo, nic nie zauważa |
Obca osoba wysyła żądanie do funkcji obrazów | Serwer zwraca przeskalowany obraz | Serwer wykonuje kod napastnika |
Dostęp do panelu i bazy danych | Tylko redaktorzy z hasłem | Napastnik czyta konfigurację, klucze i dane z bazy |
Inne strony na tym samym serwerze | Oddzielone od siebie | Mogą zostać przejęte razem ze stroną firmy |
Firma, która załatała CVE-2023-41892 | Uważa sprawę za zamkniętą | Nadal podatna, jeśli nie ma wydań z kwietnia 2025 |
źródło: Wygenerowane przez AIPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani kliknięcia pracownika, a ocena CISA z kwietnia 2025 roku opisywała go jako zautomatyzowany: napastnicy nie wybierają celów, tylko skanują internet programami.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie stron na Craft CMS i wysyłanie próbnych żądań POST do funkcji obrazów | Lista podatnych stron |
2. Wykonanie kodu | T+kilka minut | Spreparowane żądanie z przemyconym poleceniem | Kod napastnika działa na serwerze |
3. Tylna furtka | T+kilkanaście minut | Zapisanie złośliwych plików, najczęściej w folderach z przesłanymi plikami i publicznych katalogach strony | Stały dostęp, nawet po restarcie |
4. Kradzież sekretów | T+godziny | Odczyt klucza bezpieczeństwa Craft, danych do bazy i kluczy usług (np. przechowywania plików, płatności) | Dostęp do bazy i usług zewnętrznych |
5. Wykorzystanie | T+dni do tygodni | Podmiana treści, wstawianie złośliwych skryptów dla odwiedzających, kradzież danych klientów | Szkoda wizerunkowa i wyciek danych |
Producent ostrzega, że po oczyszczeniu strony bez aktualizacji automaty potrafią zainfekować ją ponownie w ciągu sekund.
Mogę Ci jakoś pomóc?
Strona firmowa to wizytówka, kanał sprzedaży i często miejsce z danymi klientów. Luka ma maksymalną ocenę 10.0, nie wymaga żadnego dostępu i jest skanowana automatycznie od wiosny 2025 roku. Strona niezaktualizowana od tego czasu mogła zostać przejęta dawno temu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Strona wyłączona na czas czyszczenia i odbudowy, przerwa w sprzedaży online | Dni | 10 tys. do 100 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Wyciek danych klientów z bazy, kradzież kluczy do usług zewnętrznych | Godziny do dni od wejścia | 20 tys. do 150 tys. PLN (analiza, wymiana sekretów, obsługa incydentu) |
Finansowy | Utracone zamówienia, koszty wykonawcy, możliwe nadużycia na kontach usług zewnętrznych | Tygodnie | 20 tys. do 200 tys. PLN łącznie |
Reputacyjny | Obce treści na stronie, ostrzeżenia przeglądarek i wyszukiwarek, utrata zaufania klientów | Dni do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty, spadek ruchu) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Craft CMS bez wydań z kwietnia 2025
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka ma ocenę 10.0, nie wymaga logowania, jest wykorzystywana automatycznie, a wskaźnik EPSS od miesięcy utrzymuje się blisko maksimum; strona z wersją 3.9.15, 4.14.15, 5.6.17 lub nowszą jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać wersję Craft CMS w panelu administracyjnym i porównać z 3.9.15, 4.14.15 lub 5.6.17 | Dziś | Opiekun strony / wykonawca |
2 | 🔴 NATYCHMIAST | Zaktualizować Craft CMS i wszystkie wtyczki do wersji z poprawką | Dziś | Wykonawca strony |
3 | 🔴 NATYCHMIAST | Przejrzeć logi serwera i zapory pod kątem żądań POST do actions/assets/generate-transform zawierających ciąg __class (to ślad co najmniej skanowania) | Dziś | Administrator / hosting |
4 | 🟠 PILNIE | Jeśli są ślady włamania: wyłączyć stronę, usunąć złośliwe pliki (szczególnie w folderach z przesłanymi plikami i publicznych katalogach), najlepiej odtworzyć kod z pewnego repozytorium | Do 2 dni | Wykonawca / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wygenerować nowy klucz bezpieczeństwa Craft (php craft setup/security-key), wymienić dane dostępu do bazy i klucze usług zewnętrznych | Do 3 dni | Wykonawca strony |
6 | 🟠 PILNIE | Rozważyć wymuszenie zmiany haseł wszystkim użytkownikom panelu | Do 3 dni | Opiekun strony |
7 | 🟡 WAŻNIE | Ustalić z wykonawcą, że aktualizacje oznaczone przez producenta jako krytyczne są instalowane w ciągu kilku dni | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich trzech linii i wskazuje je jako najlepszą ochronę. Pozostałe miary to rozwiązania tymczasowe opisane przez producenta; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada na zaporze żądań POST do actions/assets/generate-transform zawierających __class (druga najlepsza opcja wg producenta) | Wysoka wobec znanego wzorca ataku | Średnia: wymaga zapory aplikacyjnej lub reguł serwera |
Biblioteka Craft CMS Security Patches (ostateczność wg producenta, do czasu aktualizacji) | Średnia do wysokiej | Średnia |
Czasowe wyłączenie strony, jeśli wykryto włamanie | Wysoka: przerywa ponowne infekcje | Łatwa, ale strona jest niedostępna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Craft CMS | Niższa niż 3.9.15, 4.14.15 lub 5.6.17 | Wersja z poprawką i aktualne wtyczki |
Dostęp dla obcej osoby | Wykonanie kodu bez hasła | Brak znanej drogi przez tę lukę |
Klucze i hasła | Mogły zostać skradzione | Nowy klucz bezpieczeństwa, nowe dane do bazy i usług |
Pliki na serwerze | Możliwe tylne furtki | Sprawdzone lub odtworzone z pewnego źródła |
Dokumentacja | Wpis „załatane w 2023” | Aktualny stan wersji i data przeglądu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent znalazł dowody ataków 17 kwietnia 2025; ocena CISA z 28 kwietnia 2025 opisywała wykorzystanie jako aktywne i zautomatyzowane |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; kampanię analizował zespół SensePost (Orange Cyberdefense) |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg NVD i wg GitHub (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzenia w analizowanych źródłach; publicznie dostępna jest analiza kampanii SensePost podlinkowana w NVD |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Orange Cyberdefense (zgłoszenie do producenta 7 kwietnia 2025) |
Prognoza EPSS | 0,99837 na 23 sierpnia 2026, w poprzednich 30 dniach nie spadła poniżej 0,998 |
Między potwierdzeniem aktywnych ataków a wpisem do katalogu KEV minęło prawie jedenaście miesięcy. Firma, która czekała na oficjalny termin, dała automatom prawie rok:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-32432
CVSS 3.1 (NVD) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~99,8% ████████████████████ MAKSYMALNA
Ataki automatyczne TAK ████████████████████ od kwietnia 2025
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2023 Pierwsza, niepełna naprawa tego obszaru (CVE-2023-41892)
2025-04-07 Orange Cyberdefense zgłasza błąd producentowi
2025-04-10 Craft CMS wydaje 3.9.15, 4.14.15 i 5.6.17 jako krytyczne
2025-04-17 Producent znajduje dowody ataków i ostrzega właścicieli licencji
2025-04-25 Publikacja CVE-2025-32432 w NVD
2025-04-28 Ocena CISA: wykorzystanie aktywne i zautomatyzowane
2026-03-20 CISA dodaje lukę do katalogu KEV
2026-04-03 Termin naprawy wg CISA dla agencji federalnych
2026-08-23 EPSS 0,99837
... ponad 17 miesięcy od poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z instrukcją sprawdzenia i czyszczenia strony: craftcms.com/knowledge-base/craft-cms-cve-2025-32432 . Biuletyn na GitHub: GHSA-f3gw-9ww9-jmc3 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32432 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, które strony firmy działają na Craft CMS i kto je utrzymuje | CTO | DZISIAJ |
2 | Uzyskać od wykonawcy pisemną informację o wersji i dacie ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, nawet kosztem krótkiej przerwy | CTO | DZISIAJ |
4 | Zlecić przegląd logów pod kątem śladów skanowania i włamania | CTO | DO JUTRA |
5 | Zlecić wymianę klucza bezpieczeństwa, haseł do bazy i kluczy usług zewnętrznych | CTO | DO JUTRA |
6 | Zarezerwować budżet na czyszczenie strony i analizę, jeśli przegląd wykaże włamanie | CFO | DO JUTRA |
7 | Sprawdzić w umowie z wykonawcą zapisy o terminach krytycznych aktualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Craft CMS jest dziś zainstalowana na każdej naszej stronie? | [wersja] | 🔴 |
2 | Kiedy ostatnio aktualizowano Craft CMS i wtyczki? | [data] | 🔴 |
3 | Czy w logach są żądania POST do actions/assets/generate-transform z ciągiem __class? | TAK / NIE | 🔴 |
4 | Czy sprawdzono foldery z przesłanymi plikami i publiczne katalogi pod kątem obcych plików? | TAK / NIE, [data] | 🟠 |
5 | Czy wymieniono klucz bezpieczeństwa Craft i dane dostępu do bazy? | TAK / NIE | 🟠 |
6 | Jakie klucze usług zewnętrznych (np. płatności, przechowywanie plików) są zapisane w konfiguracji strony? | [lista] | 🟠 |
7 | Czy na tym samym serwerze działają inne strony lub systemy? | TAK / NIE | 🟡 |
CVE-2025-32432 pozwala każdemu z internetu wykonać kod na serwerze z Craft CMS starszym niż 3.9.15, 4.14.15 lub 5.6.17. Luka jest wykorzystywana automatycznie od kwietnia 2025 roku, a do katalogu CISA trafiła dopiero w marcu 2026, więc aktualizacja, przegląd logów i wymiana kluczy to zadania na dziś, nie na kolejny kwartał.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.