Domyślna instalacja CentreStack i Triofox pozwala każdemu z internetu czytać pliki serwera, w tym klucz umożliwiający jego przejęcie. CISA potwierdza ataki. Zaktualizuj do 16.10.10408.56683 dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają pliki pracownikom i kontrahentom przez własny serwer Gladinet CentreStack lub Triofox. Werdykt: jeśli Twój serwer ma wersję starszą niż CentreStack 16.10.10408.56683, zaktualizuj go dziś, bo luka pozwala bez logowania czytać pliki serwera, w tym klucz umożliwiający przejęcie go, i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 4 listopada 2025 roku dopisała podatność CVE-2025-11371 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd występuje w domyślnej instalacji i konfiguracji CentreStack i Triofox: osoba bez konta może odczytać pliki systemowe serwera. Firma Huntress wykryła ataki już 26 września 2025 roku, zanim istniała poprawka.
Huntress opisał, że napastnicy odczytywali w ten sposób plik Web.config z kluczem aplikacji, a następnie używali go do wykonania kodu na serwerze. Gladinet wydał poprawkę 14 października 2025 roku. Termin naprawy wg CISA minął 25 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-11371 |
Data dodania do CISA KEV | 2025-11-04 |
Termin naprawy wg CISA | 2025-11-25 (21 dni od wpisu) |
Produkt | Gladinet CentreStack i Gladinet Triofox (serwery plików typu „prywatna chmura”) |
Wersje zagrożone | Opis zgłoszenia: wszystkie wersje do 16.7.10368.56560 włącznie. Dane techniczne NVD: CentreStack przed 16.10.10408.56683, Triofox do 16.7.10368.56560 włącznie. Podatna jest domyślna instalacja, bez logowania |
Wersje bezpieczne | CentreStack 16.10.10408.56683 (14 października 2025 roku) lub nowsza. Dla Triofox: najnowsza wersja od producenta; przy rozbieżnych granicach przyjmij wyższy numer i potwierdź u dostawcy |
Typ podatności | Dołączanie plików lokalnych (Local File Inclusion), pliki lub katalogi dostępne dla stron zewnętrznych; CWE-552 |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, ocena CISA; NVD nie wystawiła własnej). Atak przez sieć, bez logowania, pełny wpływ na poufność, brak wpływu na integralność i dostępność |
Wyobraź sobie archiwum z segregatorami, do którego każdy może wejść po legitymacji. Ktoś odkrył, że przez okienko do zwrotu dokumentów, zamiast zwrócić kartkę, można poprosić o dowolny segregator z zaplecza, a pracownik okienka poda go bez pytania. Nic nie jest zniszczone i nikt nie przewraca szaf. Ale jeden z tych segregatorów zawiera kopię klucza do całego budynku.
Tak działa ten błąd. Serwer plików miał funkcję pobierania plików tymczasowych, która nie sprawdzała, o jaki plik ktoś prosi. Napastnik bez konta pobierał pliki spoza dozwolonego folderu, w tym ustawienia programu z kluczem aplikacji. Z tym kluczem mógł wykonać kod na serwerze, wykorzystując znany mechanizm tego programu. „Tylko czytanie” okazuje się więc pierwszym krokiem do pełnego przejęcia.
💡 CentreStack i Triofox zamieniają firmowy serwer w prywatny dysk w chmurze z dostępem przez przeglądarkę. Local File Inclusion to błąd, w którym program odczytuje pliki spoza dozwolonego miejsca na żądanie z zewnątrz. Web.config to plik ustawień aplikacji internetowej na serwerze Windows. Klucz maszynowy (machine key) zabezpiecza dane przesyłane przez aplikację; kto go zna, może podsunąć jej złośliwe dane. KEV to katalog CISA z lukami wykorzystywanymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pobranie pliku z serwera | Tylko zalogowany użytkownik, tylko jego pliki | Każdy z internetu, także pliki systemowe |
Plik ustawień z kluczem aplikacji | Niedostępny z zewnątrz | Do pobrania bez logowania |
Ślad po ataku | Zwykle alarm po zmianach lub awarii | Brak zmian, brak awarii, tylko odczyt |
Projekty i umowy na serwerze | Widoczne dla uprawnionych | Dostępne dla napastnika po przejęciu serwera |
Kto wybiera ofiarę | Napastnik ręcznie | Automatyczny skaner przeczesuje internet |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na mechanizmie opisanym przez Huntress. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne i w pełni automatyzowalne.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów CentreStack i Triofox w wyszukiwarkach urządzeń internetowych | Lista serwerów |
2. Odczyt pliku | T+sekundy | Żądanie do funkcji pobierania plików tymczasowych ze ścieżką do pliku Web.config | Klucz aplikacji w rękach napastnika |
3. Wykonanie kodu | T+minuty | Wysłanie danych podpisanych skradzionym kluczem (deserializacja ViewState) | Kod napastnika działa na serwerze |
4. Rozpoznanie serwera | T+godzina | Sprawdzenie kont, udziałów i połączeń z innymi systemami | Mapa danych i sieci |
5. Kradzież | T+godziny do dni | Kopiowanie projektów, umów, danych klientów | Dane firmy poza serwerem |
6. Dalsze działania | T+dni do tygodni | Utrwalenie dostępu, atak na sieć firmy, szantaż | Wyciek i ryzyko ransomware |
Własny serwer plików wybiera się często po to, żeby dane nie trafiały do cudzej chmury. Ale to firma, a nie dostawca chmury, odpowiada za jego aktualizacje, a serwer musi być dostępny z internetu. Włamanie polegające na samym czytaniu nie zostawia śladów w postaci awarii, więc szkoda wychodzi na jaw późno.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie serwera plików, przerwa w wymianie dokumentów z kontrahentami | Dni | 20 tys. do 120 tys. PLN (odtworzenie, przestój) |
Bezpieczeństwo danych | Wyciek projektów, umów, danych klientów i pracowników | Godziny od ataku | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przegrane przetargi, szantaż, koszty specjalistów | Tygodnie do miesięcy | 50 tys. do 800 tys. PLN |
Reputacyjny | Kontrahenci tracą zaufanie do firmy, która „zgubiła” ich dokumenty | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; roszczenia z umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z CentreStack lub Triofox bez poprawki
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne (domyślna konfiguracja, brak logowania, pełna automatyzacja, EPSS ponad 90%); wpływ oceniamy jako wysoki, a nie maksymalny, bo sama luka daje odczyt plików, ale w połączeniu z kluczem aplikacji prowadzi do przejęcia serwera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić numer wersji CentreStack lub Triofox na każdym serwerze | Dziś | Administrator / dostawca usług IT |
2 | 🔴 NATYCHMIAST | Zaktualizować CentreStack do 16.10.10408.56683 lub nowszej (Triofox do najnowszej wersji od producenta) | Dziś | Administrator / dostawca usług IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa: wyłączyć obsługę plików tymczasowych (t.dn) w pliku Web.config modułu UploadDownloadProxy | Dziś | Administrator |
4 | 🟠 PILNIE | Przejrzeć logi serwera WWW od września 2025 roku pod kątem żądań do /storage/t.dn z parametrem wskazującym Web.config | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli znaleziono ślady: zmienić klucz maszynowy aplikacji, hasła kont i przeprowadzić analizę powłamaniową | Do 7 dni | Administrator / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić, czy zamknięto także pozostałe luki Gladinet z katalogu KEV (np. CVE-2025-30406) | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: aktualizacje tego produktu instalowane w ciągu kilku dni od wydania | Do 30 dni | CTO |
Gladinet wydał poprawkę dla CentreStack. Do czasu jej instalacji Huntress zaleca obejście opisane poniżej. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie obsługi plików tymczasowych (t.dn) z pliku Web.config w katalogu UploadDownloadProxy (zalecenie Huntress) | Wysoka: blokuje wykorzystanie luki | Łatwa, ale ogranicza część funkcji platformy |
Ograniczenie dostępu do serwera z internetu tylko do znanych adresów lub przez VPN | Średnia: zawęża grono napastników | Średnia: utrudnia pracę kontrahentom |
Monitorowanie logów pod kątem żądań do /storage/t.dn | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Zmiana klucza maszynowego aplikacji po podejrzeniu odczytu | Wysoka wobec dalszego wykorzystania skradzionego klucza | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Odczyt plików systemowych bez logowania | Możliwy | Zablokowany poprawką lub obejściem |
Klucz aplikacji | Mógł zostać skradziony | Sprawdzony, w razie potrzeby zmieniony |
Wiedza o ataku | Brak | Logi przejrzane od września 2025 roku |
Tempo aktualizacji produktu | Kwartalne lub przy okazji | Kilka dni od wydania |
Status wobec terminu CISA | Zaległość od 25 listopada 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Huntress wykrył ataki 26 września 2025 roku u trzech swoich klientów, zanim była dostępna poprawka |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, ocena CISA) |
PoC dostępny publicznie? | Huntress opublikował szczegóły techniczne i przykładowe żądanie ataku; gotowego exploita nie weryfikowaliśmy |
Liczba atakowanych firm | Brak pełnych danych; Huntress potwierdził 3 ofiary wśród swoich klientów (stan z października 2025 roku) |
Inne luki producenta w KEV | Gladinet ma w katalogu KEV cztery wpisy z okresu od kwietnia do grudnia 2025 roku, m.in. CVE-2025-30406 |
Prognoza EPSS | Ponad 90%, najwyższe 0,2% ocenianych luk (wg analizy źródłowej) |
Ocena tej luki zmieniała się: 9 października 2025 roku opisano ją jako wymagającą dostępu lokalnego i konta, następnego dnia usunięto wymóg konta, a 3 listopada uznano, że atak jest możliwy przez sieć. Firmy, które odłożyły ją w październiku jako „lokalną”, działały na podstawie nieaktualnej oceny.
Sygnały zagrożenia dla CVE-2025-11371
CVSS 3.1 (CISA) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) >90% ██████████████████░░ BARDZO WYSOKA
Domyślna konfiguracja TAK ████████████████████ podatna bez zmian
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ pełna 2025-09-26 Huntress wykrywa pierwsze ataki (luka bez poprawki)
2025-10-09 Publikacja CVE-2025-11371, pierwszy wpis Huntress
2025-10-10 Korekta klasy słabości i wymaganych uprawnień
2025-10-14 Gladinet wydaje CentreStack 16.10.10408.56683 z poprawką
2025-11-03 Zmiana wektora ataku na sieciowy
2025-11-04 CISA dodaje lukę do katalogu KEV
2025-11-25 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Najnowsze wydanie od producenta: centrestack.com: latest release . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-11371 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca usług IT używa CentreStack lub Triofox | CTO | DZISIAJ |
2 | Uzyskać na piśmie numer wersji każdego serwera | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub wdrożenie obejścia | CTO | DZISIAJ |
4 | Zlecić przegląd logów pod kątem odczytu Web.config od września 2025 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić, jakie umowy o poufności obowiązują dla dokumentów przechowywanych na serwerze | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy korzystamy z Gladinet CentreStack lub Triofox? | TAK / NIE | 🔴 |
2 | Jaki jest dokładny numer wersji na każdym serwerze? | [wersja] | 🔴 |
3 | Kiedy zainstalowano wersję 16.10.10408.56683 lub nowszą? | [data] | 🔴 |
4 | Czy w logach od września 2025 roku są żądania do /storage/t.dn z odwołaniem do Web.config? | TAK / NIE | 🔴 |
5 | Czy klucz maszynowy aplikacji został zmieniony po aktualizacji? | TAK / NIE | 🟠 |
6 | Czy zamknięto CVE-2025-30406 i inne luki Gladinet z katalogu KEV? | TAK / NIE | 🟠 |
7 | Z jakich adresów serwer jest dostępny i czy można to ograniczyć? | [zakres dostępu] | 🟡 |
CVE-2025-11371 pozwala każdemu z internetu odczytać pliki domyślnie zainstalowanego serwera Gladinet CentreStack lub Triofox, a napastnicy używali tego do kradzieży klucza aplikacji i przejęcia serwera. CISA i Huntress potwierdzają ataki, poprawka jest dostępna od 14 października 2025 roku, więc aktualizacja i przegląd logów to zadanie na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.