Luka w usłudze Staging systemu Kentico Xperience pozwala wgrać i uruchomić kod na serwerze, a sąsiednie błędy omijają logowanie. CISA potwierdza ataki. Sprawdź wersję i zainstaluj najnowszy hotfix.
Ten alert jest dla zarządu, CTO i CFO firm, których strona, sklep lub portal działa na systemie Kentico Xperience. Werdykt: jeśli używacie Kentico Xperience 13 w wersji 13.0.178 lub starszej albo wersji 12 z włączoną usługą Staging, zainstalujcie najnowszą poprawkę producenta dziś, bo luka pozwala uruchomić obcy kod na serwerze, a CISA potwierdza ataki.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała CVE-2025-2749 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy składnika Staging Sync Server w systemie zarządzania treścią Kentico Xperience. Pozwala wgrać plik poza dozwolony katalog, także plik z kodem, który serwer następnie wykona. Efektem jest zdalne wykonanie kodu na firmowym serwerze.
Sama luka wymaga zalogowania, ale w tym samym składniku działały dwie inne, oceniane na 9.8: CVE-2025-2746 i CVE-2025-2747, pozwalające ominąć logowanie. CISA dodała je do katalogu już 20 października 2025 roku. Połączone razem dają przejęcie serwera bez konta. Termin naprawy wg CISA minął 4 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-2749 (powiązane: CVE-2025-2746, CVE-2025-2747) |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-05-04 |
Produkt | Kentico Xperience (system CMS), składnik Staging Sync Server |
Wersje zagrożone | Wg NVD i VulnCheck Kentico Xperience do 13.0.178 włącznie. Warunki wg badaczy watchTowr: włączona usługa Staging (domyślnie wyłączona) z logowaniem nazwą użytkownika i hasłem; wariant z certyfikatem X.509 nie jest podatny. Badacze mają wysoką pewność, że wersja 12 jest podatna na obejścia logowania |
Wersje bezpieczne | Rozbieżność źródeł: watchTowr podaje, że poprawka tej luki weszła w hotfix 13.0.178 (6 marca 2025), a NVD uznaje 13.0.178 za podatną. Bezpiecznie: hotfix nowszy niż 13.0.178, najlepiej najnowszy dostępny na stronie poprawek producenta (numeru najnowszego hotfixa nie weryfikowaliśmy) |
Typ podatności | Wyjście poza dozwolony katalog i wgranie niebezpiecznego pliku, prowadzące do zdalnego wykonania kodu; CWE-22 i CWE-434 |
Ocena CVSS | VulnCheck (podmiot rejestrujący): 7.2 WYSOKA (CVSS 3.1) oraz 8.6 WYSOKA (CVSS 4.0). Atak przez sieć, wymaga wysokich uprawnień w systemie, pełny wpływ na poufność, integralność i dostępność. Powiązane obejścia logowania: 9.8 KRYTYCZNA |
Wyobraź sobie biurowiec z pocztownią. Kurier z uprawnieniami zostawia paczki, a pracownik pocztowni kładzie je tam, gdzie wskazuje etykieta: „skrzynka 12, dział marketingu”. Nikt nie sprawdza, czy etykieta nie brzmi „piętro wyżej, serwerownia, szafa główna”. Kurier może więc zostawić paczkę w miejscu, do którego nigdy nie powinien mieć dostępu, a jeśli w paczce jest urządzenie, zostaje ono podłączone do firmowej sieci.
Tak działa CVE-2025-2749. Składnik Staging Sync Server odbiera treści z innego serwera i zapisuje je pod ścieżką wskazaną przez nadawcę. Zapis dwóch kropek w ścieżce oznacza „katalog wyżej”, a podatne wersje go nie odrzucały. Napastnik umieszcza plik z kodem w katalogu aplikacji i serwer go wykonuje. Wymóg zalogowania obniżył ocenę CVSS z 9.8 do 7.2, ale skutek jest ten sam, a sąsiednie luki pozwalają ten wymóg ominąć.
💡 CMS (system zarządzania treścią) to program, w którym firma edytuje stronę internetową. Staging to mechanizm przenoszenia treści między serwerem testowym a produkcyjnym. Path traversal (wyjście poza katalog) to sztuczka ze ścieżką pliku, która pozwala zapisać go w niedozwolonym miejscu. Zdalne wykonanie kodu (RCE) oznacza, że obcy program działa na Twoim serwerze z jego uprawnieniami.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesyłanie treści przez Staging | Pliki trafiają tylko do katalogów na obrazy i dokumenty | Plik może trafić do katalogu aplikacji |
Plik z kodem w przesyłce | Odrzucony albo nieaktywny | Wykonany przez serwer |
Logowanie do usługi Staging | Chroni przed obcymi | Może zostać ominięte przez CVE-2025-2746 i CVE-2025-2747 |
Dostęp do bazy sklepu | Tylko aplikacja i administratorzy | Także obcy kod działający na serwerze |
Ocena ryzyka po samej liczbie CVSS | 7.2 wygląda na mniej pilne niż 9.8 | W praktyce taki sam skutek |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka sama wymaga konta z wysokimi uprawnieniami, więc napastnik zdobywa je kradzieżą hasła albo obchodzi logowanie sąsiednią luką. Według oceny CISA ataku nie da się w pełni zautomatyzować, więc częściej dotyczy wybranych celów niż masowego skanowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie stron na Kentico z dostępną usługą Staging i ustalenie wersji | Lista potencjalnych celów |
2. Dostęp | T+godziny | Obejście logowania (CVE-2025-2746 lub CVE-2025-2747) albo użycie skradzionego hasła | Uwierzytelniona sesja w usłudze Staging |
3. Wgranie pliku | T+godziny | Przesłanie pliku z kodem ze ścieżką prowadzącą do katalogu aplikacji | Plik z kodem na serwerze |
4. Przejęcie serwera | T+minuty od wgrania | Wywołanie pliku, uruchomienie tylnej furtki | Obcy kod działa z uprawnieniami aplikacji |
5. Kradzież | T+1 do 7 dni | Dostęp do bazy zamówień, danych klientów, poczty wysyłanej ze strony | Dane poza firmą |
6. Nadużycie | T+tygodnie | Podmiana treści, wstrzyknięcie skryptów kradnących dane kart, szantaż | Szkody u klientów i żądanie okupu |
Strona internetowa na CMS często nie jest „tylko wizytówką”. Serwer ma dostęp do bazy zamówień, danych klientów, formularzy kontaktowych i poczty wysyłanej z adresu firmy. Przejęcie go oznacza dostęp do tego wszystkiego.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie strony lub sklepu na czas odbudowy i przeglądu kodu | Dni | 20 tys. do 150 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek danych klientów, zamówień i kont użytkowników portalu | Dni od włamania | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty reakcji, ewentualne roszczenia klientów | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Podmieniona strona lub komunikat o wycieku widoczny dla klientów | Dni do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Kentico Xperience bez poprawki
z włączoną usługą Staging
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: skutek jest poważny (obcy kod na serwerze strony), a prawdopodobieństwo średnie, bo atak wymaga włączonej usługi Staging i nie jest masowo zautomatyzowany; przy braku poprawek także na obejścia logowania ryzyko rośnie do krytycznego, a bez włączonej usługi Staging ta luka nie ma zastosowania.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Kentico Xperience (numer hotfixa) na każdej stronie firmy | Dziś | Firma obsługująca stronę / CTO |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy usługa Staging jest włączona i jakiego typu uwierzytelniania używa | Dziś | Administrator CMS |
3 | 🔴 NATYCHMIAST | Jeśli Staging nie jest używany, wyłączyć go do czasu aktualizacji | Dziś | Administrator CMS |
4 | 🟠 PILNIE | Zainstalować najnowszy hotfix Kentico Xperience 13 ze strony producenta | Do 3 dni | Firma obsługująca stronę |
5 | 🟠 PILNIE | Przejrzeć katalogi aplikacji pod kątem nieznanych plików i logi usługi Staging od marca 2025 | Do 7 dni | Administrator / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła kont usługi Staging i kont administracyjnych CMS | Do 7 dni | Administrator CMS |
7 | 🟡 WAŻNIE | Zaplanować migrację z wersji 12, jeśli nadal działa, i ustalić stały rytm instalowania hotfixów | Do 30 dni | CTO |
Producent wydał poprawki w hotfixach Kentico Xperience 13, więc docelowo trzeba je zainstalować. Do tego czasu pomagają poniższe środki, dobrane do warunków ataku opisanych przez badaczy. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie usługi Staging, jeśli nie jest potrzebna | Wysoka: usuwa podatny składnik z zasięgu | Łatwa |
Zmiana uwierzytelniania Staging z hasła na certyfikat X.509 | Wysoka wobec opisanych łańcuchów ataku | Średnia: wymaga certyfikatów po obu stronach |
Ograniczenie dostępu do adresu usługi Staging tylko do adresu serwera źródłowego | Średnia do wysokiej: odcina obcych, nie usuwa luki | Średnia |
Monitorowanie nowych plików w katalogu aplikacji | Niska jako ochrona, przydatna do wykrycia włamania | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Usługa Staging | Włączona, z logowaniem hasłem, dostępna z internetu | Wyłączona lub zabezpieczona certyfikatem i ograniczona do jednego adresu |
Wgrywanie plików | Możliwe poza dozwolony katalog | Ścieżki weryfikowane przez poprawkę |
Logowanie | Możliwe do obejścia sąsiednimi lukami | Obejścia załatane w tym samym hotfixie |
Wiedza o włamaniu | Brak przeglądu katalogów i logów | Katalogi i logi sprawdzone, hasła zmienione |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad 4 miesięcy | Wersja z poprawką udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Sąsiednie obejścia logowania są w katalogu KEV od października 2025 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1) i 8.6 WYSOKA (CVSS 4.0), obie VulnCheck; powiązane CVE-2025-2746 i CVE-2025-2747: 9.8 |
PoC dostępny publicznie? | Badacze watchTowr opublikowali 17 marca 2025 szczegółową analizę techniczną łańcucha ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,03986 (około 4%), ale percentyl 0,897, czyli wyżej niż około 90% znanych luk (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): nie, atak wymaga pracy człowieka |
Kto wykrył błąd | Piotr Bazydło z watchTowr |
Niższa ocena CVSS wynika wyłącznie z wymogu uprawnień, a nie z mniejszych skutków:
Rozkład oceny CVSS 3.1: CVE-2025-2749 vs obejścia logowania
Skutek Łatwość Razem
CVE-2025-2749 5.9 1.2 7.2 ██████████████░░░░░░
CVE-2025-2746/2747 5.9 3.9 9.8 ████████████████████
Skutek identyczny. Różnica: wymóg konta, który sąsiednie luki omijają. 2025-01-28 watchTowr zgłasza producentowi lukę w API Staging
2025-03-06 Kentico wydaje hotfix 13.0.178 z poprawką (wg watchTowr)
2025-03-17 watchTowr publikuje analizę łańcucha ataku
2025-03-24 Publikacja CVE-2025-2749 w NVD
2025-10-20 CISA dodaje obejścia logowania CVE-2025-2746 i 2747 do KEV
2025-11-10 Termin CISA dla obejść logowania
2026-04-20 CISA dodaje CVE-2025-2749 do katalogu KEV
2026-05-04 Termin naprawy wg CISA dla agencji federalnych
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona z poprawkami producenta: devnet.kentico.com/download/hotfixes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-2749 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, które strony i portale firmy działają na Kentico Xperience | CTO | DZISIAJ |
2 | Uzyskać od firmy obsługującej stronę numer hotfixa i stan usługi Staging na piśmie | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie usługi Staging do czasu aktualizacji, jeśli nie jest niezbędna | CTO | DZISIAJ |
4 | Zatwierdzić termin instalacji najnowszego hotfixa | CTO | DO JUTRA |
5 | Zlecić przegląd katalogów aplikacji i logów pod kątem obcych plików | CTO | DO JUTRA |
6 | Sprawdzić w umowie z firmą obsługującą stronę zapisy o terminach instalowania poprawek | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki numer hotfixa Kentico Xperience mamy zainstalowany na każdej stronie? | [wersja] | 🔴 |
2 | Czy usługa Staging jest włączona? | TAK / NIE | 🔴 |
3 | Czy Staging używa logowania hasłem czy certyfikatu X.509? | [hasło / certyfikat] | 🔴 |
4 | Czy adres usługi Staging jest dostępny z internetu dla dowolnego adresu? | TAK / NIE | 🟠 |
5 | Czy katalogi aplikacji i logi Staging zostały przejrzane pod kątem obcych plików? | TAK / NIE, [data] | 🟠 |
6 | Czy gdziekolwiek działa jeszcze Kentico w wersji 12 lub starszej? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio instalowaliśmy hotfix Kentico i kto za to odpowiada? | [data], [osoba] | 🟡 |
CVE-2025-2749 pozwala wgrać i uruchomić obcy kod na serwerze Kentico Xperience przez usługę Staging, a w połączeniu z obejściami logowania CVE-2025-2746 i CVE-2025-2747 nawet bez konta. CISA potwierdza ataki, a termin naprawy minął 4 maja 2026 roku, więc sprawdzenie wersji i usługi Staging to zadanie na dziś, a instalacja najnowszego hotfixa na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.