Trwały skrypt wpisany w ustawienia ScadaBR wykonuje się z uprawnieniami administratora. CISA potwierdza ataki, a wydania z poprawką brak. Odetnij panel od internetu, zmień hasła i sprawdź nastawy oraz alarmy.
Ten alert jest dla zarządu, CTO i CFO firm oraz zakładów (wodociągi, ciepłownie, produkcja), które nadzorują instalacje techniczne przez panel ScadaBR lub jego odgałęzienie Scada-LTS. Werdykt: jeśli panel jest dostępny z internetu albo ma domyślne hasła, odetnij go od internetu i zmień hasła dziś, bo luka o średniej ocenie jest już używana w atakach na systemy przemysłowe.
Amerykańska agencja CISA 28 listopada 2025 roku dopisała podatność CVE-2021-26829 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd jest znany od 2021 roku, ale dopiero w 2025 roku pojawiły się dowody jego użycia przeciw systemom sterowania.
ScadaBR to otwarte oprogramowanie do nadzoru instalacji technicznych (pomp, zbiorników, sterowników), obsługiwane przez przeglądarkę. Zalogowany użytkownik może wpisać w ekran ustawień systemowych (system_settings.shtm) fragment kodu, który zapisze się na stałe i wykona w przeglądarce każdej osoby otwierającej tę stronę, także administratora.
Termin naprawy wyznaczony przez CISA minął 19 grudnia 2025 roku, prawie 9 miesięcy temu. Dla oryginalnego ScadaBR nie ma publicznie znanego wydania z poprawką.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-26829 |
Data dodania do CISA KEV | 2025-11-28 |
Termin naprawy wg CISA | 2025-12-19 (21 dni od wpisu) |
Produkt | OpenPLC / ScadaBR, oprogramowanie SCADA z panelem w przeglądarce; CISA zaznacza, że wada może dotyczyć składnika używanego w innych produktach, np. w odgałęzieniu Scada-LTS |
Wersje zagrożone | ScadaBR do 0.9.1 włącznie na Linuksie i do 1.12.4 włącznie na Windowsie (NVD). Warunek ataku: konto w panelu (każde zalogowane konto, także operatorskie, lub konto z domyślnym hasłem) |
Wersje bezpieczne | Producent ScadaBR nie podał wersji z poprawką. W projekcie Scada-LTS zmiana usuwająca lukę w ekranie ustawień (zgłoszenie 3211 wskazane przez CISA) została połączona z kodem 31 października 2025; na liście wydań Scada-LTS w serwisie GitHub nie ma wydania opublikowanego po tej dacie (ostatnie: v2.8.0_pre z 17 października 2025) |
Typ podatności | Trwały skrypt międzywitrynowy (stored XSS); CWE-79 |
Ocena CVSS | NVD i CISA: 5.4 (CVSS 3.1, ŚREDNIA), atak przez sieć, wymaga zalogowania i otwarcia strony przez ofiarę, skutek wychodzi poza aplikację. NVD: 3.5 (CVSS 2.0, NISKA) |
Wyobraź sobie tablicę ogłoszeń w dyżurce oczyszczalni, na której wisi zalaminowana instrukcja obsługi pomp. Każdy z brygady może do niej coś dopiąć. Ktoś podmienia jedną kartkę na taką, która wygląda tak samo, ale zawiera polecenie „przy zmianie dyżuru wyłącz alarm poziomu w zbiorniku”. Nie trzeba jej nikomu podsuwać: kierownik sam do niej podchodzi i wykonuje, bo wisi w oficjalnym miejscu.
Tak działa ta luka. Skrypt wpisany w ustawienia panelu czeka w bazie danych, aż zajrzy tam administrator, i wtedy działa z jego uprawnieniami. Ocena 5.4 wygląda niegroźnie, ale w systemie, który steruje fizycznymi urządzeniami, „częściowy” skutek może oznaczać zmienione progi alarmowe lub wyłączone powiadomienia.
💡 SCADA to system do nadzoru i sterowania instalacjami technicznymi. HMI to ekran operatora, na którym widać i zmienia parametry procesu. XSS (cross-site scripting) to wstrzyknięcie kodu do strony, który wykona się w przeglądarce innej osoby; wersja trwała (stored) zapisuje się na serwerze. Sterownik PLC to komputer przemysłowy bezpośrednio obsługujący urządzenia. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Operator zapisuje ustawienia systemowe | Zapisuje się zwykły tekst | Może zapisać się kod wykonywany u każdego odwiedzającego |
Administrator otwiera ekran ustawień | Widzi ustawienia | Nieświadomie uruchamia skrypt ze swoimi uprawnieniami |
Konto o niskich uprawnieniach w rękach napastnika | Tylko podgląd i drobne działania | Pośrednio działa jako administrator |
Alarmy i dzienniki zdarzeń | Działają i informują o anomaliach | Mogą zostać wyłączone bez wiedzy obsługi |
Ocena na liście zadań IT | 5.4, „poczeka” | Wykorzystywana w atakach na systemy przemysłowe |
źródło: Pexels, 112 Uttar PradeshPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie ataku grupy TwoNet na przynętę (honeypot) firmy Forescout udającą stację uzdatniania wody. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu w realnym zakładzie. Luka wymaga zalogowania, więc atak zaczyna się od zdobycia dowolnego konta, w opisanym przypadku przez domyślne hasło.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie paneli ScadaBR dostępnych z internetu | Lista celów |
2. Logowanie | T+kilka minut | Próba domyślnych lub słabych haseł (Forescout: admin/admin) albo użycie wykradzionego konta | Dostęp do panelu |
3. Rozpoznanie systemu | T+godziny | Przegląd bazy danych, urządzeń i ustawień, założenie własnego konta | Pełna mapa instalacji |
4. Wstrzyknięcie skryptu | T+kilka godzin | Wpisanie kodu w ustawienia systemowe przez lukę CVE-2021-26829 | Zmieniona strona i kod wykonywany u każdego odwiedzającego |
5. Zakłócenie procesu | T+kilka do kilkunastu godzin | Usunięcie źródeł danych ze sterowników, zmiana nastaw, wyłączenie dzienników i alarmów | Operatorzy nie widzą realnego stanu instalacji |
6. Rozgłos | T+dni | Chwalenie się atakiem w kanałach propagandowych | Szkoda wizerunkowa, zainteresowanie służb i mediów |
Mogę Ci jakoś pomóc?
W zwykłej aplikacji biurowej skrypt w ustawieniach oznacza zwykle kradzież sesji. W systemie nadzoru instalacji ten sam skrypt działa z uprawnieniami osoby, która może zmieniać parametry pracy fizycznych urządzeń. Dlatego średnia ocena CVSS nie oddaje ryzyka biznesowego zakładu, a CISA dopisała tę lukę do katalogu na podstawie obserwacji ataków, a nie punktacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zakłócenie procesu, brak podglądu instalacji, ręczna obsługa urządzeń | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, praca ręczna, serwis) |
Bezpieczeństwo danych | Zmiana nastaw i konfiguracji, wyłączone dzienniki, utrata wiarygodności danych procesowych | Godziny | 20 tys. do 150 tys. PLN (analiza, odtworzenie konfiguracji) |
Finansowy | Uszkodzenie urządzeń lub produktu przez złe nastawy, kary umowne za przerwy w dostawach | Dni do tygodni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Publiczne chwalenie się atakiem przez haktywistów, pytania mieszkańców, klientów i mediów | Dni | 20 tys. do 300 tys. PLN (komunikacja kryzysowa, utracone zlecenia) |
Prawny | Obowiązki zgłoszenia incydentu wynikające z przepisów o cyberbezpieczeństwie dla podmiotów kluczowych i ważnych; przy naruszeniu danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu | 24 do 72 godzin od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszeń), bez ewentualnych kar |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zakładu z panelem ScadaBR dostępnym z internetu
(dla panelu tylko w sieci wewnętrznej ryzyko jest niższe)
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka ma średnią ocenę, ale w połączeniu z domyślnymi hasłami, dostępem z internetu i brakiem wydania z poprawką daje wysokie ryzyko dla ciągłości procesu; zakład z panelem odciętym od internetu i silnymi hasłami przesuwa się wyraźnie w lewo i w dół.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy panel ScadaBR lub Scada-LTS jest osiągalny spoza sieci zakładu, i jeśli tak, odciąć go (dostęp tylko przez VPN) | Dziś | Administrator sieci / serwisant |
2 | 🔴 NATYCHMIAST | Zmienić domyślne i słabe hasła wszystkich kont w panelu, usunąć konta nieużywane lub nieznane | Dziś | Kierownik techniczny |
3 | 🔴 NATYCHMIAST | Sprawdzić ekran ustawień systemowych i stronę logowania pod kątem obcego kodu oraz zweryfikować nastawy i alarmy | Dziś | Kierownik techniczny / serwisant |
4 | 🟠 PILNIE | Ograniczyć liczbę kont administratora i nie używać ich do zwykłego podglądu procesu | Do 3 dni | Kierownik techniczny |
5 | 🟠 PILNIE | Ustalić z serwisantem, czy instalację da się przenieść na utrzymywaną wersję Scada-LTS z poprawką lub inny wspierany system | Do 14 dni | CTO / serwisant |
6 | 🟡 WAŻNIE | Oddzielić sieć sterowania od sieci biurowej i włączyć przechowywanie dzienników poza panelem | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Przygotować procedurę pracy ręcznej na wypadek utraty podglądu instalacji | Do 30 dni | Kierownik zakładu |
Dla oryginalnego ScadaBR producent nie wydał publicznie wersji z poprawką, a w Scada-LTS poprawka istnieje w kodzie, ale nie znaleźliśmy wydania, które ją zawiera. CISA zaleca w takim przypadku zastosowanie środków ochronnych albo zaprzestanie używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie panelu od internetu, dostęp tylko przez VPN | Wysoka wobec napastników z zewnątrz | Łatwa do średniej |
Silne, unikalne hasła i usunięcie kont domyślnych | Wysoka: luka wymaga zalogowania | Łatwa |
Minimalna liczba kont z prawem zapisu ustawień i osobne konto administratora tylko do administracji | Średnia: ogranicza zasięg skryptu | Łatwa |
Regularny przegląd ekranu ustawień i nastaw pod kątem nieautoryzowanych zmian | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Migracja na utrzymywany system nadzoru | Wysoka, rozwiązanie docelowe | Trudna, wymaga projektu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do panelu | Z internetu, często z domyślnym hasłem | Tylko z sieci zakładu lub przez VPN, silne hasła |
Konta | Wiele kont z szerokimi uprawnieniami | Minimalna liczba kont, administrator tylko do administracji |
Ekran ustawień | Nikt nie sprawdza zawartości | Zweryfikowany, bez obcego kodu |
Alarmy i dzienniki | Mogły zostać wyłączone | Sprawdzone i przechowywane poza panelem |
Plan na przyszłość | Oprogramowanie bez poprawki | Decyzja o migracji z terminem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Forescout opisał, jak prorosyjska grupa haktywistyczna TwoNet we wrześniu 2025 użyła tej luki do podmiany strony logowania w przynęcie udającej stację uzdatniania wody (po zalogowaniu hasłem admin/admin) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.4 ŚREDNIA (CVSS 3.1, NVD i CISA); 3.5 NISKA (CVSS 2.0, NVD) |
PoC dostępny publicznie? | TAK: NVD odsyła do nagrania wideo oznaczonego jako demonstracja wykorzystania (Exploit) |
Liczba atakowanych firm | Brak publicznych informacji |
Poprawka | Brak wydania ScadaBR z poprawką; zmiana w kodzie Scada-LTS z 31 października 2025 |
Prognoza EPSS | Około 48% szansy próby wykorzystania w najbliższych 30 dniach (stan z 23 sierpnia 2026), wyżej niż 98% znanych podatności (wg analizy źródłowej) |
Ta luka dobrze pokazuje, że różne wskaźniki odpowiadają na różne pytania. CVSS mówi, jak bardzo boli, EPSS, jak często się zdarza, a KEV, że już się zdarzyło:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2021-26829
CVSS 3.1 (NVD) 5.4/10 ███████████░░░░░░░░░ ŚREDNIA
CVSS 2.0 (NVD) 3.5/10 ███████░░░░░░░░░░░░░ NISKA
EPSS (próba w 30 dni) ~48% ██████████░░░░░░░░░░ wyżej niż 98% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka ScadaBR BRAK ░░░░░░░░░░░░░░░░░░░░ tylko środki ochronne 2021-06-11 Publikacja CVE-2021-26829 w NVD
2025-09 Atak grupy TwoNet na przynętę Forescout z użyciem tej luki
2025-10-09 Forescout publikuje analizę ataku
2025-10-31 Połączenie poprawki w projekcie Scada-LTS (zgłoszenie 3211)
2025-11-28 CISA dodaje lukę do katalogu KEV
2025-12-01 Data oceny decyzyjnej CISA zapisanej w NVD
2025-12-19 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Zmiana usuwająca lukę wskazana przez CISA: github.com/SCADA-LTS/Scada-LTS/pull/3211 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-26829 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy zakład lub jego serwisant używa ScadaBR albo Scada-LTS | CTO | DZISIAJ |
2 | Uzyskać pisemną informację, czy panel jest dostępny z internetu i czy są w nim domyślne hasła | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie panelu od internetu i zmianę haseł | CTO | DZISIAJ |
4 | Zlecić przegląd ustawień, nastaw, alarmów i listy kont w panelu | CTO | DO JUTRA |
5 | Poprosić serwisanta o plan przejścia na utrzymywany system z terminem i kosztem | CTO | DO JUTRA |
6 | Zarezerwować budżet na migrację systemu nadzoru i ewentualną analizę incydentu | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa ubezpieczeniowa obejmuje incydenty w systemach sterowania | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy ScadaBR lub Scada-LTS i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
2 | Czy panel da się otworzyć spoza sieci zakładu bez VPN? | TAK / NIE | 🔴 |
3 | Czy w panelu są konta z domyślnymi lub wspólnymi hasłami? | TAK / NIE, [liczba kont] | 🔴 |
4 | Kiedy ostatnio ktoś sprawdzał ekran ustawień systemowych i stronę logowania pod kątem nieznanego kodu? | [data] | 🟠 |
5 | Ile osób ma konto administratora i czy używają go do codziennego podglądu? | [liczba osób], TAK / NIE | 🟠 |
6 | Czy dzienniki zdarzeń i alarmy są włączone i przechowywane poza panelem? | TAK / NIE | 🟠 |
7 | Czy mamy plan i termin przejścia na utrzymywany system nadzoru? | TAK / NIE, [termin] | 🟡 |
CVE-2021-26829 pozwala zalogowanemu użytkownikowi ScadaBR wstrzyknąć w ustawienia skrypt, który wykona się z uprawnieniami administratora i może posłużyć do wyłączenia alarmów oraz zmiany nastaw. Ocena jest średnia, ale CISA potwierdza wykorzystanie, a wydania z poprawką dla ScadaBR brak, więc odcięcie panelu od internetu, zmiana haseł i plan migracji to zadania na ten tydzień, a pierwsze dwa na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.