Brak autoryzacji w konsoli AMC urządzeń SonicWall SMA1000 pozwala przejąć pełną kontrolę nad bramą zdalnego dostępu. CISA potwierdza ataki i zaleca sprawdzenie śladów włamania. Zaktualizuj firmware i przejrzyj konfigurację.
Ten alert jest dla zarządu, CTO i CFO firm, które zapewniają pracownikom zdalny dostęp przez bramy SonicWall SMA1000 (modele SMA6200, SMA6210, SMA7200, SMA7210, SMA8200v). Werdykt: jeśli urządzenie ma firmware starszy niż 12.4.3-03245 lub 12.5.0-02283, zaktualizuj je dziś i zleć sprawdzenie śladów włamania, bo luka jest wykorzystywana w atakach mimo średniej oceny punktowej.
Amerykańska agencja CISA 17 grudnia 2025 roku dopisała podatność CVE-2025-40602 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy konsoli zarządzania AMC (Appliance Management Console) w urządzeniach SonicWall SMA1000, które stoją na styku internetu i sieci firmowej. Pozwala podnieść uprawnienia do pełnej kontroli nad urządzeniem.
CISA dała agencjom federalnym tylko tydzień na naprawę (do 24 grudnia 2025) i dopisała rzadko spotykane zalecenie: po aktualizacji sprawdzić ślady włamania na wszystkich urządzeniach SMA1000 dostępnych z internetu. Rekord w NVD pojawił się dzień później niż wpis do katalogu KEV, czyli informacja o atakach wyprzedziła oficjalny opis błędu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-40602 (biuletyn producenta SNWLID-2025-0019) |
Data dodania do CISA KEV | 2025-12-17 |
Termin naprawy wg CISA | 2025-12-24 (7 dni) |
Produkt | SonicWall SMA1000: SMA6200, SMA6210, SMA7200, SMA7210 i wirtualny SMA8200v; konsola zarządzania AMC |
Wersje zagrożone | Wg producenta: 12.4.3-03093 i starsze oraz 12.5.0-02002 i starsze. Wg NVD: wszystko przed 12.4.3-03245 w linii 12.4.3 i przed 12.5.0-02283 w linii 12.5.0 |
Wersje bezpieczne | 12.4.3-03245 i nowsze oraz 12.5.0-02283 i nowsze (pierwsze naprawione wg NVD). Między numerami podanymi przez producenta i NVD są wydania nieopisane wprost, dlatego celuj w wyższy numer lub najnowsze wydanie producenta |
Typ podatności | Eskalacja uprawnień przez brak autoryzacji; CWE-862 (brak autoryzacji) i CWE-250 (wykonywanie z niepotrzebnie wysokimi uprawnieniami) |
Ocena CVSS | CISA: 6.6 (CVSS 3.1, ŚREDNIA): atak przez sieć, wysoka złożoność, wymaga wysokich uprawnień, pełny wpływ na poufność, integralność i dostępność. Producent i NVD nie wystawiły własnej oceny. Opis słowny mówi o eskalacji „lokalnej”, a wektor CISA o dostępie sieciowym |
Wyobraź sobie system obiegu dokumentów, w którym każdy pracownik widzi tylko swoje sprawy. Jest w nim też funkcja zestawień napisana kiedyś dla zarządu, która działa z uprawnieniami zarządu, niezależnie od tego, kto ją uruchomi, bo nikt nie dopisał sprawdzenia. Pracownik, który trafi na jej adres, dostaje zestawienie wynagrodzeń. Nie złamał hasła i nie obszedł logowania: skorzystał z drzwi, których pilnował ktoś o zbyt szerokich uprawnieniach.
W SMA1000 takim „zestawieniem dla zarządu” jest część konsoli AMC. Napastnik, który ma już jakiś dostęp do urządzenia, wykorzystuje brak sprawdzenia uprawnień i przejmuje pełną kontrolę. A kto kontroluje bramę zdalnego dostępu, ten ustala, kto i jak wchodzi do sieci firmowej, i może zostawić sobie wejście, które przetrwa aktualizację. Dlatego ocena 6.6 myli: jest niska, bo luka jest zwykle drugim ogniwem ataku, a nie pierwszym.
💡 Autoryzacja to sprawdzenie, czy zalogowana osoba ma prawo do konkretnej czynności (w odróżnieniu od uwierzytelnienia, czyli sprawdzenia, kim jest). Eskalacja uprawnień to przejście z niższego poziomu dostępu na wyższy. SMA (Secure Mobile Access) to brama zdalnego dostępu, przez którą pracownicy łączą się z siecią firmy. Łańcuch ataku to kilka luk użytych po kolei.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Użytkownik z ograniczonym dostępem do konsoli | Widzi i zmienia tylko to, do czego ma prawo | Może uzyskać pełną kontrolę nad urządzeniem |
Napastnik z dostępem uzyskanym inną luką | Zatrzymuje się na niskim poziomie | Awansuje do pełnych uprawnień |
Reguły dostępu do sieci firmowej | Zmienia je tylko administrator | Zmienia je napastnik |
Aktualizacja urządzenia | Zamyka problem | Zamyka lukę, ale nie usuwa zmian wprowadzonych wcześniej przez napastnika |
Kolejka napraw według punktacji | Luka 6.6 czeka na później | Luka jest już atakowana |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga wysokich uprawnień początkowych i sprzyjających okoliczności, więc napastnik musi najpierw zdobyć dostęp inną drogą (np. inną luką, skradzionym hasłem administratora). CISA ocenia, że ataku nie da się zautomatyzować, co wskazuje na ręczne działania na wybranych celach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie urządzeń SMA1000 dostępnych z internetu | Lista potencjalnych celów |
2. Pierwsze wejście | T+godziny do dni | Zdobycie dostępu do urządzenia inną luką lub skradzionymi danymi logowania | Ograniczony dostęp do urządzenia |
3. Eskalacja | T+minuty od wejścia | Wykorzystanie braku autoryzacji w konsoli AMC | Pełna kontrola nad bramą |
4. Utrwalenie | T+godziny | Nowe konta, zmienione reguły, własne narzędzia na urządzeniu | Dostęp, który przetrwa aktualizację |
5. Wejście do sieci | T+1 do 3 dni | Użycie bramy jako drogi do serwerów i stacji roboczych | Napastnik w sieci firmowej |
6. Kradzież lub sabotaż | T+dni do tygodni | Kopiowanie danych, przechwytywanie poświadczeń użytkowników VPN | Wyciek, dalsze włamania |
Brama zdalnego dostępu jest punktem, przez który przechodzi cały ruch pracowników spoza biura. Kto ją kontroluje, kontroluje wejście do firmy. Najbardziej zdradliwe jest to, że narzędzia skanujące pokażą ocenę 6.6, a model EPSS około 2%, więc luka łatwo spada na koniec listy, mimo że CISA potwierdza ataki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność odtworzenia konfiguracji bramy, przerwa w pracy zdalnej | Dni | 20 tys. do 150 tys. PLN (przestój pracy zdalnej, praca specjalistów) |
Bezpieczeństwo danych | Przechwycone poświadczenia pracowników, dostęp do serwerów i dokumentów | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, ewentualna wymiana urządzenia, skutki dalszego włamania | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Informacja o włamaniu przez urządzenie zabezpieczające sieć | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SMA1000 bez poprawki, dostępnego z internetu
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna kontrola nad bramą do sieci firmy), a prawdopodobieństwo średnie, bo luka wymaga wcześniejszego dostępu i nie daje się zautomatyzować; potwierdzone ataki sprawiają jednak, że nie wolno jej odkładać tylko z powodu oceny 6.6.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma ma SonicWall SMA1000 (także u partnera IT) i jaką wersję firmware | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować do 12.4.3-03245 lub 12.5.0-02283 albo nowszej wersji | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Ograniczyć dostęp do konsoli AMC do sieci administracyjnej lub VPN, bez dostępu z internetu | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić ślady włamania zgodnie z zaleceniem CISA: konta, reguły dostępu, zmiany konfiguracji, logi | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła wszystkich kont administracyjnych urządzenia i usunąć nieznane konta | Do 3 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Wymusić logowanie wieloskładnikowe do konsoli i zdalnego dostępu | Do 14 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Zmienić zasadę ustalania kolejki napraw: luki z katalogu KEV przed lukami z wyższą oceną CVSS | Do 30 dni | CTO |
Producent wydał poprawione wersje firmware dla obu linii. Obejście w postaci ustawienia nie jest opisane w źródłach, które udało się zweryfikować. Poniższe miary ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Konsola AMC dostępna tylko z zaufanych adresów lub sieci administracyjnej | Wysoka wobec ataków z internetu | Łatwa do średniej |
Przegląd i ograniczenie kont z dostępem do konsoli | Średnia: zmniejsza pulę kont, od których może zacząć się eskalacja | Łatwa |
Logowanie wieloskładnikowe do konsoli | Średnia | Średnia |
Monitorowanie zmian konfiguracji i logowań do AMC | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja firmware | Starsza niż 12.4.3-03245 lub 12.5.0-02283 | Aktualna |
Dostęp do konsoli | Z internetu | Tylko z sieci administracyjnej |
Ślady włamania | Niesprawdzone | Konta, reguły i logi przejrzane |
Hasła administratorów | Stare | Zmienione, z MFA |
Kolejka napraw | Według punktacji CVSS | Luki z KEV na początku |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ENISA odnotowuje początek wykorzystania na 17 grudnia 2025 |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.6 ŚREDNIA wg CISA (CVSS 3.1); brak oceny producenta i NVD |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja (CISA) | Nie: atak prowadzony ręcznie |
Prognoza EPSS | 0,021 przy percentylu 0,80 (wg analizy źródłowej) |
Niska punktacja i niski EPSS nie przeczą atakom. CVSS obniżają wysokie wymagane uprawnienia i złożoność, a EPSS nie widzi ataków ręcznych bez publicznych narzędzi. Przy sprzeczności wygrywa potwierdzona informacja o atakach.
Sygnały zagrożenia dla CVE-2025-40602
CVSS 3.1 (CISA) 6.6/10 █████████████░░░░░░░ ŚREDNIA
EPSS 0,021 █░░░░░░░░░░░░░░░░░░░ NISKIE
Wpływ techniczny pełny ████████████████████ CAŁKOWITY (CISA)
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 7 dni ████████████████████ skrócony 2025-12-17 CISA dodaje lukę do katalogu KEV z zaleceniem
sprawdzenia śladów włamania
2025-12-18 Publikacja CVE-2025-40602 w NVD
2025-12-24 Termin naprawy wg CISA (7 dni)
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-40602 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa SonicWall SMA1000 do zdalnego dostępu | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję firmware i datę ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i krótką przerwę w pracy zdalnej | CTO | DZISIAJ |
4 | Zlecić sprawdzenie śladów włamania i uzyskać pisemny wynik (nie tylko „urządzenie jest aktualne”) | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić w umowie z partnerem IT, czy obejmuje monitorowanie katalogu KEV | CFO | DO JUTRA |
7 | Sprawdzić termin wsparcia producenta dla posiadanego modelu SMA1000 | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenie SonicWall SMA1000 i jaki to model? | TAK / NIE, [model] | 🔴 |
2 | Jaka jest dokładna wersja firmware? | [wersja] | 🔴 |
3 | Czy konsola AMC jest dostępna z internetu? | TAK / NIE | 🔴 |
4 | Kiedy urządzenie zaktualizowano do wersji z poprawką? | [data] | 🟠 |
5 | Czy po aktualizacji sprawdzono konta, reguły i logi pod kątem obcych zmian? | TAK / NIE, [data] | 🟠 |
6 | Ile kont ma dostęp do konsoli AMC i czy mają MFA? | [liczba], TAK / NIE | 🟠 |
7 | Czy luki z katalogu CISA KEV są naprawiane przed lukami z wyższą oceną CVSS? | TAK / NIE | 🟡 |
CVE-2025-40602 pozwala przejąć pełną kontrolę nad bramą SonicWall SMA1000 osobie, która ma już częściowy dostęp, a CISA potwierdza ataki mimo średniej oceny 6.6. Poprawione wersje firmware są dostępne, termin CISA minął 24 grudnia 2025 roku, a sama aktualizacja nie wystarczy: trzeba sprawdzić, czy napastnik nie zostawił sobie wejścia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.