Luka w SharePoint Server instalowanym w firmie pozwalała bez hasła wykonać kod i wykraść klucze serwera. Wykorzystywały ją grupy państwowe i ransomware. Zainstaluj poprawki, wymień klucze maszynowe i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer Microsoft SharePoint (2016, 2019 lub Subscription Edition). Werdykt: jeśli serwer nie ma kompilacji z lipcowymi poprawkami awaryjnymi 2025 roku, zainstaluj je dziś, wymień klucze maszynowe i sprawdź, czy nikt nie zostawił tylnej furtki, bo luka ToolShell była masowo wykorzystywana, także do rozsyłania ransomware na wszystkie komputery w firmie.
Amerykańska agencja CISA 20 lipca 2025 roku dopisała podatność CVE-2025-53770 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SharePoint Server instalowanego w firmie i pozwala napastnikowi przez sieć, bez hasła, wykonać kod na serwerze. SharePoint Online w Microsoft 365 nie jest objęty luką.
Microsoft ogłosił lukę 19 lipca 2025 roku, zanim miał gotową poprawkę, i potwierdził trwające ataki. CISA dała agencjom federalnym jeden dzień, do 21 lipca 2025 roku, oznaczyła lukę jako używaną w kampaniach ransomware i poleciła odłączyć od internetu niewspierane wersje, w tym SharePoint Server 2013 i starsze. Luka jest obejściem wcześniejszej poprawki dla CVE-2025-49704 i bywa łączona z CVE-2025-53771.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-53770 (powiązane: CVE-2025-49704, CVE-2025-53771, CVE-2025-49706) |
Data dodania do CISA KEV | 2025-07-20 |
Termin naprawy wg CISA | 2025-07-21 (1 dzień od wpisu) |
Produkt | Microsoft SharePoint Server instalowany w firmie: Subscription Edition, 2019, Enterprise Server 2016; wersje 2013 i starsze bez wsparcia |
Wersje zagrożone | Subscription Edition poniżej 16.0.18526.20508; SharePoint Server 2019 poniżej 16.0.10417.20037; SharePoint Enterprise Server 2016 poniżej 16.0.5513.1001; wszystkie niewspierane wersje dostępne z internetu |
Wersje bezpieczne | Subscription Edition: 16.0.18526.20508 (KB5002768). 2019: 16.0.10417.20037 (KB5002754 i KB5002753, oba pakiety). 2016: 16.0.5513.1001 (KB5002760 i KB5002759, oba pakiety). Każda późniejsza aktualizacja zbiorcza również zawiera poprawkę |
Typ podatności | Zdalne wykonanie kodu przez deserializację niezaufanych danych; CWE-502 |
Ocena CVSS | Microsoft: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez logowania i bez udziału użytkownika |
W edycjach 2019 i 2016 poprawka składa się z dwóch pakietów. Zainstalowanie jednego z pary nie daje docelowego numeru kompilacji, dlatego liczy się numer odczytany z serwera, a nie lista paczek.
Wyobraź sobie, że napastnik nie włamuje się do biura, tylko podrzuca recepcji paczkę z instrukcją, którą recepcja wykonuje bez sprawdzania nadawcy. W instrukcji jest polecenie: „zrób kopię pieczątki firmowej i odeślij ją”. Z tą pieczątką napastnik wystawia sobie przepustki, które ochrona uznaje za prawdziwe, nawet po wymianie zamków. A potem korzysta z firmowego systemu ogłoszeń, żeby rozesłać swoje „polecenie służbowe” na wszystkie piętra naraz.
Tak przebiegały ataki na SharePoint. Spreparowane żądanie pozwalało wykonać kod na serwerze, napastnicy umieszczali tam mały skrypt (np. spinstall0.aspx), który wykradał klucze maszynowe serwera. Te klucze pozwalają podpisywać dane sesji, więc dostęp przetrwał instalację poprawki. W opisanych przez Microsoft atakach grupa Storm-2603 przeszła dalej do sieci i rozesłała ransomware Warlock przez zasady grup (GPO), czyli mechanizm, którym firma rozsyła ustawienia na wszystkie komputery.
💡 SharePoint Server to instalowany w firmie serwer dokumentów i stron wewnętrznych. Deserializacja to odtwarzanie obiektu z przesłanego opisu. Klucze maszynowe (machine keys) to tajne klucze, którymi serwer podpisuje dane sesji. Zasady grup (GPO) to mechanizm Windows do rozsyłania ustawień i programów na wszystkie komputery w domenie. AMSI to wbudowany w Windows interfejs skanowania treści przez program antywirusowy. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu wysyła żądanie do SharePoint | Bez konta nie ma dostępu | Może wykonać kod i wgrać skrypt |
Klucze maszynowe serwera | Znane tylko serwerowi | Wykradzione, pozwalają wystawiać ważne sesje |
Instalacja poprawki | Zamyka lukę | Nie unieważnia wykradzionych kluczy ani dopisanych modułów |
Zasady grup w domenie | Rozsyłają ustawienia administratora | Mogą rozesłać ransomware na każdy komputer |
Restart usługi serwera stron | Przywraca czysty stan | Dopisane moduły w konfiguracji przetrwają restart |
źródło: Pexels, Jens MahnkePoniżej typowy przebieg ataku oparty na opisach Microsoftu i CISA. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Microsoft wskazał jako atakujących dwie chińskie grupy państwowe (Linen Typhoon, Violet Typhoon) oraz grupę Storm-2603, która używała luki do ataków ransomware.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów SharePoint dostępnych z internetu i wysyłanie żądań do punktu ToolPane | Lista podatnych serwerów |
2. Wykonanie kodu | T+1 do 5 min | Spreparowane żądanie, wgranie skryptu | Kod napastnika na serwerze |
3. Kradzież kluczy | T+5 do 15 min | Odczyt kluczy maszynowych serwera | Możliwość wystawiania ważnych sesji, dostęp mimo poprawki |
4. Utrwalenie | T+godziny | Dopisanie własnych modułów do konfiguracji serwera stron, instalacja narzędzi zdalnego sterowania | Tylna furtka przetrwa restart |
5. Ruch w sieci | T+1 do 7 dni | Kradzież haseł i żetonów z pamięci procesu logowania Windows, przejście na inne serwery narzędziami administracyjnymi | Uprawnienia administratora domeny |
6. Ransomware | T+dni do tygodni | Rozesłanie ransomware Warlock przez zmianę zasad grup | Wszystkie komputery zaszyfrowane jednocześnie |
Mogę Ci jakoś pomóc?
Serwer dokumentów dostępny z internetu stał się tu punktem wejścia do całej domeny Windows. Luka była wykorzystywana, zanim powstała poprawka, więc sama aktualizacja nie przywraca bezpieczeństwa: trzeba też unieważnić wykradzione klucze i usunąć pozostawione furtki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane wszystkie komputery i serwery, zatrzymana praca firmy | Dni do tygodni od wejścia | 100 tys. do 1 mln PLN (przestój, odbudowa domeny i stanowisk) |
Bezpieczeństwo danych | Wyciek dokumentów z SharePoint i haseł z domeny | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, kary umowne, nadgodziny, zewnętrzni specjaliści | Tygodnie | 150 tys. do 2 mln PLN łącznie |
Reputacyjny | Ujawnienie dokumentów klientów, utrata zaufania, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SharePoint Server bez lipcowych
poprawek 2025 roku
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo luka nie wymaga logowania, była masowo wykorzystywana przez grupy państwowe i ransomware, a jej skutki (wykradzione klucze, dopisane moduły) przetrwają samą aktualizację; serwer dostępny tylko z sieci firmowej ma niższe prawdopodobieństwo ataku, ale wymaga tych samych działań.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery SharePoint w firmie z wersją i numerem kompilacji; odłączyć od internetu SharePoint 2013 i starsze | Dziś | Administrator SharePoint |
2 | 🔴 NATYCHMIAST | Zainstalować poprawki (KB5002768, pary KB5002754 i KB5002753 lub KB5002760 i KB5002759) albo nowszą aktualizację zbiorczą i potwierdzić numer kompilacji | Dziś | Administrator SharePoint |
3 | 🔴 NATYCHMIAST | Wymienić klucze maszynowe ASP.NET serwera i ponownie uruchomić usługę IIS | Dziś | Administrator SharePoint |
4 | 🟠 PILNIE | Włączyć integrację AMSI w trybie pełnym z programem antywirusowym na wszystkich serwerach SharePoint | Do 2 dni | Administrator bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić serwer pod kątem plików | Do 3 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przejrzeć zmiany zasad grup i konta administracyjne w domenie od lipca 2025 roku | Do 7 dni | Administrator domeny |
7 | 🟡 WAŻNIE | Zakazać logowania kontami administratorów domeny na serwerach dostępnych z internetu i włączyć alert na zmiany zasad grup | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wspieranych wersji; wersje 2013 i starsze ich nie dostaną i trzeba je odłączyć od internetu. W dniach bez poprawki producent wskazywał obejście. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Włączenie AMSI (tryb pełny) z Microsoft Defender Antivirus lub odpowiednikiem na całej farmie SharePoint (zalecenie Microsoftu) | Wysoka wobec ataków bez uwierzytelnienia wg producenta | Średnia: wymaga restartu usługi |
Odłączenie serwera od internetu, gdy AMSI nie da się włączyć (zalecenie Microsoftu) | Wysoka | Łatwa technicznie, dotkliwa dla pracy z zewnątrz |
Wymiana kluczy maszynowych przed i po instalacji poprawki | Nie zapobiega atakowi, unieważnia wykradzione klucze | Średnia |
Monitorowanie żądań do punktu ToolPane i nowych plików w katalogach SharePoint | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja SharePoint | Bez lipcowych poprawek | 16.0.18526.20508, 16.0.10417.20037, 16.0.5513.1001 lub nowsza |
Klucze maszynowe | Mogły zostać wykradzione | Wymienione |
Konfiguracja serwera stron | Mogą w niej być moduły napastnika | Sprawdzona i oczyszczona |
Zasady grup | Mogą zostać użyte do rozesłania ransomware | Zmiany monitorowane, konta administracyjne ograniczone |
Zgodność z terminem CISA | Zaległość od 21 lipca 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Microsoft). Microsoft wiedział o ataku, zanim wydał poprawkę |
Grupy przestępcze | Wg Microsoftu: Linen Typhoon i Violet Typhoon (chińskie grupy państwowe) oraz Storm-2603 (grupa z Chin używająca ransomware) |
Kampanie ransomware | TAK (CISA KEV: Known). Wg analizy źródłowej Storm-2603 rozsyłała ransomware Warlock przez zasady grup |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, Microsoft) |
PoC dostępny publicznie? | W NVD podlinkowano publiczne repozytorium i analizy badaczy; skala ataków wskazuje na szeroko dostępne narzędzia |
Liczba atakowanych firm | Brak jednej potwierdzonej liczby w zweryfikowanych źródłach; media opisywały ataki na całym świecie |
Materiały dla administratorów | CISA 6 sierpnia 2025 roku opublikowała analizę sześciu plików powiązanych z atakami (wg analizy źródłowej) |
Prognoza EPSS | 0,99982, praktycznie pewność (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-53770
CVSS 3.1 (Microsoft) 9.8/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~99,98% ████████████████████ MAKSYMALNA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Atak przed poprawką TAK ████████████████████ zero-day
Mogę Ci jakoś pomóc?
2025-07-08 Poprawka dla CVE-2025-49704, którą obchodzi nowa luka
2025-07-19 Microsoft publikuje CVE-2025-53770 bez gotowej poprawki,
zaleca AMSI; potwierdza ataki
2025-07-20 Poprawki dla Subscription Edition i SharePoint 2019;
CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-07-21 Termin naprawy wg CISA dla agencji federalnych
2025-07-22 Microsoft opisuje ataki grup Linen Typhoon, Violet Typhoon
i Storm-2603; poprawki obejmują też SharePoint 2016
2025-08-06 CISA publikuje analizę plików z ataków
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... prawie 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoftu: msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770 . Analiza ataków i zalecenia Microsoftu: microsoft.com: Disrupting active exploitation of on-premises SharePoint vulnerabilities . Instrukcje CISA: cisa.gov: alert z 20 lipca 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-53770 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własny serwer SharePoint i w jakiej wersji, także starej | CTO | DZISIAJ |
2 | Uzyskać pisemnie numer kompilacji odczytany z serwera | CTO | DZISIAJ |
3 | Zatwierdzić odłączenie od internetu wersji bez wsparcia | CTO | DZISIAJ |
4 | Zlecić wymianę kluczy maszynowych i sprawdzenie serwera pod kątem furtek | CTO | DO JUTRA |
5 | Zlecić przegląd zmian w zasadach grup i kontach administracyjnych | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualną odbudowę domeny | CFO | DO JUTRA |
7 | Ustalić, kto ma prawo odciąć serwer od internetu bez zwoływania narady przy kolejnym alarmie | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja i numer kompilacji każdego naszego serwera SharePoint? | [wersja, kompilacja] | 🔴 |
2 | Czy zainstalowano oba pakiety poprawki tam, gdzie są wymagane? | TAK / NIE | 🔴 |
3 | Czy wymieniono klucze maszynowe ASP.NET po instalacji poprawki? | TAK / NIE, [data] | 🔴 |
4 | Czy AMSI działa w trybie pełnym na wszystkich serwerach SharePoint? | TAK / NIE | 🟠 |
5 | Czy na serwerach znaleziono pliki typu | TAK / NIE | 🟠 |
6 | Czy od lipca 2025 roku były niewyjaśnione zmiany w zasadach grup? | TAK / NIE | 🟠 |
7 | Czy konta administratorów domeny logują się na serwerach dostępnych z internetu? | TAK / NIE | 🟡 |
CVE-2025-53770 (ToolShell) pozwalała bez logowania przejąć serwer SharePoint instalowany w firmie i była wykorzystywana, zanim powstała poprawka, przez grupy państwowe i grupę rozsyłającą ransomware przez zasady grup. Instalacja poprawek z potwierdzeniem numeru kompilacji, wymiana kluczy maszynowych i odłączenie niewspieranych wersji to zadania na dziś, a sprawdzenie serwerów i domeny pod kątem pozostawionych furtek na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.