Błąd deserializacji w DELMIA Apriso od wydania 2020 do 2025 pozwala bez logowania wykonać kod na serwerze systemu MES. CISA potwierdza ataki. Potwierdź poprawkę u producenta i odetnij usługi systemu od internetu.
Ten alert jest dla zarządu, CTO i CFO zakładów produkcyjnych, które sterują produkcją w systemie Dassault Systèmes DELMIA Apriso. Werdykt: jeśli używasz DELMIA Apriso w wydaniu od 2020 do 2025, sprawdź dziś u producenta lub firmy wdrożeniowej, czy poprawka jest zainstalowana, i odetnij usługi systemu od internetu, bo luka pozwala bez logowania przejąć serwer, a próby ataku są obserwowane od września 2025 roku.
Amerykańska agencja CISA 11 września 2025 roku dopisała podatność CVE-2025-5086 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Osiem dni wcześniej, 3 września, ośrodek SANS Internet Storm Center opisał zaobserwowane próby wykorzystania tej luki.
DELMIA Apriso to system zarządzania produkcją (MES): rozpisuje zlecenia na stanowiska, pilnuje kolejności operacji, prowadzi ewidencję partii i łączy halę z systemem handlowo-magazynowym. Błąd polega na niebezpiecznej deserializacji danych, czyli odtwarzaniu przesłanych przez sieć obiektów bez sprawdzenia, co zawierają. Spreparowane żądanie może doprowadzić do wykonania dowolnego kodu na serwerze.
Producent opublikował ostrzeżenie 2 czerwca 2025 roku. Termin naprawy wyznaczony przez CISA minął 2 października 2025 roku, prawie rok temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-5086 |
Data dodania do CISA KEV | 2025-09-11 |
Termin naprawy wg CISA | 2025-10-02 (21 dni od wpisu) |
Produkt | Dassault Systèmes DELMIA Apriso, system zarządzania operacjami produkcyjnymi (MES/MOM) |
Wersje zagrożone | DELMIA Apriso od Release 2020 do Release 2025 włącznie (producent, NVD). Atak przez sieć bez logowania; w próbach opisanych przez SANS żądania trafiały do usługi sieciowej aplikacji na porcie 9000 |
Wersje bezpieczne | Producent nie podaje publicznie numeru wydania z poprawką: informacje o naprawie są dostępne dla klientów po zalogowaniu w serwisie Dassault Systèmes. Stan poprawki trzeba potwierdzić u producenta lub firmy wdrożeniowej |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | Dassault Systèmes (w NVD): 9.0 (CVSS 3.1, KRYTYCZNA), atak przez sieć, bez logowania i bez udziału użytkownika, wysoka złożoność ataku, skutki wychodzące poza sam program. NVD nie wystawił własnej, niezależnej oceny |
Wyobraź sobie magazyn, do którego przychodzą meble do samodzielnego montażu, a do każdej paczki dołączona jest instrukcja. Pracownik wykonuje instrukcję krok po kroku, bez zastanowienia, bo do tego służy. Ktoś przysyła paczkę, w której po ośmiu normalnych krokach instrukcja każe wywiercić otwór w ścianie i otworzyć drzwi od zaplecza. Wszystkie narzędzia i części są firmowe, nic podejrzanego nie przyjechało z zewnątrz, a drzwi stoją otworem.
Tak działa ta luka. Programy wymieniają między sobą spakowane obiekty, a serwer DELMIA Apriso odtwarzał je z przysłanej paczki, wykonując przy tym instrukcje w niej zawarte. Napastnik układa paczkę tak, by ostatnim krokiem było uruchomienie jego polecenia. W próbach opisanych przez SANS właściwa treść była dodatkowo skompresowana i zakodowana, więc prosty filtr szukający podejrzanych słów nie miał czego znaleźć.
💡 MES (Manufacturing Execution System) to system, który mówi hali produkcyjnej, co, kiedy i z jakiego materiału wykonać. Deserializacja to odtwarzanie obiektu z danych przesłanych przez sieć. Zdalne wykonanie kodu oznacza, że napastnik może uruchomić na serwerze dowolny program. Zmiana zakresu w ocenie CVSS oznacza, że szkoda wychodzi poza zaatakowany program, na przykład na systemy, z którymi się on łączy. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
System ERP przesyła zlecenie do DELMIA Apriso | Serwer odtwarza zlecenie i rozpisuje je na stanowiska | Tak samo, nic się nie zmienia |
Obca osoba wysyła spreparowane żądanie do usługi sieciowej | Zostaje odrzucona | Serwer odtwarza paczkę i uruchamia kod napastnika |
Dane dostępowe zapisane w systemie (baza, ERP, magazyn) | Używane tylko przez system | Przejmowane przez napastnika razem z serwerem |
Ewidencja partii i numerów seryjnych | Wiarygodna | Zapisy z okresu włamania stają się niepewne |
Filtr ruchu szukający podejrzanych fragmentów | Wykrywa proste ataki | Nie widzi zakodowanej i skompresowanej treści |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga logowania, ale napastnik musi dotrzeć do usługi sieciowej DELMIA Apriso, więc najbardziej zagrożone są instalacje widoczne z internetu lub z sieci, do której napastnik już się dostał. SANS opisał skanowanie z jednego adresu IP wysyłające spreparowane żądania do usługi aplikacji.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów DELMIA Apriso z otwartą usługą sieciową | Lista osiągalnych celów |
2. Wysłanie paczki | T+sekundy | Spreparowane żądanie z zakodowaną i skompresowaną treścią do usługi aplikacji | Serwer bez poprawki odtwarza paczkę |
3. Przejęcie serwera | T+sekundy | Wykonanie kodu napastnika z uprawnieniami aplikacji | Kontrola nad serwerem MES |
4. Kradzież poświadczeń | T+godziny | Odczyt zapisanych danych dostępowych do bazy, ERP i systemów magazynowych | Dostęp do sąsiednich systemów |
5. Ruch w sieci | T+dni | Wejście do systemów biurowych i, przy płaskiej sieci, do urządzeń hali | Szeroki dostęp w zakładzie |
6. Skutek | T+dni do tygodni | Szyfrowanie danych, zatrzymanie produkcji, manipulacja ewidencją lub kradzież dokumentacji technicznej | Przestój i niepewna ewidencja |
Mogę Ci jakoś pomóc?
Zakład, który wdrożył system MES, przestaje umieć produkować bez niego. Awaria nie spowalnia produkcji, tylko ją zatrzymuje. Dodatkowo system ten z definicji ma dostęp do ERP, baz danych i magazynu, więc przejęcie jednego serwera może oznaczać przejęcie dużej części zakładu, szczególnie gdy sieć biurowa i produkcyjna nie są rozdzielone.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie produkcji, brak zleceń na stanowiskach, ręczne prowadzenie ewidencji | Godziny do dni | 100 tys. do 1 mln PLN (przestój hali, nadgodziny, odtworzenie systemu) |
Bezpieczeństwo danych | Kradzież dokumentacji technicznej, receptur, danych klientów i poświadczeń do ERP | Dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, zmiana poświadczeń) |
Finansowy | Kary umowne za opóźnione dostawy, możliwe wycofanie wyrobów z niepewną ewidencją | Tygodnie | 100 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata statusu zaufanego dostawcy, audyty u odbiorców | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązki zgłoszenia incydentu wynikające z przepisów o cyberbezpieczeństwie dla podmiotów kluczowych i ważnych; przy naruszeniu danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu | 24 do 72 godzin od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszeń), bez ewentualnych kar |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zakładu z DELMIA Apriso 2020-2025 bez poprawki
i usługą osiągalną z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęcie systemu MES zatrzymuje produkcję i otwiera drogę do sąsiednich systemów, a prawdopodobieństwo wysokie, bo atak nie wymaga logowania i trwa skanowanie; instalacja dostępna tylko z odseparowanej sieci zakładu przesuwa się w lewo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wydanie DELMIA Apriso i poprosić producenta lub firmę wdrożeniową o pisemne potwierdzenie, czy poprawka na CVE-2025-5086 jest zainstalowana | Dziś | CTO / kierownik IT |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy usługi sieciowe DELMIA Apriso są osiągalne z internetu, i jeśli tak, zablokować do nich dostęp z zewnątrz | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować poprawkę zgodnie z informacjami producenta dostępnymi w serwisie dla klientów | Do 3 dni | Firma wdrożeniowa / administrator |
4 | 🟠 PILNIE | Przejrzeć logi serwera i ruchu sieciowego od czerwca 2025 pod kątem nietypowych żądań do usług sieciowych aplikacji | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła i klucze, które DELMIA Apriso przechowuje do ERP, baz danych i innych systemów, jeśli nie da się wykluczyć włamania | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Rozdzielić sieć biurową, serwerową i produkcyjną, aby przejęcie jednego serwera nie dawało dostępu do całego zakładu | Do 60 dni | CTO |
7 | 🟡 WAŻNIE | Wyznaczyć osobę z kontem w serwisie producenta, która regularnie sprawdza ogłoszenia o bezpieczeństwie, i wpisać czas wgrywania poprawek do umowy z firmą wdrożeniową | Do 30 dni | CTO / CFO |
Producent udostępnia informacje o naprawie klientom po zalogowaniu, więc pierwszym krokiem jest ich pobranie i wdrożenie. Do czasu zainstalowania poprawki ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu z internetu do usług sieciowych DELMIA Apriso (zapora, dostęp tylko przez VPN) | Wysoka wobec napastników z zewnątrz | Łatwa do średniej |
Dostęp do serwera tylko z wybranych systemów (ERP, stanowiska hali) na poziomie zapory | Średnia do wysokiej: ogranicza atak z wnętrza sieci | Średnia |
Oddzielenie sieci produkcyjnej od biurowej | Średnia: nie chroni serwera, ale ogranicza skutki przejęcia | Trudna, wymaga projektu |
Monitorowanie żądań do usług sieciowych aplikacji | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawka | Nieznany stan, informacja ukryta za logowaniem | Potwierdzona na piśmie i zainstalowana |
Dostęp do usług aplikacji | Możliwy z internetu lub całej sieci | Tylko z uprawnionych systemów |
Poświadczenia do ERP i baz | Mogły zostać odczytane | Zmienione, jeśli nie wykluczono włamania |
Sieć zakładu | Płaska, serwer MES widzi wszystko | Rozdzielona na strefy |
Zgodność z terminem CISA | Zaległość od 2 października 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). SANS Internet Storm Center opisał próby wykorzystania 3 września 2025 |
Grupy przestępcze | Brak publicznych informacji; SANS odnotował skanowanie z jednego adresu IP |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.0 KRYTYCZNA (CVSS 3.1, Dassault Systèmes); brak niezależnej oceny NVD |
PoC dostępny publicznie? | Pełne żądanie ataku zaobserwowane w sieci zostało opublikowane w analizie SANS (NVD oznacza ją jako Exploit) |
Liczba atakowanych firm | Brak publicznych informacji |
Poprawka | Dostępna dla klientów producenta po zalogowaniu; numer wydania nie jest publiczny |
Prognoza EPSS | Około 90% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Między ostrzeżeniem producenta a pierwszymi opisanymi atakami minęły trzy miesiące ciszy. Firmy, które w czerwcu odłożyły aktualizację, we wrześniu miały już ruch skanujący:
Mogę Ci jakoś pomóc?
Od ostrzeżenia do ataków: CVE-2025-5086
VI 2025 █ ostrzeżenie producenta
VII ░░░░░░░░ cisza
VIII ░░░░░░░░░░░░░░░░ cisza
IX ████████████████████████ próby ataku (SANS), wpis KEV
X ██████████████████████████████ minął termin CISA
<── 3 miesiące na spokojną aktualizację ──> 2025-06-02 Ostrzeżenie Dassault Systèmes, publikacja CVE w NVD
2025-09-03 SANS Internet Storm Center opisuje próby wykorzystania
2025-09-11 CISA dodaje lukę do katalogu KEV
2025-10-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ostrzeżenie producenta z odnośnikiem do informacji o naprawie (wymaga logowania): 3ds.com/trust-center/security/security-advisories/cve-2025-5086 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-5086 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy zakład używa DELMIA Apriso i w jakim wydaniu | CTO | DZISIAJ |
2 | Wysłać do firmy wdrożeniowej lub producenta pisemne zapytanie o stan poprawki na CVE-2025-5086 | CTO | DZISIAJ |
3 | Zatwierdzić zablokowanie dostępu z internetu do usług DELMIA Apriso | CTO | DZISIAJ |
4 | Zlecić przegląd logów od czerwca 2025 i ocenę, czy trzeba zmienić poświadczenia do ERP | CTO | DO JUTRA |
5 | Sprawdzić w umowie z firmą wdrożeniową zapisy o czasie wgrywania poprawek bezpieczeństwa | CFO | DO JUTRA |
6 | Oszacować koszt jednego dnia przestoju hali, aby porównać go z kosztem zabezpieczeń | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa ubezpieczeniowa obejmuje przestój produkcji po cyberataku | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wydanie DELMIA Apriso mamy zainstalowane? | [wydanie] | 🔴 |
2 | Czy poprawka na CVE-2025-5086 jest zainstalowana i kiedy? | TAK / NIE, [data] | 🔴 |
3 | Czy usługi sieciowe DELMIA Apriso są osiągalne z internetu? | TAK / NIE | 🔴 |
4 | Kto w firmie lub u wdrożeniowca ma konto w serwisie producenta i sprawdza ogłoszenia o bezpieczeństwie? | [osoba] | 🟠 |
5 | Czy przejrzano logi pod kątem nietypowych żądań do usług aplikacji od czerwca 2025? | TAK / NIE, [data przeglądu] | 🟠 |
6 | Do jakich systemów (ERP, bazy, magazyn, sterowniki) DELMIA Apriso ma zapisane dane dostępowe? | [lista systemów] | 🟠 |
7 | Czy sieć biurowa, serwerowa i produkcyjna są od siebie oddzielone? | TAK / NIE | 🟡 |
CVE-2025-5086 pozwala bez logowania przejąć serwer DELMIA Apriso w wydaniach od 2020 do 2025 przez spreparowaną paczkę danych, a od września 2025 roku trwa skanowanie w poszukiwaniu podatnych instalacji. Potwierdzenie poprawki u producenta lub wdrożeniowca i odcięcie usług systemu od internetu to zadania na dziś, a rozdzielenie sieci zakładu to inwestycja, która ogranicza skutki kolejnych takich luk.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.