Błąd w konfiguracji proxy przed Versa Concerto pozwala bez logowania pobrać zrzuty pamięci z hasłami i sesjami administratorów. CISA potwierdza ataki. Zaktualizuj do 12.2.1 i odetnij konsolę od internetu.
Ten alert jest dla zarządu, CTO i CFO firm z siecią wielooddziałową zarządzaną przez platformę Versa Concerto (SD-WAN), własną lub u operatora. Werdykt: jeśli Concerto działa w wersji starszej niż 12.2.1 bez hotfixa, zaktualizuj ją i zabierz konsolę z publicznego internetu dziś, bo CISA potwierdza wykorzystanie tej luki w atakach.
Amerykańska agencja CISA 22 stycznia 2026 roku dopisała do katalogu KEV podatność CVE-2025-34026 w platformie Versa Concerto. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Concerto to konsola, z której administrator steruje siecią SD-WAN: łączami, zasadami ruchu i połączeniami między oddziałami.
Błąd nie siedzi w samej aplikacji, tylko w konfiguracji stojącego przed nią odwrotnego proxy Traefik. Napastnik bez konta może obejść sprawdzanie tożsamości i dostać się do wewnętrznego panelu diagnostycznego (Spring Boot Actuator). Według ProjectDiscovery, firmy która błąd wykryła, można stamtąd pobrać zrzuty pamięci i rejestry operacji zawierające tokeny sesji i dane logowania administratorów.
Producent wydał hotfix 7 marca 2025 roku, a wersję 12.2.1 z poprawką 16 kwietnia 2025 roku. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 12 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-34026 |
Data dodania do CISA KEV | 2026-01-22 |
Termin naprawy wg CISA | 2026-02-12 (21 dni od wpisu) |
Produkt | Versa Networks Concerto, platforma orkestracji SD-WAN |
Wersje zagrożone | Zgłaszający: 12.1.2 do 12.2.0, inne wersje mogą być podatne. NVD rozszerza zakres: od 11.4.0 do 12.2.0 |
Wersje bezpieczne | 12.2.1 GA (16 kwietnia 2025) i nowsze; wcześniej hotfix dla klientów (7 marca 2025). Szczegóły producent udostępnił tylko klientom w portalu bezpieczeństwa |
Typ podatności | Obejście uwierzytelnienia alternatywną ścieżką w konfiguracji proxy Traefik, prowadzące do wycieku informacji; CWE-288 |
Ocena CVSS | NVD: 7.5 WYSOKA (CVSS 3.1, tylko ujawnienie informacji). VulnCheck (organizacja publikująca CVE): 9.2 KRYTYCZNA (CVSS 4.0, z wysokim wpływem na systemy zależne). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie biurowiec, w którym recepcja sprawdza dokumenty każdego gościa. Ochroniarz przy windzie na piętro serwisowe wpuszcza tylko osoby, które mają naklejkę z recepcji. Ktoś odkrył, że jeśli poprosi recepcję „proszę zdjąć mi naklejkę przed windą”, recepcja ją zdejmuje, a ochroniarz, widząc brak naklejki, uznaje gościa za pracownika wewnętrznego i wpuszcza go do pomieszczenia z dokumentacją techniczną całego budynku.
Tak działał ten błąd. Proxy Traefik przyjmuje połączenia z internetu i dokleja do nich informację o adresie nadawcy. Panel diagnostyczny wpuszczał bez hasła zapytania, które tej informacji nie miały, zakładając, że pochodzą z wnętrza systemu. Specjalny nagłówek w zapytaniu kazał podatnemu Traefikowi tę informację usunąć. W efekcie napastnik z internetu był traktowany jak „swój” i mógł pobrać zrzut pamięci programu, czyli fotografię wszystkiego, co program akurat przetwarzał, łącznie z hasłami.
💡 SD-WAN to sposób zarządzania łączami między oddziałami firmy z jednej konsoli. Odwrotne proxy to „recepcja” przed aplikacją, która przyjmuje ruch z internetu i przekazuje go dalej. Actuator to wbudowany panel serwisowy aplikacji Spring Boot, przeznaczony tylko dla programistów. Zrzut sterty (heap dump) to kopia pamięci roboczej programu, w której mogą leżeć hasła i tokeny. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera konsolę Concerto | Widzi ekran logowania | Może ominąć sprawdzanie i dotrzeć do panelu diagnostycznego |
Panel diagnostyczny Actuator | Dostępny tylko od wewnątrz systemu | Dostępny z internetu |
Tokeny sesji i hasła administratorów | W pamięci programu, niewidoczne z zewnątrz | Do pobrania w zrzucie pamięci i rejestrze operacji |
Logi nieudanych logowań | Pokazują próby włamania | Puste, bo napastnik nie próbował się logować |
Wersja aplikacji w inwentaryzacji | Uważana za aktualną | Problem leży w konfiguracji proxy, której nikt nie sprawdza |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga tylko dostępu sieciowego do konsoli Concerto, dlatego najbardziej zagrożone są konsole wystawione do internetu. CISA ocenia go jako możliwy do zautomatyzowania, a publiczne szablony skanera Nuclei wykrywają podatne instalacje. Sama luka daje wyciek informacji, ale wykradzione tokeny i hasła otwierają drogę do przejęcia konsoli.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie konsol Versa Concerto w internecie | Lista potencjalnych celów |
2. Obejście | T+kilka minut | Zapytanie ze spreparowanym nagłówkiem do panelu Actuator | Dostęp do funkcji diagnostycznych bez logowania |
3. Kradzież danych | T+kilkanaście minut | Pobranie rejestru operacji i zrzutu pamięci | Tokeny sesji, hasła administratorów, konfiguracja |
4. Przejęcie konsoli | T+godziny | Logowanie wykradzionymi danymi lub przejęcie aktywnej sesji administratora | Kontrola nad zarządzaniem siecią |
5. Rozszerzenie | T+1 do 7 dni | Zmiana zasad ruchu, tworzenie tuneli do oddziałów, rozpoznanie sieci | Dostęp do sieci firmy i jej oddziałów |
6. Wykorzystanie | T+tygodnie | Podsłuch lub przekierowanie ruchu, kradzież danych, zakłócenie pracy oddziałów | Wyciek, przestój, długotrwała obecność w sieci |
Mogę Ci jakoś pomóc?
Konsola SD-WAN steruje czymś znacznie większym niż ona sama: łączami i ruchem wszystkich oddziałów. Dlatego ocena NVD 7.5 (sam wyciek informacji) nie oddaje ryzyka biznesowego. Wyciekają tu hasła i sesje, które dają kontrolę nad siecią całej firmy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione zasady ruchu, przerwy w łączności oddziałów, konieczność przebudowy konfiguracji | Godziny do dni | 40 tys. do 300 tys. PLN (przestój oddziałów, prace serwisowe) |
Bezpieczeństwo danych | Wyciek haseł administratorów, konfiguracji sieci, możliwy podsłuch ruchu | Minuty od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł i certyfikatów) |
Finansowy | Koszty zewnętrznych specjalistów, nadgodzin, ewentualne straty z przestoju sprzedaży | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania w audytach | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli naruszenie dotyczy danych osobowych, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Versa Concerto
starszym niż 12.2.1, dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, zautomatyzowany, potwierdzony przez CISA), a wpływ wysoki, a nie maksymalny, bo sama luka daje wyciek informacji (CISA: skutek częściowy), choć wykradzione hasła prowadzą do kontroli nad siecią; konsola zaktualizowana i niedostępna z internetu jest poza zasięgiem tego ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub operator używa Versa Concerto, i sprawdzić wersję oraz stan hotfixa | Dziś | Administrator sieci / operator |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do konsoli Concerto z publicznego internetu, zostawić dostęp tylko z sieci wewnętrznej lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować Concerto do 12.2.1 lub nowszej zgodnie z biuletynem producenta | Do 3 dni | Administrator sieci / partner Versa |
4 | 🟠 PILNIE | Unieważnić aktywne sesje i zmienić hasła wszystkich administratorów Concerto | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi proxy pod kątem zapytań do adresów „actuator” i nietypowych nagłówków Connection | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Porównać bieżącą konfigurację SD-WAN z kopią sprzed podatnego okresu | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wpisać konfigurację proxy i paneli serwisowych do regularnych przeglądów bezpieczeństwa | Do 30 dni | CTO |
Producent wydał hotfix w marcu 2025 roku i wersję 12.2.1 z poprawką w kwietniu 2025 roku, więc docelowo trzeba ją wdrożyć. Do czasu okna serwisowego ProjectDiscovery wskazał doraźne reguły dla proxy. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie konsoli od publicznego internetu, dostęp tylko przez VPN | Wysoka wobec ataków z zewnątrz | Średnia |
Odrzucanie zapytań z nagłówkiem | Wysoka dla tej konkretnej techniki | Średnia: wymaga zmiany reguł |
Blokowanie średników w ścieżkach adresów (zalecenie ProjectDiscovery dla powiązanej luki CVE-2025-34027) | Średnia | Średnia |
Regularna zmiana haseł administratorów i krótki czas życia sesji | Niska jako ochrona, ogranicza skutki wycieku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel diagnostyczny Actuator | Osiągalny z internetu bez logowania | Niedostępny z zewnątrz |
Konsola Concerto | Pod publicznym adresem | Tylko z sieci wewnętrznej lub VPN |
Hasła i sesje administratorów | Mogły wyciec w zrzucie pamięci | Zmienione, stare sesje unieważnione |
Konfiguracja SD-WAN | Nieznany stan, możliwe zmiany obcych | Porównana z kopią i zatwierdzona |
Zgodność z wymogami | Zaległość wobec terminu CISA z 12 lutego 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). W maju 2025 roku producent mówił, że nie ma sygnałów wykorzystania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg NVD (CVSS 3.1); 9.2 KRYTYCZNA wg VulnCheck (CVSS 4.0) |
PoC dostępny publicznie? | TAK, ProjectDiscovery opublikował szczegóły techniczne i szablony Nuclei do wykrywania luki |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny częściowy |
Powiązane luki | CVE-2025-34027 (obejście uwierzytelnienia i zapis pliku prowadzący do wykonania kodu) i CVE-2025-34025 (ucieczka z kontenera), zgłoszone razem |
Prognoza EPSS | Około 0,82, najwyższy ułamek procenta wszystkich podatności (wg analizy źródłowej, sierpień 2026) |
Sygnały zagrożenia dla CVE-2025-34026
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 4.0 (VulnCheck) 9.2/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~82% ████████████████░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2025-02-13 ProjectDiscovery zgłasza Versa trzy luki w Concerto
2025-03-07 Versa udostępnia klientom hotfix
2025-04-16 Wydanie Concerto 12.2.1 GA z poprawkami
2025-05-21 Publikacja CVE-2025-34026 i szczegółów technicznych
2026-01-22 CISA dodaje lukę do katalogu KEV
2026-02-12 Termin naprawy wg CISA dla agencji federalnych
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta w portalu bezpieczeństwa Versa (dla klientów): security-portal.versa-networks.com . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-34026 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub operator sieci używa Versa Concerto | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja Concerto, stan hotfixa, dostępność konsoli z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie konsoli od publicznego internetu | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację i zmianę haseł administratorów | CTO | DO JUTRA |
5 | Zapytać operatora na piśmie, czy jego konsole obsługujące firmę są załatane | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić w umowie z operatorem SD-WAN zapisy o czasie wdrażania poprawek i zgłaszaniu incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję Versa Concerto mamy i czy zainstalowano hotfix z marca 2025 roku? | [wersja] | 🔴 |
2 | Czy konsola Concerto jest dostępna z publicznego internetu? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowaliśmy Concerto do 12.2.1 lub nowszej? | [data] | 🔴 |
4 | Czy po aktualizacji zmieniliśmy hasła administratorów i unieważniliśmy sesje? | TAK / NIE | 🟠 |
5 | Czy mamy logi proxy z okresu, w którym konsola była podatna? | TAK / NIE | 🟠 |
6 | Czy porównaliśmy obecną konfigurację SD-WAN z zatwierdzoną kopią? | TAK / NIE | 🟠 |
7 | Kto odpowiada za konfigurację proxy i paneli serwisowych przed aplikacjami? | [osoba] | 🟡 |
CVE-2025-34026 pozwala bez logowania dotrzeć do panelu diagnostycznego Versa Concerto i pobrać zrzuty pamięci z hasłami oraz sesjami administratorów, co otwiera drogę do kontroli nad siecią SD-WAN. Poprawka jest dostępna od kwietnia 2025 roku, a CISA potwierdza ataki, więc aktualizacja, odcięcie konsoli od internetu i zmiana haseł to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.