Błąd z rodziny Shellshock w powłoce bash pozwala wykonać polecenia na serwerze przez spreparowane zmienne środowiskowe. CISA dodała go do KEV w 2025 roku. Znajdź zapomniane maszyny z Linuksem i zaktualizuj je.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własne serwery lub urządzenia z systemem Linux albo Unix, zwłaszcza starsze, z dawno nieaktualizowanym oprogramowaniem. Werdykt: jeśli na serwerze działa powłoka bash sprzed poprawek rodziny Shellshock z 2014 roku, zaktualizuj ją lub wycofaj urządzenie, bo luka, choć stara, jest wykorzystywana w atakach i trafiła do katalogu CISA w 2025 roku.
Amerykańska agencja CISA 2 października 2025 roku dopisała podatność CVE-2014-6278 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To jeden z błędów rodziny Shellshock w powłoce GNU Bash: bash źle przetwarza definicje funkcji w zmiennych środowiskowych, więc napastnik może dopisać polecenia, które zostaną wykonane na serwerze.
Błąd wynika z niepełnego załatania wcześniejszych luk CVE-2014-6271, CVE-2014-7169 i CVE-2014-6277. Poprawki są dostępne od 2014 roku, ale w internecie wciąż działa wiele nieaktualizowanych maszyn. Termin naprawy wg CISA minął 23 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2014-6278 |
Data dodania do CISA KEV | 2025-10-02 |
Termin naprawy wg CISA | 2025-10-23 (21 dni od wpisu) |
Produkt | GNU Bash (powłoka systemowa w Linuksie, Uniksie, macOS i wielu urządzeniach sieciowych); komponent używany przez wiele produktów |
Wersje zagrożone | GNU Bash do 4.3 z łatką bash43-026 włącznie. Atak wymaga drogi, którą dane z zewnątrz trafiają do zmiennych środowiskowych bash, np. skrypty CGI w Apache (mod_cgi, mod_cgid), ForceCommand w OpenSSH, skrypty klienta DHCP |
Wersje bezpieczne | Bash 4.3 z łatką bash43-027 lub nowszy. Pakiety dystrybucji z poprawką Floriana Weimera (Debian, Ubuntu, Red Hat, SUSE z 2014 roku i nowsze). Uwaga: bash zbudowany samodzielnie ze źródeł nie ma zabezpieczeń dodanych przez dystrybucje |
Typ podatności | Wstrzyknięcie polecenia systemu operacyjnego; CWE-78 (NVD, CISA), CWE-119 wg Red Hat |
Ocena CVSS | NVD: 10.0 (CVSS 2.0, maksymalna). CISA: 8.8 WYSOKA (CVSS 3.1, z założeniem działania użytkownika). Red Hat: 7.5 (ocena robocza), obecnie uznaje swoje pakiety za niepodatne |
Wyobraź sobie firmę, w której kierownik przekazuje pracownikowi zlecenie razem z karteczkami informacyjnymi: dla kogo, jaki termin, jaki język dokumentu. Pracownik czyta karteczki tylko po to, żeby wiedzieć, jak wykonać zlecenie. Ale jeśli karteczka wygląda jak instrukcja, pracownik wykonuje także to, co ktoś dopisał na jej końcu. A karteczki może wypisać klient przy okienku.
Tak działa Shellshock. Gdy jeden program uruchamia powłokę bash, przekazuje jej zmienne środowiskowe, czyli „karteczki” z informacjami. Część z nich pochodzi od odwiedzającego stronę, np. nagłówki żądania trafiające do starych skryptów na serwerze WWW. Bash w podatnej wersji traktuje odpowiednio przygotowaną karteczkę jak definicję funkcji i wykonuje dopisane polecenia. Napastnik uruchamia więc własne komendy na serwerze z uprawnieniami procesu obsługującego stronę.
💡 Powłoka (shell) to program, który przyjmuje i wykonuje polecenia w systemie; bash to najpopularniejsza z nich. Zmienne środowiskowe to wartości przekazywane programowi przy uruchomieniu. CGI to stary sposób uruchamiania skryptów przez serwer WWW. Shellshock to wspólna nazwa rodziny luk w bash z 2014 roku. Poprawka Weimera sprawia, że bash przyjmuje definicje funkcji tylko ze specjalnie oznaczonych zmiennych.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Odwiedzający wysyła żądanie do starego skryptu na stronie | Skrypt obsługuje formularz | Serwer wykonuje polecenia dopisane w nagłówku |
Dwa serwery z tą samą wersją bash | Jednakowo bezpieczne | Pakiet z dystrybucji chroniony, wersja zbudowana ręcznie nie |
Po instalacji pierwszej poprawki Shellshock | Temat zamknięty | Trzy kolejne luki z tej samej rodziny nadal otwarte |
Urządzenie sieciowe z wbudowanym Linuksem | Działa latami bez zmian | Może zawierać podatny bash od 2014 roku |
Baza zamówień sklepu | Dostępna tylko aplikacji | Dostępna dla napastnika z uprawnieniami serwera WWW |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Najczęstsza droga to serwery WWW ze starymi skryptami CGI, odpowiadające na anonimowe żądania. CISA ocenia automatyzację jako niemożliwą, choć opis wektorów sugeruje, że ataki przez serwery WWW mogą być prostsze; przy takiej rozbieżności warto przyjąć ostrzejszy wariant.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie serwerów ze starymi skryptami CGI i starymi urządzeniami z Linuksem | Lista potencjalnie podatnych maszyn |
2. Wykorzystanie | T+sekundy | Żądanie z nagłówkiem zawierającym spreparowaną definicję funkcji i polecenie | Polecenie wykonane na serwerze |
3. Instalacja | T+minuty | Pobranie narzędzia zdalnego dostępu lub programu do kopania kryptowalut, dołączenie do botnetu | Stały dostęp |
4. Rozpoznanie serwera | T+godzina | Odczyt plików konfiguracyjnych, haseł do bazy danych | Dostęp do danych aplikacji |
5. Kradzież | T+godziny do dni | Kopiowanie bazy zamówień i klientów | Wyciek danych |
6. Dalszy ruch | T+dni | Atak na inne maszyny w sieci firmy | Włamanie rozszerza się |
Stare luki są groźne, bo zostają na zapomnianych maszynach: serwerach po poprzedniej wersji strony, urządzeniach sieciowych, systemach przemysłowych. Wskaźnik EPSS dla tej luki jest praktycznie maksymalny, co oznacza, że próby ataku w internecie są niemal pewne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój serwera na czas odtwarzania, wymiana starych urządzeń | Dni | 15 tys. do 120 tys. PLN (odtworzenie, przestój sprzedaży) |
Bezpieczeństwo danych | Wyciek bazy klientów i zamówień, dostęp do haseł | Godziny od ataku | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty energii i łącza przy kopaniu kryptowalut, pilna wymiana sprzętu | Dni do tygodni | 20 tys. do 300 tys. PLN |
Reputacyjny | Klienci sklepu dowiadują się o wycieku danych | Tygodnie | 20 tys. do 250 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualizowanym bash
na serwerze wystawionym do internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla starej, nieaktualizowanej maszyny z drogą ataku (np. skrypty CGI) prawdopodobieństwo jest maksymalne (EPSS 0,996), a wpływ wysoki; dla serwerów z pakietami dystrybucji aktualizowanymi po 2014 roku ryzyko jest niskie, bo luka jest odcięta.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sporządzić listę serwerów i urządzeń z Linuksem lub Uniksem, w tym starych i „zapomnianych” | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję bash i datę ostatniej aktualizacji pakietów na każdej maszynie dostępnej z internetu | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować bash z repozytorium dystrybucji (lub do 4.3 z łatką bash43-027 i nowszymi) | Dziś lub jutro | Administrator |
4 | 🟠 PILNIE | Sprawdzić, czy na którymś serwerze bash nie został zbudowany ręcznie ze źródeł | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Wyłączyć nieużywane skrypty CGI i moduły mod_cgi/mod_cgid w Apache | Do 3 dni | Administrator WWW |
6 | 🟠 PILNIE | Zapytać producentów urządzeń sieciowych i dysków sieciowych o aktualizacje dla Shellshock (Cisco, IBM, Broadcom wydały biuletyny) | Do 7 dni | Dział IT |
7 | 🟡 WAŻNIE | Wymienić lub odciąć od internetu urządzenia, które nie dostaną poprawki | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Wprowadzić zasadę: po pilnej poprawce wrócić do tematu po tygodniu i sprawdzić, czy nie wyszła kolejna | Do 30 dni | CTO |
Poprawki są dostępne od 2014 roku zarówno od GNU, jak i od dystrybucji. Problem dotyczy głównie urządzeń bez wsparcia producenta. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie skryptów CGI i modułów mod_cgi/mod_cgid, jeśli nie są potrzebne | Wysoka wobec najczęstszej drogi ataku | Łatwa |
Odcięcie starego urządzenia od internetu lub umieszczenie go za VPN | Wysoka wobec ataków z zewnątrz | Średnia |
Reguła zapory aplikacyjnej (WAF) blokująca nagłówki z wzorcem definicji funkcji bash | Średnia: istnieją sposoby omijania | Średnia |
Wycofanie urządzenia bez wsparcia | Wysoka | Trudna, wymaga zakupu i wdrożenia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o maszynach z Linuksem | Niepełna, stare urządzenia pominięte | Pełna lista z wersjami |
Wersja bash | Nieznana, czasem z 2014 roku lub zbudowana ręcznie | Z dystrybucji, z poprawką Weimera |
Skrypty CGI | Stare, nieużywane, dostępne | Wyłączone |
Rodzina Shellshock | Załatana częściowo | Wszystkie cztery luki zamknięte |
Status wobec terminu CISA | Zaległość od 23 października 2025 roku | Luka zamknięta lub urządzenie wycofane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: wykorzystanie aktywne, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w odniesieniu do tego numeru CVE |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 wg NVD (CVSS 2.0); 8.8 WYSOKA wg CISA (CVSS 3.1); 7.5 wg Red Hat (robocza) |
PoC dostępny publicznie? | Mechanizm rodziny Shellshock jest szeroko opisany publicznie od 2014 roku (m.in. w analizach Michała Zalewskiego podlinkowanych w NVD) |
Liczba atakowanych firm | Brak publicznych informacji |
Stanowiska dystrybucji | Red Hat: pakiety uznane za niepodatne po wcześniejszych poprawkach; Ubuntu: nie uznaje za krytyczną; SUSE: rozwiązana; Debian: naprawione wersje pakietów |
Prognoza EPSS | 0,996, percentyl 0,999 (odczyt z 24 sierpnia 2026 roku, wg analizy źródłowej) |
Różne werdykty nie wykluczają się: dystrybucje oceniają swoje zaktualizowane pakiety, a EPSS opisuje internet pełen nieaktualizowanych maszyn. O tym, czy luka dotyczy konkretnego serwera, rozstrzyga dostawca systemu i sposób instalacji bash, a nie ogólna baza.
Sygnały zagrożenia dla CVE-2014-6278
CVSS 2.0 (NVD) 10.0/10 ████████████████████ MAKSYMALNA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~99,6% ████████████████████ PRAKTYCZNIE PEWNE
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2014-09 Ujawnienie rodziny Shellshock i kolejnych poprawek
2014-09-30 Publikacja CVE-2014-6278 w NVD
2014-10 Poprawki dystrybucji (Debian, Ubuntu, Red Hat, SUSE, Oracle)
2025-10-02 CISA dodaje lukę do katalogu KEV (11 lat później)
2025-10-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-24 Odczyt EPSS: 0,996
2026-09-17: TUTAJ JESTEŚMY Oficjalna łatka GNU: bash43-027 . Biuletyny producentów sprzętu i oprogramowania: Cisco cisco-sa-20140926-bash , Broadcom , IBM AIX Toolbox . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2014-6278 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę wszystkich serwerów i urządzeń z Linuksem lub Uniksem dostępnych z internetu | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie wersji bash i daty ostatnich aktualizacji na tych maszynach | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub odcięcie maszyn bez poprawki | CTO | DZISIAJ |
4 | Zlecić wyłączenie nieużywanych skryptów CGI | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę urządzeń bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z dostawcą hostingu lub IT obejmuje aktualizacje systemu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów i urządzeń z Linuksem lub Uniksem dostępnych z internetu? | [liczba] | 🔴 |
2 | Jaka wersja bash działa na każdej z tych maszyn? | [wersja] | 🔴 |
3 | Czy bash na którejś maszynie był zbudowany ręcznie ze źródeł? | TAK / NIE | 🔴 |
4 | Czy któryś serwer WWW uruchamia skrypty CGI? | TAK / NIE | 🔴 |
5 | Kiedy ostatnio aktualizowano pakiety systemowe na najstarszym serwerze? | [data] | 🟠 |
6 | Które urządzenia sieciowe z wbudowanym Linuksem nie mają już wsparcia producenta? | [lista] | 🟠 |
7 | Czy sprawdzono wszystkie cztery luki Shellshock, a nie tylko pierwszą? | TAK / NIE | 🟡 |
CVE-2014-6278 to luka z rodziny Shellshock w powłoce bash, która pozwala wykonać polecenia na serwerze przez spreparowane zmienne środowiskowe, np. w starych skryptach CGI. Poprawki istnieją od 2014 roku, ale CISA potwierdza ataki w 2025 roku, a EPSS jest praktycznie maksymalny, więc dziś trzeba znaleźć zapomniane maszyny z Linuksem i zaktualizować lub wycofać te, które poprawki nie mają.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.