Serwer ScreenConnect do wersji 25.2.3 pozwala napastnikowi z wykradzionymi kluczami maszynowymi wykonać kod, a przez niego dotrzeć do obsługiwanych komputerów. CISA potwierdza ataki. Zaktualizuj do 25.2.4.
Ten alert jest dla zarządu, CTO i CFO firm, których komputery są obsługiwane zdalnie przez ConnectWise ScreenConnect, własny lub należący do zewnętrznego serwisu IT. Werdykt: jeśli serwer ScreenConnect jest instalowany lokalnie w wersji 25.2.3 lub starszej, zaktualizuj go do 25.2.4 lub nowszej wersji w ciągu kilku dni i sprawdź ślady włamania, bo CISA potwierdza wykorzystanie tej luki.
Amerykańska agencja CISA 2 czerwca 2025 roku dopisała CVE-2025-3935 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy serwera ConnectWise ScreenConnect, narzędzia do zdalnej pomocy technicznej. Panel serwera korzystał z mechanizmu ViewState platformy ASP.NET, chronionego tajnymi kluczami maszynowymi. Kto zdobędzie te klucze, może wysłać spreparowane dane i wykonać kod na serwerze.
Producent zaznacza, że do zdobycia kluczy potrzebny jest wcześniej uprzywilejowany dostęp do systemu, i że źródłem ryzyka jest zachowanie platformy, a nie błąd w jego kodzie. Poprawka z 24 kwietnia 2025 roku całkowicie wyłącza ViewState. Termin naprawy wg CISA minął 23 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-3935 |
Data dodania do CISA KEV | 2025-06-02 |
Termin naprawy wg CISA | 2025-06-23 |
Produkt | ConnectWise ScreenConnect, część serwerowa (panel zarządzający). Program kliencki na komputerach końcowych nie jest bezpośrednio dotknięty |
Wersje zagrożone | ScreenConnect 25.2.3 i starsze, instalowane lokalnie (wg ENISA zakres do 25.2.3, wg NVD poniżej 25.2.4). Warunek: napastnik musi zdobyć klucze maszynowe serwera, co wymaga wcześniejszego uprzywilejowanego dostępu |
Wersje bezpieczne | 25.2.4 (24 kwietnia 2025) i nowsze. Bez aktywnej licencji serwisowej: darmowe poprawione wydania starszych wersji od 23.9, z datą publikacji 22 kwietnia 2025 lub późniejszą. Instancje w chmurze screenconnect.com i hostedrmm.com producent zaktualizował sam |
Typ podatności | Wstrzyknięcie kodu przez ViewState; wg CISA i pierwotnie producenta niewłaściwe uwierzytelnianie (CWE-287), wg późniejszej klasyfikacji producenta deserializacja niezaufanych danych |
Ocena CVSS | ConnectWise: 8.1 WYSOKA (CVSS 3.1, bez uprawnień, wysoka złożoność). NVD: 7.2 WYSOKA (CVSS 3.1, wysokie uprawnienia, niska złożoność). Obie: pełny wpływ na poufność, integralność i dostępność serwera. Priorytet producenta: 1, wysoki |
Wyobraź sobie księgowość, która realizuje każdy dokument opatrzony firmową pieczątką, bez sprawdzania, kto go przyniósł. Dopóki pieczątka leży w sejfie, system działa sprawnie. Gdy ktoś ją ukradnie, może przynieść dowolne polecenie przelewu z prawdziwym odciskiem i księgowość je wykona. Problemem nie jest sama procedura, tylko to, że nie ma drugiej warstwy kontroli.
Tak działa ta luka. Strona panelu ScreenConnect przechowywała stan formularza w ukrytym polu (ViewState), które przeglądarka odsyłała przy każdym kliknięciu. Żeby nikt go nie podrobił, serwer pieczętował je tajnymi kluczami maszynowymi i przyjmował każdą treść z prawidłową pieczęcią. Napastnik, który wykradł klucze, wpisywał do pola polecenie, pieczętował je i serwer je wykonywał. Poprawka nie dokłada filtra, tylko usuwa cały mechanizm.
💡 ScreenConnect to program do zdalnego dostępu: serwis IT łączy się z komputerami klientów, przejmuje ekran i uruchamia polecenia. ViewState to mechanizm ASP.NET, który zapamiętuje stan strony w ukrytym polu formularza. Klucze maszynowe to tajne klucze serwera, którymi pieczętuje on te dane. Deserializacja to odtwarzanie obiektów w pamięci z przesłanych danych, groźne, gdy dane pochodzą od napastnika.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwis łączy się z komputerem klienta | Naprawa na odległość | Tak samo, nic nie widać |
Klucze maszynowe serwera | Znane tylko serwerowi | Jeśli wyciekną, napastnik podrabia pieczęć |
Spreparowane dane z prawidłową pieczęcią | Nie da się ich przygotować | Serwer je przyjmuje i wykonuje kod |
Przejęty serwer zarządzający | Dostęp do jednego systemu | Legalny kanał do wszystkich podłączonych komputerów |
Antywirus na komputerach klientów | Blokuje obce narzędzia | Przepuszcza znany program zdalnego dostępu |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga przygotowania: najpierw trzeba zdobyć klucze maszynowe serwera. Według CISA nie da się go zautomatyzować, więc jest to atak celowany, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wskazanie serwera ScreenConnect serwisu IT lub firmy | Konkretny cel |
2. Zdobycie kluczy | T+dni do tygodni | Uzyskanie uprzywilejowanego dostępu do serwera lub jego kopii i odczyt kluczy maszynowych | Klucze do podrabiania pieczęci |
3. Wykonanie kodu | T+minuty | Wysłanie spreparowanego ViewState opieczętowanego skradzionymi kluczami | Kod napastnika działa na serwerze |
4. Utrwalenie | T+godziny | Tylne furtki na serwerze, nowe konta w panelu | Stały dostęp nawet po zmianie haseł |
5. Dostęp do klientów | T+godziny do dni | Połączenia z komputerami klientów przez legalny kanał ScreenConnect | Kontrola nad wieloma stanowiskami |
6. Szkody | T+dni | Kradzież danych, instalacja złośliwego oprogramowania, szyfrowanie | Incydent w wielu firmach naraz |
W układzie ze zdalną pomocą największe skupisko dostępu nie leży na komputerze księgowej, tylko na serwerze zarządzającym serwisu. Kto go przejmie, dostaje w jednym miejscu legalne wejście na każdy podłączony komputer, przez kanał, który antywirus zna i przepuszcza.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane lub przejęte stanowiska, odtwarzanie z kopii przez tydzień lub dwa | Dni | 30 tys. do 300 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież dokumentów i danych klientów z wielu komputerów naraz | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracona sprzedaż, koszty specjalistów | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Incydent dotykający klientów serwisu lub klientów firmy | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spór z serwisem IT o odpowiedzialność | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla lokalnego serwera ScreenConnect
w wersji 25.2.3 lub starszej
Wpływ
5 | . ■ . . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęty serwer daje dostęp do wszystkich obsługiwanych komputerów, ale prawdopodobieństwo jest niskie do średniego, bo napastnik musi najpierw zdobyć klucze maszynowe, atak nie jest automatyzowalny, a EPSS wynosi około 3,4%; mimo to CISA potwierdza wykorzystanie, więc aktualizacji nie należy odkładać.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej serwis IT używa ScreenConnect i czy jest to instalacja lokalna czy chmurowa | Dziś | CTO / serwis IT |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję serwera w panelu Administracja, Licencja, Sprawdzenie wersji | Dziś | Administrator / serwis IT |
3 | 🟠 PILNIE | Zaktualizować do 25.2.4 lub nowszej, a bez licencji serwisowej do poprawionego wydania od 23.9 wzwyż | Do 3 dni | Administrator / serwis IT |
4 | 🟠 PILNIE | Przed ponownym udostępnieniem serwera sprawdzić ślady włamania, zgodnie z zaleceniem producenta | Do 3 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zamknąć panel zarządzający przed publicznym internetem (dostęp przez VPN lub z zaufanych adresów) | Do 7 dni | Administrator sieci |
6 | 🟠 PILNIE | Przejrzeć konta w panelu i włączyć uwierzytelnianie dwuskładnikowe | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wpisać do umowy z serwisem IT terminy instalacji poprawek w narzędziach zdalnego dostępu | Do 30 dni | CFO / CTO |
Producent wydał poprawkę 25.2.4 oraz darmowe poprawione wydania starszych wersji od 23.9; wersje starsze niż 23.9 można bezpłatnie podnieść do 23.9. Instancje chmurowe są zaktualizowane przez producenta. Poniższe środki ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do panelu serwera tylko przez VPN lub z zaufanych adresów | Średnia do wysokiej: utrudnia wysłanie spreparowanych danych | Łatwa do średniej |
Ochrona kluczy maszynowych: ograniczenie kont z uprzywilejowanym dostępem do serwera i jego kopii | Średnia: utrudnia zdobycie kluczy | Średnia |
Przejście na wersję chmurową utrzymywaną przez producenta | Wysoka wobec tej luki | Średnia |
Monitorowanie nowych sesji i kont w panelu ScreenConnect | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja serwera | 25.2.3 lub starsza | 25.2.4 lub nowsza albo poprawione wydanie od 23.9 |
Mechanizm ViewState | Aktywny, zależny od tajności kluczy | Wyłączony przez poprawkę |
Panel zarządzający | Dostępny z internetu | Dostępny przez VPN lub z zaufanych adresów |
Wiedza o włamaniu | Brak sprawdzenia | Serwer sprawdzony przed ponownym uruchomieniem |
Umowa z serwisem IT | Bez terminów poprawek | Z terminami i obowiązkiem informowania |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w przejrzanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA (ConnectWise, CVSS 3.1); 7.2 WYSOKA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym PoC dla ScreenConnect |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 3,4%, stabilnie przez ostatni miesiąc (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): nie; wpływ techniczny: całkowity |
Dwie oceny CVSS różnie ujmują moment kradzieży kluczy: NVD jako wymóg wysokich uprawnień, producent jako wysoką złożoność ataku. Wspólny jest pełny wpływ na serwer:
Sygnały zagrożenia dla CVE-2025-3935
CVSS 3.1 (ConnectWise) 8.1/10 ████████████████░░░░ WYSOKA
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~3,4% █░░░░░░░░░░░░░░░░░░░ niski, atak celowany
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga przygotowania
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-04-22 Poprawione wydania starszych wersji ScreenConnect (od 23.9)
2025-04-24 ConnectWise publikuje biuletyn i wersję 25.2.4
2025-04-25 Publikacja CVE-2025-3935 w NVD
2025-06-02 CISA dodaje lukę do katalogu KEV
2025-06-23 Termin naprawy wg CISA dla agencji federalnych
2025-09 Producent zmienia klasyfikację na deserializację niezaufanych danych
... prawie 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z instrukcją aktualizacji: ScreenConnect 25.2.4 Security Patch . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-3935 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać serwis IT, jakim narzędziem łączy się z naszymi komputerami | CTO | DZISIAJ |
2 | Uzyskać na piśmie wersję serwera ScreenConnect i datę ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zapytać, czy panel zarządzający jest dostępny z publicznego internetu | CTO | DZISIAJ |
4 | Zatwierdzić aktualizację własnego serwera ScreenConnect, jeśli firma go ma | CTO | DO JUTRA |
5 | Sprawdzić status licencji serwisowej i koszt jej odnowienia | CFO | DO JUTRA |
6 | Dopisać do umowy z serwisem obowiązek informowania o incydentach w narzędziach zdalnego dostępu | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje szkody powstałe u dostawcy usług IT | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy ScreenConnect i czy serwer jest lokalny czy w chmurze producenta? | [lokalny / chmura] | 🔴 |
2 | Jaka jest wersja serwera ScreenConnect? | [wersja] | 🔴 |
3 | Czy serwer zaktualizowano do 25.2.4 lub nowszej? | TAK / NIE, [data] | 🔴 |
4 | Czy panel zarządzający jest dostępny z publicznego internetu? | TAK / NIE | 🟠 |
5 | Czy serwer sprawdzono pod kątem śladów włamania? | TAK / NIE, [data] | 🟠 |
6 | Kto ma uprzywilejowany dostęp do serwera ScreenConnect i jego kopii zapasowych? | [lista] | 🟠 |
7 | Czy logowanie do panelu wymaga drugiego składnika? | TAK / NIE | 🟡 |
CVE-2025-3935 w serwerze ConnectWise ScreenConnect do wersji 25.2.3 pozwala napastnikowi, który zdobył klucze maszynowe, wykonać kod na serwerze zarządzającym, a przez niego dotrzeć do wszystkich obsługiwanych komputerów. CISA potwierdza wykorzystanie, a poprawka wyłączająca ViewState jest dostępna od kwietnia 2025 roku, więc sprawdzenie wersji to zadanie na dziś, a aktualizacja i kontrola śladów włamania na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.