Adminer od 4.0.0 do wersji starszych niż 4.7.9 pozwala bez logowania użyć serwera firmy jako posłańca do sieci wewnętrznej. CISA potwierdza ataki. Znajdź i usuń zapomniane pliki lub je zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które mają sklep, portal lub aplikację w PHP, szczególnie utrzymywaną przez kolejne agencje. Werdykt: jeśli na serwerze leży zapomniany plik Adminer w wersji od 4.0.0 do starszej niż 4.7.9, usuń go dziś, a jeśli jest potrzebny, zaktualizuj go i zamknij dostęp z internetu, bo luka jest skanowana automatycznie, a CISA potwierdza ataki.
Amerykańska agencja CISA 29 września 2025 roku dopisała CVE-2021-21311 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Adminer to narzędzie do zarządzania bazą danych w jednym pliku PHP, często wgrywane na serwer „na chwilę” i zapominane. Błąd na stronie błędu sterowników Elasticsearch i ClickHouse pozwala napastnikowi bez logowania zmusić serwer firmy do wysyłania żądań w jego imieniu, także do wewnętrznej sieci, i uzyskać w ten sposób wrażliwe informacje.
Poprawka jest dostępna od lutego 2021 roku, czyli od ponad pięciu lat. Termin naprawy wg CISA minął 20 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-21311 |
Data dodania do CISA KEV | 2025-09-29 |
Termin naprawy wg CISA | 2025-10-20 |
Produkt | Adminer (narzędzie do zarządzania bazą danych w jednym pliku PHP) |
Wersje zagrożone | Od 4.0.0 do wersji starszych niż 4.7.9, tylko w wariancie ze wszystkimi sterownikami (np. |
Wersje bezpieczne | 4.7.9 (7 lutego 2021) i nowsze; najnowsze wydanie: 6.1.0 (14 września 2026). Debian: 4.2.5-3+deb9u2, 4.7.1-1+deb10u1, 4.7.9-1. Ubuntu (ESM): 4.2.1-1ubuntu1+esm1, 4.6.2-1ubuntu0.1~esm1, 4.7.6-1ubuntu0.1~esm1 |
Typ podatności | Fałszowanie żądań po stronie serwera (SSRF); CWE-918 |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, zgodnie GitHub i NVD). Atak przez sieć, bez logowania i udziału użytkownika, zmiana zakresu (szkoda poza samym Adminerem), częściowy wpływ na poufność i integralność. W starszej skali CVSS 2.0: 6.4 |
Wyobraź sobie firmę kurierską, która ma stałą przepustkę do Twojego biurowca. Ochrona przy wejściu zna kuriera i wpuszcza go wszędzie. Problem w tym, że kurier przyjmuje zlecenia od kogokolwiek: obca osoba zamawia „odbierz teczkę z archiwum na trzecim piętrze i przynieś mi ją”, a kurier to robi, bo ma wstęp do budynku. Nikt nie pyta, kto nadał zlecenie.
Tak działa fałszowanie żądań po stronie serwera. Serwer firmy stoi jednocześnie w internecie i w sieci wewnętrznej, gdzie ma dostęp do bazy danych, paneli i usług niewidocznych z zewnątrz. Podatny Adminer pozwalał napastnikowi poprosić serwer, żeby połączył się z wybranym adresem i pokazał odpowiedź. Adminer nie jest tu celem, tylko narzędziem: wyciekają dane z miejsc, do których serwer ma dostęp od środka.
💡 Adminer to jednoplikowe narzędzie do przeglądania i edycji baz danych przez przeglądarkę. SSRF (Server-Side Request Forgery) to atak, w którym napastnik zmusza serwer do wykonania żądania w swoim imieniu. Przeniesienie poprawki (backport) to praktyka dystrybucji Linuksa: poprawkę wszczepia się do starej wersji programu, więc niższy numer może być bezpieczny. Zmiana zakresu w ocenie CVSS oznacza, że szkoda powstaje poza samym podatnym programem.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Plik Adminera zostawiony po pracach agencji | Nikt o nim nie pamięta | Skanery znajdują go po przewidywalnej nazwie |
Usługi dostępne tylko w sieci wewnętrznej | Niewidoczne z internetu | Osiągalne przez serwer jako posłańca |
Dane, do których serwer ma dostęp | Tylko dla aplikacji | Mogą wyciec bez widocznych objawów |
Wariant z jednym sterownikiem | Działa tak samo | Nie jest podatny |
Pakiet systemowy 4.6.2 z poprawką dystrybucji | Wygląda na starą wersję | Jest naprawiony mimo niższego numeru |
źródło: Pexels, Erik McleanPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, a według oceny CISA jest automatyzowalny: nazwy plików Adminera są przewidywalne, więc wyszukiwanie ich w internecie wykonują programy, nie ludzie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne sprawdzanie typowych adresów plików Adminera na milionach stron | Lista serwerów z Adminerem |
2. Ustalenie wersji | T+sekundy | Odczyt wersji i wariantu z odpowiedzi strony | Lista podatnych instalacji |
3. Nadużycie | T+minuty | Wywołanie strony błędu sterownika Elasticsearch lub ClickHouse ze wskazanym adresem | Serwer łączy się tam, gdzie wskaże napastnik |
4. Rozpoznanie wnętrza | T+godziny | Odpytywanie usług w sieci wewnętrznej i usług metadanych w chmurze | Mapa usług, informacje konfiguracyjne |
5. Kradzież | T+godziny do dni | Pobranie danych dostępnych dla serwera, np. kluczy chmurowych lub odpowiedzi paneli | Wrażliwe dane poza firmą |
6. Dalszy atak | T+dni | Wykorzystanie zdobytych informacji do wejścia w inne systemy | Szersze włamanie |
Nikt nie kasuje bazy i nie zatrzymuje sprzedaży, więc incydent przechodzi bez objawów. Wyciekają za to informacje, do których serwer ma dostęp od środka. Plik wgrywa się w minutę, a jego usunięcie wymaga pamięci, której po zmianie agencji zwykle brakuje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przegląd serwera, usunięcie narzędzi, wymiana kluczy | Dni | 5 tys. do 40 tys. PLN (praca IT) |
Bezpieczeństwo danych | Wyciek informacji z usług wewnętrznych, możliwe klucze do chmury | Godziny do dni | 15 tys. do 120 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycie kont chmurowych, koszty reakcji | Tygodnie | 20 tys. do 250 tys. PLN łącznie |
Reputacyjny | Informacja dla klientów o wycieku danych | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera z podatnym plikiem Adminera
dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (automatyczne skanowanie, EPSS około 90%), a wpływ umiarkowany (częściowy wyciek, bez zniszczenia danych), co razem daje problem, który przydarzy się niemal na pewno, choć nie zatrzyma firmy; przy serwerze w chmurze z dostępem do usługi metadanych wpływ może być wyższy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wyszukać na wszystkich serwerach pliki Adminera (także pod zmienionymi nazwami) | Dziś | Administrator / agencja |
2 | 🔴 NATYCHMIAST | Usunąć pliki, które nie są używane | Dziś | Administrator / agencja |
3 | 🔴 NATYCHMIAST | Jeśli Adminer jest potrzebny: zaktualizować do najnowszej wersji (co najmniej 4.7.9) lub zaktualizować pakiet systemowy | Dziś | Administrator |
4 | 🟠 PILNIE | Zamknąć dostęp do Adminera hasłem HTTP i ograniczeniem do adresów IP firmy | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem odwołań do plików Adminera z obcych adresów | Do 7 dni | Administrator |
6 | 🟠 PILNIE | Jeśli serwer jest w chmurze: sprawdzić, czy dostęp do usługi metadanych jest ograniczony, i rozważyć wymianę kluczy | Do 7 dni | DevOps |
7 | 🟡 WAŻNIE | Dopisać do odbioru prac agencji obowiązek usunięcia narzędzi administracyjnych | Do 30 dni | CTO |
Autor wydał poprawkę w wersji 4.7.9, a dystrybucje w swoich pakietach. W doradztwie autor podaje dwa obejścia. Dla systemów po końcu wsparcia (jedno ze starszych wydań Ubuntu nie dostało poprawki) pozostają obejścia albo usunięcie narzędzia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie pliku Adminera z serwera | Wysoka: nie da się wykorzystać czegoś, czego nie ma | Łatwa |
Użycie wariantu z jednym sterownikiem, np. | Wysoka wobec tej luki | Łatwa |
Ochrona dostępu hasłem HTTP, ograniczeniem IP lub wtyczką OTP (zalecenie autora) | Wysoka wobec napastników z internetu | Łatwa do średniej |
Blokada ruchu wychodzącego z serwera WWW do sieci wewnętrznej i usług metadanych | Średnia: ogranicza skutki SSRF | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Pliki Adminera | Nieznana liczba, pozostałości po agencjach | Usunięte lub jedna aktualna, chroniona instalacja |
Dostęp z internetu | Każdy, kto zna nazwę pliku | Tylko z adresów firmy i po haśle |
Ocena wersji | Na podstawie numeru programu | Na podstawie pakietu dystrybucji lub wersji autora |
Ruch z serwera do sieci wewnętrznej | Nieograniczony | Ograniczony do niezbędnych usług |
Odbiór prac agencji | Bez kontroli narzędzi | Z listą kontrolną usuniętych plików |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, GitHub i NVD); 6.4 w CVSS 2.0 |
PoC dostępny publicznie? | TAK w sensie opisu: autor podlinkował w doradztwie dokument z opisem techniki SSRF; gotowego narzędzia nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 90%, w ostatnim ułamku procenta wszystkich luk (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): tak; wpływ techniczny: częściowy |
Umiarkowana ocena CVSS przy bardzo wysokim prawdopodobieństwie oznacza problem pewny, choć nie katastrofalny:
Sygnały zagrożenia dla CVE-2021-21311
CVSS 3.1 (GitHub, NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~90% ██████████████████░░ BARDZO WYSOKA
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
CISA KEV TAK ████████████████████ ataki potwierdzone
Wpływ techniczny częśc. ██████████░░░░░░░░░░ wyciek, nie zniszczenie 2021-02-07 Adminer 4.7.9 z poprawką
2021-02-10 Autor publikuje doradztwo GHSA-x5r2-hj5c-8jx6
2021-02-11 Publikacja CVE-2021-21311 w NVD
2021-03 Debian publikuje poprawione pakiety (LTS)
2025-09-29 CISA dodaje lukę do katalogu KEV
2025-10-20 Termin naprawy wg CISA dla agencji federalnych
2026-09-14 Najnowsze wydanie Adminera: 6.1.0
2026-09-17: TUTAJ JESTEŚMY Doradztwo autora z poprawką i obejściami: GHSA-x5r2-hj5c-8jx6 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-21311 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zadzwonić do osoby lub agencji opiekującej się serwisem z pytaniem o pliki Adminera | CTO | DZISIAJ |
2 | Zatwierdzić usunięcie wszystkich nieużywanych narzędzi administracyjnych z serwerów | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie na piśmie: liczba znalezionych i usuniętych plików | CTO | DO JUTRA |
4 | Zlecić przegląd logów pod kątem odwołań do tych plików | CTO | DO JUTRA |
5 | Dopisać do umów z agencjami obowiązek sprzątania narzędzi po pracach | CFO | DO JUTRA |
6 | Sprawdzić rachunek za chmurę pod kątem nietypowych zasobów | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę, jeśli logi wskażą wykorzystanie | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek serwerze jest plik Adminera i ile ich jest? | TAK / NIE, [liczba] | 🔴 |
2 | Jaką wersję i wariant (wszystkie sterowniki czy jeden) mają te pliki? | [wersja] | 🔴 |
3 | Czy którykolwiek z nich jest jeszcze używany? | TAK / NIE | 🔴 |
4 | Czy Adminer zainstalowano z pakietu systemowego i jaka jest wersja pakietu? | [wersja] | 🟠 |
5 | Czy dostęp do Adminera jest ograniczony hasłem i adresami IP? | TAK / NIE | 🟠 |
6 | Czy logi pokazują odwołania do plików Adminera z obcych adresów? | TAK / NIE, [data] | 🟠 |
7 | Czy serwer WWW może łączyć się z usługami wewnętrznymi i metadanymi chmury? | TAK / NIE | 🟡 |
CVE-2021-21311 w Adminerze od 4.0.0 do wersji starszych niż 4.7.9 pozwala bez logowania użyć serwera firmy jako posłańca do sieci wewnętrznej i wynieść wrażliwe informacje. Luka jest skanowana automatycznie, a CISA potwierdza ataki, więc wyszukanie i usunięcie zapomnianych plików Adminera to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.