Luka CVE-2024-21182 w Oracle WebLogic pozwala bez hasła wyciągnąć dane przez zapomniany port T3 lub IIOP. Łatka jest od lipca 2024, a CISA wpisała lukę do KEV dopiero w czerwcu 2026. Wyjaśniamy, co sprawdzić i dlaczego wyciek bywa droższy niż awaria.
W wielu firmach Oracle WebLogic Server działa gdzieś pod spodem: pod systemem zamówień, portalem dla kontrahentów albo modułem rozliczeń, o którym mówi się po prostu „ten stary system”. Luka CVE-2024-21182 pozwala obcej osobie wyciągnąć z takiego serwera dane bez hasła i bez niczyjego kliknięcia. Wystarczy, że dosięgnie portu obsługującego protokoły T3 lub IIOP. Poprawka jest dostępna od lipca 2024 roku. CISA potwierdziła aktywne ataki i 1 czerwca 2026 roku wpisała lukę do katalogu KEV.
W tym tekście skupiamy się na trzech sprawach, które zarząd powinien rozumieć: zapomnianych portach serwisowych, komunikatach producenta bez opisu błędu i tym, dlaczego wyciek danych bywa droższy niż awaria.
Amerykańska agencja CISA prowadzi katalog Known Exploited Vulnerabilities (KEV). Trafiają do niego tylko luki, dla których istnieją wiarygodne dowody wykorzystania w realnych atakach. 1 czerwca 2026 roku dopisała do niego lukę w Oracle WebLogic Server. Oracle załatał ją prawie dwa lata wcześniej, w kwartalnej aktualizacji Critical Patch Update z 16 lipca 2024 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-21182 |
Nazwa w katalogu CISA | Oracle WebLogic Server Unspecified Vulnerability (podatność nieokreślona) |
Data dodania do CISA KEV | 1 czerwca 2026 |
Termin naprawy dla agencji federalnych USA | 4 czerwca 2026 (3 dni) |
Produkt | Oracle WebLogic Server, rodzina Oracle Fusion Middleware, komponent Core |
Wersje zagrożone | 12.2.1.4.0 oraz 14.1.1.0.0 bez poprawek z lipca 2024 |
Wersje bezpieczne | 12.2.1.4.0 i 14.1.1.0.0 z poprawką z Critical Patch Update lipiec 2024 lub nowszą |
Typ podatności | Nieuprawniony odczyt danych przez protokoły T3 i IIOP; NVD: NVD-CWE-noinfo (brak klasy słabości) |
Ocena CVSS | 7.5/10 (WYSOKA), wektor AV:N/AC:L/PR:N/UI:N, wpływ tylko na poufność |
Wykorzystanie w ransomware | Nieznane (flaga w KEV: Unknown) |
Oracle ocenia bezpieczeństwo tylko wersji, które nadal wspiera. Starsze wydania, na przykład 12.1.3 czy 12.2.1.3, nie są w biuletynie wymienione. To wcale nie znaczy, że są bezpieczne. Po prostu nikt ich już nie sprawdza i nikt ich nie łata.
Opis „unspecified” łatwo uznać za sygnał, że sprawa jest niepewna. Tak nie jest. Żeby ocenić pilność, nie trzeba znać mechanizmu błędu. Wystarczą trzy pytania:
Pytanie kontrolne | Odpowiedź dla CVE-2024-21182 | Co to oznacza |
|---|---|---|
Czy atak wymaga hasła? | NIE (PR:N) | Napastnik nie musi niczego wykraść ani zgadnąć |
Czy wymaga udziału pracownika? | NIE (UI:N) | Szkolenia z phishingu tu nie pomogą |
Czy ktoś już atakuje? | TAK (wpis w KEV) | To realne zagrożenie, a nie teoria |
Słowniczek: CISA KEV to lista luk z potwierdzonymi atakami, prowadzona przez amerykańską agencję ds. cyberbezpieczeństwa. Wpis do niej oznacza, że atak dzieje się naprawdę, a nie tylko w teorii.
Wyobraź sobie hurtownię. Wejście dla klientów jest pilnowane, a kasy są na widoku. Z tyłu są jednak drzwi dla dostawców, które ktoś kiedyś zaklinował gaśnicą, żeby kurier nie musiał dzwonić. Kurier dawno już nie przyjeżdża, ale drzwi dalej stoją otwarte, bo nikt nie pamięta, czy coś od nich nie zależy.
Tą luką atakujący wchodzi właśnie takimi drzwiami. Niczego nie psuje i niczego nie przestawia. Idzie do archiwum, kopiuje segregatory i wychodzi. Rano wszystko stoi na swoim miejscu, a alarm milczy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kto może rozmawiać z serwerem przez T3/IIOP | Tylko inne serwery firmy | Każdy, kto dosięgnie portu z internetu lub sieci |
Czy potrzebne jest hasło | Tak, dostęp do danych wymaga uprawnień | Nie, atak działa bez logowania |
Czy potrzebny jest błąd pracownika | Nie dotyczy | Nie, nikt nie musi niczego klikać |
Co widzi monitoring | Normalną pracę | Też normalną pracę, bo serwer dalej działa |
Kto kontroluje dane | Firma | Firma i napastnik, który ma ich kopię |
Czy pomoże kopia zapasowa | Nie jest potrzebna | Nie, bo nic nie zostało uszkodzone, tylko skopiowane |
Słowniczek: T3 i IIOP to „służbowe” protokoły, którymi WebLogic rozmawia z innymi serwerami i aplikacjami. Użytkownik w przeglądarce ich nie widzi, bo jego ruch idzie przez HTTP.
Słowniczek: Podatność nieokreślona to określenie używane, gdy producent opisuje skutek błędu, ale celowo nie ujawnia, na czym ten błąd polega, żeby nie dawać gotowej instrukcji atakującym.
Mogę Ci jakoś pomóc?
Mechanizmu ataku Oracle nie opisał. Pod koniec grudnia 2024 roku na GitHubie pojawił się jednak publiczny kod demonstracyjny (PoC). Zachodnioaustralijskie centrum SOC opisało go w komunikacie z 2 stycznia 2025 roku. Autorzy części publicznych analiz łączą ten kod z techniką JNDI injection wykonywaną przez T3/IIOP. Producent tego nie potwierdził, więc traktujemy to jako hipotezę badaczy.
Z oficjalnego opisu wynika tyle: atak przychodzi z sieci, nie wymaga konta ani udziału użytkownika i jest łatwy do wykonania. To oznacza, że da się go w pełni zautomatyzować. CISA oznaczyła go w swojej ocenie jako możliwy do automatyzacji.
Timeline ataku:
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu otwartych portów WebLogic (domyślnie 7001) odpowiadających na T3/IIOP | Lista potencjalnych celów |
2 | T+2 min | Rozpoznanie wersji serwera na podstawie odpowiedzi protokołu | Wybór serwerów 12.2.1.4.0 i 14.1.1.0.0 bez łatek |
3 | T+5 min | Wysłanie spreparowanego żądania T3 lub IIOP, bez logowania | Serwer wykonuje operację, której nie powinien |
4 | T+10 min | Odczyt danych dostępnych dla WebLogic: konfiguracji, danych aplikacji, poświadczeń do baz | Kopia danych po stronie napastnika |
5 | T+30 min i później | Użycie przejętych haseł i danych do dalszego ataku lub szantażu | Wyciek, wyłudzenie, ewentualny kolejny etap włamania |
Czasy w tabeli są poglądowe. Pokazują za to rzecz najważniejszą: od znalezienia serwera do wyniesienia danych nie musi upłynąć nawet godzina, a po drodze nie ma żadnego kroku, na którym musiałby się pomylić człowiek.
Konkretne scenariusze zagrożenia:
Ocena 7.5 wygląda łagodniej niż 9.8, które dostają luki pozwalające przejąć serwer. Kłopot polega na tym, że cała waga tej luki leży w poufności. Wyciek nie zatrzymuje produkcji, więc często nikt go nie zauważa przez tygodnie. Awaria kosztuje przestój, który da się policzyć i przetrwać. Wyciek danych uruchamia obowiązki prawne i zostawia ślad, który wraca w każdej ankiecie bezpieczeństwa od dużego klienta.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zwykle brak przestoju; koszt to czas zespołu na analizę i łatanie w trybie awaryjnym | Dni | 20 000 - 80 000 PLN |
Bezpieczeństwo danych | Kopia danych klientów, cenników, poświadczeń do innych systemów | Minuty po trafieniu | 100 000 - 500 000 PLN (analiza powłamaniowa, zmiana haseł, powiadomienia) |
Finansowy | Utrata kontraktów przez przejęcie warunków handlowych, próby szantażu | Tygodnie | 5 - 15% przychodu od zagrożonych klientów |
Reputacyjny | Obowiązek powiadomienia klientów, pytania w przetargach i audytach dostawców | Tygodnie - lata | Odejście 5 - 20% klientów wrażliwych na bezpieczeństwo |
Prawny | Zgłoszenie do UODO w 72 h, możliwe kary RODO i roszczenia | Miesiące | Kary RODO do 20 mln EUR lub 4% rocznego obrotu |
Kwoty w tabeli to szacunki poglądowe dla małej lub średniej firmy, a nie dane z konkretnego incydentu. Jedynym faktem prawnym jest pułap kar z RODO.
Macierz ryzyka (CVE-2024-21182 dla serwera z portem T3/IIOP dostępnym z internetu):
Wpływ
5 | . . . . .
4 | . . . . ■ <- CVE-2024-21182 (wyciek danych, ataki potwierdzone)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Wpływ 4: poufność WYSOKA, integralność i dostępność bez zmian
Prawdopodobieństwo 5: publiczny PoC, wpis w KEV, EPSS ok. 74%
Jeśli port T3/IIOP jest dostępny tylko z sieci wewnętrznej: prawdopodobieństwo 2-3 Matryca decyzyjna dla zarządu:
Mogę Ci jakoś pomóc?
Sytuacja w firmie | Poziom ryzyka | Decyzja |
|---|---|---|
WebLogic 12.2.1.4.0 lub 14.1.1.0.0 bez łatek, port T3/IIOP otwarty na internet | 🔴 KRYTYCZNE | Blokada portu dzisiaj, poprawka do jutra, analiza możliwego wycieku |
Wersja bez łatek, port dostępny tylko z sieci wewnętrznej | 🟠 WYSOKIE | Poprawka w najbliższym oknie serwisowym, filtr połączeń do tego czasu |
Wersja bez wsparcia (12.2.1.3 lub starsza) | 🔴 KRYTYCZNE | Izolacja serwera i plan migracji, bo łatki nie będzie |
Poprawki z lipca 2024 lub nowsze, T3/IIOP filtrowane | 🟡 KONTROLOWANE | Potwierdzenie na piśmie i regularne kwartalne łatanie |
Brak WebLogic w firmie (potwierdzone spisem systemów) | 🟢 BRAK | Zapisać w rejestrze i zamknąć temat |
Słowniczek: EPSS to prognoza statystyczna, która szacuje szansę wykorzystania luki w ciągu 30 dni. Dla CVE-2024-21182 wynosiła 13 września 2026 roku około 74%, co daje tej luce miejsce w górnym 1% wszystkich znanych podatności.
Oracle nie wydał nowej wersji produktu, tylko poprawkę w ramach kwartalnego Critical Patch Update. Pakiety poprawek WebLogic są kumulatywne. Wgranie najnowszego dostępnego pakietu obejmuje więc również lipcową poprawkę z 2024 roku.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Sprawdzenie, czy z internetu da się połączyć z portami WebLogic (domyślnie 7001, 7002 i porty kanałów T3/IIOP) | Dzisiaj | IT Security | ☐ |
🔴 NATYCHMIAST | Zablokowanie T3 i IIOP z sieci niezaufanych: firewall oraz filtr połączeń WebLogic (connection filter) | Dzisiaj | Administrator WebLogic | ☐ |
🔴 NATYCHMIAST | Wgranie najnowszego pakietu poprawek WebLogic dla 12.2.1.4.0 lub 14.1.1.0.0 (co najmniej z CPU lipiec 2024) | Do jutra | IT Manager z dostawcą systemu | ☐ |
🟠 PILNIE | Wyłączenie IIOP tam, gdzie żadna integracja go nie używa | 48 h | Administrator WebLogic | ☐ |
🟠 PILNIE | Przegląd logów pod kątem nietypowych połączeń T3/IIOP z adresów zewnętrznych od lipca 2024 | 24-72 h | Incident Response | ☐ |
🟠 PILNIE | Zmiana haseł do baz danych i kont technicznych zapisanych w konfiguracji WebLogic, jeśli port był otwarty | 72 h | Administrator baz danych | ☐ |
🟡 WAŻNIE | Plan migracji z wersji bez wsparcia (12.1.3, 12.2.1.3 i starszych) | W ciągu miesiąca | CTO | ☐ |
Jeśli aktualizacja nie jest dostępna:
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada T3/IIOP na firewallu dla ruchu z internetu | 90-95% (zostaje ryzyko z sieci wewnętrznej) | Wysoka |
Filtr połączeń WebLogic dopuszczający T3/IIOP tylko z adresów znanych serwerów | 85-95% | Średnia |
Wyłączenie IIOP w konsoli, jeśli nie jest używany | Wysoka dla IIOP, T3 nadal wymaga filtrowania | Wysoka |
Izolacja serwera w osobnym segmencie sieci | 95-99% | Niska |
Reguły IPS/WAF | Ograniczona, bo WAF zwykle chroni HTTP, nie T3/IIOP | Średnia |
Wartości efektywności to orientacyjne szacunki poglądowe. Żadna z tych miar nie zastępuje poprawki od Oracle.
Przed i po wdrożeniu działań:
Obszar | Przed | Po |
|---|---|---|
Port T3/IIOP | Otwarty na świat „od wdrożenia” | Dostępny tylko z adresów znanych serwerów |
Poprawki Oracle | Ostatnia wgrana nie wiadomo kiedy | Pakiet z bieżącego kwartału, potwierdzony przez OPatch |
Odpowiedzialność | „Chyba dostawca się tym zajmuje” | Nazwisko osoby i zapis w umowie |
Hasła w konfiguracji | Te same od lat | Zmienione po zamknięciu portu |
Wiedza zarządu | Brak | Pisemna odpowiedź na trzy pytania z sekcji 8 |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK, potwierdzenie CISA (wpis do KEV 1 czerwca 2026) |
Grupy przestępcze | Brak publicznie potwierdzonych danych |
Kampanie ransomware | Brak publicznie potwierdzonych danych (KEV: Unknown) |
Ocena CVSS | 7.5/10 (WYSOKA), wpływ wyłącznie na poufność |
PoC dostępny publicznie? | TAK, od końca grudnia 2024 (GitHub) |
Liczba atakowanych firm | Brak publicznie potwierdzonych danych |
EPSS (13.09.2026) | ok. 74%, percentyl 99,5 |
Inne luki WebLogic w KEV | Kilkanaście, m.in. CVE-2020-14882, CVE-2020-2883, CVE-2023-21839 |
Ta historia wygląda podobnie jak wiele wcześniejszych. Starsze luki WebLogic trafiały do KEV latami po wydaniu poprawki, a część z nich (CVE-2017-10271, CVE-2019-2725) ma w katalogu potwierdzone użycie w kampaniach ransomware. Przy CVE-2024-21182 takiego potwierdzenia na razie nie ma.
Linia czasu incydentu:
2024-07-16: Oracle publikuje Critical Patch Update (386 poprawek, 41 dla Fusion Middleware)
2024-07-16: Publikacja CVE-2024-21182 w NVD, CVSS 7.5
2024-12-xx: Publiczny kod PoC na GitHubie (koniec grudnia 2024)
2025-01-02: CISA w ocenie SSVC oznacza wykorzystanie jako aktywne i automatyzowalne
2025-01-02: Komunikat WA SOC o publicznym PoC
2026-06-01: CISA dopisuje CVE-2024-21182 do katalogu KEV
2026-06-04: Termin naprawy dla agencji federalnych USA
2026-09-14: TUTAJ JESTEŚMY - ponad 2 lata od łatki, sprawdź serwery natychmiast!
Mogę Ci jakoś pomóc?
Najbardziej niepokoi odstęp między datami. Rekord w NVD zawiera ocenę CISA z 2 stycznia 2025 roku, w której wykorzystanie oznaczono jako aktywne. Formalny wpis do KEV pojawił się dopiero 17 miesięcy później. Samo to, że luki nie ma w KEV, nie znaczy więc, że nikt jej nie atakuje.
Z lipcowego biuletynu Oracle warto zapamiętać jeszcze jedną liczbę: 32 z 41 poprawek dla Fusion Middleware dotyczyły błędów, które da się wykorzystać zdalnie bez logowania. Ta sama aktualizacja łatała też CVE-2024-21181, lukę w WebLogic przez T3/IIOP z oceną 9.8. Jedno wgranie poprawki zamyka więc kilka poważnych problemów naraz.
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać aktualny pakiet poprawek WebLogic przez My Oracle Support; biuletyn: https://www.oracle.com/security-alerts/cpujul2024.html | IT Manager | DZISIAJ |
☐ | Potwierdzić blokadę T3/IIOP z internetu testem z zewnętrznego adresu | IT Security | DZISIAJ |
☐ | Przetestować poprawkę w środowisku testowym razem z dostawcą aplikacji | QA i dostawca systemu | DZISIAJ |
☐ | Zakomunikować okno serwisowe użytkownikom systemu | Project Manager | DZISIAJ |
☐ | Wdrożyć poprawkę na produkcji | DevOps | DO JUTRA |
☐ | Sprawdzić logi dostępu i ruch sieciowy pod kątem połączeń T3/IIOP z nieznanych adresów | SOC | DO JUTRA |
☐ | Potwierdzić wersję poprawki komendą OPatch i zapisać wynik w rejestrze systemów | IT Manager | DO JUTRA |
☐ | Ocenić, czy doszło do wycieku danych osobowych, i w razie potrzeby zgłosić go do UODO w 72 h | Inspektor ochrony danych | Po analizie logów |
Źródła do weryfikacji: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-21182 oraz https://nvd.nist.gov/vuln/detail/CVE-2024-21182
Główna lekcja z tej luki jest organizacyjna. Firma, która nie ma spisu systemów z wersjami i osobami odpowiedzialnymi, przy każdym takim alarmie traci dni na samo ustalenie, czy problem jej dotyczy. Wystarczy tabela z czterema kolumnami: system, wersja, kto utrzymuje i do kiedy ma wsparcie.
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy którykolwiek nasz system działa na Oracle WebLogic Server 12.2.1.4.0 lub 14.1.1.0.0? | TAK / NIE | 🔴 |
2 | Jaki pakiet poprawek WebLogic jest zainstalowany i z którego kwartału pochodzi? | Wynik OPatch lsinventory | 🔴 |
3 | Czy port 7001 lub inny port T3/IIOP jest osiągalny z internetu? | TAK / NIE | 🔴 |
4 | Czy mamy WebLogic w wersjach bez wsparcia, np. 12.1.3 lub 12.2.1.3? | TAK / NIE | 🟠 |
5 | Kto odpowiada za łatanie WebLogic: my czy firma wdrożeniowa, i czy mamy to w umowie? | Nazwa firmy lub osoby | 🟠 |
6 | Czy logujemy połączenia do serwera aplikacyjnego i jak długo trzymamy logi? | Liczba dni | 🟠 |
7 | Jakie dane i hasła do innych systemów są dostępne dla serwera WebLogic? | Lista | 🟡 |
8 | Czy mamy procedurę zgłoszenia naruszenia danych w 72 h? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Trzy odpowiedzi na piśmie wystarczą, żeby wiedzieć, na czym stoisz: czy mamy WebLogic w zagrożonej wersji, kiedy wgraliśmy ostatnią kwartalną poprawkę Oracle i kto spoza firmy może dziś połączyć się z portem serwera. Poprawka wgrana w spokoju to jedno zaplanowane okno serwisowe. Poprawka wgrana pod presją to zwykle stracony weekend.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.