Jeśli klucz bezpieczeństwa instalacji Craft CMS wyciekł, napastnik może przez tę lukę wykonać kod na serwerze strony. CISA potwierdza ataki. Zaktualizuj do 4.13.8 lub 5.5.8 i wymień klucz, jeśli miało do niego dostęp wiele osób.
Ten alert jest dla zarządu, CTO i CFO firm, których strona lub katalog produktów działa na Craft CMS, zwłaszcza gdy stronę budowała agencja, a projekt przeszedł przez ręce kilku wykonawców. Werdykt: jeśli Craft CMS ma wersję starszą niż 4.13.8 (linia 4) lub 5.5.8 (linia 5), zaktualizuj go i wymień klucz bezpieczeństwa w ciągu kilku dni, bo przy wycieku tego klucza luka pozwala przejąć serwer, a CISA potwierdza jej wykorzystywanie.
Amerykańska agencja CISA 20 lutego 2025 roku dopisała podatność CVE-2025-23209 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. CISA opisuje ją jako wstrzyknięcie kodu wynikające z niepoprawnego sprawdzenia ścieżki kopii zapasowej bazy danych, prowadzące do zdalnego wykonania kodu.
Każda instalacja Craft CMS ma klucz bezpieczeństwa, którym system podpisuje wydawane dane. Luka działa tylko wtedy, gdy ten klucz wyciekł. Kto go zna, może wykonać własny kod na serwerze strony. Producent podaje dwie drogi: aktualizację albo, gdy aktualizacja jest niemożliwa, wymianę kluczy i dopilnowanie, by pozostały poufne.
Termin naprawy wyznaczony przez CISA minął 13 marca 2025 roku, półtora roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-23209 |
Data dodania do CISA KEV | 2025-02-20 |
Termin naprawy wg CISA | 2025-03-13 (21 dni od wpisu) |
Produkt | Craft CMS (system zarządzania treścią stron internetowych) |
Wersje zagrożone | Craft 4 poniżej 4.13.8 i Craft 5 poniżej 5.5.8, łącznie z wydaniami testowymi (RC). Warunek: klucz bezpieczeństwa instalacji jest znany napastnikowi |
Wersje bezpieczne | Craft 4.13.8 i 5.5.8 oraz nowsze; najnowsze wydania: 4.18.8 i 5.11.1 (wrzesień 2026) |
Typ podatności | Wstrzyknięcie kodu (zdalne wykonanie kodu); CWE-94 |
Ocena CVSS | NVD: 8.1 WYSOKA (CVSS 3.1, bez uprawnień i udziału użytkownika, wysoka złożoność). GitHub: 8.0 WYSOKA (CVSS 3.1, niskie uprawnienia, udział użytkownika, zmiana zakresu). Obie: pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie firmę, która przyjmuje tylko dokumenty z własną pieczęcią lakową. Urzędnik nie czyta treści, tylko sprawdza pieczęć: jest prawdziwa, więc dokument wykonuje. Stempel powinien leżeć w sejfie. Przez lata jednak kolejni pracownicy agencji dostawali jego kopię „do pracy”, a jedna z nich została u byłego wykonawcy. Kto ma stempel, wystawia dowolne polecenie, które firma uzna za własne.
Tak działa ta luka. Klucz bezpieczeństwa Craft CMS to pieczęć, którą strona oznacza swoje dane. Jeśli klucz wyciekł, napastnik może przygotować dane, które system uzna za autentyczne, i przez błąd w obsłudze ścieżki kopii bazy doprowadzić do wykonania kodu na serwerze. Wyciek klucza nie zostawia śladu, więc firma zwykle nie wie, czy do niego doszło.
💡 Klucz bezpieczeństwa (security key) to tajny ciąg znaków, którym Craft CMS podpisuje dane, żeby rozpoznać, że nie zostały zmienione. Repozytorium kodu to miejsce przechowywania plików projektu wraz z historią zmian. Wstrzyknięcie kodu to przemycenie poleceń w danych, które program powinien tylko zapisać. Rotacja klucza to wymiana klucza na nowy, która unieważnia stary.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klucz zna tylko serwer | Luka nie działa | Luka nie działa |
Klucz w repozytorium, u byłych wykonawców, w kopiach | Ryzyko ukryte | Każdy z dostępem może przejąć serwer |
Ścieżka kopii zapasowej bazy | Traktowana jako ścieżka | Może zawierać polecenia do wykonania |
Wymiana klucza bez aktualizacji | Unieważnia stare podpisy | Chroni do następnego wycieku |
Aktualizacja bez wymiany klucza | Usuwa błąd | Klucz nadal daje inne możliwości podszywania się |
źródło: Pexels, Anna TarazevichPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga wcześniejszego zdobycia klucza bezpieczeństwa, więc zaczyna się od jego pozyskania, a nie od skanowania. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie klucza | T+0 | Przejęcie repozytorium, laptopa byłego wykonawcy, kopii strony z poczty lub wycieku z innego ataku | Klucz bezpieczeństwa instalacji |
2. Rozpoznanie | T+godziny | Ustalenie adresu i wersji Craft CMS | Potwierdzony cel |
3. Przygotowanie danych | T+godziny | Spreparowanie podpisanych danych z poleceniem w ścieżce kopii bazy | Dane uznane przez system za autentyczne |
4. Wykonanie kodu | T+minuty | Wysłanie danych do strony | Kod napastnika działa na serwerze |
5. Utrwalenie | T+godzina | Instalacja ukrytego pliku z dostępem | Stała kontrola nad stroną |
6. Skutek | T+dni do tygodni | Spam, obce treści, przekierowania, kradzież danych z formularzy | Domena na listach blokujących, utrata klientów |
Mogę Ci jakoś pomóc?
Klucz bezpieczeństwa z czasem rozchodzi się po ludziach i firmach, którzy pracowali nad stroną. Wyciek nie zostawia śladu, a luka zamienia go w przejęcie serwera. Skutki często uderzają nie w samą stronę, ale w domenę i pocztę firmy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie lub odbudowa serwera, wymiana kluczy i haseł | Dni | 10 tys. do 80 tys. PLN |
Bezpieczeństwo danych | Wyciek danych z formularzy, bazy klientów i kont użytkowników | Dni od przejęcia | 10 tys. do 100 tys. PLN (analiza, powiadomienia) |
Finansowy | Utracone zapytania, poczta blokowana u klientów, koszty specjalistów | Tygodnie | 20 tys. do 300 tys. PLN |
Reputacyjny | Domena na listach blokujących, ostrzeżenia w przeglądarkach | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Craft CMS przed 4.13.8 / 5.5.8
Wpływ
5 | . ■ . . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (wykonanie kodu i przejęcie serwera), a prawdopodobieństwo niskie dla strony, której klucz zna tylko serwer; jeśli klucz leżał w repozytorium, kopiach lub u byłych wykonawców, prawdopodobieństwo trzeba ocenić jako wysokie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w panelu wersję Craft CMS | Dziś | Administrator strony / agencja |
2 | 🔴 NATYCHMIAST | Spisać, kto przez cały okres życia strony miał dostęp do plików projektu i kopii | Dziś | CTO |
3 | 🟠 PILNIE | Zaktualizować Craft CMS do najnowszej wersji w linii 4 lub 5 (co najmniej 4.13.8 lub 5.5.8) | Do 3 dni | Agencja |
4 | 🟠 PILNIE | Wymienić klucz bezpieczeństwa instalacji i przechowywać go tylko na serwerze (zalecenie producenta) | Do 3 dni | Agencja / administrator |
5 | 🟠 PILNIE | Usunąć klucz i inne sekrety z repozytorium i jego historii, odebrać dostęp byłym wykonawcom | Do 7 dni | Agencja / CTO |
6 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych plików i sprawdzić, czy domena nie jest na listach blokujących | Do 7 dni | Agencja / zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: sekrety nigdy w repozytorium, kopiach wysyłanych mailem ani w zgłoszeniach serwisowych | Do 30 dni | CTO |
Producent wydał poprawki w wersjach 4.13.8 i 5.5.8 i jako obejście wskazuje wymianę kluczy bezpieczeństwa z zachowaniem ich poufności. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana klucza bezpieczeństwa i utrzymanie go w tajemnicy (zalecenie producenta) | Wysoka do czasu kolejnego wycieku | Łatwa |
Usunięcie klucza z repozytorium i historii zmian | Wysoka wobec przyszłych wycieków | Średnia |
Odebranie dostępu do plików projektu byłym wykonawcom | Średnia do wysokiej | Łatwa |
Monitorowanie zmian plików na serwerze strony | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Klucz bezpieczeństwa | Znany wielu osobom, w repozytorium i kopiach | Nowy, tylko na serwerze |
Wersja Craft CMS | Sprzed poprawki | 4.13.8 lub 5.5.8 i nowsze |
Dostęp do plików projektu | Obecni i byli wykonawcy | Tylko aktualny wykonawca |
Wiedza o przejęciu | Brak | Sprawdzony serwer i domena |
Zgodność z terminem CISA | Zaległość od 13 marca 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); atak nieautomatyzowalny, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA (NVD, CVSS 3.1); 8.0 WYSOKA (GitHub, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 0,218, percentyl 0,974 (wg analizy źródłowej) |
Inne rejestry | Europejska baza ENISA: EUVD-2025-0208, z błędnie wpisanym dostawcą i inną granicą wersji dla linii 5; wersję sprawdzaj u producenta |
Sygnały zagrożenia dla CVE-2025-23209
CVSS 3.1 (NVD) 8.1/10 ████████████████░░░░ WYSOKA
CVSS 3.1 (GitHub) 8.0/10 ████████████████░░░░ WYSOKA
EPSS (wg źródła) ~22% ████░░░░░░░░░░░░░░░░ percentyl 97
CISA KEV TAK ████████████████████ ataki potwierdzone
Warunek ataku klucz ██████████░░░░░░░░░░ wyciek klucza strony
Mogę Ci jakoś pomóc?
2025-01-18 Publikacja CVE-2025-23209, poprawki 4.13.8 i 5.5.8
2025-02-20 CISA dodaje lukę do katalogu KEV
2025-02-21 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2025-03-13 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... półtora roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: GHSA-x684-96hh-833x . Zalecenia dotyczące kluczy: Craft CMS, Keep your secrets secret . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-23209 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać agencję: jaka wersja Craft CMS działa na stronie | CTO | DZISIAJ |
2 | Spisać wszystkie firmy i osoby, które miały dostęp do plików strony | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację i wymianę klucza bezpieczeństwa | CTO | DO JUTRA |
4 | Zlecić odebranie dostępu byłym wykonawcom do repozytorium i serwera | CTO | DO JUTRA |
5 | Sprawdzić, czy domena firmy nie trafiła na listy blokujące pocztę | CTO | DO JUTRA |
6 | Przejrzeć umowę serwisową: kto odpowiada za aktualizacje i przechowywanie sekretów | CFO | DO JUTRA |
7 | Zarezerwować budżet na aktualizację i ewentualne czyszczenie serwera | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka dokładnie wersja Craft CMS działa na naszej stronie? | [wersja] | 🔴 |
2 | Czy klucz bezpieczeństwa był kiedykolwiek w repozytorium, kopiach lub mailach? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio wymieniono klucz bezpieczeństwa? | [data] | 🔴 |
4 | Ile osób i firm ma lub miało dostęp do plików projektu? | [liczba] | 🟠 |
5 | Czy na serwerze strony są nieznane pliki lub nietypowe zmiany? | TAK / NIE | 🟠 |
6 | Czy domena firmy jest na którejś liście blokującej? | TAK / NIE | 🟡 |
7 | Kto u wykonawcy odpowiada za aktualizacje Craft CMS? | [osoba] | 🟡 |
CVE-2025-23209 pozwala przejąć serwer strony na Craft CMS, jeśli wcześniej wyciekł klucz bezpieczeństwa instalacji. CISA potwierdza ataki, a producent wydał poprawki w wersjach 4.13.8 i 5.5.8 oraz wskazał wymianę klucza jako obejście. Najrozsądniej zrobić obie rzeczy: zaktualizować system i wymienić klucz, zwłaszcza gdy nad stroną pracowało wielu wykonawców.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.