Błąd w obsłudze licencji serwera wymiany plików GoAnywhere MFT pozwala wykonać polecenia bez logowania. CISA potwierdza użycie w ransomware, Microsoft wskazuje grupę Storm-1175. Zaktualizuj do 7.8.4 lub 7.6.3 i ukryj konsolę.
Ten alert jest dla zarządu, CTO i CFO firm, które wymieniają pliki z kontrahentami przez serwer Fortra GoAnywhere MFT (także u partnera IT). Werdykt: jeśli GoAnywhere działa w wersji starszej niż 7.8.4 (lub 7.6.3 na gałęzi Sustain), zaktualizuj go i ukryj konsolę administracyjną przed internetem NATYCHMIAST, bo luka jest używana w atakach ransomware.
Amerykańska agencja CISA 29 września 2025 roku dopisała podatność CVE-2025-10035 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i oznaczyła ją jako używaną w kampaniach ransomware. Błąd dotyczy modułu licencji (License Servlet) w serwerze wymiany plików GoAnywhere MFT. Napastnik z poprawnie podrobionym podpisem odpowiedzi licencyjnej może podsunąć serwerowi własne dane, które ten rozpakuje, co może prowadzić do wykonania poleceń na serwerze.
Microsoft przypisał wykorzystanie grupie Storm-1175, która po włamaniu wdrażała ransomware Medusa. Najwcześniejsze zaobserwowane użycie to 11 września 2025 roku, tydzień przed publikacją CVE. Termin naprawy wg CISA minął 20 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-10035 (biuletyn Fortra FI-2025-012) |
Data dodania do CISA KEV | 2025-09-29 |
Termin naprawy wg CISA | 2025-10-20 (21 dni od wpisu) |
Produkt | Fortra GoAnywhere MFT (serwer zarządzanej wymiany plików), moduł License Servlet; Linux, Windows, macOS |
Wersje zagrożone | Wg Fortra: wszystkie do 7.8.3 włącznie. Wg NVD: starsze niż 7.6.3 oraz od 7.7.0 do przed 7.8.4. Wykorzystanie w dużym stopniu zależy od tego, czy konsola administracyjna jest dostępna z internetu |
Wersje bezpieczne | 7.8.4 (wydanie główne) lub 7.6.3 (Sustain Release) i nowsze. Zalecenie: najnowsze wydanie dostępne u producenta |
Typ podatności | Deserializacja niezaufanych danych prowadząca do wstrzyknięcia polecenia; CWE-502 i CWE-77 |
Ocena CVSS | Fortra: 10.0 (CVSS 3.1, KRYTYCZNA, skutki poza serwerem). NVD: 9.8 (CVSS 3.1, KRYTYCZNA, skutki w granicach serwera). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie kancelarię, która wykonuje dyspozycje z pism opatrzonych pieczęcią zaufanej instytucji. Pieczęć jest dowodem, że pismo jest prawdziwe, więc nikt nie czyta treści krytycznie. Kto podrobi pieczęć, może wpisać w pismo dowolne polecenie: „wydać wszystkie akta”, „przekazać klucze do archiwum”. Zostanie ono wykonane.
Tak działała ta luka. GoAnywhere okresowo przyjmuje odpowiedź potwierdzającą ważność licencji, podpisaną cyfrowo. Napastnik z poprawnie podrobionym podpisem podsuwał serwerowi własną treść, a serwer ją rozpakowywał jak zaufane dane i w efekcie mógł wykonać polecenia napastnika. Serwer wymiany plików z natury jest widoczny z internetu, bo korzystają z niego kontrahenci, a leżą na nim uporządkowane, świeże i często cudze dokumenty.
💡 MFT (Managed File Transfer) to serwer do bezpiecznej wymiany dużych lub poufnych plików z kontrahentami, z kontrolą, kto co pobrał. Deserializacja to odtwarzanie obiektu programu z przesłanych danych; gdy dane pochodzą od napastnika, może uruchomić jego kod. Konsola administracyjna to panel do zarządzania serwerem. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer przyjmuje odpowiedź licencyjną | Sprawdza podpis i treść | Przyjmuje treść napastnika z podrobionym podpisem |
Napastnik bez konta łączy się z serwerem | Nie ma dostępu | Może wykonać polecenia na serwerze |
Pliki kontrahentów na serwerze | Dostępne tylko uprawnionym | Do skopiowania i zaszyfrowania |
Kopie zapasowe | Pozwalają odtworzyć dane po ataku | Nie chronią przed ujawnieniem już wykradzionych plików |
Konsola administracyjna widoczna z internetu | Wygoda administracji | Główny warunek skutecznego ataku |
źródło: Pexels, Anna TarazevichPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie działań grupy Storm-1175 przez Microsoft. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwer i jego konsola są często dostępne z internetu, więc atak nie wymaga wcześniejszego dostępu do firmy. CISA ocenia, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów GoAnywhere z konsolą dostępną z internetu | Lista celów |
2. Przejęcie | T+minuty | Wysłanie odpowiedzi licencyjnej z podrobionym podpisem i złośliwym obiektem | Polecenia napastnika wykonane na serwerze |
3. Utrwalenie | T+godziny | Instalacja zwykłych narzędzi do zdalnego zarządzania, takich jak używane przez firmy IT | Stały, trudny do wykrycia dostęp |
4. Rozpoznanie sieci | T+1 do 3 dni | Skanowanie sieci, przechodzenie na inne serwery przez pulpit zdalny Windows | Mapa zasobów firmy |
5. Kradzież danych | T+dni | Kopiowanie plików do chmury popularnym narzędziem do synchronizacji | Dane firmy i kontrahentów poza organizacją |
6. Szantaż | T+dni do tygodni | Szyfrowanie ransomware Medusa i żądanie okupu z groźbą publikacji | Przestój i podwójne wymuszenie |
Serwer wymiany plików skupia w jednym miejscu to, czego napastnik zwykle szuka w całej firmie. Jego przejęcie uderza podwójnie: w dane własne i w dane kontrahentów, którzy powierzyli je firmie. Potwierdzone użycie w ransomware i prognoza EPSS powyżej 99% oznaczają, że niezałatany serwer jest aktywnie wyszukiwany.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, wstrzymana wymiana plików z kontrahentami, zatrzymana produkcja lub obsługa | Dni do tygodni od wejścia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek plików własnych i kontrahentów, w tym danych osobowych | Dni od wejścia | 40 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, kary umowne wobec kontrahentów, koszty specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania partnerów, których dane wyciekły, publikacja danych przez grupę | Miesiące | 50 tys. do 600 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w 72 godziny, powiadomienie osób i kontrahentów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; roszczenia partnerów | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z GoAnywhere MFT starszym niż 7.8.4
i konsolą dostępną z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka nie wymaga logowania, jest zautomatyzowana, potwierdzona w ransomware, a EPSS przekracza 99%; jeśli konsola administracyjna nie jest dostępna z internetu, prawdopodobieństwo wyraźnie spada, ale aktualizacja pozostaje konieczna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy konsola administracyjna GoAnywhere jest dostępna z internetu, i zablokować do niej dostęp z zewnątrz (zalecenie producenta) | Dziś | Administrator serwera / sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję GoAnywhere MFT | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Zaktualizować do 7.8.4 lub 7.6.3 (Sustain) albo nowszej | Dziś do 2 dni | Administrator serwera / partner IT |
4 | 🟠 PILNIE | Przejrzeć serwer pod kątem nieznanych kont, zainstalowanych narzędzi do zdalnego zarządzania i nietypowych połączeń od września 2025 | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić logi ruchu wychodzącego pod kątem dużych transferów do chmury | Do 7 dni | Dział IT |
6 | 🟠 PILNIE | Zmienić hasła administratorów GoAnywhere i kont serwisowych | Po aktualizacji | Administrator serwera |
7 | 🟡 WAŻNIE | Wdrożyć alerty na nietypowe transfery danych na zewnątrz i ochronę stacji w trybie blokującym | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Ustalić, jakie dane kontrahentów leżą na serwerze i jak długo są przechowywane; usunąć zbędne | Do 30 dni | CTO / inspektor ochrony danych |
Fortra wydała poprawione wersje 7.8.4 i 7.6.3 we wrześniu 2025 roku. Do czasu aktualizacji producent zaleca jedno: natychmiast upewnić się, że konsola administracyjna nie jest dostępna publicznie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do konsoli administracyjnej z internetu (zalecenie producenta) | Wysoka: wykorzystanie w dużym stopniu zależy od publicznej dostępności | Łatwa do średniej |
Dostęp do konsoli tylko przez VPN lub z listy zaufanych adresów | Wysoka | Średnia |
Ochrona stacji i serwerów w trybie blokującym (zalecenie Microsoft) | Średnia: utrudnia kolejne etapy ataku | Średnia |
Monitorowanie ruchu wychodzącego i alerty na duże transfery | Niska jako ochrona, wysoka dla wykrycia kradzieży | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Konsola administracyjna | Widoczna z internetu | Dostępna tylko z sieci firmy lub VPN |
Wersja GoAnywhere | Podatna, do 7.8.3 | 7.8.4 / 7.6.3 lub nowsza |
Wiedza o włamaniu | Brak | Przejrzane konta, narzędzia i transfery |
Wykrywanie wycieku | Dopiero z żądania okupu lub faktury za transfer | Alerty na nietypowe transfery |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed 11 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft: najwcześniejsze użycie 11 września 2025, przed publikacją CVE |
Grupy przestępcze | Storm-1175 (oznaczenie Microsoft) |
Kampanie ransomware | TAK (CISA KEV: Known); Microsoft: wdrażanie ransomware Medusa |
Ocena CVSS | 10.0 KRYTYCZNA wg Fortra (CVSS 3.1); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach tego alertu |
Liczba atakowanych firm | Brak publicznych danych |
Automatyzacja ataku | CISA: możliwa; skutek techniczny całkowity |
Prognoza EPSS | Ponad 99% szansy próby wykorzystania w 30 dni, w ścisłej czołówce wszystkich podatności (wg analizy źródłowej) |
Porady krajowe | Holenderskie NCSC, 19 września 2025 |
Sygnały zagrożenia dla CVE-2025-10035
CVSS 3.1 (Fortra) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) >99% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ Medusa
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe 2025-09-11 Najwcześniejsze zaobserwowane wykorzystanie (wg Microsoft)
2025-09-18 Fortra publikuje biuletyn FI-2025-012 (7.8.4 i 7.6.3),
publikacja CVE w NVD
2025-09-19 CISA ocenia wykorzystanie jako aktywne i zautomatyzowane;
biuletyn holenderskiego NCSC
2025-09-29 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-10-20 Termin naprawy wg CISA
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... prawie rok od wpisu do KEV
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: Fortra FI-2025-012 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-10035 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa GoAnywhere MFT | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i czy konsola jest dostępna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe odcięcie konsoli od internetu i aktualizację | CTO | DZISIAJ |
4 | Zlecić przegląd serwera pod kątem śladów włamania od września 2025 | CTO | DO JUTRA |
5 | Przygotować listę kontrahentów, których dane są na serwerze (na wypadek zawiadomień) | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i obsługę prawną | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji działa nasz GoAnywhere MFT? | [wersja] | 🔴 |
2 | Czy konsola administracyjna jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Kiedy serwer zostanie zaktualizowany do 7.8.4, 7.6.3 lub nowszej? | [data] | 🔴 |
4 | Czy na serwerze są nieznane konta lub narzędzia do zdalnego zarządzania? | TAK / NIE | 🟠 |
5 | Czy od września 2025 były nietypowo duże transfery danych na zewnątrz? | TAK / NIE | 🟠 |
6 | Jakie dane kontrahentów i dane osobowe przechowujemy na serwerze i jak długo? | [opis], [okres] | 🟠 |
7 | Czy dostaniemy alert, gdy w nocy z serwera wyjdzie kilkadziesiąt gigabajtów danych? | TAK / NIE | 🟡 |
CVE-2025-10035 pozwala przejąć serwer Fortra GoAnywhere MFT bez logowania przez podrobioną odpowiedź licencyjną, a CISA i Microsoft potwierdzają użycie w atakach ransomware Medusa grupy Storm-1175. Zadanie na dziś to odciąć konsolę administracyjną od internetu i zaktualizować serwer do 7.8.4 lub 7.6.3, a w tym tygodniu sprawdzić, czy ktoś nie wszedł wcześniej i nie wyprowadził danych.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.