Błąd w Microsoft Power Pages pozwalał obejść kontrolę rejestracji i wejść do części portalu dla zalogowanych. Microsoft naprawił lukę, ale przegląd witryny zostaje po stronie firmy. Sprawdź, czy dostałeś powiadomienie.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą portale dla klientów, mieszkańców lub kontrahentów na platformie Microsoft Power Pages. Werdykt: sprawdź dziś, czy firma dostała od Microsoftu powiadomienie o CVE-2025-24989 i czy ktoś je przeczytał, bo Microsoft naprawił lukę po swojej stronie, ale klientom, których dotyczyła, zostało zadanie: przejrzeć witrynę pod kątem śladów włamania.
Amerykańska agencja CISA 21 lutego 2025 roku dopisała podatność CVE-2025-24989 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w Microsoft Power Pages (usłudze do budowy witryn) pozwalał napastnikowi bez konta obejść kontrolę rejestracji użytkownika i podnieść swoje uprawnienia, czyli dostać się do części dla zalogowanych.
To usługa w chmurze, więc Microsoft naprawił lukę u siebie i powiadomił dotkniętych klientów. Kto powiadomienia nie dostał, nie był podatny. Dotknięci klienci dostali instrukcję przejrzenia swoich witryn pod kątem śladów wykorzystania. Termin działania wg CISA minął 14 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24989 (także EUVD-2025-4642) |
Data dodania do CISA KEV | 2025-02-21 |
Termin działania wg CISA | 2025-03-14 (21 dni od wpisu) |
Produkt | Microsoft Power Pages (usługa w chmurze do budowy witryn z logowaniem) |
Wersje zagrożone | Usługa w chmurze, bez numeru wersji. Dotyczyła wyłącznie klientów, których Microsoft powiadomił; kto nie dostał powiadomienia, nie był podatny |
Wersje bezpieczne | Nie ma czego instalować: Microsoft złagodził lukę po stronie usługi. Po stronie klienta pozostaje przegląd witryny i usunięcie skutków według instrukcji od producenta |
Typ podatności | Niewłaściwa kontrola dostępu, obejście kontroli rejestracji i podniesienie uprawnień; CWE-284 (NVD: brak wystarczających informacji do klasyfikacji) |
Ocena CVSS | Microsoft: 8.2 WYSOKA (CVSS 3.1). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie urząd z częścią ogólnodostępną i częścią dla petentów z wyrobioną kartą. Żeby dostać kartę, trzeba przejść przez okienko, które sprawdza, czy masz do niej prawo. Ktoś odkrył, że da się wejść na zaplecze bocznymi drzwiami, z pominięciem okienka, i tam są teczki wszystkich petentów.
Power Pages to usługa, w której firma buduje portal dla klientów: wnioski, statusy spraw, dane osobowe. Portal ma część publiczną i część dla zalogowanych, a przejście między nimi odbywa się przez rejestrację, która sprawdza uprawnienia. Ten błąd pozwalał ominąć to sprawdzenie. Portal działa dalej i wygląda normalnie, zmienia się tylko to, kto jest w środku.
💡 Power Pages to usługa Microsoftu do tworzenia witryn z logowaniem, wynajmowana w chmurze, a nie instalowana na serwerze firmy. Kontrola rejestracji sprawdza, czy ktoś ma prawo założyć konto na portalu. Podniesienie uprawnień to zdobycie dostępu, którego nie powinno się mieć. Usługa w chmurze jest łatana przez producenta, ale powiadomienia idą mailem. KEV to katalog CISA z lukami wykorzystywanymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Rejestracja na portalu | Platforma sprawdza uprawnienia | Sprawdzenie można ominąć |
Dostęp do części dla zalogowanych | Tylko uprawnione osoby | Także napastnik bez konta |
Dane klientów na portalu | Widoczne właściwym osobom | Dostępne dla obcego |
Instalacja poprawki | Klient pobiera i instaluje | Microsoft łata sam, klient dostaje mail |
Wiedza o incydencie | Alert w panelu lub aktualizacja | Wiadomość do kontaktu technicznego |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne, ze skutkiem całkowitym, ale bez możliwości automatyzacji. Ponieważ lukę już złagodzono po stronie usługi, dziś liczy się głównie ustalenie, czy firma została powiadomiona i czy w okresie podatności doszło do nadużycia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Znalezienie portalu zbudowanego na Power Pages | Wybrany cel |
2. Obejście rejestracji | T+minuty | Ominięcie kontroli rejestracji i podniesienie uprawnień | Dostęp do części dla zalogowanych bez konta |
3. Przegląd danych | T+godzina | Przegląd danych osób korzystających z portalu | Dane klientów lub mieszkańców |
4. Kradzież | T+godziny do dni | Pobranie danych osobowych i dokumentów z portalu | Wyciek danych |
5. Wykorzystanie | T+dni do tygodni | Wykorzystanie danych do oszustw, phishingu lub szantażu | Straty i utrata zaufania |
6. Ukrycie | cały czas | Brak awarii i widocznych zmian na portalu | Firma nie wie o incydencie bez przeglądu |
Usługa w chmurze zdejmuje z firmy instalowanie poprawek, ale nie zdejmuje obowiązku czytania korespondencji od dostawcy. Tu cała informacja o tym, czy trzeba coś zrobić, przyszła mailem do kontaktu technicznego. Jeśli nikt go nie czyta, firma może nie wiedzieć o wycieku miesiącami.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przegląd witryny, usuwanie skutków, obsługa zgłoszeń klientów | Dni | 10 tys. do 80 tys. PLN (prace, wsparcie) |
Bezpieczeństwo danych | Wyciek danych osobowych osób korzystających z portalu | Godziny od ataku | 20 tys. do 200 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Koszty obsługi wycieku, oszustwa na danych klientów | Tygodnie | 20 tys. do 300 tys. PLN |
Reputacyjny | Utrata zaufania osób, które przez portal załatwiały sprawy | Miesiące | 30 tys. do 300 tys. PLN (odejścia klientów) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z portalem na Power Pages,
która nie przejrzała witryny po powiadomieniu
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wyciek danych osób z portalu), a prawdopodobieństwo średnie, bo lukę już złagodzono i dotyczyła tylko powiadomionych klientów; realne ryzyko dziś to nie sam błąd, lecz przeoczone powiadomienie i brak przeglądu witryny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma prowadzi jakąkolwiek witrynę na Microsoft Power Pages | Dziś | CTO / dział IT |
2 | 🔴 NATYCHMIAST | Sprawdzić skrzynkę kontaktu technicznego usługi pod kątem powiadomienia Microsoftu o CVE-2025-24989 | Dziś | Administrator usługi |
3 | 🔴 NATYCHMIAST | Jeśli powiadomienie było: wykonać przegląd witryny według instrukcji Microsoftu pod kątem śladów wykorzystania | Dziś lub jutro | Administrator / partner wdrożeniowy |
4 | 🟠 PILNIE | Sprawdzić konta użytkowników portalu założone w okresie podatności pod kątem podejrzanych rejestracji | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Jeśli wykryto nadużycie: uruchomić procedurę zgłoszenia naruszenia danych | Do 7 dni | Inspektor ochrony danych / dział prawny |
6 | 🟡 WAŻNIE | Zaktualizować adres kontaktu technicznego w usłudze na skrzynkę realnie czytaną | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przejrzeć adresy kontaktowe we wszystkich usługach chmurowych firmy | Do 30 dni | CTO |
W usłudze chmurowej nie ma czego instalować: Microsoft złagodził lukę po swojej stronie. Zadaniem klienta jest przegląd i porządek organizacyjny. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Przegląd witryny według instrukcji Microsoftu i usunięcie skutków | Wysoka: to działanie wskazane przez producenta | Średnia, wymaga administratora portalu |
Weryfikacja adresu kontaktu technicznego w usłudze | Wysoka wobec przyszłych powiadomień | Łatwa |
Przegląd kont użytkowników portalu z okresu podatności | Średnia do wysokiej przy wykrywaniu nadużyć | Średnia |
Monitorowanie dostępu do części portalu dla zalogowanych | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o powiadomieniu | Nieznana, mail mógł nie dotrzeć | Sprawdzona skrzynka kontaktu technicznego |
Przegląd witryny | Nie wykonany | Wykonany według instrukcji Microsoftu |
Konta z okresu podatności | Niesprawdzone | Przejrzane pod kątem nadużyć |
Adres kontaktu technicznego | Skrzynka nikogo lub byłego pracownika | Skrzynka realnie czytana |
Status wobec terminu CISA | Zaległość od 14 marca 2025 roku | Sprawa udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft w biuletynie podaje, że wykryto wykorzystanie w atakach (choć w innym polu dojrzałość kodu ataku opisano jako niepotwierdzoną) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.2 WYSOKA wg Microsoft (CVSS 3.1); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji; usługa w chmurze, kod niedostępny |
Liczba atakowanych firm | Brak publicznych informacji; dotyczyła tylko powiadomionych klientów |
Kto działa po stronie klienta | Klient wykonuje przegląd witryny; producent nie udostępnił publicznej instrukcji, informacja szła mailem |
Prognoza EPSS | Około 0,016 (wg analizy źródłowej) |
Różnica ocen wynika z opisu skutków: Microsoft zakłada głównie możliwość zmiany danych, NVD pełne naruszenie poufności, integralności i dostępności. Dla decyzji ważniejsze jest zdanie wspólne dla obu: luka była wykorzystywana w atakach.
Sygnały zagrożenia dla CVE-2025-24989
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Microsoft) 8.2/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~1,6% ░░░░░░░░░░░░░░░░░░░░ niska wartość
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka po stronie TAK ████████████████████ usługa w chmurze
usługi 2025-02-19 Biuletyn Microsoft, publikacja CVE; luka złagodzona
po stronie usługi, klienci powiadomieni
2025-02-21 CISA dodaje lukę do katalogu KEV; druga wersja biuletynu
(poprawka literówki)
2025-03-14 Termin działania wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24989 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24989 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma prowadzi portal na Microsoft Power Pages | CTO | DZISIAJ |
2 | Sprawdzić skrzynkę kontaktu technicznego pod kątem powiadomienia Microsoftu | CTO | DZISIAJ |
3 | Zlecić przegląd witryny według instrukcji Microsoftu, jeśli powiadomienie było | CTO | DZISIAJ |
4 | Ustalić z inspektorem ochrony danych, czy potrzebne jest zgłoszenie naruszenia | CFO | DO JUTRA |
5 | Zaktualizować adres kontaktu technicznego w usłudze na realnie czytany | CTO | DO JUTRA |
6 | Zlecić przegląd adresów kontaktowych we wszystkich usługach chmurowych | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy prowadzimy jakąkolwiek witrynę na Microsoft Power Pages? | TAK / NIE | 🔴 |
2 | Jaki adres jest kontaktem technicznym tej usługi i kto go czyta? | [adres / osoba] | 🔴 |
3 | Czy dostaliśmy od Microsoftu powiadomienie o CVE-2025-24989? | TAK / NIE | 🔴 |
4 | Czy przejrzeliśmy witrynę według instrukcji Microsoftu? | TAK / NIE, [data] | 🔴 |
5 | Czy sprawdzono konta użytkowników portalu z okresu podatności? | TAK / NIE | 🟠 |
6 | Czy wykryto ślady nieautoryzowanego dostępu? | TAK / NIE | 🟠 |
7 | Kto jest kontaktem technicznym w pozostałych usługach chmurowych firmy? | [lista] | 🟡 |
CVE-2025-24989 pozwalała obejść kontrolę rejestracji na portalu zbudowanym w Microsoft Power Pages i wejść do części dla zalogowanych. Microsoft naprawił lukę po swojej stronie i powiadomił dotkniętych klientów, ale przegląd witryny pod kątem śladów należy do firmy, więc dziś trzeba sprawdzić, czy powiadomienie dotarło i czy ktoś na nie zareagował.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.