Błąd w Oracle Configurator (E-Business Suite 12.2.3-12.2.14) pozwala bez logowania czytać dane. Oracle wydał poprawkę poza harmonogramem, CISA potwierdza ransomware. Wgraj ją dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą sprzedaż, zamówienia lub finanse w Oracle E-Business Suite. Werdykt: jeśli masz wersję od 12.2.3 do 12.2.14 bez poprawki z alertu Oracle z 11 października 2025 roku, wgraj ją dziś, bo luka pozwala bez logowania czytać dane i jest używana w atakach ransomware.
Amerykańska agencja CISA 20 października 2025 roku dopisała CVE-2025-61884 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w Oracle Configurator (część Runtime UI), składniku E-Business Suite, który składa produkt z opcji i wylicza cenę. Napastnik bez konta, przez zwykły ruch HTTP, może uzyskać dostęp do wszystkich danych, do których sięga Configurator.
Oracle wydał poprawkę 11 października 2025 roku jako osobny alert bezpieczeństwa, poza swoim kwartalnym harmonogramem, a w podziękowaniach wymienił firmy CrowdStrike i Mandiant, które zajmują się obsługą włamań. Pole ransomware w katalogu CISA ma wartość potwierdzającą. Termin naprawy wg CISA minął 10 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-61884 |
Data dodania do CISA KEV | 2025-10-20 |
Termin naprawy wg CISA | 2025-11-10 (21 dni od wpisu) |
Produkt | Oracle E-Business Suite, produkt Oracle Configurator, komponent Runtime UI |
Wersje zagrożone | Oracle E-Business Suite 12.2.3 do 12.2.14 włącznie bez poprawki z alertu. Wersje spoza wsparcia Premier i Extended nie były testowane, ale wg Oracle prawdopodobnie też są podatne |
Wersje bezpieczne | 12.2.3 do 12.2.14 z poprawką z Oracle Security Alert CVE-2025-61884 (11 października 2025 roku), zgodnie z dokumentem dostępności poprawek Oracle. Dla wersji bez wsparcia poprawki nie ma, Oracle zaleca przejście na wersję wspieraną |
Typ podatności | Fałszowanie żądań po stronie serwera (SSRF), odczyt danych bez uwierzytelnienia; CWE-918 wg CISA. NVD przypisuje sześć klas: CWE-918, CWE-22, CWE-93, CWE-287, CWE-444, CWE-501 |
Ocena CVSS | Oracle: 7.5 (CVSS 3.1, WYSOKA). Atak przez sieć, niska złożoność, bez konta i bez udziału użytkownika, wysoki wpływ na poufność, brak wpływu na integralność i dostępność. NVD nie wystawiła własnej oceny |
Umiarkowana ocena punktowa wynika z tego, że luka pozwala czytać dane, a nie je zmieniać. W praktyce napastnicy łączą takie błędy z innymi: w tym samym pakiecie jest luka CVE-2025-61882 (komponent BI Publisher Integration), dodana do KEV 6 października 2025 roku, również z potwierdzonym użyciem w ransomware.
Wyobraź sobie kuriera, który ma wstęp do każdego pomieszczenia w biurowcu, także do archiwum. Ktoś z ulicy wręcza mu karteczkę: „odbierz paczkę z pokoju 214 i przynieś mi ją”. Kurier nie sprawdza, kto zlecił odbiór, idzie do archiwum, do którego zamawiający nigdy by nie wszedł, i oddaje mu dokumenty przy wejściu.
Tak działa fałszowanie żądań po stronie serwera. Serwer E-Business Suite przyjmuje od napastnika adres i sam go odwiedza, a ponieważ stoi wewnątrz firmowej sieci, sięga tam, gdzie napastnik z zewnątrz by nie dosięgnął. W efekcie wypływają dane z Configuratora: struktury cenowe, rabaty dla klientów, warianty zamówień, dane kontrahentów.
💡 SSRF (fałszowanie żądań po stronie serwera) to atak, w którym serwer zostaje nakłoniony do pobrania danych z miejsca wskazanego przez napastnika. E-Business Suite to pakiet programów Oracle do obsługi sprzedaży, zamówień, magazynu i finansów. Alert poza harmonogramem to poprawka wydana natychmiast, bez czekania na kwartalny zestaw. Ransomware to złośliwy program szyfrujący dane lub grupa wymuszająca okup, często także groźbą publikacji danych.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z Configuratorem | Bez konta nie widzi danych | Może odczytać dane dostępne dla Configuratora |
Siatka rabatów dla klientów | Znana tylko handlowcom i zarządowi | Może trafić do konkurencji lub szantażystów |
Zasoby wewnętrzne sieci | Niedostępne z internetu | Serwer może zostać użyty do sięgnięcia po nie |
Kwartalne okno serwisowe | Wystarcza dla większości poprawek | Ta poprawka wyszła poza kolejką, czekanie oznacza ryzyko |
Ślady w systemie | Brak zmian, bo napastnik tylko czyta | Wyciek może długo pozostać niezauważony |
źródło: Pexels, Kampus ProductionPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta, wystarczy dostęp do E-Business Suite przez HTTP. CISA ocenia go jako automatyzowalny, o częściowym skutku technicznym, a potwierdzone użycie w ransomware wskazuje, że luka bywa elementem większego łańcucha.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie instalacji E-Business Suite dostępnych z internetu | Lista celów |
2. Wykorzystanie SSRF | T+kilka minut | Wysłanie spreparowanego żądania do Configuratora bez logowania | Serwer wykonuje żądania w imieniu napastnika |
3. Odczyt danych | T+kilkanaście minut do godzin | Pobieranie danych dostępnych dla Configuratora, rozpoznanie wnętrza sieci | Ceny, rabaty, dane kontrahentów w rękach napastnika |
4. Łączenie z innymi lukami | T+godziny do dni | Próba użycia kolejnych błędów E-Business Suite, np. CVE-2025-61882 | Możliwe przejęcie części systemu |
5. Szantaż | T+dni do tygodni | Groźba publikacji wykradzionych danych, żądanie okupu | Presja finansowa i reputacyjna |
Mogę Ci jakoś pomóc?
Wyciek z Configuratora nie zatrzymuje produkcji ani nie gasi serwera, więc na pierwszy rzut oka nic się nie dzieje. Kosztem są informacje handlowe i dane kontrahentów, a przy grupach ransomware także szantaż publikacją. Alert wydany poza harmonogramem i potwierdzone ataki oznaczają, że to nie jest poprawka „na następny kwartał”.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Awaryjne wgrywanie poprawek, analiza systemu, ewentualne odcięcie od internetu | Dni | 30 tys. do 200 tys. PLN (praca zespołów, przestój) |
Bezpieczeństwo danych | Wyciek cenników, rabatów, zamówień, danych kontrahentów | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Renegocjacje cen z klientami, żądanie okupu, utracone przetargi | Tygodnie do miesięcy | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Publikacja danych przez szantażystów, utrata zaufania partnerów | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Oracle E-Business Suite 12.2.3-12.2.14
bez poprawki z 11.10.2025, dostępnego z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, automatyzowalny, potwierdzone ransomware, EPSS około 98%), a wpływ wysoki, ale nie maksymalny, bo sama luka pozwala czytać dane, a nie je niszczyć.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Oracle E-Business Suite i czy wgrano poprawkę z alertu CVE-2025-61884 | Dziś | Administrator Oracle EBS |
2 | 🔴 NATYCHMIAST | Wgrać poprawkę zgodnie z dokumentem dostępności poprawek Oracle | Dziś | Administrator Oracle EBS |
3 | 🔴 NATYCHMIAST | Sprawdzić i wgrać poprawkę dla CVE-2025-61882 z tego samego pakietu | Dziś | Administrator Oracle EBS |
4 | 🟠 PILNIE | Do czasu poprawki ograniczyć dostęp do E-Business Suite z internetu (VPN lub lista zaufanych adresów) | Do 1 dnia | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi serwera aplikacyjnego pod kątem nietypowych żądań do Configuratora od września 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Ograniczyć ruch wychodzący z serwera EBS tylko do niezbędnych adresów | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Ustalić zasadę: alert producenta poza harmonogramem wdrażamy natychmiast, nie w oknie kwartalnym | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Sprawdzić status wsparcia Premier/Extended i zaplanować migrację wersji bez wsparcia | Do 90 dni | CFO / CTO |
Oracle wydał poprawkę dla wspieranych wersji, więc docelowo trzeba ją wgrać. Dla instalacji bez wsparcia poprawka nie powstanie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie E-Business Suite od internetu, dostęp tylko przez VPN | Wysoka wobec ataków z zewnątrz | Średnia: wpływa na pracowników w terenie |
Blokada ścieżek Configuratora na odwrotnym proxy lub zaporze aplikacyjnej, jeśli moduł nie jest używany z zewnątrz | Średnia do wysokiej | Średnia |
Ograniczenie ruchu wychodzącego z serwera EBS | Średnia: utrudnia wykorzystanie SSRF do sięgania w głąb sieci | Średnia |
Monitorowanie nietypowych żądań i dużych odczytów danych | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawki Oracle EBS | Brak poprawek z alertów z października 2025 | Poprawki dla CVE-2025-61884 i CVE-2025-61882 wgrane |
Dostęp z internetu | Otwarty dla każdego | VPN lub lista zaufanych adresów |
Ruch wychodzący serwera | Bez ograniczeń | Tylko niezbędne połączenia |
Reakcja na alerty poza harmonogramem | Czekanie na kwartalne okno | Wdrożenie natychmiast |
Wiedza o wycieku | Brak przeglądu logów | Logi przejrzane, decyzja o dalszych krokach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Oracle dziękuje za wkład firmom CrowdStrike i Mandiant, specjalizującym się w obsłudze incydentów |
Grupy przestępcze | Brak nazw grup w komunikatach Oracle i CISA |
Kampanie ransomware | TAK (CISA KEV: Known); ta sama wartość dla sąsiedniej luki CVE-2025-61882 |
Ocena CVSS | 7.5 WYSOKA wg Oracle (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzonych informacji o otwartym kodzie; NVD odsyła do analizy watchTowr Labs dotyczącej łańcucha ataku na E-Business Suite (nie weryfikowaliśmy jej treści) |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak automatyzowalny, skutek techniczny częściowy |
Prognoza EPSS | Około 0,06% w dniu wpisu do KEV, obecnie około 98% (wg analizy źródłowej); prognoza nie nadążyła za rzeczywistymi atakami |
Sygnały zagrożenia dla CVE-2025-61884
CVSS 3.1 (Oracle) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS dziś ~98% ████████████████████ BARDZO WYSOKA
EPSS w dniu wpisu KEV ~0,06% ░░░░░░░░░░░░░░░░░░░░ prognoza zawiodła
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Mogę Ci jakoś pomóc?
2025-10-03 Rezerwacja numeru CVE
2025-10-06 CISA dodaje do KEV sąsiednią lukę CVE-2025-61882 (ransomware)
2025-10-11 Oracle wydaje alert bezpieczeństwa poza harmonogramem
2025-10-12 Publikacja rekordu CVE-2025-61884 i wpisu w NVD
2025-10-13 Holenderski zespół reagowania wydaje ostrzeżenie
2025-10-17 CISA: wykorzystanie aktywne, atak automatyzowalny
2025-10-20 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-11-10 Termin naprawy wg CISA dla agencji federalnych
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny alert producenta z linkiem do dokumentu dostępności poprawek: oracle.com/security-alerts/alert-cve-2025-61884.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-61884 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Oracle E-Business Suite i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie wgrania poprawek dla CVE-2025-61884 i CVE-2025-61882 | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie dostępu z internetu, jeśli poprawek brak | CTO | DZISIAJ |
4 | Zlecić przegląd logów pod kątem odczytu danych od września 2025 roku | CTO | DO JUTRA |
5 | Ocenić, jakie dane handlowe i osobowe są dostępne dla Configuratora | CFO / inspektor danych | DO JUTRA |
6 | Przygotować scenariusz reakcji na ewentualny szantaż publikacją danych | CFO / zarząd | DO JUTRA |
7 | Sprawdzić status wsparcia Oracle dla używanej wersji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Oracle E-Business Suite działa w firmie? | [wersja] | 🔴 |
2 | Kiedy wgrano poprawkę z alertu CVE-2025-61884? | [data] | 🔴 |
3 | Czy wgrano poprawkę dla CVE-2025-61882? | TAK / NIE | 🔴 |
4 | Czy E-Business Suite jest dostępny z internetu bez VPN? | TAK / NIE | 🟠 |
5 | Czy logi serwera od września 2025 roku zostały przejrzane? | TAK / NIE | 🟠 |
6 | Czy ruch wychodzący z serwera EBS jest ograniczony? | TAK / NIE | 🟠 |
7 | Czy nasza wersja ma aktywne wsparcie Premier lub Extended? | TAK / NIE | 🟡 |
CVE-2025-61884 pozwala bez logowania czytać dane Oracle Configurator w E-Business Suite 12.2.3 do 12.2.14. Oracle wydał poprawkę poza harmonogramem, a CISA potwierdza użycie w ransomware, więc wgranie poprawek dla tej i sąsiedniej luki CVE-2025-61882 to zadanie na dziś, a przegląd logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.