Błąd w panelu routerów Cisco Small Business RV pozwala wykonać polecenia z uprawnieniami root. Cisco nie wyda poprawki, CISA potwierdza ataki. Wyłącz zdalne zarządzanie, zablokuj porty 443 i 60443, zmień hasło i wymień router.
Ten alert jest dla zarządu, CTO i CFO małych firm, które mają router Cisco Small Business RV016, RV042, RV042G, RV082, RV320 lub RV325. Werdykt: poprawki nie ma i nie będzie, więc dziś wyłącz zdalne zarządzanie, zablokuj porty 443 i 60443 od strony internetu i zmień hasło administratora, a wymianę routera zaplanuj na najbliższe tygodnie, bo CISA potwierdza wykorzystanie tej luki.
Amerykańska agencja CISA 3 marca 2025 roku dopisała podatność CVE-2023-20118 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Cisco informuje, że w marcu 2025 roku odnotowało próby wykorzystania części luk z tego samego biuletynu. Termin naprawy wg CISA minął 24 marca 2025 roku.
Błąd siedzi w panelu zarządzania przez przeglądarkę. Spreparowane zapytanie sprawia, że fragment tekstu zostaje wykonany jako polecenie systemowe routera z najwyższymi uprawnieniami (root). Warunek: napastnik musi znać dane logowania administratora. Najważniejsze zdanie z biuletynu producenta brzmi: Cisco nie wydało i nie wyda aktualizacji usuwającej tę podatność, bo modele zostały wycofane.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-20118 (biuletyn cisco-sa-sbr042-multi-vuln-ej76Pke5) |
Data dodania do CISA KEV | 2025-03-03 |
Termin naprawy wg CISA | 2025-03-24 (21 dni od wpisu) |
Produkt | Cisco Small Business RV Series Routers: RV016, RV042, RV042G, RV082, RV320, RV325; interfejs zarządzania WWW |
Wersje zagrożone | Wszystkie wersje oprogramowania na sześciu wymienionych modelach. Nie są podatne: RV160, RV160W, RV260, RV260P, RV260W, RV340, RV340W, RV345, RV345P |
Wersje bezpieczne | Brak. Producent nie wyda poprawki; zaleca środki ograniczające ryzyko i przejście na nowsze urządzenia (Meraki lub routery Cisco serii 1000) |
Typ podatności | Wstrzyknięcie poleceń; CWE-77 |
Ocena CVSS | Cisco: 6.5 ŚREDNIA (CVSS 3.1, bez wpływu na dostępność). NVD: 7.2 WYSOKA (CVSS 3.1, z pełnym wpływem na dostępność). ENISA powtarza ocenę Cisco. Atak przez sieć, wymaga uprawnień administratora, bez udziału użytkownika |
Wyobraź sobie stary warsztat, w którym od lat stoi ta sama maszyna. Producent dawno zamknął fabrykę części, więc gdy okazuje się, że osłona jednej przekładni jest wadliwa, nikt już nie przyśle nowej. Można postawić barierkę i ograniczyć, kto podchodzi do maszyny, ale samej wady nie da się usunąć. Z każdym rokiem takich wad znanych jest więcej.
Tak jest z tymi routerami. Panel zarządzania nie sprawdzał poprawnie danych w zapytaniu, więc dopisany tekst był wykonywany jako polecenie z uprawnieniami root. Bariera „trzeba znać hasło administratora” w praktyce bywa słaba: hasło ustawił instalator lata temu, jest w starej korespondencji i nikt go nie zmieniał. Producent nie wyda poprawki, więc zostają środki ograniczające i wymiana sprzętu.
💡 Wstrzyknięcie poleceń to błąd, w którym tekst z zapytania zostaje wykonany jako polecenie systemu. Root to najwyższy poziom uprawnień w systemie urządzenia. Zdalne zarządzanie to możliwość logowania do panelu routera z internetu. EoL (End of Life) to status sprzętu, dla którego producent zakończył wsparcie i nie wydaje poprawek.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu z internetu | Wygoda dla informatyka | Otwarte drzwi dla każdego, kto zna lub zgadnie hasło |
Osoba znająca stare hasło administratora | Zmienia ustawienia | Wykonuje dowolne polecenia z uprawnieniami root |
Ruch internetowy biura | Przechodzi przez router bez ingerencji | Może być podglądany i przekierowywany |
Zdalne zarządzanie wyłączone, porty 443 i 60443 zablokowane | Zarządzanie tylko z biura | Atak wymaga obecności w sieci firmy |
Aktualizacja oprogramowania | Usuwa znane błędy | Nie istnieje dla tych modeli |
źródło: Pexels, Sami TÜRKPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, dopasowany do tego, że luka wymaga danych logowania administratora. Napastnik zdobywa je zwykle przez hasła domyślne, wycieki lub inne luki w tym samym sprzęcie, a atakuje przez panel dostępny z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie routerów Cisco RV z panelem odpowiadającym na portach 443 lub 60443 | Lista wystawionych routerów |
2. Zdobycie hasła | T+minuty do dni | Próby haseł domyślnych i wyciekłych, wykorzystanie innych luk ze sprzętu | Dane logowania administratora |
3. Wstrzyknięcie poleceń | T+kilka minut | Spreparowane zapytanie do panelu zarządzania | Polecenia wykonane z uprawnieniami root |
4. Utrwalenie | T+godziny | Instalacja własnego oprogramowania, zmiana konfiguracji, stałe wejście | Router pod kontrolą napastnika |
5. Wykorzystanie pozycji | T+dni | Podgląd i przekierowanie ruchu, wykorzystanie routera do ataków na innych | Dane firmy i klientów zagrożone |
6. Dalszy atak | T+tygodnie | Wejście do komputerów w biurze, kradzież danych, przestój | Wyciek, utrata internetu, szantaż |
Router brzegowy to wejście do całej sieci firmy. Ten konkretny sprzęt nie dostanie już żadnej poprawki, a lista znanych o nim błędów rośnie. Ocena 6.5 w jednej bazie i 7.2 w drugiej leży po dwóch stronach typowego progu „średnie czeka”, więc sam próg jest złym kryterium decyzji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata internetu w biurze, pilna wymiana routera w trybie awaryjnym | Godziny do dni | 5 tys. do 50 tys. PLN (sprzęt, konfiguracja, przestój) |
Bezpieczeństwo danych | Podgląd i przekierowanie ruchu, dostęp do komputerów w biurze | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Dzień bez systemów w okresie rozliczeń, oszustwa na przechwyconych danych | Dni do tygodni | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Klienci pytają o bezpieczeństwo powierzonych danych | Tygodnie | 20 tys. do 200 tys. PLN |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla routera Cisco RV016/042/042G/082/320/325
Wpływ
5 | . . . . .
4 | . ■ . ■ . ← po prawej: panel z internetu,
3 | . . . . . stare hasło (WYSOKIE)
2 | . . . . . ← po lewej: zdalne zarządzanie wyłączone,
1 | . . . . . nowe hasło (ŚREDNIE)
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (uprawnienia root na routerze brzegowym), a prawdopodobieństwo zależy od dostępności panelu z internetu i jakości hasła; środki zaradcze obniżają ryzyko, ale go nie usuwają, bo poprawki nie będzie, więc docelowo jedynym rozwiązaniem jest wymiana sprzętu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić model routera; jeśli to RV016, RV042, RV042G, RV082, RV320 lub RV325, działać dalej | Dziś | Administrator IT / osoba odpowiedzialna za biuro |
2 | 🔴 NATYCHMIAST | Wyłączyć zdalne zarządzanie (Firewall, sekcja General) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zablokować regułami dostępu ruch z internetu do portów 443 i 60443 | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Zmienić hasło administratora na unikalne, zapisać w menedżerze haseł, usunąć stare z korespondencji | Dziś | Administrator IT |
5 | 🟠 PILNIE | Przejrzeć konfigurację routera: konta, przekierowania portów, ustawienia DNS | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Kupić i skonfigurować wspierany router (np. Meraki lub Cisco serii 1000 wg zaleceń producenta, albo inny wspierany sprzęt) | Do 30 dni | CFO / administrator IT |
7 | 🟡 WAŻNIE | Raz w roku sprawdzać, czy sprzęt sieciowy jest nadal wspierany przez producenta | Do 30 dni | CTO |
W tym przypadku aktualizacji nie ma i nie będzie. Producent stwierdza, że nie ma obejścia usuwającego podatność, ale podaje środki ograniczające ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zdalnego zarządzania (zalecenie producenta) | Wysoka dla ataków z internetu | Łatwa, zarządzanie tylko z sieci lokalnej |
Blokada portów 443 i 60443 od strony internetu (zalecenie producenta) | Wysoka dla ataków z internetu | Łatwa |
Nowe, unikalne hasło administratora | Średnia: utrudnia spełnienie warunku ataku | Łatwa |
Zarządzanie przez VPN lub na miejscu zamiast przez internet | Średnia do wysokiej | Średnia |
Wymiana routera na wspierany model (zalecenie producenta) | Wysoka: usuwa problem | Średnia: wymaga budżetu i konfiguracji |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel zarządzania | Dostępny z całego internetu | Tylko z sieci lokalnej |
Porty 443 i 60443 | Otwarte od strony internetu | Zablokowane |
Hasło administratora | Ustawione przez instalatora lata temu | Unikalne, w menedżerze haseł |
Router | Bez wsparcia, bez poprawek | Wymiana zaplanowana i opłacona |
Wiedza o wsparciu sprzętu | Brak | Coroczny przegląd listy wspieranych produktów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco: w marcu 2025 roku odnotowało próby wykorzystania części luk z tego biuletynu |
Grupy przestępcze | Brak publicznych informacji w źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.5 ŚREDNIA (Cisco, CVSS 3.1); 7.2 WYSOKA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Status wsparcia | Modele wycofane; Cisco nie wydało i nie wyda poprawki |
Prognoza EPSS | Około 54% szansy wykorzystania w ciągu 30 dni, górny 1% podatności (wg analizy źródłowej) |
Różnica 6.5 kontra 7.2 wynika z jednej oceny: czy atak może przerwać działanie routera. Cisco uznało, że nie, NVD, że tak. Ktoś z uprawnieniami root na routerze jest jednak o jedno polecenie od jego wyłączenia.
Sygnały zagrożenia dla CVE-2023-20118
CVSS 3.1 (Cisco) 6.5/10 █████████████░░░░░░░ ŚREDNIA
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS ~54% ███████████░░░░░░░░░ górny 1% luk
Poprawka producenta NIE BĘDZIE ░░░░░░░░░░░░░░░░░ sprzęt wycofany
CISA KEV TAK ████████████████████ ataki potwierdzone 2023-04-13 Publikacja CVE-2023-20118; Cisco: poprawki nie będzie
2025-03 Cisco odnotowuje próby wykorzystania luk z biuletynu
2025-03-03 CISA dodaje lukę do katalogu KEV
2025-03-24 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA, sprzęt nadal bez poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta ze środkami zaradczymi: Cisco Security Advisory cisco-sa-sbr042-multi-vuln-ej76Pke5 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-20118 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić model routera w każdym biurze firmy | CTO | DZISIAJ |
2 | Zatwierdzić wyłączenie zdalnego zarządzania i blokadę portów 443 i 60443 | CTO | DZISIAJ |
3 | Potwierdzić zmianę hasła administratora routera | CTO | DZISIAJ |
4 | Zatwierdzić zakup wspieranego routera z konfiguracją | CFO | DO JUTRA |
5 | Zlecić przegląd konfiguracji routera pod kątem obcych zmian | CTO | DO JUTRA |
6 | Dopisać sprzęt sieciowy do ewidencji z datą końca wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model routera Cisco mamy w każdym biurze? | [model] | 🔴 |
2 | Czy zdalne zarządzanie jest wyłączone? | TAK / NIE | 🔴 |
3 | Czy porty 443 i 60443 są zablokowane od strony internetu? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio zmieniono hasło administratora routera i kto je zna? | [data], [osoby] | 🔴 |
5 | Czy w konfiguracji są konta, przekierowania lub ustawienia DNS, których nikt nie rozpoznaje? | TAK / NIE | 🟠 |
6 | Jaki router proponujemy w zamian i ile kosztuje z konfiguracją? | [model], [kwota] | 🟠 |
7 | Czy mamy listę sprzętu sieciowego z datami końca wsparcia? | TAK / NIE | 🟡 |
CVE-2023-20118 pozwala osobie znającej hasło administratora wykonać polecenia z uprawnieniami root na routerach Cisco RV016, RV042, RV042G, RV082, RV320 i RV325. Cisco nie wyda poprawki, a CISA potwierdza wykorzystanie luki. Zadanie na dziś: wyłączyć zdalne zarządzanie, zablokować porty 443 i 60443 i zmienić hasło, a w najbliższych tygodniach wymienić router na wspierany model.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.