Niektóre wydania ASUS Live Update rozeszły się z doklejonym szkodliwym kodem po ataku na łańcuch dostaw. CISA potwierdza wykorzystanie, a program jest poza wsparciem. Odinstaluj go z komputerów ASUS.
Ten alert jest dla zarządu, CTO i CFO firm, które mają laptopy lub komputery marki ASUS z fabrycznie zainstalowanym programem ASUS Live Update. Werdykt: program jest poza wsparciem, a niektóre jego wydania rozeszły się z doklejonym szkodliwym kodem, więc odinstaluj ASUS Live Update ze wszystkich komputerów, a tam, gdzie to na razie niemożliwe, upewnij się, że ma co najmniej wersję 3.6.8.
Amerykańska agencja CISA 17 grudnia 2025 roku dopisała CVE-2025-59374 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To nie jest zwykły błąd programisty. Niektóre wydania ASUS Live Update, programu do pobierania sterowników i aktualizacji na komputery ASUS, zostały rozesłane z nieautoryzowanymi zmianami wprowadzonymi przez włamanie do łańcucha dostaw oprogramowania. Zmodyfikowane wersje wykonywały niezamierzone działania tylko na komputerach spełniających określone warunki celowania.
Termin wg CISA minął 7 stycznia 2026 roku. Ponieważ produkt jest poza wsparciem, CISA wskazuje wprost, że użytkownicy powinni zaprzestać jego używania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-59374 |
Data dodania do CISA KEV | 2025-12-17 |
Termin naprawy wg CISA | 2026-01-07 (21 dni od wpisu) |
Produkt | ASUS Live Update, fabryczny program aktualizujący na komputerach ASUS |
Wersje zagrożone | Rekord CVE: wersje starsze niż 3.6.6; NVD: wersje starsze niż 3.6.8. Skutki dotyczyły tylko komputerów, które zainstalowały zmodyfikowaną wersję i jednocześnie spełniały warunki celowania |
Wersje bezpieczne | ASUS zaleca wersję 3.6.8 lub wyższą; ostatnią wydaną wersją jest 3.6.15. Program nie jest już wspierany (rekord CVE: koniec wsparcia w październiku 2021 roku; strona pomocy ASUS: zakończenie wsparcia ogłoszone 4 grudnia 2025 roku), dlatego CISA zaleca zaprzestanie używania |
Typ podatności | Osadzony szkodliwy kod w wyniku ataku na łańcuch dostaw; CWE-506 (Embedded Malicious Code) |
Ocena CVSS | Producent: 9.3 (CVSS 4.0, KRYTYCZNA). NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Rekord CVE ma dopisek „UNSUPPORTED WHEN ASSIGNED”, czyli numer nadano produktowi, który już był poza wsparciem. Producent podaje, że żadne obecnie wspierane urządzenia ani produkty nie są objęte problemem.
Wyobraź sobie, że hurtownia, z której od lat bierzesz towar, sama nie wie, że ktoś w jej magazynie podmienił część paczek. Paczki mają prawdziwe etykiety, prawdziwe plomby i przychodzą zwykłym kurierem. Większość jest w porządku, a zmienione trafiają tylko do wybranych odbiorców. Nikt nie ma powodu, żeby je sprawdzać, bo to przecież zaufany dostawca.
Tak wyglądał ten atak. Program pochodził od producenta, był podpisany jego nazwą i pobierany z jego serwerów, więc antywirus nie miał czego zgłosić. Pracownik nie musiał klikać w nic podejrzanego. Wystarczyło, że komputer zrobił to, do czego przygotowano go w fabryce.
💡 Atak na łańcuch dostaw to włamanie do dostawcy oprogramowania, żeby szkodliwy kod dotarł do klientów razem z prawdziwym produktem. Warunki celowania to filtr, który uruchamia szkodliwe działania tylko na wybranych komputerach. Koniec wsparcia (EOS) oznacza, że producent nie wydaje już poprawek. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program pobiera aktualizację | Instaluje prawdziwe sterowniki producenta | Mógł zainstalować wersję z doklejonym kodem |
Antywirus sprawdza plik | Plik podpisany przez producenta uznany za bezpieczny | Zmodyfikowany plik też przechodzi jako legalny |
Komputer spoza grupy celów | Działa normalnie | Działa normalnie, nic nie widać |
Komputer z grupy celów | Działa normalnie | Wykonuje niezamierzone działania |
Poprawka od producenta | Przychodzi automatycznie | Program poza wsparciem, jedyne pewne rozwiązanie to usunięcie |
źródło: Pexels, Pavel DanilyukPoniżej typowy przebieg ataku na łańcuch dostaw oprogramowania z filtrem celowania. To scenariusz poglądowy, bo producent nie opublikował szczegółów warunków celowania ani działań zmodyfikowanych wersji. Atak nie wymaga żadnego działania pracownika. CISA ocenia go jako aktywny, dający się zautomatyzować i o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Włamanie do dostawcy | Wiele tygodni przed atakiem | Dostęp do procesu budowania lub dystrybucji programu | Możliwość podmiany wydań |
2. Przygotowanie wersji | T+0 | Doklejenie kodu z filtrem wybierającym konkretne komputery | Wersja wyglądająca na oficjalną |
3. Dystrybucja | T+dni | Rozesłanie przez zwykły kanał aktualizacji producenta | Instalacja na wielu komputerach bez podejrzeń |
4. Selekcja | T+minuty od instalacji | Sprawdzenie, czy komputer spełnia warunki celowania | Na większości maszyn nic się nie dzieje |
5. Działanie na celach | T+minuty do dni | Niezamierzone działania na wybranych komputerach | Dostęp napastnika do wybranych maszyn |
Mogę Ci jakoś pomóc?
Program aktualizujący ma szerokie uprawnienia i pełne zaufanie systemu. Jeśli został zmodyfikowany, obchodzi wszystkie zwykłe zabezpieczenia. Jednocześnie atak był wybiórczy, więc brak objawów nie dowodzi, że nic się nie stało, ale też nie uzasadnia paniki. Najważniejsze jest to, że ten sam problem da się zamknąć tanio: usunięciem programu, który nie jest potrzebny do działania komputera.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Usunięcie programu, ewentualne odtworzenie komputerów z podejrzeniem przejęcia | Godziny do dni | 1 tys. do 20 tys. PLN (praca IT) |
Bezpieczeństwo danych | Na komputerach z grupy celów możliwy dostęp napastnika do danych | Nieznany, atak mógł nastąpić dawno | 20 tys. do 150 tys. PLN (analiza śledcza wybranych maszyn) |
Finansowy | Koszty analizy i wymiany sprzętu przy realnych przesłankach włamania | Tygodnie | 10 tys. do 200 tys. PLN łącznie |
Reputacyjny | Pytania klientów i partnerów przy potwierdzonym incydencie | Miesiące | 10 tys. do 150 tys. PLN (utracone kontrakty) |
Prawny | Przy potwierdzonym wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera ASUS ze starym Live Update
Wpływ
5 | . ■ . . . ← ŚREDNIE (wpływ krytyczny,
4 | . . . . . prawdopodobieństwo niskie)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ na zaatakowany komputer jest krytyczny (pełna kontrola), ale prawdopodobieństwo dla przeciętnej firmy jest niskie, bo atak był wybiórczy, a EPSS wynosi około 1%; usunięcie programu sprowadza to ryzyko do zera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić listę zainstalowanych programów na wszystkich komputerach ASUS (Panel sterowania, Programy i funkcje) | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Odinstalować ASUS Live Update niezależnie od numeru wersji | Dziś | Dział IT |
3 | 🟠 PILNIE | Jeśli program musi na chwilę zostać: sprawdzić, czy ma co najmniej wersję 3.6.8 (ostatnia wydana to 3.6.15) | Do 2 dni | Dział IT |
4 | 🟠 PILNIE | Usunąć program z obrazów systemu, z których odtwarzane są komputery | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Przy realnych przesłankach (dziwny ruch sieciowy z konkretnego komputera) zlecić analizę tej maszyny | Do 7 dni | CTO |
6 | 🟡 WAŻNIE | Wprowadzić zasadę usuwania fabrycznych dodatków przy przyjmowaniu nowego sprzętu | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Sterowniki pobierać ręcznie ze strony producenta, gdy są potrzebne | Na stałe | Dział IT |
Dla programu bez wsparcia nie ma docelowej poprawki, którą można wdrożyć raz na zawsze. ASUS wskazuje wersję 3.6.8 lub wyższą jako rozwiązującą problem, ale CISA zaleca zaprzestanie używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odinstalowanie ASUS Live Update (zalecenie CISA: zaprzestać używania) | Wysoka: usuwa problem całkowicie | Łatwa, około kwadransa na komputer |
Aktualizacja do wersji 3.6.8 lub wyższej, do czasu usunięcia (zalecenie ASUS) | Średnia do wysokiej wobec opisanych wersji, ale program pozostaje bez wsparcia | Łatwa |
Blokada uruchamiania programu przez zasady systemu | Średnia do wysokiej | Średnia |
Obserwacja ruchu sieciowego z komputerów ASUS | Niska jako ochrona, przydatna do wykrycia problemu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Fabryczne programy | Nikt nie wie, co jest zainstalowane | Spis i usunięcie zbędnych dodatków |
ASUS Live Update | Stara, niewspierana wersja na części komputerów | Program usunięty |
Obrazy systemu | Przywracają fabryczne dodatki | Obrazy bez zbędnych programów |
Aktualizacje sterowników | Automatyczne przez niewspierany program | Ręczne, ze strony producenta, gdy potrzebne |
Reakcja na alert | Ryzyko paniki i kosztownej analizy wszystkich maszyn | Analiza tylko przy realnych przesłankach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji w komunikatach producenta i CISA |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); filtr celowania wskazuje raczej na operację wymierzoną w wąską grupę niż na masowy szantaż |
Ocena CVSS | 9.3 KRYTYCZNA wg ASUS (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Nie dotyczy w zwykłym sensie: to nie błąd do wykorzystania, tylko rozesłany szkodliwy kod; brak publicznych szczegółów |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak automatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 1% (wg analizy źródłowej); model opisuje ataki masowe, więc zaniża wagę operacji wybiórczych |
Dwie oceny CVSS różnią się, bo pochodzą z dwóch generacji skali: wersja 4.0 osobno ocenia wpływ na zaatakowany system i na systemy sąsiednie. Obie oznaczają poziom krytyczny.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-59374
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (ASUS) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~1% ░░░░░░░░░░░░░░░░░░░░ NISKA (atak wybiórczy)
CISA KEV TAK ████████████████████ ataki potwierdzone
Wsparcie producenta BRAK ████████████████████ jedyne wyjście: usunąć 2021-10 Koniec wsparcia klienta Live Update wg rekordu CVE
2025-09-15 Rezerwacja numeru CVE
2025-12-04 ASUS ogłasza zakończenie wsparcia Live Update (ostatnia wersja 3.6.15)
2025-12-06 Aktualizacja strony pomocy ASUS (zalecenie: wersja 3.6.8 lub wyższa)
2025-12-17 Publikacja CVE-2025-59374 i wpis do katalogu CISA KEV
2026-01-07 Termin wg CISA dla agencji federalnych
... ponad 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona pomocy producenta z instrukcją sprawdzenia wersji: asus.com/support/faq/1018727 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-59374 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, ile komputerów ASUS jest w firmie | CTO | DZISIAJ |
2 | Zlecić odinstalowanie ASUS Live Update na wszystkich tych komputerach | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie usunięcia programu z obrazów systemu | CTO | DO JUTRA |
4 | Zatwierdzić zasadę usuwania fabrycznych dodatków z nowego sprzętu | CTO | DO JUTRA |
5 | Zdecydować o analizie śledczej tylko dla komputerów z realnymi przesłankami | CTO / CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ASUS mamy w firmie? | [liczba] | 🔴 |
2 | Na ilu z nich jest zainstalowany ASUS Live Update? | [liczba] | 🔴 |
3 | Jaka jest najstarsza wersja Live Update na tych komputerach? | [wersja] | 🔴 |
4 | Kiedy program został usunięty ze wszystkich komputerów? | [data] | 🟠 |
5 | Czy nasze obrazy do odtwarzania komputerów zawierają fabryczne dodatki? | TAK / NIE | 🟠 |
6 | Czy zauważyliśmy nietypowy ruch sieciowy z któregoś komputera ASUS? | TAK / NIE | 🟠 |
7 | Czy mamy spis programów zainstalowanych na komputerach firmowych? | TAK / NIE | 🟡 |
CVE-2025-59374 dotyczy wydań ASUS Live Update rozesłanych z doklejonym szkodliwym kodem, który działał na wybranych komputerach. Program jest poza wsparciem, a CISA zaleca zaprzestanie jego używania, więc najtańszym i najpewniejszym działaniem jest dziś odinstalowanie go ze wszystkich komputerów i z obrazów systemu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.