Agent SKYSEA Client View 11.221.03 i starszy przyjmuje polecenia od każdego, kto podszyje się pod konsolę, co pozwala uruchomić kod na komputerach firmy. CISA potwierdza ataki. Zablokuj dostęp do agentów i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników za pomocą japońskiego oprogramowania SKYSEA Client View, najczęściej w oddziałach lub spółkach powiązanych z partnerami z Japonii. Werdykt: jeśli agent SKYSEA działa w wersji 11.221.03 lub starszej, zaktualizuj go i ogranicz dostęp sieciowy do agentów jeszcze w tym tygodniu, bo luka pozwala przejąć komputery bez hasła i CISA potwierdza ataki.
Amerykańska agencja CISA 14 października 2025 roku dopisała podatność CVE-2016-7836 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w agencie SKYSEA Client View polega na wadliwym sprawdzaniu tożsamości w połączeniu z konsolą zarządzania. Agent przyjmował polecenia od kogoś, kto tylko podszył się pod konsolę, co pozwala wykonać dowolny kod na komputerze pracownika.
Luka jest stara. Producent, Sky Co., LTD., ostrzegł klientów 21 grudnia 2016 roku, bo komputery z publicznymi adresami IP odbierały złośliwe pakiety z serwerów spoza organizacji. Japoński JVN już wtedy informował o atakach. CISA wpisała lukę do katalogu dopiero po prawie dziewięciu latach, z terminem naprawy do 4 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2016-7836 |
Data dodania do CISA KEV | 2025-10-14 |
Termin naprawy wg CISA | 2025-11-04 (21 dni od wpisu) |
Produkt | SKYSEA Client View (Sky Co., LTD.), oprogramowanie do zarządzania komputerami, program agenta na stacjach roboczych |
Wersje zagrożone | Ver.11.221.03 i wszystkie starsze. Najbardziej narażone są komputery z publicznym adresem IP i nieblokowanymi portami agenta, ale producent ostrzega, że atak jest możliwy także w sieci lokalnej |
Wersje bezpieczne | Ver.11.300.08h (według JVN pierwsza z poprawką) i nowsze; dla starszych wersji producent udostępnił poprawkę na stronie dla klientów z umową serwisową. Obecnie producent oferuje znacznie nowsze linie produktu |
Typ podatności | Niepoprawne uwierzytelnienie prowadzące do zdalnego wykonania kodu; CWE-287 |
Ocena CVSS | NVD i CISA: 9.8 (CVSS 3.1, KRYTYCZNA). NVD w CVSS 2.0: 10.0. Atak przez sieć, bez logowania, bez udziału użytkownika |
Wyobraź sobie firmę, w której w każdym pokoju siedzi dozorca z kluczami do wszystkich szaf i czeka na telefon z centrali. Centrala dzwoni: „zainstaluj nowy zamek”, „zabierz pendrive’y”, a dozorca wykonuje. Błąd polegał na tym, że dozorca nie sprawdzał, czy dzwoni prawdziwa centrala. Wystarczyło, że ktokolwiek zadzwonił i przedstawił się jako centrala.
SKYSEA Client View działa właśnie tak: na każdym komputerze siedzi agent z szerokimi uprawnieniami, a administrator z konsoli rozsyła polecenia. Agent miał źle zrobione sprawdzanie, kto do niego mówi. Kto mógł połączyć się z agentem przez sieć, mógł uruchomić na komputerze dowolny program. A ponieważ agent jest na wszystkich komputerach, problem dotyczy wszystkich naraz.
💡 Agent to mały program na komputerze pracownika, który wykonuje polecenia centralnej konsoli (instalacje, blokady, inwentaryzacja). Uwierzytelnienie to sprawdzenie, czy rozmówca jest tym, za kogo się podaje. Publiczny adres IP oznacza, że komputer jest osiągalny bezpośrednio z internetu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane. Segmentacja sieci to podział sieci na strefy, które nie mogą swobodnie się ze sobą łączyć.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator rozsyła aktualizację z konsoli | Agent sprawdza konsolę i wykonuje polecenie | Tak samo |
Obcy komputer w sieci podszywa się pod konsolę | Agent odrzuca połączenie | Agent wykonuje kod napastnika |
Komputer z publicznym adresem IP | Porty agenta zablokowane lub chronione | Złośliwe pakiety z internetu docierają do agenta |
Zainfekowany laptop gościa w sieci biurowej | Brak wpływu na inne komputery | Może przejąć wszystkie komputery z agentem |
Zasięg jednego ataku | Jedno stanowisko | Cały park komputerów naraz |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik musi móc połączyć się z agentem przez sieć: z internetu, jeśli komputer ma publiczny adres, albo z wnętrza sieci firmowej. CISA ocenia atak jako możliwy do zautomatyzowania, a skutek jako całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Dostęp do sieci | T+0 min | Skanowanie internetu lub wejście do sieci firmy (przejęty laptop, słabe Wi-Fi dla gości) | Możliwość połączenia z agentami |
2. Wyszukanie agentów | T+kilka minut | Automatyczne wyszukiwanie komputerów z nasłuchującym agentem SKYSEA | Lista komputerów |
3. Podszycie się pod konsolę | T+kilkanaście minut | Wysłanie spreparowanych pakietów z poleceniem | Kod napastnika uruchomiony na komputerach |
4. Utrwalenie | T+godziny | Instalacja narzędzi dostępu na wielu stanowiskach | Stała kontrola nad komputerami |
5. Kradzież lub szkody | T+dni | Kopiowanie dokumentów, kradzież haseł, dalszy ruch w sieci | Wyciek danych, konieczność odtworzenia stanowisk |
Oprogramowanie do zarządzania komputerami ma z definicji szerokie uprawnienia na każdym stanowisku. Jeśli zawiedzie, zawodzi wszędzie naraz. Takie narzędzia rzadko trafiają na listę systemów krytycznych, więc nikt formalnie nie odpowiada za ich aktualizacje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęcie wielu stanowisk naraz, konieczność odtworzenia komputerów od zera | Dni | 30 tys. do 300 tys. PLN (odtworzenie stanowisk, przestój) |
Bezpieczeństwo danych | Kradzież dokumentów i haseł ze wszystkich komputerów z agentem | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Koszty specjalistów, możliwa wymiana systemu zarządzania | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i spółki matki lub partnerów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z agentem SKYSEA 11.221.03 lub starszym
Wpływ
5 | . . . . ■ ← KRYTYCZNE (agent osiągalny z internetu)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
(agent tylko w wydzielonej sieci wewnętrznej: wpływ 5, prawdopodobieństwo ok. 3) Interpretacja: wpływ jest maksymalny (dowolny kod na wszystkich komputerach z agentem), a prawdopodobieństwo najwyższe przy agentach osiągalnych z internetu, bo atak jest automatyzowalny i potwierdzony; w dobrze wydzielonej sieci wewnętrznej prawdopodobieństwo spada, ale nie znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie działa SKYSEA Client View, na ilu komputerach i w jakiej wersji agenta | Dziś | Kierownik IT |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy którykolwiek komputer z agentem ma publiczny adres IP lub otwarte porty agenta z internetu, i natychmiast je zablokować | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zaktualizować agentów do wersji z poprawką (Ver.11.300.08h lub nowszej, najlepiej bieżącej) albo zainstalować poprawkę producenta | Do 7 dni | Administrator / dostawca SKYSEA |
4 | 🟠 PILNIE | Ograniczyć połączenia do agentów tylko do adresu serwera konsoli (zapora na komputerach lub w sieci) | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Jeśli umowa serwisowa wygasła, skontaktować się z producentem, który deklarował udostępnienie poprawki także takim klientom | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Oddzielić sieć dla gości i urządzeń zewnętrznych od sieci stacji roboczych | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wpisać system zarządzania komputerami na listę systemów krytycznych z właścicielem i kwartalnym przeglądem poprawek | Do 30 dni | CTO |
Producent wydał poprawkę i wersję z poprawką. JVN wskazuje jako obejście ograniczenie dostępu do programu agenta. Efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada portów agenta z internetu i usunięcie publicznych adresów IP ze stacji | Wysoka wobec ataków z internetu | Łatwa do średniej |
Zezwolenie na połączenia do agenta tylko z adresu serwera konsoli (obejście wskazane przez JVN) | Wysoka | Średnia |
Wydzielenie sieci gości i urządzeń zewnętrznych | Średnia: usuwa część dróg ataku z wnętrza | Średnia |
Monitorowanie nietypowych połączeń do portów agenta | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja agenta SKYSEA | 11.221.03 lub starsza | Wersja z poprawką |
Dostęp do agenta | Z dowolnego komputera w sieci lub z internetu | Tylko z serwera konsoli |
Sieć gości | Wspólna ze stacjami roboczymi | Oddzielona |
Odpowiedzialność za system | Niczyja | Właściciel i kwartalny przegląd |
Zgodność z terminem CISA | Zaległość od 4 listopada 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). JVN już w 2016 informował o atakach, a producent o złośliwych pakietach z serwerów spoza organizacji |
Grupy przestępcze | Brak nazw grup w analizowanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i CISA (CVSS 3.1); 10.0 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku (CISA) | TAK: atak możliwy do zautomatyzowania, skutek całkowity |
Prognoza EPSS | Ok. 19% szans próby wykorzystania w 30 dni, wyżej niż ponad 97% znanych luk |
Publiczne bazy dobrze ostrzegają, ale słabo instruują: rekord NVD podaje ostatnią podatną wersję, a numer wersji z poprawką trzeba znaleźć u producenta lub w JVN.
Sygnały zagrożenia dla CVE-2016-7836
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~19% ████░░░░░░░░░░░░░░░░ WYSOKA jak na tło
EPSS percentyl >97% ████████████████████ czołówka
Atak automatyzowalny TAK ████████████████████ wg CISA
CISA KEV TAK ████████████████████ ataki potwierdzone 2016-12-21 Producent ostrzega klientów i udostępnia poprawkę (Ver.11.300.08h z poprawką)
2016-12-22 JVN publikuje biuletyn JVN84995847, ataki zaobserwowane
2017-03-08 Producent uzupełnia komunikat o szczegóły
2017-06-09 Publikacja rekordu CVE-2016-7836 w NVD
2025-10-14 CISA dodaje lukę do katalogu KEV
2025-11-04 Termin naprawy wg CISA dla agencji federalnych
... prawie 10 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta (po japońsku): skyseaclientview.net/news/161221 . Biuletyn JVN po angielsku z wersją z poprawką i obejściem: jvn.jp/en/jp/JVN84995847 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2016-7836 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej oddziały używają SKYSEA Client View | CTO | DZISIAJ |
2 | Zlecić sprawdzenie, czy komputery z agentem są osiągalne z internetu | CTO | DZISIAJ |
3 | Uzyskać informację o wersji agenta i statusie umowy serwisowej | CTO | DO JUTRA |
4 | Zatwierdzić plan aktualizacji agentów i ograniczenia ruchu do konsoli | CTO | DO JUTRA |
5 | Sprawdzić koszt odnowienia umowy serwisowej lub wymiany narzędzia | CFO | DO JUTRA |
6 | Wyznaczyć właściciela systemu zarządzania komputerami | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy SKYSEA Client View i na ilu komputerach? | TAK / NIE, [liczba] | 🔴 |
2 | Jaka jest wersja agenta na stacjach roboczych? | [wersja] | 🔴 |
3 | Czy któryś komputer z agentem ma publiczny adres IP lub otwarte porty z internetu? | TAK / NIE | 🔴 |
4 | Czy agent przyjmuje połączenia tylko z serwera konsoli? | TAK / NIE | 🟠 |
5 | Czy mamy aktywną umowę serwisową z dostępem do poprawek? | TAK / NIE, [data końca] | 🟠 |
6 | Czy sieć gości jest oddzielona od sieci stacji roboczych? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio sprawdzaliśmy listę poprawek bezpieczeństwa od dostawcy tego systemu? | [data] | 🟡 |
CVE-2016-7836 w agencie SKYSEA Client View 11.221.03 i starszym pozwala każdemu, kto połączy się z agentem przez sieć, uruchomić dowolny kod na komputerach firmy. Ataki znane są od 2016 roku, a CISA potwierdziła je ponownie w 2025, więc zablokowanie dostępu do agentów z internetu to zadanie na dziś, a aktualizacja i ograniczenie ruchu tylko do konsoli na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.