Błąd w Oracle Identity Manager 12.2.1.4.0 i 14.1.2.1.0 pozwala bez logowania przejąć system, który nadaje konta w całej firmie. CISA potwierdza ataki. Wgraj poprawki z października 2025 dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają kontami pracowników przez Oracle Identity Manager (część Oracle Fusion Middleware). Werdykt: jeśli masz wersję 12.2.1.4.0 lub 14.1.2.1.0 bez poprawek z października 2025 roku, wgraj je dziś i odetnij interfejs od internetu, bo luka pozwala przejąć system bez logowania i jest wykorzystywana w atakach.
Amerykańska agencja CISA 21 listopada 2025 roku dopisała CVE-2025-61757 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Oracle Identity Manager, programu, który zakłada pracownikom konta, nadaje uprawnienia i odbiera je w dniu odejścia. Komponent REST WebServices nie wymagał uwierzytelnienia przy krytycznych funkcjach, więc napastnik z dostępem sieciowym mógł przejąć cały system bez konta i hasła.
Termin naprawy wg CISA minął 12 grudnia 2025 roku. CISA ocenia atak jako możliwy do automatyzacji, czyli nadający się do masowego skanowania internetu. Oracle wydał poprawkę w kwartalnym zestawie Critical Patch Update z 21 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-61757 |
Data dodania do CISA KEV | 2025-11-21 |
Termin naprawy wg CISA | 2025-12-12 (21 dni od wpisu) |
Produkt | Oracle Fusion Middleware, produkt Identity Manager, komponent REST WebServices |
Wersje zagrożone | Identity Manager 12.2.1.4.0 i 14.1.2.1.0 bez poprawek z CPU październik 2025. Oracle zaznacza, że wersje spoza wsparcia Premier i Extended nie były testowane, ale prawdopodobnie też są podatne |
Wersje bezpieczne | 12.2.1.4.0 i 14.1.2.1.0 z poprawkami z Critical Patch Update październik 2025 (21.10.2025) lub nowszego zestawu kwartalnego. Dla wersji bez wsparcia poprawki nie ma |
Typ podatności | Brak uwierzytelnienia dla funkcji krytycznej, przejęcie systemu; CWE-306 (Missing Authentication for Critical Function) wg CISA |
Ocena CVSS | Oracle: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć (HTTP), niska złożoność, bez konta i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. NVD nie wystawiła własnej oceny |
Uwaga praktyczna: europejska baza ENISA ma ten sam opis i ocenę, ale w polu producenta wpisaną inną firmę niż Oracle. Wyszukiwanie po nazwie producenta może nic nie pokazać, więc w zgłoszeniach i korespondencji z dostawcą warto posługiwać się numerem CVE.
Wyobraź sobie biurowiec z recepcją, domofonem i legitymowaniem gości. Obok są boczne drzwi dla dostawców, które ktoś kiedyś zablokował kołkiem, żeby kurierzy nie musieli dzwonić. Wejście główne działa bez zarzutu i nikt nie kłamie, mówiąc, że budynek jest chroniony. Tyle że napastnik nie idzie wejściem głównym.
A ten budynek jest szczególny: w środku jest pokój, w którym wydaje się identyfikatory do wszystkich innych budynków firmy. Kto przejmie Identity Managera, nie musi włamywać się do księgowości ani do bazy klientów. Zakłada sobie w nich konto z uprawnieniami, a każdy system przyjmuje je jako prawidłowe, bo pochodzi ze źródła, któremu ufa.
💡 Identity Manager (system zarządzania tożsamością) to program, który centralnie zakłada konta i nadaje uprawnienia w wielu systemach firmy. REST to sposób, w jaki programy rozmawiają ze sobą przez sieć bez udziału człowieka. Uwierzytelnienie to sprawdzenie, kim jest ktoś lub coś, co się łączy. Critical Patch Update (CPU) to kwartalny zestaw poprawek bezpieczeństwa Oracle.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program łączy się z interfejsem REST | Musi okazać poświadczenia | Niektóre wywołania przechodzą bez uwierzytelnienia |
Obca osoba z internetu | Nie ma dostępu do funkcji zarządzania kontami | Może przejąć Identity Managera |
Założenie nowego konta z uprawnieniami | Tylko przez uprawnionego administratora i procedurę | Napastnik zakłada konto sam |
Systemy podłączone (księgowość, CRM, poczta) | Ufają kontom z Identity Managera | Przyjmują też konta napastnika |
Sprzątanie po incydencie | Nie jest potrzebne | Przegląd wszystkich kont we wszystkich systemach i zmiana haseł |
źródło: Pexels, Mathias RedingPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika, wystarczy dostęp sieciowy do interfejsu. CISA ocenia go jako automatyzowalny, więc napastnicy mogą przeczesywać internet i atakować instalacje seryjnie. Firma odkrywców opublikowała opis techniczny z przykładem wywołania, co ułatwia powtórzenie ataku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie instalacji Oracle Identity Manager | Lista potencjalnych celów |
2. Obejście uwierzytelnienia | T+kilka minut | Wywołanie funkcji interfejsu REST bez logowania | Dostęp do funkcji krytycznych |
3. Przejęcie systemu | T+kilkanaście minut | Wykonanie kodu lub zmiana konfiguracji Identity Managera | Kontrola nad systemem kont |
4. Założenie kont | T+1 do 3 godzin | Utworzenie lub podniesienie uprawnień kont w podłączonych systemach | Legalnie wyglądający dostęp do księgowości, CRM, poczty |
5. Wykorzystanie | T+dni do tygodni | Kradzież danych, przelewy, dalsze włamania | Straty finansowe i wyciek danych |
Mogę Ci jakoś pomóc?
System zarządzania tożsamością to klucze do całej firmy. Przejęcie go jest groźniejsze niż włamanie do pojedynczego systemu, bo napastnik działa na „prawdziwych” kontach, a ślady giną wśród zwykłych zmian kadrowych. Automatyzowalność ataku sprawia, że nie chroni wielkość firmy: skanery sprawdzają adresy po kolei.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymuszona zmiana haseł i przegląd kont w całej firmie, utrata dostępu do narzędzi | Dni do tygodni | 100 tys. do 800 tys. PLN (przestój, praca zespołów) |
Bezpieczeństwo danych | Dostęp napastnika do wszystkich systemów podłączonych do Identity Managera | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Nieuprawnione przelewy, koszty specjalistów, ewentualny okup | Dni do tygodni | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania audytorów | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 50 tys. do 300 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Oracle Identity Manager 12.2.1.4.0 / 14.1.2.1.0
bez poprawek z października 2025
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (przejęcie systemu kont całej firmy), a prawdopodobieństwo bardzo wysokie (atak bez logowania, automatyzowalny, opublikowany opis techniczny, EPSS około 88%), jeśli interfejs jest osiągalny z sieci napastnika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Oracle Identity Manager i stan poprawek (czy wgrano CPU październik 2025 lub nowszy) | Dziś | Administrator Oracle |
2 | 🔴 NATYCHMIAST | Jeśli poprawek brak: odciąć interfejs Identity Managera od internetu i ograniczyć dostęp do zaufanych adresów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Wgrać poprawki z Critical Patch Update październik 2025 lub nowszego zestawu | Dziś lub w najbliższym oknie serwisowym | Administrator Oracle |
4 | 🟠 PILNIE | Przejrzeć konta i uprawnienia utworzone lub zmienione od sierpnia 2025 roku | Do 7 dni | Administrator tożsamości / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi serwera pod kątem nietypowych wywołań interfejsu REST | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sporządzić listę systemów podłączonych do Identity Managera i kont uprzywilejowanych | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Wpisać kwartalne terminy Oracle CPU do kalendarza z zarezerwowanymi oknami serwisowymi | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Ocenić ryzyko wersji bez wsparcia Premier/Extended i zaplanować migrację | Do 90 dni | CFO / CTO |
Oracle wydał poprawki w październiku 2025 roku dla wspieranych wersji. Dla wersji bez wsparcia poprawki nie będzie, więc poniższe miary są tam jedyną ochroną. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie interfejsu Identity Managera od internetu | Wysoka wobec ataków z zewnątrz, nie chroni przed napastnikiem już w sieci firmowej | Średnia |
Ograniczenie dostępu do interfejsu REST do listy zaufanych serwerów | Wysoka | Średnia |
Reguły w zaporze aplikacyjnej (WAF) blokujące nietypowe ścieżki w adresach interfejsu | Średnia: zależy od jakości reguł | Średnia do trudnej |
Alarm przy tworzeniu kont uprzywilejowanych i zmianie uprawnień | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawki Oracle | Brak CPU październik 2025 | CPU październik 2025 lub nowszy wgrany |
Dostęp do interfejsu | Z internetu, bez ograniczeń | Tylko z zaufanych adresów |
Konta uprzywilejowane | Brak aktualnego spisu | Spis gotowy, zmiany przejrzane |
Wykrywanie nadużyć | Zmiany kont giną w codziennych operacjach | Alarm przy tworzeniu kont z wysokimi uprawnieniami |
Planowanie poprawek | Reakcja po fakcie | Kwartalne okna serwisowe w kalendarzu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown), co nie oznacza, że takiego użycia nie było |
Ocena CVSS | 9.8 KRYTYCZNA wg Oracle (CVSS 3.1) |
PoC dostępny publicznie? | TAK: wg SANS Internet Storm Center firma Searchlight Cyber 20 listopada 2025 roku opublikowała opis techniczny z przykładem wywołania |
Liczba atakowanych firm | Brak publicznych informacji. SANS ISC odnotował próby na ścieżce związanej z luką między 30 sierpnia a 9 września 2025 roku, ale Searchlight Cyber przypisał je później swoim badaniom |
Kto wykrył błąd | Adam Kues i Shubham Shah z firmy Assetnote (wymienieni w podziękowaniach Oracle) |
Ocena CISA | Wykorzystanie aktywne, atak automatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 88% szansy prób wykorzystania, powyżej 99. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-61757
CVSS 3.1 (Oracle) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzowalna TAK ████████████████████ masowe skanowanie
Opis techniczny TAK ████████████████████ łatwy do powtórzenia
Mogę Ci jakoś pomóc?
2025-09-30 Rezerwacja numeru CVE
2025-10-21 Oracle publikuje CPU październik 2025 z poprawką; publikacja CVE
2025-11-20 Searchlight Cyber publikuje opis techniczny; wpis SANS ISC
2025-11-21 CISA dodaje lukę do katalogu KEV
2025-11-22 CISA: wykorzystanie aktywne, atak automatyzowalny
2025-12-12 Termin naprawy wg CISA dla agencji federalnych
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta, Critical Patch Update październik 2025: oracle.com/security-alerts/cpuoct2025.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-61757 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Oracle Identity Manager i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie wgrania CPU październik 2025 lub nowszego | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie interfejsu od internetu do czasu wgrania poprawek | CTO | DZISIAJ |
4 | Zlecić przegląd kont uprzywilejowanych i zmian uprawnień od sierpnia 2025 roku | CTO | DO JUTRA |
5 | Sprawdzić, czy firma ma aktywne wsparcie Premier lub Extended dla używanej wersji | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy procedury zatwierdzania przelewów nie opierają się wyłącznie na uprawnieniach z systemu | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Oracle Identity Manager działa w firmie? | [wersja] | 🔴 |
2 | Kiedy wgrano poprawki z CPU październik 2025 lub nowsze? | [data] | 🔴 |
3 | Czy interfejs REST Identity Managera jest osiągalny z internetu? | TAK / NIE | 🔴 |
4 | Czy przejrzeliśmy konta utworzone lub zmienione od sierpnia 2025 roku? | TAK / NIE | 🟠 |
5 | Ile systemów jest podłączonych do Identity Managera? | [liczba] | 🟠 |
6 | Czy mamy aktywne wsparcie Oracle Premier lub Extended dla tej wersji? | TAK / NIE | 🟠 |
7 | Czy dostajemy alarm przy tworzeniu kont z wysokimi uprawnieniami? | TAK / NIE | 🟡 |
CVE-2025-61757 pozwala bez logowania przejąć Oracle Identity Manager w wersjach 12.2.1.4.0 i 14.1.2.1.0, a przez niego zyskać dostęp do wszystkich podłączonych systemów. CISA potwierdza ataki i ocenia je jako automatyzowalne, a poprawka jest dostępna od października 2025 roku, więc jej wgranie i odcięcie interfejsu od internetu to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.