Błąd w usłudze stagingu Kentico Xperience 13.0.172 i starszych pozwala bez hasła przejąć panel administracyjny strony. CISA potwierdza ataki. Zainstaluj hotfix lub wyłącz staging dziś.
Ten alert jest dla zarządu, CTO i CFO firm, których strona internetowa lub sklep działa na Kentico Xperience 13, utrzymywanym we własnym zakresie lub przez agencję. Werdykt: jeśli Kentico ma wersję 13.0.172 lub starszą i włączony staging, zainstaluj poprawkę albo wyłącz staging dziś, bo CISA potwierdza wykorzystanie tej luki do przejmowania stron.
Amerykańska agencja CISA 20 października 2025 roku dopisała do katalogu KEV podatność CVE-2025-2746 w systemie zarządzania treścią Kentico Xperience. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia do katalogu trafiła bliźniacza luka CVE-2025-2747 w tym samym składniku.
Błąd dotyczy usługi Staging Sync Server, która przenosi treści z serwera roboczego na produkcyjny. Przy uwierzytelnianiu nazwą użytkownika i hasłem obsługa pustej nazwy użytkownika pozwalała podrobić skrót hasła. Napastnik bez konta mógł przejść weryfikację i przejąć kontrolę nad obiektami administracyjnymi systemu, czyli nad tym, co w panelu może zmieniać tylko administrator. Producent opisuje skutek jako pełną kontrolę nad instancją.
Poprawka jest dostępna od 30 stycznia 2025 roku. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 10 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-2746 (EUVD-2025-8008 w europejskiej bazie ENISA) |
Data dodania do CISA KEV | 2025-10-20 |
Termin naprawy wg CISA | 2025-11-10 (21 dni od wpisu) |
Produkt | Kentico Xperience 13 (system zarządzania treścią, CMS), składnik Staging Sync Server |
Wersje zagrożone | 13.0.172 i starsze, ale tylko przy włączonym stagingu z uwierzytelnianiem nazwą użytkownika i hasłem. Tryb z certyfikatem X.509 według producenta nie jest podatny |
Wersje bezpieczne | 13.0.173 i nowsze (poprawka z 30 stycznia 2025). Zalecany najnowszy hotfix z portalu Kentico DevNet, bo zamyka też bliźniaczą lukę CVE-2025-2747 |
Typ podatności | Obejście uwierzytelnienia alternatywną ścieżką; CWE-288 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, VulnCheck jako organizacja publikująca CVE; NVD nie wystawiła własnej oceny). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie drukarnię gazety, do której kurier z redakcji przywozi gotowe strony. Drukarnia sprawdza kuriera po podpisie na liście przewozowym. Okazało się, że jeśli w rubryce „nadawca” nic nie wpisano, pracownik drukarni porównywał podpis z pustym wzorem i uznawał każdy podpis za zgodny. Każdy mógł więc podrzucić do druku własne strony gazety.
Tak działał ten błąd. Staging w Kentico przenosi gotowe treści z serwera, na którym pracuje redakcja, na serwer, który widzą klienci. Serwer docelowy sprawdza nadawcę nazwą użytkownika i skrótem hasła. Przy pustej nazwie użytkownika ten skrót dało się podrobić, więc obca osoba mogła „wysłać” na stronę produkcyjną dowolne zmiany i zarządzać obiektami administracyjnymi.
💡 CMS (system zarządzania treścią) to panel, w którym redaktorzy zmieniają treść strony bez programowania. Staging to przenoszenie gotowych treści z serwera roboczego na produkcyjny. Skrót hasła (np. SHA1) to wynik obliczenia, który serwer porównuje zamiast samego hasła. Certyfikat X.509 to cyfrowa „pieczątka” potwierdzająca tożsamość serwera. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z usługą stagingu | Musi znać login i hasło | Przechodzi weryfikację z pustą nazwą użytkownika |
Zmiany treści na stronie produkcyjnej | Tylko z serwera redakcji | Mogą pochodzić od napastnika |
Konta administratorów CMS | Zakłada tylko administrator | Napastnik może kontrolować obiekty administracyjne |
Staging włączony „na zapas” | Nieszkodliwy | Otwarte drugie wejście do systemu |
Uwierzytelnianie certyfikatem X.509 | Bezpieczne | Nadal bezpieczne (wg producenta) |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby usługa stagingu (adres kończący się na SyncServer.asmx) była osiągalna przez sieć i używała uwierzytelniania hasłem. CISA ocenia atak jako możliwy do zautomatyzowania, a watchTowr opublikował szczegóły techniczne i kod demonstracyjny, w tym opis łańcucha prowadzącego do wykonania kodu na serwerze.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie stron na Kentico z dostępną usługą SyncServer.asmx | Lista potencjalnych celów |
2. Obejście logowania | T+kilka minut | Wysłanie zapytania z pustą nazwą użytkownika i podrobionym skrótem hasła | Dostęp do funkcji stagingu bez konta |
3. Przejęcie administracji | T+kilkanaście minut | Tworzenie lub zmiana obiektów administracyjnych, np. własnego konta | Kontrola nad panelem CMS |
4. Wykonanie kodu | T+godziny | Wykorzystanie uprawnień do wgrania własnego kodu na serwer (łańcuch opisany przez watchTowr) | Kontrola nad serwerem WWW |
5. Wykorzystanie strony | T+1 do 7 dni | Podmiana numeru konta, wstawienie ukrytych przekierowań, skryptów kradnących dane z formularzy | Oszukani klienci, wyciek danych |
6. Dalszy atak | T+tygodnie | Dostęp do bazy danych strony i innych systemów połączonych z CMS | Szerszy wyciek, szantaż |
Mogę Ci jakoś pomóc?
Strona firmowa i sklep to wizytówka i kanał sprzedaży. Staging bywa włączony przy wdrożeniu i zapomniany, więc firma może nie wiedzieć, że ma otwarte drugie wejście. Luka nie wymaga hasła, jest wykorzystywana automatycznie, a skutki (podmieniona treść, skrypty kradnące dane) są tanie dla napastnika i drogie do odkręcenia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Strona wyłączona na czas czyszczenia, przywracanie z kopii, prace agencji | Godziny do dni | 20 tys. do 200 tys. PLN (przestój sprzedaży, prace naprawcze) |
Bezpieczeństwo danych | Wyciek danych z formularzy i bazy strony, kont klientów | Dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Wpłaty klientów na podmienione konto, utracona sprzedaż, koszty specjalistów | Dni do tygodni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Ostrzeżenia wyszukiwarek, spadek pozycji, utrata zaufania klientów | Tygodnie do miesięcy | 30 tys. do 400 tys. PLN (utracony ruch i klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Kentico Xperience 13.0.172
lub starszym i włączonym stagingiem z hasłem
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy spełnionych warunkach ryzyko jest krytyczne (atak bez logowania, zautomatyzowany, potwierdzony, pełna kontrola nad stroną), natomiast firma z wyłączonym stagingiem, uwierzytelnianiem certyfikatem X.509 lub wersją z poprawką jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Kentico Xperience i czy staging jest włączony oraz jakim sposobem się uwierzytelnia | Dziś | Agencja lub administrator strony |
2 | 🔴 NATYCHMIAST | Jeśli staging nie jest używany: wyłączyć go na serwerach docelowych (zalecenie producenta) | Dziś | Agencja lub administrator strony |
3 | 🔴 NATYCHMIAST | Zainstalować najnowszy hotfix Kentico 13 (co najmniej 13.0.173) | Do 3 dni | Agencja / programista |
4 | 🟠 PILNIE | Jeśli staging jest potrzebny: przełączyć uwierzytelnianie na certyfikat X.509 i ograniczyć dostęp do SyncServer.asmx do adresów serwera redakcji | Do 3 dni | Administrator hostingu |
5 | 🟠 PILNIE | Sprawdzić listę kont administratorów, ostatnie zmiany treści, szablony i stopkę strony | Do 3 dni | Agencja / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem zapytań do SyncServer.asmx od stycznia 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Zapisać w umowie z agencją obowiązek instalowania hotfixów i raportowania wersji | Do 30 dni | CTO / CFO |
Producent wydał poprawkę w styczniu 2025 roku, a do czasu jej wdrożenia podaje trzy kroki, które nie wymagają zmian w kodzie strony. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie stagingu na serwerach docelowych (zalecenie producenta) | Wysoka: usuwa drogę ataku | Łatwa, jeśli staging nie jest używany |
Przełączenie uwierzytelniania na certyfikat X.509 (zalecenie producenta) | Wysoka: ten tryb nie jest podatny | Średnia: wymaga certyfikatów po obu stronach |
Ograniczenie dostępu do adresu SyncServer.asmx tylko dla serwera redakcji (zalecenie producenta) | Wysoka wobec ataków z internetu | Łatwa dla firmy hostingowej |
Monitorowanie zmian kont i szablonów CMS | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Usługa stagingu | Włączona, dostępna z internetu, uwierzytelnianie hasłem | Wyłączona albo z certyfikatem i ograniczonym dostępem |
Wersja Kentico | 13.0.172 lub starsza | Najnowszy hotfix |
Konta administratorów | Nieznany stan | Sprawdzone, tylko znane osoby |
Treść i szablony strony | Mogły zostać zmienione | Porównane z kopią i zatwierdzone |
Zgodność z wymogami | Zaległość wobec terminu CISA z 10 listopada 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, VulnCheck) |
PoC dostępny publicznie? | TAK, watchTowr opublikował analizę i kod demonstracyjny na GitHubie |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Piotr Bazydło z watchTowr |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny całkowity |
Powiązana luka | CVE-2025-2747, drugie obejście uwierzytelnienia w tym samym składniku, w KEV od 20 października 2025 roku |
Prognoza EPSS | Wzrost z 0,25% w dniu wpisu do KEV do około 59% w sierpniu 2026 roku, górny 1% podatności (wg analizy źródłowej) |
Historia wskaźnika EPSS dobrze pokazuje, że niska ocena prawdopodobieństwa w jednym tygodniu nie jest obietnicą spokoju na kolejny rok.
Mogę Ci jakoś pomóc?
EPSS dla CVE-2025-2746 (szansa próby ataku w 30 dni)
2025-10-20 0,25% ░░░░░░░░░░░░░░░░░░░░
2026-08 ~59% ████████████░░░░░░░░
Inne sygnały
CVSS 3.1 (VulnCheck) 9.8/10 ████████████████████ KRYTYCZNA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-01-30 Kentico wydaje poprawkę (wersja 13.0.173)
2025-03-24 Publikacja CVE-2025-2746 i analizy watchTowr
2025-10-20 CISA dodaje CVE-2025-2746 i CVE-2025-2747 do KEV
2025-11-10 Termin naprawy wg CISA dla agencji federalnych
... EPSS rośnie z 0,25% do około 59%
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Poprawki (hotfixy) producenta: devnet.kentico.com/download/hotfixes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-2746 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy strona lub sklep firmy działa na Kentico Xperience 13 | CTO | DZISIAJ |
2 | Uzyskać od agencji pisemną odpowiedź: wersja, stan stagingu, sposób uwierzytelniania | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie stagingu, jeśli nie jest używany | CTO | DZISIAJ |
4 | Zatwierdzić instalację najnowszego hotfixa i przegląd kont oraz treści | CTO | DO JUTRA |
5 | Sprawdzić, czy dane do przelewu na stronie są poprawne | CFO | DZISIAJ |
6 | Sprawdzić, czy umowa z agencją obejmuje aktualizacje bezpieczeństwa, i zarezerwować budżet na prace | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące incydentów na stronie internetowej | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja i numer hotfixa naszego Kentico Xperience? | [wersja] | 🔴 |
2 | Czy staging jest włączony na serwerze produkcyjnym? | TAK / NIE | 🔴 |
3 | Czy staging uwierzytelnia się hasłem, czy certyfikatem X.509? | [sposób] | 🔴 |
4 | Czy adres SyncServer.asmx jest dostępny z internetu? | TAK / NIE | 🟠 |
5 | Kiedy zainstalowaliśmy hotfix 13.0.173 lub nowszy? | [data] | 🟠 |
6 | Czy sprawdziliśmy konta administratorów i zmiany w szablonach od stycznia 2025 roku? | TAK / NIE | 🟠 |
7 | Kto odpowiada za instalowanie hotfixów Kentico: my czy agencja? | [osoba] | 🟡 |
CVE-2025-2746 pozwala bez hasła przejąć kontrolę nad obiektami administracyjnymi w Kentico Xperience 13.0.172 i starszych, jeśli włączony jest staging z uwierzytelnianiem hasłem. CISA potwierdza ataki, a poprawka jest dostępna od stycznia 2025 roku, więc sprawdzenie stagingu, instalacja hotfixa i przegląd kont to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.