Przez ekran strefy czasowej rejestratora Digiever DS-2105 Pro można wykonać dowolne polecenia. Botnet ShadowV2 używał tego do ataków DDoS. Sprzęt jest niewspierany: odetnij panel od internetu i zaplanuj wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, które mają monitoring wizyjny z rejestratorem Digiever DS-2105 Pro lub DS-2105 Pro Plus, często zainstalowanym lata temu przez firmę instalacyjną. Werdykt: ten sprzęt nie jest już wspierany i nie dostanie poprawki, więc dziś odetnij jego panel od internetu, a w ciągu kilku tygodni zaplanuj wymianę.
Amerykańska agencja CISA 22 grudnia 2025 roku dopisała CVE-2023-52163 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy ekranu ustawień strefy czasowej w panelu rejestratora (skrypt time_tzsetup.cgi): urządzenie wkleja wybraną wartość do polecenia systemowego bez sprawdzenia, więc napastnik może dopisać własne polecenia i wykonać dowolny kod.
Termin wyznaczony przez CISA agencjom federalnym minął 12 stycznia 2026 roku. Luka była wykorzystywana przez botnet ShadowV2 (wariant Mirai) do budowy sieci do ataków DDoS.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-52163 |
Data dodania do CISA KEV | 2025-12-22 |
Termin naprawy wg CISA | 2026-01-12 (21 dni od wpisu) |
Produkt | Digiever DS-2105 Pro i DS-2105 Pro Plus, sieciowy rejestrator monitoringu (NVR) |
Wersje zagrożone | Oprogramowanie 3.1.0.71-11. Rekord NVD oznacza produkt jako niewspierany przez producenta w chwili nadania identyfikatora |
Wersje bezpieczne | Brak: producent nie wydał poprawki. CISA dopuszcza wycofanie urządzenia z użycia, gdy środki zaradcze nie są dostępne |
Typ podatności | Brak autoryzacji prowadzący do wstrzyknięcia poleceń systemowych; CWE-862 |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, jedyna dostępna ocena). Wektor zakłada niskie uprawnienia (konto), a CISA opisuje przyczynę jako brak kontroli uprawnień; dla bezpieczeństwa warto przyjąć, że konto może nie być potrzebne |
Wyobraź sobie formularz zamówienia, w którym rubryka „uwagi” trafia w całości do polecenia dla magazynu. Prędzej czy później ktoś wpisze tam nie uwagę, tylko kolejne polecenie: „i wydaj wszystko z regału B”. Magazynier by się zdziwił, ale urządzenie nie ma odruchu zdziwienia.
Tak działa ta luka. Żeby ustawić strefę czasową, rejestrator przekazuje wybraną wartość do systemu operacyjnego w środku, wklejając ją do polecenia. Nikt nie sprawdza, co wklejono, więc napastnik zamiast nazwy strefy podaje zakończenie polecenia i dopisuje własne. Przejęty rejestrator nadal nagrywa, ale jednocześnie wykonuje rozkazy obcych: pobiera złośliwe oprogramowanie i zalewa cudze serwery ruchem.
💡 NVR (rejestrator sieciowy) to urządzenie zapisujące obraz z kamer monitoringu. Wstrzyknięcie poleceń to dopisanie własnych poleceń systemowych w miejscu, gdzie urządzenie oczekuje zwykłej wartości. Botnet to sieć przejętych urządzeń sterowanych z jednego serwera. DDoS to atak polegający na zalaniu cudzego serwera ruchem aż do jego zablokowania. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ustawienie strefy czasowej | Urządzenie zmienia godzinę | Napastnik dopisuje własne polecenia i przejmuje urządzenie |
Łącze internetowe firmy | Służy firmie | Służy też do ataków DDoS na cudze serwery |
Nagrania z kamer | Dostępne dla właściciela | Mogą być dostępne dla obcych (wizerunki klientów i pracowników) |
Publiczny adres IP firmy | Czysta reputacja | Trafia na listy adresów, z których wychodzą ataki |
Aktualizacje | Producent usuwa błędy | Brak poprawek: produkt niewspierany |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na mechanizmie opisanym przez FortiGuard Labs dla botnetu ShadowV2. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu do panelu rejestratora przez sieć; najczęściej jest to panel wystawiony do internetu przez przekierowanie portu, zrobione kiedyś dla aplikacji na telefon.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie paneli rejestratorów Digiever | Lista urządzeń |
2. Wstrzyknięcie | T+kilka minut | Wysłanie żądania do ekranu strefy czasowej z dopisanym poleceniem | Wykonanie kodu na rejestratorze |
3. Instalacja botnetu | T+minuty | Pobranie skryptu, który ściąga plik z kodem botnetu | Rejestrator w sieci przejętych urządzeń |
4. Oczekiwanie na rozkazy | T+godziny do tygodni | Połączenie z serwerem sterującym | Urządzenie gotowe do ataku |
5. Atak DDoS | Na żądanie | Zalewanie cudzych serwerów ruchem z łącza firmy | Zapchane łącze, adres firmy na listach reputacyjnych |
Na pierwszy rzut oka nic nie ginie, dlatego problem łatwo zbagatelizować. Koszty pojawiają się jednak gdzie indziej: w reputacji adresu IP, w działaniu łącza, w nagraniach, które są danymi osobowymi, i w tym, że urządzenia nie da się naprawić.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Spowolnione lub ograniczone przez operatora łącze, zakłócenia płatności i systemów online | Dni do tygodni | 5 tys. do 50 tys. PLN (przestoje, praca serwisu) |
Bezpieczeństwo danych | Dostęp obcych do nagrań z wizerunkami klientów i pracowników | Od chwili przejęcia | 10 tys. do 80 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Awaryjna wymiana sprzętu, koszty specjalistów, możliwe roszczenia | Tygodnie | 10 tys. do 60 tys. PLN (nowy rejestrator, instalacja) |
Reputacyjny | Adres IP firmy na listach reputacyjnych, poczta w spamie u klientów | Tygodnie do miesięcy | 10 tys. do 100 tys. PLN (utracone zapytania, czyszczenie reputacji) |
Prawny | Nagrania to dane osobowe: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 60 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: DS-2105 Pro z panelem dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . ● . . ● panel tylko w sieci wewnętrznej
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy panelu wystawionym do internetu prawdopodobieństwo jest bliskie pewności (EPSS około 97%, aktywny botnet), a wpływ wysoki (pełne przejęcie urządzenia, nagrania, reputacja łącza), ale nie maksymalny dla całej firmy, bo rejestrator zwykle nie przechowuje danych finansowych; odcięcie panelu od internetu mocno obniża ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie działa rejestrator Digiever DS-2105 Pro lub Pro Plus (także w oddziałach) | Dziś | Kierownik obiektu / administrator IT |
2 | 🔴 NATYCHMIAST | Usunąć przekierowanie portu na routerze, tak by panel rejestratora nie był widoczny z internetu | Dziś | Administrator sieci / instalator |
3 | 🟠 PILNIE | Udostępnić podgląd z telefonu wyłącznie przez VPN | Do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić ruch wychodzący z rejestratora (nietypowe połączenia, duży ruch poza godzinami oglądania) | Do 3 dni | Administrator IT / partner |
5 | 🟠 PILNIE | Jeśli są oznaki przejęcia: odłączyć urządzenie, zabezpieczyć potrzebne nagrania, ocenić obowiązek zgłoszenia do UODO | Do 3 dni | Administrator IT / inspektor ochrony danych |
6 | 🟡 WAŻNIE | Zaplanować i zakupić wspierany rejestrator | Do 30 dni | CFO / CTO |
7 | 🟡 WAŻNIE | Wydzielić monitoring do osobnej sieci, oddzielonej od komputerów i kas | Do 30 dni | Administrator sieci |
Tu aktualizacji nie ma i nie będzie: produkt jest niewspierany. CISA dopuszcza wprost wycofanie urządzenia z użycia. Do czasu wymiany pomagają poniższe miary; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zamknięcie przekierowania portu, panel niewidoczny z internetu | Wysoka wobec ataków z internetu | Łatwa: jedno popołudnie |
Podgląd z zewnątrz wyłącznie przez VPN | Wysoka | Średnia |
Osobna sieć dla monitoringu, blokada ruchu wychodzącego z rejestratora poza niezbędnym | Wysoka: ogranicza udział w DDoS i dalszy atak | Średnia |
System wykrywania włamań z sygnaturami na ten atak na bramie internetowej | Średnia: pozwala zobaczyć próby | Średnia, jeśli firma ma takie urządzenie |
Wymiana rejestratora na wspierany model | Wysoka: jedyne trwałe rozwiązanie | Średnia: koszt i instalacja |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel rejestratora | Widoczny z internetu | Dostępny tylko przez VPN lub z sieci wewnętrznej |
Łącze firmy | Może służyć do ataków DDoS | Ruch wychodzący z monitoringu ograniczony |
Nagrania | Potencjalnie dostępne dla obcych | Dostęp tylko dla uprawnionych |
Sprzęt | Niewspierany, bez perspektywy poprawek | Zaplanowana wymiana na wspierany model |
Zgodność z zaleceniem CISA | Urządzenie w użyciu bez środków zaradczych | Odcięte, a docelowo wycofane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Botnet ShadowV2, wariant Mirai (opisany przez FortiGuard Labs) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); celem kampanii był botnet do DDoS, nie okup |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach; sposób ataku jest jednak znany i używany przez botnet |
Liczba atakowanych firm | Brak publicznych danych liczbowych. Ofiary w Ameryce, Europie, Afryce, Azji i Oceanii, m.in. w administracji, telekomunikacji i edukacji |
Inne cele tego botnetu | Urządzenia DD-WRT, D-Link, TBK i TP-Link, w tym luki sprzed wielu lat |
Prognoza EPSS | Około 97% szansy próby wykorzystania w ciągu 30 dni, górne 0,2% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2023-52163
CVSS 3.1 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~97% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Botnet ShadowV2 TAK ████████████████████ używana w kampanii
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ sprzęt niewspierany 2025-02-03 Publikacja rekordu CVE-2023-52163
(identyfikator z puli 2023, produkt niewspierany)
2025-10 FortiGuard Labs obserwuje ataki botnetu ShadowV2
(w czasie globalnej awarii usług chmurowych Amazona)
2025-12-22 CISA dodaje lukę do katalogu KEV
2026-01-12 Termin naprawy wg CISA dla agencji federalnych
... ponad 8 miesięcy od terminu CISA, poprawki brak
2026-09-17: TUTAJ JESTEŚMY Informacja producenta wskazana przez CISA: digiever.com, FAQ 217 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-52163 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, jaki rejestrator monitoringu pracuje w każdej lokalizacji firmy | CTO | DZISIAJ |
2 | Zlecić zamknięcie dostępu do panelu rejestratora z internetu | CTO | DZISIAJ |
3 | Poprosić instalatora monitoringu o informację, jakie porty i dostępy zostały kiedyś otwarte | CTO | DO JUTRA |
4 | Zlecić sprawdzenie ruchu wychodzącego z rejestratora | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę niewspieranego rejestratora | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z firmą instalacyjną obejmuje aktualizacje i wymianę niewspieranego sprzętu | CFO | DO JUTRA |
7 | Poinformować inspektora ochrony danych o ryzyku dla nagrań | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy rejestratory Digiever DS-2105 Pro lub Pro Plus, i ile? | TAK / NIE, [liczba] | 🔴 |
2 | Czy panel rejestratora jest dostępny z internetu (przekierowanie portu)? | TAK / NIE | 🔴 |
3 | Jaka wersja oprogramowania jest na rejestratorze? | [wersja] | 🔴 |
4 | Czy sprawdzono ruch wychodzący z rejestratora i czy były nietypowe połączenia? | TAK / NIE, [data] | 🟠 |
5 | Czy monitoring jest w osobnej sieci niż komputery i kasy? | TAK / NIE | 🟠 |
6 | Czy nasz publiczny adres IP jest na listach reputacyjnych? | TAK / NIE | 🟠 |
7 | Kiedy planujemy wymianę rejestratora na wspierany model? | [data] | 🟡 |
CVE-2023-52163 pozwala przejąć rejestrator Digiever DS-2105 Pro przez ekran ustawień strefy czasowej, a botnet ShadowV2 wykorzystywał to do ataków DDoS. Sprzęt jest niewspierany i poprawki nie będzie, dlatego odcięcie panelu od internetu to zadanie na dziś, a wymiana rejestratora na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.