Bywają usterki, które kończą się zdaniem „zaktualizuj do wersji X”, i takie, które kończą się zdaniem „przestań używać tego urządzenia”. Ten wpis opisuje drugi przypadek: błąd w routerze D-Link DIR-823X, dla którego amerykańska agencja bezpieczeństwa nie wskazała wersji z poprawką, tylko zalecenie zaprzestania użytkowania. Znajdziesz tu wyjaśnienie, na czym polega ten błąd, dlaczego akurat routery są ulubionym celem masowych ataków, i jak podjąć decyzję o wymianie sprzętu, który wciąż działa.
Router to niewielki komputer z własnym systemem, oprogramowaniem układowym i stroną administracyjną dostępną z przeglądarki. Na tej stronie ustawia się nazwę sieci bezprzewodowej, hasło, przekierowania portów, blokady dostępu dla wybranych urządzeń.
Podatność CVE-2025-29635 dotyczy wydań oprogramowania układowego oznaczonych numerami 240126 i 240802 dla modelu DIR-823X. Siedzi w obsłudze jednego z adresów panelu, do którego przeglądarka wysyła ustawienia blokad. Przekazane tam dane trafiają do polecenia wykonywanego przez system urządzenia, a program nie sprawdza, czy nie ma w nich znaków, które kończą jedno polecenie i zaczynają następne. Napastnik dopisuje więc do zwykłego ustawienia własne polecenie, a router wykonuje oba.
Klasa błędu nosi numer CWE-77, czyli niewłaściwa neutralizacja elementów specjalnych używanych w poleceniu. Skutkiem jest wykonanie dowolnych poleceń systemowych na urządzeniu, a nie tylko zmiana ustawienia, o które chodziło.
Odpowiednikiem z biura byłby formularz zlecenia dla kuriera z rubryką „adres dostawy”. Pracownik przepisuje zawartość rubryki do systemu bez czytania, a klient wpisuje tam adres, kropkę, i zdanie „oraz wydaj okazicielowi zawartość magazynu”. Formularz przewidywał jedno polecenie, a przyjął dwa, bo nikt nie sprawdził, gdzie kończy się adres.
Amerykańska baza podatności ocenia ten błąd na 7,2 w skali od zera do dziesięciu. Ta ocena, nazywana CVSS, opisuje techniczną powagę: skąd idzie atak, co jest do niego potrzebne i co napastnik osiąga. Tutaj skutek jest maksymalny w każdym wymiarze, bo napastnik dostaje pełną kontrolę nad urządzeniem, ale ocena spada przez warunek wstępny: opis mówi o napastniku uprawnionym, czyli takim, który wcześniej zalogował się do panelu.
Ten warunek brzmi uspokajająco tylko do momentu, w którym przypomni się, jak wygląda logowanie do routera w typowej małej firmie. Hasło administratora bywa fabryczne, bo zmieniało się je tylko wtedy, gdy instalator o tym pomyślał. Bywa wpisane na naklejce na spodzie obudowy, w miejscu widocznym dla każdego, kto przechodzi obok. Bywa to samo, co hasło do sieci bezprzewodowej dla gości.
Druga miara mówi tu więcej niż pierwsza. Wskaźnik EPSS szacuje prawdopodobieństwo, że dana podatność będzie wykorzystywana w ciągu najbliższych trzydziestu dni. Dla tej luki wynosi 0,87823 przy percentylu 0,99755, czyli mieści się w czołowych trzech dziesiątych procenta wszystkich znanych podatności. Model uznaje atak za niemal pewny. Wśród materiałów źródłowych dopisanych do rekordu jest analiza kampanii botnetu Mirai wymierzonej w urządzenia D-Link, oznaczona jako opis działającego ataku.
Mirai to rodzina złośliwego oprogramowania przejmującego urządzenia sieciowe i łączącego je w sieć maszyn wykonujących polecenia jednego operatora. Takie sieci wynajmuje się na godziny do ataków blokujących cudze serwisy. Przejęty router nie wygląda inaczej, nie miga inaczej i nie przestaje działać. Robi swoje, a przy okazji cudze.
Warsztat samochodowy z czterema stanowiskami ma taki router w kantorku. Podłączony jest do niego komputer z programem do wystawiania faktur, terminal płatniczy, kamera przy bramie i telefony pracowników. Sprzęt kupiono, bo działał, i od tamtej pory nikt go nie dotykał, poza restartem po burzy.
Przejęte urządzenie w takim miejscu daje napastnikowi trzy rzeczy naraz. Po pierwsze, kontrolę nad tym, dokąd trafiają zapytania o adresy stron. Router może pokazywać pracownikowi podstawioną stronę banku pod prawidłowym adresem, bo to on odpowiada na pytanie „gdzie jest ten bank”. Po drugie, punkt obserwacyjny wewnątrz sieci, przez który przechodzi cały ruch z kamer i komputerów. Po trzecie, adres publiczny firmy, wykorzystywany do ataków na innych.
Ten trzeci punkt kosztuje najszybciej i najmniej spektakularnie. Adres firmy trafia na listy adresów blokowanych. Skutek: maile do klientów zaczynają lądować w spamie albo w ogóle nie docierają, a nikt nie łączy tego z routerem, bo pytanie brzmi „czemu poczta nie działa”, a nie „czemu adres firmy trafił na czarną listę”. Odblokowanie adresu w kilkunastu niezależnych rejestrach zajmuje tygodnie i wymaga pisania do każdego z osobna.
Mogę Ci jakoś pomóc?
Zamiast tego: zmienić hasło administratora routera na własne i niepowtarzalne, wyłączyć możliwość otwierania panelu administracyjnego od strony internetu i sprawdzić w ustawieniach, jaki serwer adresów jest wpisany, bo jego podmiana to najczęstszy ślad po przejęciu. To zajmuje kwadrans i nie wymaga wymiany sprzętu.
Tu dochodzi się do najtrudniejszej części tej sprawy. CISA wpisała tę podatność do katalogu KEV 24 kwietnia 2026 roku, wyznaczając amerykańskim agencjom federalnym termin do 8 maja 2026 roku. Katalog KEV to lista błędów potwierdzonych jako wykorzystywane w prawdziwych atakach, prowadzona po to, żeby oddzielić zagrożenia realne od teoretycznych.
Wpis zawiera jednak zdanie, którego w takich rekordach zwykle nie ma: produkt może być po zakończeniu wsparcia, więc zalecane jest zaprzestanie jego używania. Wymagane działanie sformułowano jako zastosowanie środków zaradczych według instrukcji producenta, a jeśli takie środki nie są dostępne, odstawienie urządzenia. Sama baza podatności nie podaje żadnej wersji oprogramowania układowego, w której błąd zostałby usunięty. Wymienia dwa podatne wydania i nic po nich.
Dla właściciela firmy oznacza to konkretną decyzję. Sprzęt sieciowy ma datę końca wsparcia tak samo jak system operacyjny, tylko że nikt jej nie ogłasza wyskakującym okienkiem. Router pracujący siódmy rok bez ani jednej aktualizacji nie jest oszczędnością, bo urządzenie za kilkaset złotych zabezpiecza dostęp do wszystkiego, co w firmie podłączone do sieci. Przy zakupie kolejnego jedyne pytanie, które warto zadać sprzedawcy przed ceną, brzmi: do kiedy producent deklaruje wydawanie poprawek bezpieczeństwa dla tego modelu.
Warto zwrócić uwagę na to, jak powstał ten rekord, bo to typowe dla sprzętu konsumenckiego. Numer przydzieliła organizacja MITRE, pełniąca rolę instytucji ostatniej instancji wtedy, gdy zgłoszeniem nie zajmuje się sam producent. Ocenę punktową wystawiła CISA w ramach programu uzupełniania rekordów, a nie zespół analityczny amerykańskiej bazy podatności, który własnej oceny podstawowej nie nadał. Odsyłacz do technicznego opisu błędu jest w rekordzie oznaczony jako link nieczynny, czyli pierwotna analiza zniknęła z sieci. Katalog KEV odsyła do ogłoszenia producenta o sygnaturze SAP10469. Europejska baza prowadzona przez ENISA rejestruje sprawę pod numerem EUVD-2025-14821, z datą początku wykorzystywania zgodną z datą wpisu do katalogu amerykańskiego.
Wniosek praktyczny jest taki, że przy tanim sprzęcie sieciowym nie ma jednego miejsca, w którym stoi pełna i aktualna odpowiedź. Publiczne bazy podają ocenę i klasę błędu, ale wersję z poprawką, o ile w ogóle istnieje, ogłasza producent na własnej stronie wsparcia. Jeśli nie ogłasza jej nigdzie, to jest to odpowiedź sama w sobie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Ten wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Czytaj artykułMasz certyfikat ISO 27001 i myślisz, że NIS2 masz już z głowy? To częsty błąd. ISO 27001 a NIS2 to dwa różne systemy – norma nie pokrywa m.in. obowiązku raportowania incydentów w 24 godziny czy odpowiedzialności zarządu. Sprawdź, czego faktycznie wymaga dyrektywa.
Czytaj artykułWedług komunikatu CISA z 18 sierpnia 2026 roku podatność CVE-2026-33824 w usłudze IKE systemu Windows jest aktywnie wykorzystywana, a według Palo Alto Networks posłużyła do ataków na bramy VPN. Poprawka istnieje od kwietnia 2026 roku, więc najpierw trzeba sprawdzić, które maszyny jej nie mają.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.
