Panel routerów AirLink z systemem ALEOS pozwala zalogowanemu napastnikowi wgrać i uruchomić własny program. CISA potwierdza ataki. Ukryj panel przed internetem, zmień hasła i zaktualizuj lub wymień sprzęt.
Ten alert jest dla zarządu, CTO i CFO firm, które mają urządzenia w terenie połączone z internetem przez przemysłowe routery komórkowe Sierra Wireless AirLink (kamery, stacje pomiarowe, maszyny, szafy sterownicze). Werdykt: jeśli router AirLink działa na starym ALEOS, dziś ukryj jego panel przed internetem i zmień hasła, a potem zaktualizuj lub wymień urządzenie, bo luka z 2019 roku jest wykorzystywana w atakach.
Amerykańska agencja CISA 12 grudnia 2025 roku dopisała podatność CVE-2018-4063 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w funkcji wysyłania plików (upload.cgi) panelu zarządzania routerów AirLink z systemem ALEOS. Zalogowany napastnik może wgrać plik, który staje się programem na serwerze WWW urządzenia, i uruchomić go zwykłym adresem w przeglądarce.
Luka jest publicznie znana od 6 maja 2019 roku, a termin naprawy wg CISA minął 2 stycznia 2026 roku. CISA zaznacza, że część urządzeń może być wycofana ze wsparcia producenta; wtedy zalecanym działaniem jest zaprzestanie ich używania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2018-4063 |
Data dodania do CISA KEV | 2025-12-12 |
Termin naprawy wg CISA | 2026-01-02 (21 dni od wpisu) |
Produkt | Sierra Wireless AirLink, system ALEOS (przemysłowe routery komórkowe), panel ACEManager |
Wersje zagrożone | LS300, GX400, GX440, ES440: ALEOS przed 4.4.9. GX450, ES450: przed 4.9.4. MP70, MP70E, RV50, RV50X, LX40, LX60: przed 4.12 wg biuletynu CISA (NVD podaje granicę 4.11.0). Atak wymaga zalogowania do panelu urządzenia |
Wersje bezpieczne | LS300, GX400, GX440, ES440: ALEOS 4.4.9. GX450, ES450: 4.9.4.p09. MP70, MP70E, RV50, RV50X, LX40, LX60: 4.12. Przy rozbieżności źródeł przyjmij wyższą wersję (4.12). Urządzenia wycofane ze wsparcia: wymiana |
Typ podatności | Nieograniczone wgrywanie pliku niebezpiecznego typu, prowadzące do wykonania kodu; CWE-434 |
Ocena CVSS | NVD: 8.8 WYSOKA (CVSS 3.1, niskie uprawnienia, skutki w obrębie urządzenia). CISA w biuletynie ICS: 9.1 KRYTYCZNA (CVSS 3.1, wysokie uprawnienia, skutki poza urządzeniem). NVD w starszej skali CVSS 2.0: 9.0 |
Wyobraź sobie skrzynkę na listy przy bramie placu składowego. Pracownicy wrzucają do niej dokumenty, a portier każdego ranka wykonuje wszystko, co w niej znajdzie, bo zakłada, że to polecenia od kierownika. Kto zna kod do kłódki skrzynki, może wrzucić własną kartkę „otwórz bramę o 2:00 w nocy”, a portier to zrobi.
Tak działa ten błąd. Panel routera przyjmował pliki, ale nie sprawdzał, czym są, i odkładał je w miejscu, z którego dało się je uruchomić. Router stoi zwykle przy przepompowni, na maszcie z kamerami, w maszynie budowlanej lub myjni bezobsługowej, zamontowany raz przez firmę zewnętrzną i nieaktualizowany latami. Przejęty router ma połączenie zarówno z internetem, jak i z urządzeniem, którym steruje.
💡 Router komórkowy łączy urządzenie z internetem przez kartę SIM tam, gdzie nie ma kabla. ALEOS to system operacyjny routerów AirLink, a ACEManager to ich panel zarządzania w przeglądarce. CWE-434 oznacza, że program przyjmuje pliki bez sprawdzenia typu, także pliki wykonywalne. ICS to systemy sterowania przemysłowego. EoL (end of life) oznacza sprzęt bez dalszego wsparcia producenta.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wgranie pliku przez panel | Tylko konfiguracja lub aktualizacja od administratora | Dowolny program napastnika |
Jedno hasło znane z odsprzedanego urządzenia | Dostęp do jednej skrzynki | Dostęp do wszystkich urządzeń z tym samym hasłem |
Kamera lub waga na placu | Wysyła dane do firmy | Może wysyłać dane także do obcych lub przestać działać |
Sieć za routerem | Dostępna tylko dla firmy | Dostępna dla napastnika z uruchomionym kodem |
Aktualizacja urządzenia | Rzadka, bo „działa” | Bez niej luka pozostaje otwarta od 2019 roku |
źródło: Pexels, Jakub ZerdzickiPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania, więc atak zaczyna się od zdobycia hasła, co przy fabrycznych lub powtarzanych hasłach bywa łatwe. CISA ocenia, że wykorzystania nie da się zautomatyzować, czyli ktoś wybiera cel i pracuje ręcznie. Forescout opisał w swojej sieci pułapek (honeypot) udany atak tą luką na router Sierra Wireless w ramach aktywności nazwanej Chaya_005, trwającej co najmniej dwa lata.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie paneli routerów AirLink w internecie (np. przez publiczne wyszukiwarki urządzeń) | Lista urządzeń |
2. Zdobycie hasła | T+godziny do dni | Próba haseł fabrycznych, haseł instalatora, hasła z odsprzedanego lub skradzionego urządzenia | Działające logowanie do panelu |
3. Wgranie pliku | T+kilka minut po zalogowaniu | Spreparowane żądanie do funkcji upload.cgi | Program napastnika na serwerze WWW routera |
4. Uruchomienie | T+sekundy | Otwarcie adresu wgranego pliku | Kod napastnika działa na routerze |
5. Utrwalenie | T+godziny | Instalacja narzędzia stałego dostępu, dołączenie do sieci botnetu | Router pod kontrolą napastnika |
6. Wykorzystanie | T+dni do tygodni | Podsłuch ruchu, atak na urządzenia za routerem, użycie routera do ataków na innych | Zakłócenia pracy, wyciek danych, problemy z operatorem |
Urządzenia w terenie rzadko są w spisie systemów firmy: zamontował je wykonawca, działają i nikt tam nie zagląda. Tymczasem łączą internet z tym, czym firma steruje. Część z nich nie dostanie już poprawki, więc trzeba policzyć koszt wymiany wobec kosztu włamania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata łączności z obiektem, zatrzymanie urządzeń sterowanych przez router, dojazdy serwisowe | Godziny do dni | 5 tys. do 80 tys. PLN (dojazdy, przestój obiektu) |
Bezpieczeństwo danych | Podsłuch danych z kamer, wag, liczników, dostęp do sieci firmy | Dni | 10 tys. do 100 tys. PLN (analiza, rekonfiguracja) |
Finansowy | Wymiana urządzeń pod presją czasu, koszty transmisji danych i blokady SIM | Tygodnie | 5 tys. do 150 tys. PLN, zależnie od liczby urządzeń |
Reputacyjny | Awaria usługi u klientów (myjnia, wypożyczalnia, obsługa wodociągowa) | Dni do tygodni | 10 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Jeśli wyciekły dane osobowe (np. nagrania z kamer): obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla operatorów usług kluczowych dodatkowe obowiązki zgłoszeniowe | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z routerami AirLink na starym ALEOS
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo kod napastnika działa na urządzeniu łączącym internet z instalacją w terenie; prawdopodobieństwo jest średnie, bo atak wymaga hasła i ręcznej pracy, ale rośnie wyraźnie przy hasłach fabrycznych lub wspólnych dla wielu urządzeń.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sporządzić listę routerów AirLink: model, wersja ALEOS, lokalizacja, firma, która je montowała | Dziś | CTO / instalator |
2 | 🔴 NATYCHMIAST | Odciąć panel zarządzania ACEManager od internetu; dostęp zdalny tylko przez VPN | Dziś | Administrator sieci / instalator |
3 | 🔴 NATYCHMIAST | Zmienić hasła konta użytkownika, konta usługowego i konsoli na silne i różne dla każdego urządzenia | Dziś lub jutro | Instalator / administrator |
4 | 🟠 PILNIE | Zaktualizować ALEOS do 4.4.9, 4.9.4.p09 lub 4.12 zależnie od modelu | Do 7 dni | Instalator |
5 | 🟠 PILNIE | Dla urządzeń bez wsparcia (np. linia ES450 wycofana przez producenta) przygotować wycenę wymiany | Do 7 dni | CTO / CFO |
6 | 🟠 PILNIE | Oddzielić sieć urządzeń w terenie od sieci biurowej | Do 14 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wpisać do umów z instalatorami wymóg unikalnych haseł przekazywanych firmie i harmonogramu aktualizacji | Do 30 dni | CFO / dział zakupów |
Producent wydał poprawione wersje ALEOS, ale część modeli może być wycofana ze wsparcia i wtedy CISA zaleca zaprzestanie używania. Do czasu aktualizacji lub wymiany producent i CISA zalecają poniższe działania. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Panel zarządzania dostępny tylko przez VPN, niewidoczny z internetu (zalecenie CISA) | Wysoka: samo hasło przestaje wystarczać | Średnia, wymaga konfiguracji VPN |
Silne, unikalne hasła dla konta użytkownika, usługowego i konsoli (zalecenie producenta) | Wysoka wobec ataku zaczynającego się od zgadnięcia hasła | Łatwa, ale wymaga objazdu lub dostępu zdalnego |
Łączenie z panelem wyłącznie przez HTTPS i aktualną przeglądarkę (zalecenie producenta) | Średnia | Łatwa |
Umieszczenie urządzeń za zaporą i odcięcie od sieci biurowej (zalecenie CISA) | Średnia: ogranicza skutki przejęcia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o urządzeniach w terenie | Brak listy, wszystko u instalatora | Lista z modelem, wersją i lokalizacją |
Panel zarządzania | Widoczny z internetu | Dostępny tylko przez VPN |
Hasła | Fabryczne lub jedno dla wszystkich | Silne i różne dla każdego urządzenia |
Oprogramowanie ALEOS | Z dnia montażu | 4.4.9, 4.9.4.p09 lub 4.12, a sprzęt bez wsparcia wymieniony |
Status wobec terminu CISA | Zaległość od 2 stycznia 2026 roku | Luka zamknięta lub urządzenie wycofane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: wykorzystanie aktywne, bez automatyzacji, skutek techniczny całkowity. Forescout opisał udany atak na swój router-pułapkę Sierra Wireless |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; Forescout nazwał obserwowaną aktywność Chaya_005 i nie przypisał jej konkretnym sprawcom |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 9.1 KRYTYCZNA wg biuletynu CISA ICS (CVSS 3.1); 9.0 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | TAK: szczegółowy raport Cisco Talos (TALOS-2018-0748) i materiał w serwisie Packet Storm z 2019 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Carl Hurd i Jared Rittle, Cisco Talos |
Sektory użycia wg CISA | Obiekty komercyjne, łączność, służby ratownicze, energetyka, administracja, transport, woda i ścieki |
Prognoza EPSS | Około 27%, powyżej 97. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2018-4063
CVSS 3.1 (CISA ICS) 9.1/10 ██████████████████░░ KRYTYCZNA
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~27% █████░░░░░░░░░░░░░░░ średnia
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak ręczny 2019-05 CISA publikuje biuletyn ICS ICSA-19-122-03
2019-05-06 Publikacja CVE-2018-4063 w NVD
2020-04 Ostatnia aktualizacja biuletynu CISA
2025 Forescout opisuje ataki na router-pułapkę
2025-12-12 CISA dodaje lukę do katalogu KEV (ponad 6,5 roku później)
2026-01-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn CISA z wersjami i zaleceniami: ICSA-19-122-03 . Biuletyn producenta: Sierra Wireless SWI-PSA-2019-003 . Informacja o wycofaniu ES450: AirLink ES450 EOL . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2018-4063 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać instalatorów i dział techniczny, czy w firmie pracują routery Sierra Wireless AirLink | CTO | DZISIAJ |
2 | Zlecić ukrycie paneli zarządzania przed internetem i zmianę haseł | CTO | DZISIAJ |
3 | Uzyskać listę urządzeń z modelem i wersją ALEOS | CTO | DO JUTRA |
4 | Zatwierdzić budżet na aktualizację lub wymianę urządzeń bez wsparcia | CFO | DO JUTRA |
5 | Poprosić instalatora o przekazanie haseł do urządzeń w formie przechowywanej w firmie | CFO | DO JUTRA |
6 | Sprawdzić, czy rachunki operatora za karty SIM w urządzeniach nie pokazują nietypowego ruchu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile routerów AirLink mamy i jakie to modele? | [liczba / modele] | 🔴 |
2 | Jaka wersja ALEOS działa na każdym z nich? | [wersja] | 🔴 |
3 | Czy panel ACEManager jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy każde urządzenie ma inne, silne hasło, i kto je zna? | TAK / NIE | 🔴 |
5 | Które urządzenia są wycofane ze wsparcia producenta? | [lista] | 🟠 |
6 | Czy sieć urządzeń w terenie jest oddzielona od sieci biurowej? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowano oprogramowanie tych routerów? | [data] | 🟡 |
CVE-2018-4063 pozwala osobie znającej hasło do panelu routera Sierra Wireless AirLink wgrać i uruchomić własny program na urządzeniu łączącym internet z instalacją w terenie. CISA potwierdza ataki, a część sprzętu nie dostanie już poprawek, więc dziś trzeba ukryć panele przed internetem i zmienić hasła, a w najbliższych dniach zaktualizować lub wymienić urządzenia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.