Router ASUS GT-AC2900 i Lyra Mini wpuszczały do panelu administratora bez hasła. CISA potwierdza ataki, część urządzeń jest po końcu wsparcia. Wyłącz zdalny dostęp, zaktualizuj lub wymień sprzęt.
Ten alert jest dla zarządu, CTO i CFO firm oraz gabinetów, które korzystają z routera ASUS GT-AC2900 albo zestawu ASUS Lyra Mini. Werdykt: sprawdź wersję oprogramowania routera i wyłącz zdalny dostęp do panelu z internetu dziś, a jeśli urządzenie jest po końcu wsparcia, zaplanuj jego wymianę, bo luka pozwala wejść do panelu bez hasła i jest niemal na pewno atakowana.
Amerykańska agencja CISA 2 czerwca 2025 roku dopisała podatność CVE-2021-32030 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To stary błąd z 2021 roku w routerach ASUS.
W panelu administracyjnym router w pewnych sytuacjach porównywał pustą wartość przysłaną przez logującego się z pustą wartością zapisaną u siebie. Porównanie wypadało pozytywnie, więc napastnik wchodził do panelu administratora, nie znając żadnego hasła. Panel routera daje kontrolę nad całym ruchem sieciowym firmy.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 23 czerwca 2025 roku. CISA zaznaczyła, że urządzenia mogą być po końcu wsparcia i zaleca zaprzestanie ich używania, jeśli nie ma poprawki.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-32030 (także EUVD-2021-18896) |
Data dodania do CISA KEV | 2025-06-02 |
Termin naprawy wg CISA | 2025-06-23 (21 dni od wpisu) |
Produkt | ASUS GT-AC2900 (router ROG Rapture) oraz ASUS Lyra Mini (system mesh Wi-Fi) |
Wersje zagrożone | Wszystkie wersje starsze niż poprawione. Dla Lyra Mini podatne pozostają też wersje niewspierane, dla których poprawek nie przewidziano |
Wersje bezpieczne | GT-AC2900: 3.0.0.4.386.42643 i nowsze; Lyra Mini: 3.0.0.4_384_46630 i nowsze. Urządzenia po końcu wsparcia nie dostaną poprawki i należy je wymienić |
Typ podatności | Niepoprawne uwierzytelnianie (wejście do panelu bez hasła); CWE-287 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1) wg NVD i CISA, identyczny opis; 7.5 w starszej skali CVSS 2.0. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie zamek szyfrowy, w którym fabryczny kod pozostawiono pusty, a zamek porównuje wpisany kod z zapisanym. Kto nic nie wpisze, ten podaje dokładnie to, co jest w środku, i drzwi się otwierają. Router ASUS w pewnych sytuacjach zachowywał się tak samo: puste porównane z pustym wypadało zgodnie i wpuszczało do panelu administratora.
Panel routera to nie jest błahostka. Steruje całym ruchem firmy: decyduje, gdzie trafia przeglądarka po wpisaniu adresu banku, kto wchodzi do sieci i jak wygląda przekierowanie do komputerów. Przejęcie panelu daje napastnikowi wgląd i kontrolę nad wszystkim, co przez router przechodzi, bez łamania haseł na komputerach.
💡 Panel administracyjny routera to strona w przeglądarce, na której zmienia się ustawienia sieci i Wi-Fi. Uwierzytelnianie to sprawdzenie, czy logujący się jest tym, za kogo się podaje. Serwery nazw (DNS) decydują, pod jaki adres trafia przeglądarka; ich podmiana pozwala kierować pracowników na fałszywe strony. Dostęp z WAN to możliwość wejścia w panel routera z internetu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu routera | Wymaga poprawnego hasła | W pewnych sytuacjach wpuszcza bez hasła |
Dostęp z internetu (WAN) | Ryzykowny, ale chroniony hasłem | Umożliwia atak z dowolnego miejsca |
Serwery nazw (DNS) | Ustawione przez firmę | Napastnik może je podmienić i kierować na fałszywe strony |
Komputery w sieci | Widoczne tylko dla uprawnionych | Napastnik może je podejrzeć i przekierować do nich ruch |
Urządzenie po końcu wsparcia | Producent wydaje poprawki | Brak poprawek, jedyne wyjście to wymiana |
źródło: Pexels, Jakub ZerdzickiPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak jest najgroźniejszy, gdy panel routera jest dostępny z internetu (zdalne zarządzanie). CISA oceniła, że atak da się zautomatyzować, więc dotyczy przypadkowych celów z całej sieci.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne przeszukiwanie internetu w poszukiwaniu paneli podatnych routerów ASUS | Lista celów |
2. Wejście bez hasła | T+sekundy | Logowanie z pustą wartością, które router przyjmuje jako poprawne | Dostęp do panelu administratora |
3. Zmiana ustawień | T+minuty | Podmiana serwerów nazw, otwarcie przekierowań, założenie własnego dostępu | Kontrola nad ruchem sieciowym |
4. Przekierowanie | T+godziny | Kierowanie pracowników na fałszywe strony banku lub logowania | Kradzież haseł i danych |
5. Utrwalenie | T+dni | Stały dostęp niezależny od haseł na komputerach | Trwała obecność w sieci firmy |
6. Skutki | T+dni do tygodni | Podsłuch ruchu, wejście do komputerów, oszustwa finansowe | Wyciek danych i straty |
Mogę Ci jakoś pomóc?
Router bywa traktowany jak gniazdko: stoi w kącie i nikt go nie aktualizuje. Tymczasem przez niego przechodzi cały ruch firmy, a przejęcie panelu daje kontrolę nad tym ruchem, niezależnie od zabezpieczeń na komputerach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zakłócenia w dostępie do internetu i systemów, konieczność wymiany sprzętu | Dni | 5 tys. do 50 tys. PLN (przestój, nowy sprzęt, konfiguracja) |
Bezpieczeństwo danych | Przekierowanie ruchu, podsłuch, kradzież haseł i danych klientów | Godziny od przejęcia | 20 tys. do 150 tys. PLN (analiza, wymiana haseł) |
Finansowy | Oszustwa na fałszywych stronach banku, nieautoryzowane przelewy | Godziny do dni | 20 tys. do 400 tys. PLN, zależnie od skali oszustwa |
Reputacyjny | Utrata zaufania klientów, których dane lub pieniądze ucierpiały | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla routera ASUS bez poprawki
z dostępem do panelu z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (wejście bez hasła, automatyzacja, EPSS ponad 99%, ataki potwierdzone), a wpływ pełny, bo router kontroluje cały ruch firmy; wyłączenie dostępu do panelu z internetu wyraźnie obniża prawdopodobieństwo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma używa routera ASUS GT-AC2900 lub Lyra Mini i jaką ma wersję oprogramowania | Dziś | Dział IT / dostawca internetu |
2 | 🔴 NATYCHMIAST | Wyłączyć zdalny dostęp do panelu z internetu (dostęp z WAN, zdalne zarządzanie) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować oprogramowanie do wersji z poprawką (GT-AC2900: 3.0.0.4.386.42643; Lyra Mini: 3.0.0.4_384_46630) | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Zmienić hasło administratora routera, jeśli jest fabryczne lub puste | Dziś | Administrator |
5 | 🟠 PILNIE | Sprawdzić w panelu ustawienia serwerów nazw i przekierowań pod kątem nieznanych zmian | Do 3 dni | Dział IT |
6 | 🟠 PILNIE | Jeśli urządzenie jest po końcu wsparcia (brak aktualizacji), zaplanować jego wymianę | Do 14 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Ustalić daty końca wsparcia dla urządzeń sieciowych i wpisać je do kalendarza | Do 30 dni | CTO |
Dla części urządzeń (zwłaszcza Lyra Mini po końcu wsparcia) poprawki nie będzie i jedynym rozwiązaniem jest wymiana. Do czasu wymiany ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zdalnego dostępu do panelu z internetu (jedyne obejście podane w opisie) | Wysoka: odcina atak z internetu | Łatwa: jedno ustawienie w panelu |
Zmiana hasła administratora z fabrycznego lub pustego na silne | Średnia: utrudnia część prób | Łatwa |
Odseparowanie routera od najważniejszych systemów (osobna sieć dla płatności) | Średnia | Trudna dla małej firmy |
Wymiana urządzenia po końcu wsparcia na nowe z aktualnym oprogramowaniem | Bardzo wysoka | Średnia: wymaga zakupu i konfiguracji |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Logowanie do panelu | Możliwe bez hasła | Wymaga poprawnego hasła (po poprawce) |
Dostęp z internetu | Panel widoczny dla skanerów | Zdalne zarządzanie wyłączone |
Hasło administratora | Fabryczne lub puste | Zmienione na silne |
Serwery nazw i przekierowania | Mogły zostać podmienione | Sprawdzone i przywrócone |
Sprzęt po końcu wsparcia | W użyciu, bez poprawek | Zaplanowany do wymiany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, automatyzowalne, z całkowitym wpływem technicznym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i CISA (CVSS 3.1) |
PoC dostępny publicznie? | Pierwotny opis techniczny (Atredis Partners) oznaczony w NVD jako exploit, ale link jest nieżywy; treści nie udało się zweryfikować |
Liczba atakowanych firm | Brak publicznych informacji |
Status wsparcia | CISA ostrzega, że produkty mogą być po końcu wsparcia lub serwisowania, i zaleca zaprzestanie używania, jeśli nie ma poprawki |
Prognoza EPSS | 0,994 (ponad 99% szansy próby wykorzystania w 30 dni), percentyl 0,999, stabilna od co najmniej miesiąca (wg analizy źródłowej) |
EPSS na poziomie ponad 99% oznacza, że mniej niż jedna podatność na tysiąc jest oceniana wyżej. W połączeniu z automatyzacją ataku znaczy to, że podatny router prędzej czy później zostanie sprawdzony przez automat, niezależnie od wielkości firmy.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2021-32030
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~99% ████████████████████ skrajnie wysoka
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja ataku TAK ████████████████████ cele przypadkowe
Wsparcie producenta Koniec ░░░░░░░░░░░░░░░░░░░░ część bez poprawek 2021-05-06 Publikacja CVE-2021-32030 w NVD
2025-06-02 CISA dodaje lukę do katalogu KEV (z uwagą o końcu wsparcia)
2025-06-23 Termin naprawy wg CISA dla agencji federalnych
2026-07 do 08 EPSS utrzymuje się powyżej 0,99
... ponad rok od wpisu do KEV, ponad 4 lata od publikacji
2026-09-17: TUTAJ JESTEŚMY Strona wsparcia ASUS dla Lyra Mini: asus.com, Lyra Mini . Strona wsparcia dla GT-AC2900: asus.com, ROG Rapture GT-AC2900 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-32030 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, jaki router obsługuje firmę i kto nim zarządza | CTO | DZISIAJ |
2 | Zlecić wyłączenie zdalnego dostępu do panelu i sprawdzenie wersji | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację lub, jeśli sprzęt jest po końcu wsparcia, zakup nowego | CTO / CFO | DZISIAJ |
4 | Zlecić sprawdzenie ustawień serwerów nazw i przekierowań | CTO | DO JUTRA |
5 | Ustalić daty końca wsparcia dla urządzeń sieciowych firmy | CFO | DO JUTRA |
6 | Zarezerwować budżet na wymianę sprzętu bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić, czy inne routery tego producenta w firmie nie są objęte podobnymi lukami | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy routera ASUS GT-AC2900 lub Lyra Mini? | TAK / NIE | 🔴 |
2 | Jaka jest wersja oprogramowania routera? | [wersja] | 🔴 |
3 | Czy zdalny dostęp do panelu z internetu jest wyłączony? | TAK / NIE | 🔴 |
4 | Czy hasło administratora routera zostało zmienione z fabrycznego? | TAK / NIE | 🔴 |
5 | Czy urządzenie ma jeszcze wsparcie producenta (dostępne aktualizacje)? | TAK / NIE | 🟠 |
6 | Czy ustawienia serwerów nazw i przekierowań są takie, jak ustawiliśmy? | TAK / NIE | 🟠 |
7 | Kiedy planujemy wymianę urządzeń bez wsparcia? | [data] | 🟡 |
CVE-2021-32030 pozwala wejść do panelu routera ASUS GT-AC2900 lub Lyra Mini bez hasła, a stamtąd przejąć kontrolę nad ruchem sieciowym firmy. CISA potwierdza ataki, a część urządzeń jest po końcu wsparcia, więc wyłączenie zdalnego dostępu i sprawdzenie wersji to zadanie na dziś, a wymiana starego sprzętu na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.