Luka w SimpleHelp 5.5.7 i starszych pozwala bez logowania pobrać z serwera konfigurację i skróty haseł, a potem przejąć dostęp do komputerów klientów. CISA potwierdza ataki ransomware. Zaktualizuj serwer i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które same używają programu SimpleHelp do zdalnej pomocy technicznej albo mają zewnętrznego dostawcę IT, który się nim posługuje. Werdykt: jeśli serwer SimpleHelp ma wersję 5.5.7 lub starszą, zaktualizuj go dziś i zmień hasła administratora oraz techników, bo luka pozwala bez logowania pobrać z serwera pliki z hasłami, jest masowo wykorzystywana i używana w atakach ransomware na klientów dostawców IT.
Amerykańska agencja CISA 13 lutego 2025 roku dopisała CVE-2024-57727 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. SimpleHelp, program do zdalnego wsparcia, w wersjach 5.5.7 i starszych pozwala każdemu z internetu, bez logowania, pobrać dowolny plik z serwera przez spreparowane żądania HTTP. Wśród tych plików są konfiguracja serwera z sekretami i skróty haseł użytkowników.
Według producenta w najgorszym scenariuszu napastnik przejmuje konto administratora i dostaje zdalny dostęp do wszystkich komputerów zarejestrowanych na serwerze. CISA w ostrzeżeniu z 12 czerwca 2025 roku opisała atak ransomware na klientów dostawcy oprogramowania, przeprowadzony właśnie przez niezałatany SimpleHelp. Termin CISA minął 6 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-57727 |
Data dodania do CISA KEV | 2025-02-13 |
Termin naprawy wg CISA | 2025-03-06 (21 dni od wpisu) |
Produkt | SimpleHelp, serwer oprogramowania do zdalnego wsparcia technicznego |
Wersje zagrożone | 5.5.7 i starsze (wg NVD: wszystkie wersje przed 5.5.8). Serwer musi być osiągalny sieciowo, co zwykle oznacza dostęp z internetu |
Wersje bezpieczne | 5.5.8 i nowsze; dla starszych linii poprawki 5.4.10 i 5.3.9 (wg analizy źródłowej opartej na komunikacie producenta); zalecana aktualna wersja |
Typ podatności | Wielokrotne przejście po katalogach (path traversal), pobieranie dowolnych plików bez logowania; CWE-22 |
Ocena CVSS | NVD: 7.5 WYSOKA (CVSS 3.1, tylko poufność). CISA: 9.1 KRYTYCZNA (CVSS 3.1, poufność i integralność); ENISA: 9.1. Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie urząd z okienkami podawczymi, przez które interesanci odbierają formularze z szafy przy okienku. Urzędnik podaje dokument, którego nazwę ktoś wpisze na kartce. Okazało się, że jeśli na kartce napisać „wyjdź z pokoju, idź do sekretariatu i przynieś listę haseł do sejfu”, urzędnik posłusznie to przyniesie, nie pytając, kim jest proszący.
Serwer SimpleHelp miał wydawać z internetu tylko pliki z jednego folderu, np. instalator dla klienta. Sekwencje „katalog wyżej” w adresie pozwalały wyjść z tego folderu i pobrać konfigurację serwera oraz skróty haseł. Skrót hasła na dysku napastnika można zgadywać bez żadnych limitów prób, a przejęte konto administratora SimpleHelp to pilot do wszystkich komputerów obsługiwanych klientów.
💡 Zdalne wsparcie (RMM, remote support) to programy, przez które informatyk łączy się z komputerem użytkownika. Przejście po katalogach (path traversal) to wyjście poza dozwolony folder przez „../” w ścieżce. Skrót hasła (hash) to wynik jednokierunkowego przeliczenia hasła; wykradziony można łamać na własnym komputerze. Podwójne wymuszenie to kradzież danych, a potem ich szyfrowanie. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z serwerem SimpleHelp | Pobiera tylko instalator klienta | Pobiera konfigurację serwera i skróty haseł |
Hasło technika | Chronione blokadą po nieudanych próbach | Skrót łamany offline, bez żadnych limitów |
Konto administratora serwera | Tylko dla dostawcy IT | Po przejęciu daje dostęp do wszystkich komputerów klientów |
Wejście przez SimpleHelp na komputer klienta | Wygląda jak zwykła wizyta serwisu | Tak samo wygląda wejście napastnika |
Instalacja poprawki | Zamyka sprawę | Nie unieważnia haseł, które mogły wcześniej wyciec |
źródło: Pexels, Amar PreciadoPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisach producenta i CISA. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako automatyzowalny: serwery SimpleHelp są wyszukiwane w internecie, a żądanie nie wymaga żadnego konta.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie serwerów SimpleHelp po charakterystycznej odpowiedzi | Lista serwerów |
2. Pobranie plików | T+sekundy | Spreparowane żądanie HTTP z sekwencjami „katalog wyżej” | Konfiguracja serwera i skróty haseł |
3. Złamanie haseł | T+minuty do godzin | Zgadywanie haseł offline, szybkie przy krótkich lub słownikowych hasłach | Hasło administratora lub technika |
4. Przejęcie serwera | T+godziny | Logowanie jako administrator | Zdalny dostęp do wszystkich zarejestrowanych komputerów |
5. Atak na klientów | T+godziny do dni | Wejście na komputery klientów kanałem serwisowym, kradzież danych | Dane wielu firm u napastnika |
6. Ransomware | T+dni | Szyfrowanie systemów i żądanie okupu (podwójne wymuszenie) | Przestój wielu klientów naraz |
Serwer zdalnego wsparcia to klucz do wszystkich komputerów, które obsługuje. Luka nie wymaga logowania, ma prawdopodobieństwo wykorzystania bliskie pewności i jest używana w atakach ransomware. Zagrożona jest nie tylko firma z własnym serwerem, ale też każda firma, której dostawca IT korzysta z SimpleHelp.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery firmy lub wszystkich klientów dostawcy IT | Godziny do dni | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież danych z wielu komputerów przed szyfrowaniem | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, roszczenia klientów wobec dostawcy IT, koszty specjalistów | Tygodnie | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata klientów przez dostawcę IT, publikacja wykradzionych danych | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia między dostawcą a klientami | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera SimpleHelp <= 5.5.7 dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo atak nie wymaga logowania, jest automatyzowalny, EPSS wynosi około 95%, a przejęty serwer daje dostęp do wszystkich obsługiwanych komputerów i jest używany w ransomware.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa SimpleHelp i w jakiej wersji (początek pliku konfiguracyjnego lub ścieżka /allversions) | Dziś | CTO / dostawca IT |
2 | 🔴 NATYCHMIAST | Jeśli aktualizacja nie może nastąpić od razu: odciąć serwer od internetu lub zatrzymać jego proces (zalecenie CISA) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować do 5.5.8 lub nowszej (albo 5.4.10 / 5.3.9 w starszych liniach) i potwierdzić instalację wpisem w dzienniku serwera | Dziś | Administrator / dostawca IT |
4 | 🔴 NATYCHMIAST | Zmienić hasło administratora serwera i hasła techników logujących się lokalnie (zalecenie producenta) | Dziś, po aktualizacji | Administrator |
5 | 🟠 PILNIE | Ograniczyć logowanie techników i administratorów do określonych adresów IP | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Szukać śladów: pliki wykonywalne o trzyliterowych nazwach (np. aaa.exe, bbb.exe) utworzone po styczniu 2025 roku, nieznane logowania techników | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟠 PILNIE | Zażądać od dostawcy IT pisemnego potwierdzenia wersji, daty aktualizacji i zmiany haseł | Do 3 dni | CTO / CFO |
8 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane i czy chronią przed szyfrowaniem przez kanał serwisowy | Do 30 dni | CTO |
Producent wydał poprawki dla bieżącej linii (5.5.8) i starszych (5.4.10, 5.3.9), więc aktualizacja jest dostępna. Do czasu jej instalacji CISA zaleca poniższe kroki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera SimpleHelp od internetu lub zatrzymanie jego procesu (CISA) | Wysoka | Łatwa, ale wstrzymuje zdalne wsparcie |
Logowanie techników i administratorów tylko z określonych adresów IP (producent) | Średnia: nie blokuje pobrania plików, utrudnia użycie haseł | Łatwa |
Zmiana haseł po aktualizacji (producent) | Wysoka wobec wcześniej wykradzionych skrótów | Łatwa |
Silne, długie hasła i zewnętrzne uwierzytelnianie techników | Średnia: utrudnia łamanie skrótów | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja SimpleHelp | 5.5.7 lub starsza | 5.5.8+ (lub 5.4.10 / 5.3.9) potwierdzona w dzienniku |
Hasła administratora i techników | Mogą być w rękach napastnika | Zmienione |
Panel logowania | Dostępny z całego internetu | Tylko z określonych adresów IP |
Ślady włamania | Niesprawdzone | Przeszukane pod kątem wskaźników CISA |
Dostawca IT | „Chyba zaktualizował” | Pisemne potwierdzenie z datą i wersją |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek całkowity; wzorzec ataków trwa co najmniej od stycznia 2025 roku |
Grupy przestępcze | Brak nazw grup w materiałach źródłowych |
Kampanie ransomware | TAK (CISA KEV: Known); CISA opisała podwójne wymuszenie wobec klientów dostawcy oprogramowania do rozliczeń mediów |
Ocena CVSS | 7.5 WYSOKA wg NVD; 9.1 KRYTYCZNA wg CISA i ENISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzenia w materiałach źródłowych; NVD odsyła do opisu podatności opublikowanego przez badaczy Horizon3.ai |
Liczba atakowanych firm | Brak publicznych danych liczbowych |
Prognoza EPSS | Około 95% szansy wykorzystania w ciągu 30 dni, praktycznie szczyt zestawienia (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-57727
CVSS 3.1 (CISA) 9.1/10 ██████████████████░░ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (analiza źr.) ~95% ███████████████████░ PRAKTYCZNIE PEWNE
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ podwójne wymuszenie 2025-01 Producent publikuje poprawki i komunikat o lukach w 5.5.7
i starszych; początek wzorca ataków wg CISA
2025-01-15 Publikacja CVE-2024-57727 w NVD
2025-02-13 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-03-06 Termin naprawy wg CISA dla agencji federalnych
2025-06-12 Ostrzeżenie CISA AA25-163A o ransomware przez SimpleHelp
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... ponad 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z wersjami i zaleceniami: simple-help.com, security vulnerabilities 01-2025 . Ostrzeżenie CISA: AA25-163A . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-57727 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej dostawca IT używa SimpleHelp | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję serwera i datę aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie serwera od internetu do czasu aktualizacji | CTO | DZISIAJ |
4 | Zażądać potwierdzenia zmiany haseł administratora i techników | CTO | DO JUTRA |
5 | Zlecić sprawdzenie komputerów pod kątem wskaźników włamania z ostrzeżenia CISA | CTO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą IT odpowiedzialność za incydenty przez narzędzia zdalnego dostępu | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia w zakresie ransomware i incydentów u dostawców | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy my lub nasz dostawca IT używamy SimpleHelp? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera SimpleHelp? | [wersja] | 🔴 |
3 | Czy dziennik serwera potwierdza instalację poprawki i kiedy? | TAK / NIE, [data] | 🔴 |
4 | Czy po aktualizacji zmieniono hasła administratora i techników? | TAK / NIE, [data] | 🔴 |
5 | Czy logowanie techników jest ograniczone do określonych adresów IP? | TAK / NIE | 🟠 |
6 | Czy na komputerach są pliki o nazwach typu aaa.exe, bbb.exe utworzone po styczniu 2025 roku? | TAK / NIE | 🟠 |
7 | Jakie inne narzędzia zdalnego dostępu mają dostęp do naszych komputerów? | [lista] | 🟡 |
CVE-2024-57727 pozwala każdemu z internetu pobrać z serwera SimpleHelp w wersji 5.5.7 lub starszej pliki z konfiguracją i skrótami haseł, a w konsekwencji przejąć zdalny dostęp do wszystkich obsługiwanych komputerów. CISA potwierdza masowe wykorzystanie i ataki ransomware na klientów dostawców IT. Dziś trzeba ustalić wersję, zaktualizować serwer, zmienić hasła i sprawdzić ślady włamania, także u zewnętrznego dostawcy.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.