Luka XXE w GeoServerze, silniku wielu portali mapowych, pozwala bez logowania odczytać pliki z serwera, w tym hasła do bazy danych. CISA potwierdza zautomatyzowane ataki. Zaktualizuj do 2.25.6, 2.26.3 lub nowszej i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm i instytucji, które mają portal z mapą, moduł planowania tras lub wizualizację danych przestrzennych, często zbudowane przez zewnętrznego wykonawcę na silniku GeoServer. Werdykt: jeśli GeoServer ma wersję niższą niż 2.25.6 lub 2.26.3, zaktualizuj go dziś i zmień hasła zapisane w konfiguracji, bo luka pozwala bez logowania odczytać pliki serwera, a CISA potwierdza zautomatyzowane ataki.
Amerykańska agencja CISA 11 grudnia 2025 roku dopisała podatność CVE-2025-58360 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. CISA zaznacza, że luka dotyczy otwartoźródłowego komponentu używanego w różnych produktach.
GeoServer to otwarte oprogramowanie udostępniające mapy i dane geoprzestrzenne. Publiczny punkt /geoserver/wms (operacja GetMap) przyjmował dokumenty XML z tzw. encjami zewnętrznymi, czyli poleceniem „wstaw tu zawartość wskazanego pliku”. Serwer wykonywał je bez sprawdzenia. Napastnik bez konta mógł w ten sposób odczytać pliki z dysku serwera, a według komunikatu projektu także wysyłać zapytania do systemów wewnętrznych (SSRF) i przeciążać usługę.
Termin naprawy wyznaczony przez CISA minął 1 stycznia 2026 roku, ponad osiem miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-58360 |
Data dodania do CISA KEV | 2025-12-11 |
Termin naprawy wg CISA | 2026-01-01 (21 dni od wpisu) |
Produkt | OSGeo GeoServer (serwer map i danych przestrzennych), także jako komponent innych aplikacji |
Wersje zagrożone | Wszystkie przed 2.25.6 oraz 2.26.0 do 2.26.2. Uwaga: dane maszynowe NVD i GitHub uznają 2.26.2 za naprawioną, a opis tekstowy wskazuje 2.26.3; bezpieczniej przyjąć wyższą |
Wersje bezpieczne | 2.25.6, 2.26.3, 2.27.0 i nowsze; najnowsze wydania z sierpnia 2026: 3.0.1, 2.28.5, 2.27.6 |
Typ podatności | XML External Entity (XXE), nieuwierzytelniony; CWE-611 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). GitHub (nadający numer): 8.2 WYSOKA (CVSS 3.1). Zgoda co do łatwości ataku (sieć, bez konta, bez udziału użytkownika); różnica w ocenie skutków dla integralności i dostępności. ENISA przyjęła 8.2 |
Wyobraź sobie archiwum miejskie z okienkiem, w którym każdy może zamówić kopię mapy. Formularz zamówienia ma rubrykę „dołącz załącznik z szafy nr…”, która miała sens dawno temu, gdy urzędnicy składali dokumenty z kilku teczek. Ktoś wpisuje w tę rubrykę „szafa z hasłami do sejfu”, a urzędnik posłusznie dołącza do kopii mapy zawartość tej szafy. Nikt nie pyta o legitymację, bo okienko jest publiczne.
Tak działa ta luka. Punkt obsługi map w GeoServerze jest z definicji publiczny, bo mapa na stronie musi działać dla każdego. Zapytanie o mapę mogło zawierać polecenie wczytania pliku z serwera, a serwer je wykonywał. Łupem nie są mapy, tylko pliki konfiguracyjne, w których leżą hasła do bazy z danymi klientów lub mieszkańców.
💡 XML to format tekstowy ze znacznikami, w którym aplikacje wymieniają dane. Encja zewnętrzna (XXE) to element XML każący programowi wstawić zawartość wskazanego pliku lub adresu. WMS GetMap to standardowe zapytanie o obraz mapy. SSRF to zmuszenie serwera do wysyłania zapytań do innych systemów w sieci firmy. Komponent otwartoźródłowy to darmowy element, na którym wykonawca buduje własną aplikację.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Mieszkaniec lub klient otwiera mapę | Dostaje obraz mapy | Tak samo, nic nie zauważa |
Zapytanie z poleceniem wczytania pliku | Polecenie ignorowane | Serwer wczytuje plik i zwraca jego treść |
Hasło do bazy danych w pliku konfiguracyjnym | Widoczne tylko dla administratora | Może trafić do napastnika bez logowania |
Serwer w sieci wewnętrznej | Nie przyjmuje zleceń z zewnątrz | Może zostać użyty do odpytywania innych systemów |
Objawy po ataku | Brak | Brak: nic nie przestaje działać, dane po prostu wypływają |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako możliwy do automatyzacji, a skutek techniczny jako częściowy (odczyt danych, a nie pełne przejęcie serwera).
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie adresów | Lista serwerów map |
2. Odczyt plików | T+1 min | Zapytanie GetMap z encją zewnętrzną wskazującą pliki systemowe i konfiguracyjne | Treść plików, w tym hasła |
3. Rozpoznanie sieci | T+kilka minut | Zapytania SSRF do adresów wewnętrznych przez serwer map | Mapa systemów za zaporą |
4. Dostęp do bazy | T+1 do 24 godz. | Logowanie do bazy danych wykradzionym hasłem | Dane klientów, mieszkańców, pojazdów |
5. Kradzież | T+1 do 7 dni | Kopiowanie danych, dalsze przejmowanie kont | Wyciek bez widocznych objawów |
6. Skutek | T+tygodnie | Sprzedaż danych lub szantaż publikacją | Naruszenie ochrony danych osobowych |
Mogę Ci jakoś pomóc?
Firmy często nie wiedzą, że mają GeoServer, bo kupiły „portal z mapą” od wykonawcy. Projekt otwartoźródłowy publikuje komunikat, ale nikt nie dzwoni do klientów wykonawcy. Luka nie zostawia widocznych objawów, więc wyciek haseł może pozostać niezauważony.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Pilna aktualizacja, wymiana haseł do bazy, możliwe przeciążenie usługi | Dni | 10 tys. do 60 tys. PLN |
Bezpieczeństwo danych | Wyciek plików konfiguracyjnych i danych z bazy (klienci, mieszkańcy, pojazdy) | Godziny od ataku | 30 tys. do 250 tys. PLN (analiza, powiadomienia) |
Finansowy | Koszty wykonawcy, specjalistów, ewentualnych roszczeń | Tygodnie | 30 tys. do 400 tys. PLN |
Reputacyjny | Informacja o wycieku danych z portalu publicznego lub klienckiego | Miesiące | 30 tys. do 300 tys. PLN |
Prawny | Wyciek danych osobowych: zgłoszenie do UODO w 72 godziny, przy wysokim ryzyku powiadomienie osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla GeoServer przed 2.25.6 / 2.26.3
dostępnego z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (publiczny punkt z definicji, brak logowania, zautomatyzowane ataki potwierdzone przez CISA), a wpływ wysoki, choć nie maksymalny, bo luka służy głównie do odczytu danych; w praktyce wyciek haseł do bazy często oznacza dostęp do wszystkich danych aplikacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma portal mapowy lub moduł map i czy działa na GeoServerze | Dziś | CTO / wykonawca |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję GeoServera w panelu administracyjnym | Dziś | Wykonawca / administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować do 2.25.6, 2.26.3 lub nowszej (zalecane aktualne linie 2.27, 2.28 lub 3.0) | Dziś | Wykonawca / administrator |
4 | 🟠 PILNIE | Zmienić hasła do baz danych i usług zapisane w konfiguracji serwera | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi pod kątem zapytań GetMap z treścią XML zawierającą deklaracje encji ( | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić w logach bazy danych logowania z nietypowych adresów | Do 7 dni | Administrator bazy |
7 | 🟡 WAŻNIE | Uzyskać od każdego dostawcy pisemną listę komponentów otwartoźródłowych i osoby odpowiedzialnej za ich aktualizację | Do 30 dni | CTO |
Projekt GeoServer wydał poprawki, a CISA nie wskazuje obejścia doraźnego: wymaga poprawki albo zaprzestania używania produktu. Punkt WMS musi być publiczny, żeby mapa działała, więc zapora sama nie rozwiąże problemu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe wyłączenie portalu mapowego do aktualizacji (opcja CISA) | Wysoka | Łatwa, ale mapa przestaje działać |
Blokowanie na zaporze aplikacyjnej zapytań WMS z treścią XML zawierającą deklaracje encji | Średnia: zależy od jakości reguł | Średnia |
Ograniczenie dostępu do portalu do znanych adresów, jeśli nie musi być publiczny | Wysoka dla portali wewnętrznych | Średnia |
Usunięcie haseł z plików dostępnych dla procesu GeoServera i zmiana haseł | Średnia: ogranicza skutki wycieku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zapytanie o mapę | Może wczytać plik z serwera | Encje zewnętrzne odrzucane |
Hasła do bazy | Potencjalnie wykradzione | Zmienione |
Wiedza o komponentach | Nikt nie wie, na czym stoi portal | Pisemna lista komponentów i odpowiedzialnych |
Wersja GeoServera | Sprzed poprawki | 2.25.6, 2.26.3 lub nowsza |
Zgodność z terminem CISA | Zaległość od 1 stycznia 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); atak automatyzowalny, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 8.2 WYSOKA (GitHub, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie; komunikat projektu opisuje punkt i mechanizm ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | System XBOW, zweryfikowane przez badacza bezpieczeństwa (wg komunikatu GitHub) |
Rozbieżności w rejestrach | Wersja 2.26.2 lub 2.26.3 jako naprawiona; różne numery zgłoszeń w systemie projektu (GEOS-11682 i GEOS-11922) |
Sygnały zagrożenia dla CVE-2025-58360
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (GitHub) 8.2/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Logowanie wymagane? NIE ████████████████████ publiczny punkt WMS
Mogę Ci jakoś pomóc?
2025-11-25 Komunikat GitHub GHSA-fjf5-xgmq-5525 i publikacja CVE
2025-12-11 CISA dodaje lukę do katalogu KEV
2025-12-12 CISA ocenia: aktywne wykorzystanie, automatyzowalne
2026-01-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-14 Najnowsze wydania GeoServer: 3.0.1, 2.28.5, 2.27.6
... ponad 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat bezpieczeństwa GeoServer: GHSA-fjf5-xgmq-5525 . Zgłoszenie w systemie projektu: GEOS-11922 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-58360 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawców portali i modułów map, czy używają GeoServera | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja GeoServera i data aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację lub czasowe wyłączenie portalu | CTO | DZISIAJ |
4 | Zlecić zmianę haseł zapisanych w konfiguracji serwera | CTO | DO JUTRA |
5 | Zlecić przegląd logów aplikacji i bazy danych | CTO | DO JUTRA |
6 | Sprawdzić, czy umowa z wykonawcą obejmuje aktualizacje bezpieczeństwa i kto za nie płaci | CFO | DO JUTRA |
7 | Zarezerwować budżet na ewentualną analizę powłamaniową i obsługę zgłoszenia do UODO | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy którakolwiek nasza aplikacja używa GeoServera? | TAK / NIE | 🔴 |
2 | Jaka wersja GeoServera działa u nas? | [wersja] | 🔴 |
3 | Kiedy zaktualizowano GeoServer do wersji z poprawką? | [data] | 🔴 |
4 | Czy zmieniono hasła do bazy zapisane w konfiguracji serwera po aktualizacji? | TAK / NIE | 🟠 |
5 | Czy w logach są zapytania GetMap z deklaracjami encji XML? | TAK / NIE | 🟠 |
6 | Czy serwer map ma dostęp do innych systemów w sieci wewnętrznej? | TAK / NIE | 🟡 |
7 | Kto u wykonawcy śledzi komunikaty bezpieczeństwa GeoServera? | [osoba] | 🟡 |
CVE-2025-58360 pozwala bez logowania odczytać pliki z serwera GeoServer przez publiczny punkt obsługi map, w tym hasła do baz danych. CISA potwierdza zautomatyzowane ataki, a termin naprawy minął 1 stycznia 2026 roku. Aktualizacja do 2.25.6, 2.26.3 lub nowszej, zmiana haseł i wiedza o tym, na jakich komponentach stoją aplikacje od wykonawców, zamykają to ryzyko.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.