Triofox starszy niż 16.7.10368.56560 wpuszcza obcych do kreatora instalacji, gdzie zakładają konto administratora i uruchamiają kod. Ataki trwają od sierpnia 2025. Zaktualizuj i sprawdź konta oraz ustawienia antywirusa.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają firmowe pliki pracownikom lub klientom przez Gladinet Triofox. Werdykt: jeśli Triofox ma wersję starszą niż 16.7.10368.56560, zaktualizuj go dziś i sprawdź listę kont administratorów oraz ustawienia antywirusa, bo luka jest wykorzystywana od sierpnia 2025 roku, a aktualizacja nie usuwa napastnika, który już wszedł.
Amerykańska agencja CISA 12 listopada 2025 roku dopisała podatność CVE-2025-12480 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Triofox firmy Gladinet, platformy, która udostępnia firmowe serwery plików przez przeglądarkę i aplikacje.
Po zakończeniu instalacji strony kreatora konfiguracji nadal były osiągalne. Według Mandiant wystarczyło w żądaniu podać jako adres słowo „localhost”, a Triofox uznawał, że pytanie przychodzi z tego samego serwera, i wpuszczał na strony konfiguracji bez logowania. Napastnik zakładał tam własne konto administratora, a potem przez wbudowaną funkcję skanowania antywirusowego uruchamiał na serwerze swój kod z uprawnieniami systemowymi.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-12480 (MNDT-2025-0008) |
Data dodania do CISA KEV | 2025-11-12 |
Termin naprawy wg CISA | 2025-12-03 (21 dni od wpisu) |
Produkt | Gladinet Triofox (platforma udostępniania plików i zdalnego dostępu do serwerów plików) |
Wersje zagrożone | Wszystkie wersje starsze niż 16.7.10368.56560. Atakowana instalacja opisana przez Mandiant miała wersję 16.4.10317.56372. Opcjonalne ograniczenie dostępu do stron krytycznych w pliku konfiguracyjnym mogło blokować atak, ale zwykle nie jest ustawione |
Wersje bezpieczne | 16.7.10368.56560 i nowsze. Aktualną wersję podaje historia wydań producenta (link w sekcji 7) |
Typ podatności | Niewłaściwa kontrola dostępu (obejście uwierzytelnienia przez nagłówek Host); CWE-284 |
Ocena CVSS | 9.1 KRYTYCZNA (CVSS 3.1) wg Mandiant, podmiotu, który zarejestrował CVE; NVD nie wystawiła własnej oceny. Pełny wpływ na poufność i integralność, brak wpływu na dostępność. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie hotel, w którym portier wpuszcza do pokoju administracyjnego każdego, kto powie, że jest „z obsługi hotelu”. Nie sprawdza identyfikatora, bo zakłada, że z zewnątrz nikt tak się nie przedstawi. W tym pokoju leży księga, w której można dopisać nowego kierownika zmiany z kompletem kluczy. Wystarczy więc powiedzieć jedno zdanie przy drzwiach, żeby zostać kierownikiem.
W Triofox słowem kluczem był „localhost”, czyli nazwa oznaczająca „ten sam komputer”. To pole w żądaniu wypełnia sam pytający, więc każdy mógł je tak ustawić. Drugi element to funkcja, która po wgraniu pliku uruchamia wskazany program antywirusowy. Napastnik z kontem administratora wskazywał jako „antywirus” własny skrypt i wgrywał dowolny plik, a serwer sam uruchamiał skrypt z najwyższymi uprawnieniami.
💡 Kreator instalacji to strony, na których przy pierwszym uruchomieniu zakłada się bazę danych i pierwsze konto administratora. Nagłówek Host to pole w żądaniu, w którym przeglądarka podaje adres serwera; może je zmienić każdy wysyłający. localhost to nazwa oznaczająca ten sam komputer. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wejście na strony konfiguracji po instalacji | Odmowa dostępu | Dostęp po wpisaniu „localhost” w nagłówek żądania |
Zakładanie konta administratora | Tylko przez uprawnionego administratora | Obca osoba zakłada konto (w opisanym ataku „Cluster Admin”) |
Skaner antywirusowy przy wgrywaniu plików | Uruchamia prawdziwy antywirus | Uruchamia skrypt napastnika z uprawnieniami systemowymi |
Narzędzia zdalnego dostępu na serwerze | Tylko te zatwierdzone przez IT | Napastnik instaluje legalne AnyDesk i Zoho Assist, których antywirus nie zgłasza |
Serwer po aktualizacji | Bezpieczny | Luka zamknięta, ale konta i narzędzia napastnika zostają |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku oparty na incydencie opisanym przez Mandiant (grupa UNC6485). To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunkiem jest dostęp do serwera Triofox, który z natury jest wystawiony do internetu, bo służy do pracy z plikami spoza biura. CISA oceniła, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie serwerów Triofox dostępnych z internetu | Lista celów |
2. Obejście logowania | T+minuty | Żądanie do stron konfiguracji z nagłówkiem Host ustawionym na „localhost” | Dostęp do kreatora instalacji |
3. Własne konto | T+minuty | Ponowne przejście konfiguracji i założenie konta administratora | Pełny dostęp do panelu i plików |
4. Wykonanie kodu | T+kilkanaście minut | Wskazanie własnego skryptu jako skanera antywirusowego i wgranie dowolnego pliku | Skrypt działa z uprawnieniami systemowymi |
5. Utrwalenie | T+godziny | Instalacja legalnych narzędzi zdalnego dostępu (Zoho, AnyDesk), tunel przez przemianowane Plink i PuTTY | Stały, trudny do wykrycia dostęp |
6. Kradzież lub szantaż | T+dni do tygodni | Kopiowanie plików firmy i klientów, dalsze wejście do sieci | Wyciek dokumentów, możliwy okup |
Mogę Ci jakoś pomóc?
Triofox wybierają firmy, które nie chcą oddawać dokumentów do chmury zewnętrznego dostawcy, więc na tych serwerach leżą zwykle najbardziej poufne pliki. Napastnik nie psuje serwera, bo działający serwer pozwala mu dłużej kraść dane, więc atak może długo pozostać niezauważony.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie serwera plików na czas analizy i odbudowy, brak dostępu do dokumentów | Dni | 20 tys. do 200 tys. PLN (przestój, odbudowa serwera) |
Bezpieczeństwo danych | Wyciek dokumentów firmy i klientów, umów, projektów | Godziny od wejścia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, utracone zlecenia, roszczenia klientów za wyciek ich dokumentów | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, którzy powierzyli firmie poufne pliki | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; tajemnica zawodowa w kancelariach i biurach | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Triofox < 16.7.10368.56560
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (ataki od sierpnia 2025, automatyzacja, EPSS powyżej 0,9), a wpływ pełny, bo mimo braku wpływu na dostępność w ocenie CVSS napastnik dostaje uprawnienia systemowe na serwerze z najbardziej poufnymi plikami firmy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa Triofox, w jakiej wersji i czy jest dostępny z internetu | Dziś | CTO / administrator |
2 | 🔴 NATYCHMIAST | Zaktualizować Triofox do 16.7.10368.56560 lub nowszej | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont administratorów i usunąć nieznane (w opisanym ataku „Cluster Admin”) | Dziś | Administrator |
4 | 🟠 PILNIE | Sprawdzić, na jaki program wskazuje ustawienie skanera antywirusowego, i przywrócić prawidłową ścieżkę | Do 2 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieautoryzowanych narzędzi zdalnego dostępu (AnyDesk, Zoho Assist, Plink, PuTTY pod zmienionymi nazwami) i nietypowych połączeń SSH wychodzących | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem żądań do stron konfiguracji z „localhost” w nagłówkach od sierpnia 2025 roku | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Spisać listę dozwolonych narzędzi zdalnego dostępu i raz na kwartał porównywać ją ze stanem serwerów | Do 30 dni | CTO |
Producent wydał wersję 16.7.10368.56560 z poprawką, a Mandiant potwierdził, że luka jest w niej usunięta. Do czasu aktualizacji ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ustawienie w pliku konfiguracyjnym ograniczenia dostępu do stron krytycznych do konkretnego adresu (opcja opisana w analizie źródłowej) | Wysoka dla tej luki | Średnia: wymaga edycji konfiguracji i testu |
Zablokowanie z internetu adresów stron zarządzania na zaporze lub serwerze pośredniczącym | Wysoka wobec ataków z zewnątrz | Średnia |
Czasowe ograniczenie dostępu do Triofox do VPN | Wysoka | Średnia: utrudnia pracę klientom zewnętrznym |
Codzienny przegląd listy administratorów i ustawień antywirusa | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Strony kreatora instalacji | Osiągalne bez logowania | Zablokowane w wersji z poprawką |
Konta administratorów | Mogą zawierać konto napastnika | Przejrzane, obce usunięte |
Ustawienie skanera antywirusowego | Może wskazywać skrypt napastnika | Wskazuje prawdziwy antywirus |
Narzędzia zdalnego dostępu | Nikt nie wie, które są dozwolone | Spisana lista i kwartalna kontrola |
Widoczność | Brak przeglądu logów | Logi przejrzane od sierpnia 2025 roku |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Mandiant zaobserwował wykorzystanie co najmniej od 24 sierpnia 2025 roku; CISA ocenia je jako aktywne, automatyzowalne, z całkowitym wpływem technicznym |
Grupy przestępcze | UNC6485 (oznaczenie Google Threat Intelligence Group dla nieprzypisanej grupy) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.1 KRYTYCZNA wg Mandiant (CVSS 3.1) |
PoC dostępny publicznie? | Mandiant opisał szczegółowo sposób ataku (nagłówek Host, strony konfiguracji, nadużycie antywirusa); NVD oznacza ten raport jako zawierający exploit |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Stallone D’Souza, Mandiant; zgłoszenie do Gladinet 4 października 2025 roku |
Prognoza EPSS | Około 0,07 w dniu publikacji, ponad 0,90 w sierpniu 2026 roku, powyżej 99% wszystkich podatności (wg analizy źródłowej) |
Wzrost EPSS z 7% do ponad 90% pokazuje, że z czasem sposób ataku przestał być tajemnicą. Firma, która odłożyła aktualizację, nie „zamroziła” ryzyka, tylko z każdym miesiącem była w gorszej sytuacji.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-12480
CVSS 3.1 (Mandiant) 9.1/10 ██████████████████░░ KRYTYCZNA
EPSS (listopad 2025) ~7% █░░░░░░░░░░░░░░░░░░░ niski
EPSS (sierpień 2026) >90% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-08-24 Najwcześniejsze zaobserwowane wykorzystanie (UNC6485)
2025-10-04 Mandiant zgłasza podejrzenie luki do Gladinet
2025-10-08 Potwierdzenie luki
2025-10-24 Gladinet potwierdza ustalenia Mandiant
2025-11-10 Publikacja CVE-2025-12480 w NVD i raportu Mandiant
2025-11-12 CISA dodaje lukę do katalogu KEV
2025-12-03 Termin naprawy wg CISA dla agencji federalnych
2026-08 EPSS powyżej 0,90
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Historia wydań producenta z wersją z poprawką: access.triofox.com/releases_history . Raport Mandiant ze wskaźnikami ataku: Triofox vulnerability CVE-2025-12480 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-12480 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Triofox i kto nim administruje | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i dacie ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i przegląd kont administratorów | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera pod kątem narzędzi zdalnego dostępu i ustawień antywirusa | CTO | DO JUTRA |
5 | Ustalić, jakie dane klientów leżą na serwerze Triofox, na potrzeby ewentualnego zgłoszenia | CFO / inspektor ochrony danych | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Gladinet Triofox? | TAK / NIE | 🔴 |
2 | Jaka jest wersja Triofox? | [wersja] | 🔴 |
3 | Czy na liście administratorów są konta, których nikt nie zakładał? | TAK / NIE | 🔴 |
4 | Na jaki program wskazuje ustawienie skanera antywirusowego? | [ścieżka] | 🔴 |
5 | Czy na serwerze są narzędzia zdalnego dostępu spoza zatwierdzonej listy? | TAK / NIE | 🟠 |
6 | Czy przejrzano logi od sierpnia 2025 roku pod kątem żądań z „localhost”? | TAK / NIE, [data] | 🟠 |
7 | Czy strony zarządzania Triofox są dostępne z internetu? | TAK / NIE | 🟡 |
CVE-2025-12480 pozwalała obcej osobie wejść do kreatora instalacji Triofox, założyć konto administratora i uruchomić własny kod przez funkcję antywirusa. Ataki trwają od sierpnia 2025 roku, a CISA je potwierdza, więc aktualizacja do 16.7.10368.56560, przegląd kont i ustawień antywirusa oraz sprawdzenie narzędzi zdalnego dostępu to zadania na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.