Błąd w logowaniu SSO urządzenia Quest KACE SMA pozwala przejąć konto administratora bez hasła, a z nim kontrolę nad wszystkimi komputerami firmy. CISA potwierdza ataki. Zaktualizuj urządzenie dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez urządzenie Quest KACE Systems Management Appliance (SMA). Werdykt: jeśli Twoje KACE SMA działa na wersji starszej niż poprawka dla swojej linii, zaktualizuj je dziś i sprawdź, czy panel nie jest widoczny z internetu, bo luka pozwala wejść na konto administratora bez hasła i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała podatność CVE-2025-32975 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w obsłudze logowania jednokrotnego (SSO) w urządzeniu KACE SMA. Pozwala napastnikowi podszyć się pod prawdziwego użytkownika bez hasła, a w efekcie przejąć konto administratora urządzenia, z którego zarządza się wszystkimi komputerami firmy.
Luka jest publicznie znana od 24 czerwca 2025 roku, a termin naprawy wyznaczony przez CISA agencjom federalnym USA minął 4 maja 2026 roku. Producent opublikował poprawki dla każdej z pięciu utrzymywanych linii oprogramowania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32975 |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-05-04 (14 dni od wpisu) |
Produkt | Quest KACE Systems Management Appliance (SMA), urządzenie fizyczne lub maszyna wirtualna do zarządzania komputerami |
Wersje zagrożone | Linia 13.0 przed 13.0.385, 13.1 przed 13.1.81, 13.2 przed 13.2.183, 14.0 przed 14.0.341 (Patch 5), 14.1 przed 14.1.101 (Patch 4). Atak wymaga dostępu sieciowego do panelu urządzenia |
Wersje bezpieczne | 13.0.385, 13.1.81, 13.2.183, 14.0.341 (Patch 5), 14.1.101 (Patch 4) lub nowsze; każda linia ma poprawkę w obrębie tej samej gałęzi |
Typ podatności | Obejście uwierzytelnienia w mechanizmie SSO; CWE-287 (niewłaściwe uwierzytelnienie) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, ocena dodana przez CISA; NVD i producent nie podali własnej). Atak przez sieć, bez konta, bez udziału użytkownika, skutki wykraczające poza samo urządzenie |
Wyobraź sobie biurowiec, w którym pracownik legitymuje się raz w recepcji, a przy wejściu do działów pokazuje już tylko karteczkę wydaną przez recepcję. To wygodne i zwykle bezpieczne. Podatność odpowiada sytuacji, w której nikt nie sprawdza, czy karteczka naprawdę pochodzi z recepcji. Wystarczy przynieść własną, napisaną odręcznie, i wejść do pokoju, w którym leżą klucze do wszystkich biur.
KACE SMA to właśnie taki pokój z kluczami. Dział IT widzi z niego wszystkie komputery, instaluje programy, rozsyła poprawki i uruchamia skrypty na wszystkich maszynach naraz. Kto przejmie konto administratora tego urządzenia, może zrobić to samo co informatyk, a oprogramowanie ochronne zobaczy „oficjalną instalację z systemu zarządzania”, a nie podejrzany plik.
💡 SSO (logowanie jednokrotne) to mechanizm, w którym logujesz się raz, a kolejne systemy przyjmują potwierdzenie z centralnego punktu logowania zamiast pytać o hasło. Obejście uwierzytelnienia oznacza wejście do systemu bez prawidłowego hasła. Appliance to gotowe urządzenie (lub maszyna wirtualna) z zainstalowanym oprogramowaniem. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu KACE | Wymaga prawidłowego potwierdzenia SSO lub hasła | Napastnik podszywa się pod użytkownika bez danych logowania |
Instalacja programu na 30 komputerach | Tylko przez uprawnionego informatyka | Także przez napastnika, jednym zadaniem |
Reakcja programu antywirusowego | Ufa instalacjom z systemu zarządzania | Ufa także instalacji złośliwego programu |
Dane logowania zapisane w urządzeniu | Znane tylko administratorom | Dostępne dla napastnika |
Ślad w logach | Logowanie konkretnego informatyka | Logowanie „prawdziwego” użytkownika, którego nie było przy komputerze |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne i nadające się do automatyzacji: po znalezieniu panelu KACE atak może przeprowadzić program. Najbardziej narażone są urządzenia, których panel jest osiągalny z internetu, ale napastnik, który już jest w sieci firmy, może zaatakować także panel wewnętrzny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie paneli KACE SMA w internecie lub w przejętej sieci | Lista urządzeń do ataku |
2. Wejście | T+kilka minut | Podszycie się pod administratora przez błąd w obsłudze SSO | Pełny dostęp do panelu bez hasła |
3. Rozpoznanie firmy | T+1 godzina | Przegląd listy komputerów, oprogramowania i zapisanych danych dostępowych | Mapa firmy i hasła do innych systemów |
4. Rozesłanie | T+kilka godzin | Utworzenie zadania instalacji złośliwego programu na wszystkich komputerach | Każdy komputer z agentem KACE zainfekowany |
5. Kradzież | T+1 do 3 dni | Kopiowanie danych z komputerów i serwera plików | Dane poza firmą |
6. Szantaż | T+3 do 14 dni | Szyfrowanie danych i żądanie okupu | Przestój całej firmy naraz |
Urządzenie zarządzające to pojedynczy punkt, którego przejęcie oznacza przejęcie wszystkich komputerów naraz. Skutek to nie jedna zainfekowana maszyna, tylko cała firma, łącznie z systemami, do których KACE ma zapisane dane dostępu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie pracy wszystkich stanowisk, odtwarzanie komputerów od zera | Godziny do dni od wejścia | 80 tys. do 500 tys. PLN (przestój, reinstalacje) |
Bezpieczeństwo danych | Wyciek danych z komputerów, serwera plików i haseł zapisanych w KACE | Dni | 40 tys. do 250 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty specjalistów | Tygodnie | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Klienci i partnerzy dowiadują się o przestoju i wycieku | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z KACE SMA bez poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęcie urządzenia daje kontrolę nad wszystkimi komputerami; prawdopodobieństwo jest wysokie, a nie maksymalne, bo urządzeń KACE jest w internecie niewiele i najłatwiej zaatakować te z panelem wystawionym na zewnątrz.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję KACE SMA w panelu (informacje o systemie) i porównać z listą z sekcji 1 | Dziś | Administrator KACE |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy panel KACE jest dostępny z internetu; jeśli tak, zablokować dostęp z zewnątrz | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować poprawkę w obrębie swojej linii (13.0.385, 13.1.81, 13.2.183, 14.0.341 lub 14.1.101) | Dziś lub jutro | Administrator KACE / partner IT |
4 | 🟠 PILNIE | Przejrzeć historię logowań i zadań instalacji skryptów oraz programów od czerwca 2025 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła kont serwisowych i danych dostępu zapisanych w KACE, jeśli przegląd budzi wątpliwości | Do 7 dni | Administrator KACE |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do panelu tylko do wybranych komputerów działu IT | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ustalić zasadę aktualizacji urządzeń zarządzających w ciągu 7 dni od publikacji poprawki | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich pięciu linii, więc docelowo trzeba je zainstalować. CISA nie wskazuje obejścia: wymaga zastosowania poprawek producenta albo zaprzestania używania produktu. Poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do panelu KACE z internetu | Wysoka wobec ataków z zewnątrz, nie chroni przed napastnikiem już obecnym w sieci | Łatwa |
Dostęp do panelu tylko z wydzielonej sieci administracyjnej lub przez VPN | Średnia do wysokiej | Średnia |
Czasowe wyłączenie urządzenia do czasu aktualizacji | Wysoka | Łatwa technicznie, utrudnia pracę działu IT |
Codzienny przegląd nowych zadań i skryptów w KACE | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Logowanie do panelu | Możliwe bez hasła przez błąd SSO | Tylko z prawidłowym uwierzytelnieniem |
Widoczność panelu | Często dostępny z internetu | Dostępny tylko dla działu IT |
Kontrola nad wszystkimi komputerami | W zasięgu napastnika | Tylko w rękach administratorów |
Pozostałe trzy luki z komunikatu Quest | Otwarte | Zamknięte tą samą aktualizacją |
Zgodność z terminem CISA | Zaległość od 4 maja 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: wykorzystanie aktywne, możliwe do automatyzacji |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, ocena CISA) |
PoC dostępny publicznie? | Opis techniczny opublikowali badacze (lista Full Disclosure i Seralys, czerwiec 2025); nie zweryfikowaliśmy, czy zawiera gotowy kod ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązane luki | CVE-2025-32976, CVE-2025-32977, CVE-2025-32978 w tym samym komunikacie Quest; nie są w katalogu KEV, ale zamyka je ta sama aktualizacja |
Prognoza EPSS | 0,024 (ok. 2,4%), percentyl 0,83 (wg analizy źródłowej); niska wartość wynika głównie z niewielkiej liczby takich urządzeń w internecie |
Sygnały zagrożenia dla CVE-2025-32975
CVSS 3.1 (CISA) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~2,4% █░░░░░░░░░░░░░░░░░░░ niska wartość
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-24 Publikacja CVE-2025-32975 w NVD, komunikat Quest
i opisy badaczy (Full Disclosure)
2026-04-20 CISA dodaje lukę do katalogu KEV (10 miesięcy później)
2026-05-04 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z wersjami: support.quest.com/kb/4379499 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32975 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Quest KACE SMA | CTO | DZISIAJ |
2 | Uzyskać na piśmie numer wersji urządzenia i informację, czy panel jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację w obrębie linii (bez dużej zmiany wersji) | CTO | DZISIAJ |
4 | Zlecić przegląd zadań instalacji i logowań w KACE od czerwca 2025 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić w umowie z partnerem IT, kto odpowiada za aktualizacje urządzeń zarządzających | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej dokładnie wersji działa nasze KACE SMA? | [wersja] | 🔴 |
2 | Czy panel KACE jest osiągalny spoza sieci firmowej? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano poprawkę dla naszej linii? | [data] | 🔴 |
4 | Czy logowanie SSO do KACE jest włączone? | TAK / NIE | 🟠 |
5 | Czy przejrzano zadania instalacji i skrypty rozsyłane od czerwca 2025 roku? | TAK / NIE, [data] | 🟠 |
6 | Jakie dane dostępu (konta domenowe, serwisowe) są zapisane w KACE i czy je zmieniono? | [lista kont] | 🟠 |
7 | Kto i z jakich komputerów może logować się do panelu KACE? | [lista osób] | 🟡 |
CVE-2025-32975 pozwala wejść na konto administratora Quest KACE SMA bez hasła, a z tego urządzenia można zainstalować dowolny program na wszystkich komputerach firmy. CISA potwierdza ataki, termin naprawy minął 4 maja 2026 roku, a poprawka jest dostępna w obrębie każdej linii, więc aktualizacja i sprawdzenie dostępu do panelu to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.