Błąd w serwerze zdalnego wsparcia SimpleHelp 5.5.7 i starszym pozwala administratorowi wgrać archiwum zip i uruchomić własny kod. CISA potwierdza ataki ransomware. Zaktualizuj serwer do 5.5.8 lub nowszej i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które same używają programu do zdalnego wsparcia SimpleHelp albo korzystają z usług firmy informatycznej, która go używa. Werdykt: jeśli serwer SimpleHelp działa w wersji 5.5.7 lub starszej bez poprawki, zaktualizuj go dziś i zmień hasła administratora oraz techników, bo luka jest wykorzystywana w atakach ransomware.
Amerykańska agencja CISA 24 kwietnia 2026 roku dopisała podatność CVE-2024-57728 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tym samym alertem trafiła tam siostrzana luka CVE-2024-57726, a trzecia z tej samej rodziny, CVE-2024-57727, jest w katalogu od 13 lutego 2025 roku. W obu nowych wpisach CISA zaznaczyła użycie w kampaniach ransomware.
Błąd pozwala osobie z kontem administratora serwera SimpleHelp wgrać specjalnie przygotowane archiwum zip, które zapisuje pliki w dowolnym miejscu dysku. W efekcie napastnik uruchamia własny kod na serwerze, z uprawnieniami konta, na którym działa SimpleHelp. Producent wydał poprawki w styczniu 2025 roku, a termin naprawy wyznaczony przez CISA minął 8 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-57728 |
Data dodania do CISA KEV | 2026-04-24 |
Termin naprawy wg CISA | 2026-05-08 (14 dni od wpisu) |
Produkt | SimpleHelp, serwer oprogramowania do zdalnego wsparcia i zarządzania komputerami |
Wersje zagrożone | SimpleHelp 5.5.7 i wszystkie starsze wydania (w tym 5.4.x i 5.3.x bez poprawki producenta). Warunek wykorzystania: konto administratora serwera SimpleHelp |
Wersje bezpieczne | Gałąź 5.5: wersja 5.5.8 i nowsze (najnowsza na stronie pobierania producenta). Gałąź 5.4: 5.4.10 z poprawką producenta. Gałąź 5.3: 5.3.9 z poprawką producenta |
Typ podatności | Przejście po ścieżce przy rozpakowywaniu archiwum (zip slip) prowadzące do wykonania kodu; NVD: CWE-59 (podążanie za dowiązaniem), CISA: CWE-22 (przejście po ścieżce) |
Ocena CVSS | NVD i CISA: 7.2 (CVSS 3.1, WYSOKA). Atak przez sieć, niska złożoność, wymagane wysokie uprawnienia (konto administratora), bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność serwera |
Wyobraź sobie firmową recepcję, która przyjmuje paczki i rozkłada ich zawartość do przegródek w pokoju pocztowym. Adres przegródki recepcjonista czyta nie z listu przewozowego, tylko z karteczek włożonych do środka pudełka. Ktoś sprytny wkłada do paczki karteczkę „wyjdź z pokoju pocztowego, idź do gabinetu prezesa, połóż na biurku”. Recepcjonista posłusznie to robi, bo nikt mu nie kazał sprawdzać, czy adres wewnątrz paczki nie prowadzi poza pokój pocztowy.
Tak działa luka typu zip slip w SimpleHelp. Archiwum zip zawiera nazwy plików, które są w rzeczywistości ścieżkami. Serwer ufał tym ścieżkom, więc plik z nazwą wychodzącą poza folder docelowy lądował w miejscu wybranym przez napastnika, także tam, skąd serwer sam uruchamia programy. Warunkiem jest konto administratora, ale w tej samej wersji programu były dwie inne luki, które mogły pomóc to konto zdobyć.
💡 Zip slip to błąd rozpakowywania archiwum, w którym nazwa pliku z sekwencją „katalog wyżej” wyprowadza plik poza folder docelowy. Zdalne wsparcie (RMM) to narzędzie, przez które informatyk łączy się z komputerami pracowników lub klientów. Wykonanie kodu oznacza, że na serwerze działa program obcej osoby. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator wgrywa archiwum na serwer | Pliki trafiają tylko do przewidzianego folderu | Pliki mogą trafić w dowolne miejsce dysku |
Ktoś przejmuje hasło administratora SimpleHelp | Może zmieniać ustawienia narzędzia | Może też uruchomić własny program na serwerze |
Serwer działa na koncie z pełnymi prawami w systemie | Wygoda instalacji | Napastnik przejmuje cały serwer |
Serwer stoi obok księgowości i archiwum umów | Oszczędność na sprzęcie | Jedno włamanie obejmuje wszystkie te dane |
Połączenia do komputerów klientów | Tylko dla uprawnionych techników | Napastnik może sięgnąć do wszystkich podłączonych komputerów |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Sama luka wymaga konta administratora, więc napastnik musi je najpierw zdobyć: przez wyciek haseł, phishing albo inne luki tej samej wersji SimpleHelp (CVE-2024-57727 pozwalała niezalogowanej osobie pobrać pliki konfiguracyjne, CVE-2024-57726 pozwalała technikowi podnieść uprawnienia). Microsoft opisał grupę Storm-1175, która wykorzystuje wszystkie trzy luki w kampaniach ransomware Medusa.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie serwerów SimpleHelp i ustalanie wersji | Lista serwerów bez poprawki |
2. Zdobycie konta | T+kilkadziesiąt minut do kilku dni | Przejęcie konta administratora: skradzione hasło, konto technika z podniesionymi uprawnieniami lub dane z wykradzionej konfiguracji | Dostęp administratora do serwera SimpleHelp |
3. Wgranie archiwum | T+kilka minut | Wysłanie spreparowanego pliku zip, który zapisuje program w miejscu uruchamianym przez serwer | Kod napastnika działa na serwerze |
4. Rozprzestrzenienie | T+godziny do dni | Użycie SimpleHelp do łączenia się z komputerami pracowników lub klientów | Dostęp do wielu komputerów przez zaufane narzędzie |
5. Kradzież danych | T+1 do 7 dni | Kopiowanie dokumentów i baz danych | Dane poza firmą |
6. Szantaż | T+dni do tygodni | Szyfrowanie danych (ransomware) i żądanie okupu | Przestój i żądanie zapłaty |
Narzędzie do zdalnego wsparcia ma z założenia dostęp do wielu komputerów i jest zaufane przez pracowników oraz programy ochronne. Przejęty serwer SimpleHelp to gotowy kanał do rozesłania złośliwego oprogramowania po całej firmie, a u firm serwisowych także po firmach klientów. CISA oznaczyła lukę jako używaną w kampaniach ransomware.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, praca stoi, konieczność wyłączenia narzędzia wsparcia | Dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież dokumentów, danych klientów i haseł z wielu komputerów | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie gdy atak przeszedł przez firmę serwisową na jej klientów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; roszczenia klientów przy obsłudze zewnętrznej | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SimpleHelp 5.5.7 lub starszym
bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo przejęty serwer zdalnego wsparcia otwiera drogę do wielu komputerów, a prawdopodobieństwo wysokie mimo wymogu konta administratora, bo inne luki tej samej wersji pomagają to konto zdobyć, a CISA i Microsoft potwierdzają ataki ransomware; dla firmy serwisowej obsługującej wielu klientów wpływ rośnie do maksymalnego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej partner IT używa SimpleHelp, i sprawdzić wersję serwera (strona /allversions serwera) | Dziś | Administrator / partner IT |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do 5.5.8 lub nowszej, a przy gałęzi 5.4.10 lub 5.3.9 wgrać poprawkę producenta | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Zmienić hasło administratora serwera oraz hasła techników logujących się bez zewnętrznej usługi uwierzytelniania (zalecenie producenta) | Dziś | Administrator |
4 | 🟠 PILNIE | Ograniczyć adresy IP, z których mogą logować się technicy i administrator (zalecenie producenta) | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi serwera, listę kont i nieznane pliki w katalogu instalacji pod kątem śladów włamania od stycznia 2025 | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Przenieść serwer SimpleHelp na osobną maszynę i konto usługowe o wąskich uprawnieniach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przygotować zastępczą procedurę wsparcia na wypadek wyłączenia narzędzia | Do 30 dni | Kierownik IT |
Producent wydał poprawki dla gałęzi 5.5, 5.4 i 5.3 już w styczniu 2025 roku, więc aktualizacja jest dostępna i to ona zamyka lukę. Jeśli serwer działa na jeszcze starszej wersji albo nie da się go zaktualizować od razu, CISA wskazuje jako rozwiązania tymczasowe odcięcie serwera od internetu lub zatrzymanie jego procesu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zatrzymanie serwera SimpleHelp do czasu aktualizacji | Wysoka: usuwa możliwość ataku | Łatwa technicznie, ale wstrzymuje zdalne wsparcie |
Odcięcie serwera od internetu, dostęp tylko przez VPN lub z sieci firmowej | Wysoka wobec napastników z zewnątrz | Średnia |
Zmiana haseł administratora i techników oraz usunięcie zbędnych kont | Średnia: utrudnia zdobycie konta, nie usuwa luki | Łatwa |
Ograniczenie logowań techników i administratora do znanych adresów IP | Średnia | Średnia: problem dla pracy w terenie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja SimpleHelp | 5.5.7 lub starsza, podatna na trzy wykorzystywane luki | 5.5.8 lub nowsza albo gałąź z poprawką |
Konta administracyjne | Stare hasła, możliwy wyciek z konfiguracji | Nowe hasła, krótka imienna lista kont |
Dostęp do panelu logowania | Z całego internetu | Tylko ze znanych adresów lub przez VPN |
Skutek udanego włamania | Cały serwer, często razem z innymi danymi firmy | Ograniczony do osobnej maszyny i konta usługowego |
Zgodność z terminem CISA | Zaległość od 8 maja 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Storm-1175 (według Microsoft Threat Intelligence, raport z 6 kwietnia 2026); raport Trend Micro o grupie DragonForce wymienia wykorzystanie luk SimpleHelp, w tym tej, do poruszania się po sieci ofiary |
Kampanie ransomware | TAK (CISA KEV: Known); Microsoft wiąże Storm-1175 z ransomware Medusa |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | Brak potwierdzonych informacji o publicznym exploicie; szczegóły luk opisała firma Horizon3.ai, która je zgłosiła |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązane luki | CVE-2024-57727 (w KEV od 2025-02-13) i CVE-2024-57726 (w KEV od 2026-04-24), usuwane tą samą aktualizacją |
Prognoza EPSS | Około 7% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 93% znanych podatności (wg analizy źródłowej) |
Niska prognoza EPSS nie oznacza bezpieczeństwa. EPSS mówi, czy ktoś będzie masowo próbował, a katalog CISA, że komuś już się udało:
Sygnały zagrożenia dla CVE-2024-57728
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~7% █░░░░░░░░░░░░░░░░░░░ wyżej niż 93% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Poprawka producenta TAK ████████████████████ od stycznia 2025 2024-12-30 Horizon3.ai szuka kontaktu z producentem
2025-01-06 Horizon3.ai zgłasza luki producentowi
2025-01-08 SimpleHelp wydaje wersję 5.5.8 i poprawkę dla 5.4.10
2025-01-13 Poprawka dla wersji 5.3.9
2025-01-15 Publikacja CVE-2024-57728 w NVD
2025-02-13 Siostrzana CVE-2024-57727 trafia do katalogu KEV
2026-04-06 Microsoft opisuje Storm-1175 i ransomware Medusa
2026-04-24 CISA dodaje CVE-2024-57728 do KEV, ransomware: Known
2026-05-08 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z wersjami i instrukcją aktualizacji: simple-help.com/kb---security-vulnerabilities-01-2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-57728 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej partner IT używa SimpleHelp do łączenia się z naszymi komputerami | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera SimpleHelp i dacie aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację albo tymczasowe wyłączenie serwera | CTO | DZISIAJ |
4 | Zlecić zmianę haseł administratora i techników oraz ograniczenie adresów logowania | CTO | DO JUTRA |
5 | Zlecić przegląd logów i kont serwera pod kątem śladów włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowie z partnerem IT i w polisie cyberubezpieczenia zapisy o aktualizacjach i odpowiedzialności | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy my lub nasz partner IT używamy SimpleHelp? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera SimpleHelp i czy jest to 5.5.8 lub nowsza albo gałąź z poprawką? | [wersja] | 🔴 |
3 | Kiedy zmieniono hasła administratora i techników po styczniu 2025? | [data] | 🔴 |
4 | Czy panel logowania SimpleHelp jest dostępny z całego internetu? | TAK / NIE | 🟠 |
5 | Ile jest kont administratora i techników i czy każde jest przypisane do konkretnej osoby? | [liczba kont] | 🟠 |
6 | Czy przejrzano logi i pliki serwera pod kątem śladów włamania? | TAK / NIE, [data przeglądu] | 🟠 |
7 | Na jakim koncie systemowym i na jakiej maszynie działa serwer SimpleHelp? | [konto] / [serwer] | 🟡 |
CVE-2024-57728 pozwala osobie z kontem administratora SimpleHelp uruchomić własny kod na serwerze przez spreparowane archiwum zip, a inne luki tej samej wersji pomagają to konto zdobyć. CISA potwierdza ataki ransomware, poprawka jest dostępna od stycznia 2025 roku, a termin CISA minął 8 maja 2026 roku, więc aktualizacja i zmiana haseł to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.