Luka w kontroli rodzicielskiej routerów Archer C7 i TL-WR841N/ND, połączona z wyciekiem hasła, pozwala włączyć je do botnetu Quad7. CISA potwierdza ataki. Wyłącz zdalne zarządzanie, wgraj 241108, wymień sprzęt.
Ten alert jest dla zarządu, CTO i CFO małych firm i biur, w których może pracować starszy router TP-Link Archer C7 lub TL-WR841N/ND. Werdykt: jeśli masz jeden z tych modeli w podatnej rewizji, dziś wyłącz zdalne zarządzanie z internetu, wgraj oprogramowanie 241108 i zaplanuj wymianę sprzętu, bo przejęte routery trafiają do sieci używanej do ataków na konta Microsoft 365 innych firm.
Amerykańska agencja CISA 3 września 2025 roku dopisała podatność CVE-2025-9377 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi na stronie kontroli rodzicielskiej w panelu routera: parametr wpisywany przez użytkownika trafia do polecenia systemowego bez sprawdzenia. Kto ma dostęp do panelu, może wykonać na routerze dowolne polecenia.
Tego samego dnia CISA dopisała drugą lukę w tych routerach, CVE-2023-50224, która pozwala bez logowania odczytać zapisane dane logowania. Razem tworzą łańcuch ataku. Oba modele mają zakończone wsparcie producenta, a CISA zaleca zaprzestanie ich używania. Termin naprawy wg CISA minął 24 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-9377 (powiązana: CVE-2023-50224) |
Data dodania do CISA KEV | 2025-09-03 |
Termin naprawy wg CISA | 2025-09-24 (21 dni od wpisu) |
Produkt | TP-Link Archer C7 (EU) w rewizji V2 oraz TL-WR841N i TL-WR841ND (MS) w rewizji V9; oba modele z zakończonym cyklem życia (EOL) |
Wersje zagrożone | Oprogramowanie starsze niż wydanie 241108 na wymienionych modelach i rewizjach. W opisanych atakach łańcuch działał tylko przy włączonym zdalnym zarządzaniu routerem z internetu (ustawienie niedomyślne) |
Wersje bezpieczne | Oprogramowanie 241108 (z listopada 2024 roku) dla Archer C7 (EU) V2 i TL-WR841N/ND (MS) V9. Nowszych wydań nie należy oczekiwać, producent zaleca zakup nowego urządzenia |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego (wymaga dostępu do panelu); CWE-78 |
Ocena CVSS | TP-Link: 8.6 (CVSS 4.0, WYSOKA). NVD: 7.2 (CVSS 3.1, WYSOKA). Obie oceny zakładają atak przez sieć z wysokimi uprawnieniami w panelu; w praktyce uprawnienia zdobywano przez CVE-2023-50224 |
Wyobraź sobie drzwi do zaplecza zamknięte na porządny zamek. Wydaje się, że skoro potrzebny jest klucz, a klucza nikt obcy nie ma, zaplecze jest bezpieczne. Tyle że klucz leży pod wycieraczką, a wycieraczka jest na ulicy. Kto zna ten zwyczaj, najpierw podnosi wycieraczkę, a potem otwiera drzwi.
W tych routerach „wycieraczką” jest starsza luka CVE-2023-50224: pozwala bez logowania odczytać plik, w którym leżą dane logowania do panelu. „Zamkiem” jest CVE-2025-9377: po zalogowaniu napastnik wpisuje na stronie kontroli rodzicielskiej adres z dopisanym własnym poleceniem i router je wykonuje. Potem wgrywa na urządzenie własne programy i router zaczyna pracować dla kogoś innego, choć w biurze nadal zwyczajnie mruga diodami.
💡 Wstrzyknięcie poleceń to błąd, w którym tekst wpisany w formularz zostaje wykonany jako polecenie systemu. Zdalne zarządzanie to dostęp do panelu routera z internetu, a nie tylko z sieci biura. Botnet to sieć przejętych urządzeń sterowanych przez jedną grupę. Serwer pośredniczący (proxy) przekazuje ruch napastnika tak, że wygląda, jakby pochodził z Twojego łącza. EOL oznacza koniec cyklu życia produktu i brak regularnych poprawek. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera panel routera z internetu | Zdalne zarządzanie wyłączone, brak dostępu | Przy włączonym zdalnym zarządzaniu odczytuje hasło i się loguje |
Strona kontroli rodzicielskiej | Blokuje wybrane adresy | Wykonuje polecenia napastnika |
Łącze internetowe firmy | Obsługuje tylko ruch firmy | Przekazuje ataki na konta innych firm |
Reputacja adresu IP | Czysta | Adres trafia na listy źródeł ataków, poczta firmy ląduje w spamie |
Kolejny błąd w routerze | Poprawiony przez producenta | Może nie doczekać się poprawki (EOL) |
źródło: Pexels, Jens MahnkePoniżej typowy przebieg ataku dla tego łańcucha podatności, zgodny z opisami botnetu Quad7 (7777). To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Sama luka CVE-2025-9377 wymaga zalogowania do panelu; napastnicy zdobywali je przez CVE-2023-50224, a całość działała na routerach z włączonym zdalnym zarządzaniem z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie paneli routerów TP-Link z włączonym zdalnym zarządzaniem | Lista celów |
2. Kradzież hasła | T+sekundy | Wykorzystanie CVE-2023-50224 do odczytu pliku z danymi logowania | Hasło do panelu |
3. Wykonanie poleceń | T+minuty | Wpisanie polecenia na stronie kontroli rodzicielskiej (CVE-2025-9377) | Kontrola nad routerem |
4. Instalacja narzędzi | T+minuty | Wgranie własnych programów, ukrytej powłoki na porcie 7777 i serwera pośredniczącego | Router w botnecie |
5. Wykorzystanie łącza | T+dni do miesięcy | Przepuszczanie przez router prób logowania do kont Microsoft 365 innych organizacji (Storm-0940 wg Microsoft) | Łącze firmy jako źródło ataków |
6. Skutki dla właściciela | T+tygodnie | Adres firmy trafia na listy blokad | Problemy z pocztą, logowaniem do banku i usług |
Napastnika zwykle nie interesują faktury małej firmy, tylko jej łącze internetowe. Ruch ataków wychodzi z tysięcy zwykłych adresów biurowych i domowych, więc po stronie ofiar wygląda jak zwykłe logowania. Właściciel routera płaci za to reputacją adresu, problemami z pocztą i czasem na wyjaśnianie sprawy z operatorem. Sprzęt z zakończonym wsparciem pozostanie przy tym podatny na kolejne błędy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Problemy z pocztą i dostępem do usług, blokady łącza przez operatora | Dni do tygodni | 5 tys. do 40 tys. PLN (czas pracowników, wsparcie IT, wymiana sprzętu) |
Bezpieczeństwo danych | Możliwy podsłuch lub przekierowanie ruchu w sieci biura | Dni | 10 tys. do 100 tys. PLN (analiza, zmiana haseł) |
Finansowy | Utracone zamówienia przez niedostarczoną pocztę, koszty obsługi | Tygodnie | 10 tys. do 150 tys. PLN łącznie |
Reputacyjny | Adres firmy na listach źródeł ataków, wiadomości w spamie u klientów | Tygodnie do miesięcy | 10 tys. do 100 tys. PLN (utracone kontakty handlowe) |
Prawny | Jeśli doszło do przechwycenia danych osobowych: obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 5 tys. do 50 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla routera Archer C7 (EU) V2 lub TL-WR841N/ND (MS) V9
z oprogramowaniem starszym niż 241108 i zdalnym zarządzaniem
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy włączonym zdalnym zarządzaniu prawdopodobieństwo jest bardzo wysokie (zautomatyzowany łańcuch, aktywny botnet), a wpływ średni, bo napastnicy wykorzystują głównie łącze firmy, nie jej dane; bez zdalnego zarządzania i po wgraniu 241108 ryzyko wyraźnie spada, choć sprzęt pozostaje bez wsparcia.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić na naklejce pod routerem model i rewizję (Archer C7 EU V2, TL-WR841N/ND MS V9) we wszystkich biurach i oddziałach | Dziś | Kierownik biura / administrator |
2 | 🔴 NATYCHMIAST | Wyłączyć w panelu zdalne zarządzanie routerem z internetu | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Wgrać oprogramowanie 241108 ze strony producenta, uruchomić router ponownie i przywrócić ustawienia fabryczne zgodnie z zaleceniem TP-Link | Dziś | Administrator / partner IT |
4 | 🟠 PILNIE | Po resecie ustawić nowe, silne hasło do panelu i sieci Wi-Fi | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić, czy adres IP firmy nie jest na listach blokad i czy poczta dochodzi do kontrahentów | Do 7 dni | Administrator poczty |
6 | 🟡 WAŻNIE | Wymienić router na model objęty wsparciem producenta | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wprowadzić cykliczne (np. kwartalne) sprawdzanie aktualizacji urządzeń sieciowych | Do 30 dni | CTO |
TP-Link wydał poprawkę 241108 mimo zakończonego wsparcia obu modeli, więc na podatnych rewizjach można ją wgrać. Producent i CISA zalecają jednak docelowo wymianę urządzenia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zdalnego zarządzania z internetu | Wysoka wobec opisanego łańcucha ataku | Łatwa |
Zarządzanie routerem przez aplikację mobilną producenta zamiast otwartego panelu (sugestia TP-Link) | Średnia do wysokiej | Łatwa |
Zmiana hasła do panelu | Niska: hasło da się odczytać przez CVE-2023-50224 | Łatwa |
Wymiana routera na wspierany model | Wysoka, także wobec przyszłych luk | Łatwa, koszt niewielki |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zdalne zarządzanie | Włączone „dla informatyka” | Wyłączone |
Oprogramowanie routera | Sprzed 241108 | 241108 lub nowy router |
Łącze firmy | Może służyć do ataków na inne firmy | Pod kontrolą firmy |
Reputacja adresu IP | Nieznana | Sprawdzona, ewentualnie wyczyszczona z list blokad |
Wsparcie producenta | Brak (EOL) | Nowy sprzęt objęty aktualizacjami |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA), w łańcuchu z CVE-2023-50224 |
Grupy przestępcze | Botnet Quad7 (7777), śledzony przez Microsoft jako CovertNetwork-1658; z jego routerów korzystał chiński aktor Storm-0940 do ataków na konta Microsoft 365 w Ameryce Północnej i Europie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6/10 WYSOKA (CVSS 4.0, TP-Link); 7.2/10 WYSOKA (CVSS 3.1, NVD) |
PoC dostępny publicznie? | Brak publicznych informacji w materiałach źródłowych |
Liczba atakowanych firm | Brak publicznych informacji; botnet składa się w większości z małych routerów TP-Link |
Status produktu | Oba modele EOL; CISA zaleca zaprzestanie używania |
Prognoza EPSS | Ok. 11,8% przez miesiąc, potem skok do ok. 33,5% w ciągu doby (wg analizy źródłowej) |
Dwie różne oceny CVSS nie są sporem: to dwie wersje tej samej skali. Obie zakładają, że atakujący potrzebuje uprawnień w panelu, a te w praktyce daje druga luka.
Sygnały zagrożenia dla CVE-2025-9377
CVSS 4.0 (TP-Link) 8.6/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (ostatni odczyt) ~33,5% ███████░░░░░░░░░░░░░ rosnąca
CISA KEV TAK ████████████████████ ataki potwierdzone
Wsparcie producenta EOL ░░░░░░░░░░░░░░░░░░░░ zalecana wymiana 2024-11 TP-Link wydaje poprawione oprogramowanie 241108
2025-08-29 Publikacja CVE-2025-9377 w NVD
2025-09-03 CISA dodaje CVE-2025-9377 i CVE-2023-50224 do katalogu KEV
2025-09-24 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Informacja producenta o poprawce: tp-link.com/us/support/faq/4308 . Komunikat bezpieczeństwa producenta: tp-link.com/us/support/faq/4365 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-9377 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić modele routerów we wszystkich lokalizacjach firmy | CTO | DZISIAJ |
2 | Potwierdzić wyłączenie zdalnego zarządzania routerami | CTO | DZISIAJ |
3 | Zlecić wgranie oprogramowania 241108 na podatnych modelach | CTO | DZISIAJ |
4 | Zatwierdzić zakup nowych routerów w miejsce modeli EOL | CFO | DO JUTRA |
5 | Sprawdzić, czy poczta firmy nie trafia do spamu u kluczowych klientów | CTO | DO JUTRA |
6 | Ustalić, kto odpowiada za sprzęt sieciowy w oddziałach i u pracowników z home office | CTO | DO JUTRA |
7 | Dopisać routery do rocznego planu wymiany sprzętu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie pracuje Archer C7 (EU) V2 lub TL-WR841N/ND (MS) V9? | TAK / NIE | 🔴 |
2 | Czy na którymkolwiek routerze jest włączone zdalne zarządzanie z internetu? | TAK / NIE | 🔴 |
3 | Jaka wersja oprogramowania jest na tych routerach? | [wersja] | 🔴 |
4 | Czy router po aktualizacji przywrócono do ustawień fabrycznych i skonfigurowano z nowymi hasłami? | TAK / NIE | 🟠 |
5 | Czy adres IP firmy jest na którejś liście blokad? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio sprawdzano aktualizacje urządzeń sieciowych? | [data] | 🟠 |
7 | Do kiedy wymienimy routery z zakończonym wsparciem? | [data] | 🟡 |
CVE-2025-9377 w połączeniu z CVE-2023-50224 pozwala przejąć starsze routery TP-Link Archer C7 i TL-WR841N/ND z włączonym zdalnym zarządzaniem i włączyć je do botnetu atakującego konta Microsoft 365 innych firm. Wystarczy dziś wyłączyć zdalne zarządzanie i wgrać oprogramowanie 241108, a w ciągu miesiąca wymienić routery, które nie mają już wsparcia producenta.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.