Klucze szyfrujące wpisane na stałe w CentreStack i Triofox pozwalają bez logowania czytać pliki serwera i przejąć go. CISA potwierdza ataki. Zaktualizuj do 16.12.10420.56791 i wymień machineKey.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają firmowe pliki pracownikom i klientom przez Gladinet CentreStack lub Triofox, własny serwer albo u partnera. Werdykt: jeśli platforma działa w wersji starszej niż 16.12.10420.56791, zaktualizuj ją dziś, a potem wymień klucz machineKey i hasła z konfiguracji, bo luka jest wykorzystywana do przejmowania serwerów.
Amerykańska agencja CISA 15 grudnia 2025 roku dopisała do katalogu KEV podatność CVE-2025-14611 w platformach Gladinet CentreStack i Triofox. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. To już trzeci wpis produktów Gladinet w tym katalogu w 2025 roku.
Błąd polega na tym, że klucze do szyfrowania AES były wpisane na stałe w kodzie programu, identyczne w każdej instalacji na świecie. Napastnik, który je odczytał z kopii oprogramowania, może przygotować zapytanie, które serwer uzna za prawidłowe, i bez logowania odczytać z niego dowolny plik, w tym plik konfiguracyjny web.config. Według firmy Huntress, która opisała ataki, klucz machineKey z tego pliku pozwala następnie wykorzystać wcześniejszą lukę CVE-2025-30406 i uruchomić własny kod na serwerze.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 5 stycznia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-14611 |
Data dodania do CISA KEV | 2025-12-15 |
Termin naprawy wg CISA | 2026-01-05 (21 dni od wpisu) |
Produkt | Gladinet CentreStack i Gladinet Triofox (platformy udostępniania plików i dostępu do serwerów plików przez przeglądarkę) |
Wersje zagrożone | Wszystkie wersje obu produktów starsze niż 16.12.10420.56791, zwłaszcza z interfejsem dostępnym z internetu |
Wersje bezpieczne | 16.12.10420.56791 (wydana 29 listopada 2025) i nowsze. Po aktualizacji konieczna wymiana klucza machineKey zgodnie z instrukcją utwardzania producenta |
Typ podatności | Klucze kryptograficzne wpisane na stałe, prowadzące do odczytu dowolnych plików bez logowania; CWE-798 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). Huntress (organizacja publikująca CVE): 7.1 WYSOKA (CVSS 4.0, atak złożony, niski wpływ na sam serwer, wysoki na systemy dalej w łańcuchu, z adnotacją o atakach). Bez logowania i bez udziału użytkownika |
Wyobraź sobie firmę ochroniarską, która montuje ten sam model zamka w tysiącach biur i do każdego egzemplarza dorabia identyczny klucz. Wystarczy kupić jeden zamek w sklepie, dorobić klucz i można otworzyć drzwi dowolnego klienta tej firmy. Zamka nie trzeba łamać, bo działa dokładnie tak, jak go zaprojektowano.
Tak działał ten błąd. CentreStack i Triofox szyfrują „bilety dostępu” do plików. Klucz do tego szyfrowania powinien powstawać osobno przy każdej instalacji, a był wpisany na stałe w bibliotece programu. Kto pobrał wersję próbną, mógł go odczytać i przygotować bilet, który każdy podatny serwer przyjmie. W ten sposób napastnik pobiera plik konfiguracyjny z kluczem machineKey, a ten klucz otwiera drogę do uruchomienia własnego kodu na serwerze.
💡 Klucz kryptograficzny to tajny ciąg znaków do szyfrowania i odszyfrowywania danych; jeśli jest taki sam wszędzie, przestaje być tajny. web.config to plik z konfiguracją aplikacji internetowej, w którym leżą m.in. hasła do baz danych. machineKey to klucz, którym aplikacja ASP.NET podpisuje swoje dane; kto go zna, może podsunąć serwerowi dane, które ten uzna za własne. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba prosi serwer o plik | Musi mieć ważny, zaszyfrowany bilet dostępu wydany po zalogowaniu | Może sama przygotować bilet znanym kluczem |
Plik web.config z hasłami | Niedostępny z zewnątrz | Do pobrania bez logowania |
Klucz machineKey | Tajny, znany tylko serwerowi | Znany napastnikowi, który może uruchomić kod |
Aktualizacja do nowej wersji | Zamyka lukę | Zamyka lukę, ale wykradzione klucze i hasła nadal działają, dopóki ich nie wymienisz |
Dokumenty trzymane „u siebie” | Uważane za bezpieczniejsze niż chmura | Dostępne dla każdego, kto zna wspólny klucz |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na łańcuchu opisanym przez Huntress. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do interfejsu CentreStack lub Triofox, dlatego zagrożone są przede wszystkim serwery dostępne z internetu. CISA ocenia, że ataku nie da się w pełni zautomatyzować, ale jego skutek techniczny jest całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie serwerów CentreStack i Triofox dostępnych z internetu | Lista potencjalnych celów |
2. Odczyt pliku | T+kilka minut | Wysłanie biletu dostępu zaszyfrowanego znanym kluczem i pobranie web.config | Klucz machineKey i hasła z konfiguracji |
3. Wykonanie kodu | T+kilkanaście minut | Wykorzystanie machineKey do ataku na mechanizm ViewState (CVE-2025-30406) | Uruchomienie własnego kodu na serwerze |
4. Utrwalenie | T+godziny | Pobranie i uruchomienie narzędzi napastnika, założenie kont | Stała kontrola nad serwerem |
5. Rozszerzenie | T+1 do 7 dni | Użycie haseł z konfiguracji do baz danych i innych systemów | Dostęp do dalszej infrastruktury |
6. Wykorzystanie | T+dni do tygodni | Kradzież udostępnianych dokumentów, szyfrowanie lub szantaż | Wyciek danych, przestój |
Mogę Ci jakoś pomóc?
Platformy do udostępniania plików przechowują to, co firma ma najcenniejsze: umowy, projekty, dane kadrowe. Luka nie wymaga logowania, a łańcuch opisany przez Huntress prowadzi do pełnego przejęcia serwera. Do tego produkty Gladinet trafiły do katalogu KEV trzy razy w 2025 roku, dwa razy z powodu kluczy wpisanych na stałe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer plików, konieczność odbudowy i wymiany wszystkich kluczy | Godziny do dni | 30 tys. do 250 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek udostępnianych dokumentów i haseł z konfiguracji | Minuty od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, kary umowne za wyciek dokumentów klientów, ewentualny okup | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, którzy powierzyli firmie dokumenty | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z CentreStack lub Triofox
starszym niż 16.12.10420.56791, dostępnym z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (łańcuch prowadzi do pełnego przejęcia serwera z dokumentami firmy), a prawdopodobieństwo wysokie, a nie najwyższe, bo CISA ocenia atak jako niemożliwy do pełnej automatyzacji; firma na wersji z poprawką i z wymienionym machineKey jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję CentreStack lub Triofox na każdym serwerze (także u partnera) | Dziś | Administrator serwera plików |
2 | 🔴 NATYCHMIAST | Zaktualizować do 16.12.10420.56791 lub nowszej | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Wymienić klucz machineKey zgodnie z instrukcją utwardzania producenta | Dziś, zaraz po aktualizacji | Administrator |
4 | 🟠 PILNIE | Przeszukać logi serwera pod kątem zapytań do /storage/filesvr.dn z zaszyfrowanym parametrem wskazanym przez Huntress | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła i klucze zapisane w web.config (bazy danych, konta usług) | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Ograniczyć uprawnienia kont, którymi platforma łączy się z innymi systemami, do niezbędnego minimum | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Ocenić, czy platforma musi być dostępna z całego internetu, i rozważyć dalsze korzystanie z produktu po trzech wpisach w KEV | Do 30 dni | CTO |
Producent wydał poprawkę 29 listopada 2025 roku (wersja 16.12.10420.56791), więc aktualizacja jest dostępna. Jeśli trzeba ją zaplanować, do tego czasu pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana klucza machineKey (zalecenie producenta i Huntress) | Wysoka wobec łańcucha prowadzącego do wykonania kodu, nie usuwa odczytu plików | Średnia |
Ograniczenie dostępu do serwera z internetu, tylko przez VPN lub znane adresy | Wysoka wobec ataków z zewnątrz | Średnia: utrudnia dostęp klientom zewnętrznym |
Blokowanie na zaporze zapytań ze wskaźnikami ataku opublikowanymi przez Huntress | Średnia: działa tylko na znane warianty | Średnia |
Monitorowanie logów pod kątem zapytań do filesvr.dn | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Klucz szyfrowania biletów | Wspólny dla wszystkich instalacji | Usunięty problem wpisanego klucza |
Klucz machineKey | Mógł zostać odczytany | Nowy, unikalny |
Hasła z web.config | Mogły wyciec | Wymienione |
Uprawnienia kont usługowych | Często pełne | Ograniczone do potrzeb |
Zgodność z wymogami | Zaległość wobec terminu CISA z 5 stycznia 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Huntress obserwował ataki od początku grudnia 2025 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 7.1 WYSOKA wg Huntress (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznego kodu ataku w materiałach Huntress; opublikowano opis techniczny i wskaźniki ataku |
Liczba atakowanych firm | Huntress: 9 potwierdzonych organizacji (m.in. ochrona zdrowia i technologie) do 10 grudnia 2025 roku, kolejne 2 incydenty 15 grudnia |
Automatyzacja ataku | Nie (ocena CISA), skutek techniczny całkowity |
Historia producenta w KEV | Kwiecień 2025: CentreStack, klucz wpisany na stałe (CVE-2025-30406). Listopad 2025: CentreStack i Triofox, ujawnienie pliku z danymi. Grudzień 2025: ta luka |
Prognoza EPSS | Ponad 53%, wyżej niż 98% skatalogowanych podatności (wg analizy źródłowej, sierpień 2026) |
Sygnały zagrożenia dla CVE-2025-14611
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (Huntress) 7.1/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~53% ███████████░░░░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2025-04 CISA dodaje do KEV wcześniejszą lukę CVE-2025-30406
2025-11-29 Gladinet wydaje wersję 16.12.10420.56791
2025-11-30 Komunikat producenta do klientów
2025-12-02 Huntress otrzymuje pierwsze sygnały o ataku
2025-12-10 Huntress publikuje opis aktywnych ataków
2025-12-12 Publikacja CVE-2025-14611
2025-12-15 CISA dodaje lukę do katalogu KEV
2026-01-05 Termin naprawy wg CISA dla agencji federalnych
... ponad 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Najnowsze wydanie CentreStack: centrestack.com, latest release . Historia wydań Triofox: access.triofox.com/releases_history . Instrukcja utwardzania z wymianą machineKey: Hardening the CentreStack Cluster . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-14611 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner używa CentreStack albo Triofox | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i data aktualizacji każdego serwera | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i wymianę machineKey | CTO | DZISIAJ |
4 | Zlecić przegląd logów pod kątem wskaźników ataku i wymianę haseł z konfiguracji | CTO | DO JUTRA |
5 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Zlecić porównanie kosztu dalszego utrzymania platformy z kosztem zmiany rozwiązania | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja CentreStack lub Triofox działa na każdym naszym serwerze? | [wersja] | 🔴 |
2 | Kiedy zainstalowaliśmy wersję 16.12.10420.56791 lub nowszą? | [data] | 🔴 |
3 | Czy po aktualizacji wymieniliśmy klucz machineKey? | TAK / NIE | 🔴 |
4 | Czy przejrzeliśmy logi pod kątem zapytań do /storage/filesvr.dn wskazanych przez Huntress? | TAK / NIE | 🟠 |
5 | Czy wymieniliśmy hasła zapisane w web.config? | TAK / NIE | 🟠 |
6 | Czy serwer musi być dostępny z całego internetu? | TAK / NIE | 🟠 |
7 | Kto dostaje powiadomienia Gladinet o nowych wydaniach i jak szybko je wdrażamy? | [osoba] | 🟡 |
CVE-2025-14611 wynika z kluczy szyfrujących wpisanych na stałe w Gladinet CentreStack i Triofox, co pozwala bez logowania czytać pliki serwera, a w połączeniu z wcześniejszą luką uruchomić na nim kod. CISA i Huntress potwierdzają ataki, a poprawka jest dostępna od listopada 2025 roku, więc aktualizacja, wymiana machineKey i haseł z konfiguracji to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.