Wstrzyknięcie kodu w DELMIA Apriso pozwala osobie z uprzywilejowanym kontem przejąć serwer MES i zatrzymać produkcję. CISA potwierdza ataki. Sprawdź wersję, pobierz poprawkę od producenta i uporządkuj konta.
Ten alert jest dla zarządu, CTO, CFO i dyrektorów produkcji w zakładach, które prowadzą produkcję i identyfikowalność partii w systemie MES DELMIA Apriso firmy Dassault Systèmes. Werdykt: jeśli macie Apriso z rocznika 2020 do 2025, pilnie pobierzcie od producenta informacje o poprawce i uporządkujcie konta z wysokimi uprawnieniami, bo luka jest wykorzystywana w atakach na konkretne firmy.
Amerykańska agencja CISA 28 października 2025 roku dopisała CVE-2025-6204 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd to wstrzyknięcie kodu w DELMIA Apriso: program składa polecenie z fragmentów, z których część pochodzi od użytkownika, i nie sprawdza ich, więc napastnik może wykonać dowolny kod na serwerze. Producent ocenia atak jako złożony i wymagający konta z wysokimi uprawnieniami, ale CISA potwierdza, że jest wykorzystywany.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 18 listopada 2025 roku. Tego samego dnia do KEV trafiła druga luka Apriso (CVE-2025-6205), a we wrześniu 2025 roku trzecia (CVE-2025-5086).
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-6204 |
Data dodania do CISA KEV | 2025-10-28 |
Termin naprawy wg CISA | 2025-11-18 (21 dni od wpisu) |
Produkt | Dassault Systèmes DELMIA Apriso, system zarządzania produkcją (MES) |
Wersje zagrożone | Wg analizy źródłowej: Release 2020 Golden do SP4, 2021 Golden do SP3, 2022 Golden do SP3, 2023 Golden do SP3, 2024 Golden do SP1, 2025 Golden do SP1. NVD zapisuje to uproszczenie jako cały zakres 2020 do 2025, co może dawać fałszywe alarmy w skanerach |
Wersje bezpieczne | Producent nie podał publicznie numerów wersji z poprawką; informacje o naprawie udostępnia w swoim centrum zaufania (sekcja „Access remediation information”) |
Typ podatności | Wstrzyknięcie kodu (niepoprawna kontrola generowania kodu); CWE-94 |
Ocena CVSS | 8.0/10 WYSOKA (CVSS 3.1, producent). Atak przez sieć, złożony, wymaga wysokich uprawnień, bez udziału użytkownika, skutki wychodzą poza sam system (zmieniony zakres) |
System MES to kierownik zmiany w wersji cyfrowej. Handlowiec wpisuje zamówienie, a MES mówi hali, która linia, jaki wsad i jaka kolejność operacji, a potem zapisuje, co faktycznie zrobiono: numer partii, wynik kontroli jakości, nazwisko operatora.
Wyobraź sobie, że kierownik przyjmuje od brygadzistów karteczki z uwagami i wkleja je do instrukcji dla całej hali, nie czytając ich. Jeśli brygadzista z wysokim stopniem uprawnień wpisze zamiast uwagi „zatrzymaj linię 3 i skasuj rejestr partii”, instrukcja zostanie wykonana. Tak działa wstrzyknięcie kodu: dane od użytkownika stają się poleceniem dla serwera, a osoba wypełniająca pole przestaje być użytkownikiem systemu i staje się jego programistą.
💡 MES (Manufacturing Execution System) to oprogramowanie między systemem handlowym (ERP) a maszynami, sterujące zleceniami na hali i zapisujące przebieg produkcji. Wstrzyknięcie kodu to podrzucenie instrukcji w miejscu, gdzie program oczekuje danych. Identyfikowalność partii to możliwość ustalenia, co, kiedy i z czego wyprodukowano i dokąd trafiło. Golden i SP to wydanie podstawowe danego rocznika i kolejne pakiety serwisowe. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Konto z wysokimi uprawnieniami | Konfiguruje system i zlecenia | Może uruchomić dowolny kod na serwerze |
Instrukcje na ekranach operatorów | Zgodne z planem produkcji | Mogą zniknąć lub zostać zmienione |
Rejestr partii i kontroli jakości | Wiarygodny zapis dla audytu i reklamacji | Może zostać zmieniony bez śladu |
Połączenia z ERP, bazą jakości, sterownikami | Używane przez MES do pracy | Przejmowane razem z serwerem |
Raport ze skanera podatności | Wskazuje zagrożone wersje | Zapis NVD obejmuje cały zakres 2020 do 2025, bez rozróżnienia pakietów |
źródło: Unsplash, Yosuke OtaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga konta z wysokimi uprawnieniami, więc zwykle poprzedza go przejęcie konta administratora, integratora lub konta technicznego. CISA ocenia atak jako niezautomatyzowany, co oznacza ataki kierowane na wybrane zakłady, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wybór zakładu produkcyjnego, np. dostawcy dla większego odbiorcy | Cel z wartościowymi danymi i wrażliwością na przestoje |
2. Wejście do sieci | T+dni do tygodni | Phishing, przejęte konto VPN lub integratora | Dostęp do sieci firmy |
3. Zdobycie uprzywilejowanego konta | T+dni | Wyszukanie kont administracyjnych i technicznych Apriso, haseł bez terminu ważności | Konto z wysokimi uprawnieniami |
4. Wstrzyknięcie kodu | T+godziny | Wykorzystanie luki do uruchomienia własnego kodu na serwerze MES | Kontrola nad serwerem i jego połączeniami |
5. Skutki | T+dni | Zatrzymanie produkcji, zmiana zapisów partii, kradzież danych, przygotowanie szyfrowania | Przestój linii, utrata identyfikowalności |
MES jest jedynym miejscem z pełnym obrazem tego, co dzieje się dziś na hali. Profil tej luki jest charakterystyczny: trudno ją wykorzystać, ale kto to zrobi, dostaje wszystko. Warunek wysokich uprawnień nie uspokaja, tylko wskazuje, od czego zacząć ochronę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymane linie, brak instrukcji dla operatorów | Godziny | 100 tys. do 1 mln PLN (postój zmian, ludzi i maszyn) |
Bezpieczeństwo danych | Zmienione lub skradzione zapisy produkcyjne, receptury, dane klientów | Dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, odtwarzanie zapisów) |
Finansowy | Kary umowne za opóźnione dostawy, koszty wycofania partii bez identyfikowalności | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata statusu zaufanego dostawcy, negatywny wynik audytu odbiorcy | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych (np. operatorów) obowiązek zgłoszenia do UODO w ciągu 72 godzin i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; wymogi branżowe dotyczące identyfikowalności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: DELMIA Apriso bez poprawki
Wpływ
5 | . . ■ . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ na zakład jest maksymalny (przestój produkcji i utrata identyfikowalności), a prawdopodobieństwo średnie, bo atak wymaga wysokich uprawnień i jest złożony; wysoka prognoza EPSS i potwierdzone ataki kierowane oznaczają jednak, że rozpoznawalny zakład nie powinien odkładać sprawy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać z dokumentacji wdrożenia dokładny rocznik i pakiet serwisowy Apriso i porównać z listą zagrożonych wersji | Dziś | Kierownik IT / integrator |
2 | 🔴 NATYCHMIAST | Pobrać z centrum zaufania Dassault Systèmes informacje o naprawie dla CVE-2025-6204, CVE-2025-6205 i CVE-2025-5086 | Dziś | Kierownik IT |
3 | 🔴 NATYCHMIAST | Wypisać wszystkie konta z wysokimi uprawnieniami, wyłączyć konta byłych pracowników i nieaktywnych integratorów | Dziś | Administrator Apriso |
4 | 🟠 PILNIE | Wdrożyć poprawkę producenta w uzgodnionym oknie serwisowym | Do 7 dni | Integrator / administrator |
5 | 🟠 PILNIE | Zmienić hasła kont technicznych i ograniczyć, z których komputerów można się na nie logować | Do 7 dni | Administrator |
6 | 🟠 PILNIE | Przejrzeć logi serwera MES i zmiany w zapisach partii od sierpnia 2025 roku | Do 14 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe bazy MES pozwalają odtworzyć zapisy partii | Do 30 dni | CTO |
Producent udostępnia informacje o naprawie klientom w centrum zaufania; publicznie nie wskazano modułu, którego dotyczy błąd, więc nie da się go obejść wyłączeniem jednej funkcji. Poniższe miary ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie liczby kont z wysokimi uprawnieniami do niezbędnego minimum | Wysoka: atak wymaga takiego konta | Łatwa |
Uwierzytelnianie wieloskładnikowe i logowanie administracyjne tylko z wydzielonych stacji | Wysoka | Średnia |
Odcięcie serwera MES od internetu i sieci biurowej, dostęp tylko z hali i od integratora przez kontrolowany kanał | Średnia do wysokiej | Średnia |
Monitorowanie logowań na konta uprzywilejowane i zmian w konfiguracji | Niska jako ochrona, pomocna w wykryciu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o wersji | „Mamy Apriso” bez numeru pakietu | Dokładny rocznik i pakiet serwisowy w dokumentacji |
Konta uprzywilejowane | Konta integratorów i byłych pracowników, hasła bez terminu | Krótka lista, osobne konta, silne uwierzytelnianie |
Luka CVE-2025-6204 | Kod możliwy do wykonania z kontem administracyjnym | Poprawka producenta wdrożona |
Identyfikowalność partii | Nieznana odporność na manipulację | Sprawdzone kopie zapasowe i przegląd zmian |
Zgodność z terminem CISA | Ponad 10 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wykorzystanie aktywne, skutek techniczny całkowity) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.0 WYSOKA (CVSS 3.1, producent): łatwość wykorzystania 1.3, skutki 6.0 |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Inne luki tego produktu w KEV | CVE-2025-6205 (brak autoryzacji, KEV 28.10.2025) i CVE-2025-5086 (deserializacja, KEV 11.09.2025) |
Prognoza EPSS | Około 77% szansy próby wykorzystania w ciągu 30 dni, górny 1% wszystkich luk (wg analizy źródłowej; ENISA we wcześniejszym odczycie: 76,15%) |
Sygnały zagrożenia dla CVE-2025-6204
CVSS 3.1 (producent) 8.0/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~77% ███████████████░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wymagane uprawnienia WYSOKIE ████░░░░░░░░░░░░░░░░ utrudnia atak
Luki Apriso w KEV 3 ████████████████████ produkt na celowniku 2025-08-04 Producent i NVD publikują CVE-2025-6204
2025-09-11 CISA dodaje do KEV inną lukę Apriso, CVE-2025-5086
2025-10-28 CISA dodaje do KEV CVE-2025-6204 i CVE-2025-6205
2025-10-29 NVD uzupełnia pełną analizę i zakres wersji
2025-11-18 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: 3ds.com, CVE-2025-6204 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-6204 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić rocznik i pakiet serwisowy DELMIA Apriso w zakładzie | CTO | DZISIAJ |
2 | Zlecić pobranie informacji o naprawie z centrum zaufania producenta dla trzech luk Apriso z KEV | CTO | DZISIAJ |
3 | Zatwierdzić przegląd i wyłączenie zbędnych kont z wysokimi uprawnieniami | CTO | DZISIAJ |
4 | Uzgodnić z produkcją okno serwisowe na wdrożenie poprawki | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa z integratorem obejmuje wdrażanie poprawek bezpieczeństwa | CFO | DO JUTRA |
6 | Oszacować koszt godziny postoju linii i koszt wycofania partii bez identyfikowalności | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa obejmuje przestój produkcji wywołany cyberatakiem | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki dokładnie rocznik i pakiet serwisowy DELMIA Apriso mamy? | [wersja] | 🔴 |
2 | Czy pobraliśmy od producenta informacje o naprawie CVE-2025-6204? | TAK / NIE, [data] | 🔴 |
3 | Ile kont ma wysokie uprawnienia i czy każde ma aktualnego właściciela? | [liczba], TAK / NIE | 🔴 |
4 | Kiedy wdrożono poprawki na trzy luki Apriso z katalogu KEV? | [data] | 🔴 |
5 | Czy serwer MES jest dostępny z internetu lub z sieci biurowej? | TAK / NIE | 🟠 |
6 | Czy przejrzano logi i zmiany w zapisach partii od sierpnia 2025 roku? | TAK / NIE, [data] | 🟠 |
7 | Kiedy ostatnio odtworzono bazę MES z kopii zapasowej na próbę? | [data] | 🟡 |
CVE-2025-6204 pozwala osobie z uprzywilejowanym kontem wykonać dowolny kod na serwerze DELMIA Apriso, a CISA potwierdza wykorzystanie w atakach. To jedna z trzech luk tego produktu w katalogu KEV, dlatego ustalenie dokładnej wersji, pobranie poprawki od producenta i porządek w kontach administracyjnych to zadania na ten tydzień, zaczynając od dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.