Luka XXE w SysAid On-Prem do wersji 23.3.40 pozwala bez logowania czytać pliki serwera i przejąć konto administratora, a w łańcuchu z inną luką wykonać polecenia. CISA potwierdza ataki. Zaktualizuj do 24.4.60.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą zgłoszenia serwisowe w systemie SysAid instalowanym na własnym serwerze (On-Prem). Werdykt: jeśli wersja to 23.3.40 lub starsza, zaktualizuj system NATYCHMIAST i odetnij go od internetu do czasu aktualizacji, bo luka pozwala bez hasła czytać pliki serwera i przejąć konto administratora, a CISA potwierdza ataki.
Amerykańska agencja CISA 22 lipca 2025 roku dopisała CVE-2025-2776 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Tego samego dnia dopisała bliźniaczą lukę CVE-2025-2775. Obie dotyczą SysAid On-Prem, systemu do obsługi zgłoszeń działu IT. Błąd w obsłudze parametru Server URL pozwala napastnikowi bez konta zmusić serwer do odczytania własnych plików i przejąć konto administratora.
Badacze watchTowr pokazali, że w połączeniu z inną, znaną luką (CVE-2024-36394) daje to wykonanie poleceń na serwerze z uprawnieniami SYSTEM, bez logowania. Producent wydał poprawkę w wersji 24.4.60 3 marca 2025 roku. Termin naprawy wg CISA minął 12 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-2776 (powiązane: CVE-2025-2775, CVE-2025-2777; europejska baza ENISA: EUVD-2025-13875) |
Data dodania do CISA KEV | 2025-07-22 |
Termin naprawy wg CISA | 2025-08-12 |
Produkt | SysAid On-Prem (wersja instalowana na własnym serwerze; wersja SaaS nie jest objęta wpisem) |
Wersje zagrożone | SysAid On-Prem 23.3.40 i wszystkie starsze. Atak przez sieć, bez konta i bez udziału użytkownika |
Wersje bezpieczne | 24.4.60 (3 marca 2025) i nowsze. Najnowszą wersję podaje producent w notatkach wydań; jej numeru nie weryfikowaliśmy |
Typ podatności | Wstrzyknięcie zewnętrznych encji XML (XXE) w obsłudze Server URL, prowadzące do odczytu plików i przejęcia konta administratora; CWE-611 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, pełny wpływ na poufność, integralność i dostępność). VulnCheck (podmiot rejestrujący): 9.3 KRYTYCZNA (CVSS 3.1, pełny wpływ na poufność, brak na integralność, niski na dostępność, zmiana zakresu) |
Wyobraź sobie sekretariat, który przyjmuje formularze zgłoszeń. Formularz ma pole „załącz treść dokumentu nr …”, a sekretarka posłusznie idzie do szafy, wyjmuje wskazany dokument, wkleja jego treść i odsyła gotowy formularz nadawcy. Nikt nie sprawdza, czy nadawca ma prawo do tego dokumentu. Obcy wpisuje „dokument z szafy z hasłami administratora” i dostaje go pocztą zwrotną.
Tak działa XXE. Format XML, w którym programy wymieniają dane, pozwala zdefiniować „skrót”, który przy odczycie rozwija się w treść pobraną z zewnątrz, na przykład z pliku na dysku serwera. SysAid rozwijał takie skróty bez ograniczeń. Napastnik bez konta mógł więc odczytać pliki serwera, w tym takie, które pozwalają przejąć konto administratora. A system zgłoszeń IT to zapisana przez lata mapa całej infrastruktury firmy.
💡 XML to format wymiany danych między programami. XXE (XML External Entity) to atak, w którym spreparowany dokument XML każe serwerowi wczytać wskazany plik lub adres. System ITSM / helpdesk to narzędzie działu IT do zgłoszeń, inwentaryzacji sprzętu i opisu infrastruktury. Łańcuch luk to połączenie kilku błędów, z których każdy osobno jest groźny, a razem dają pełne przejęcie systemu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwisant zgłasza awarię z telefonu | System przyjmuje zgłoszenie | Tak samo, nic nie widać |
Obca osoba wysyła spreparowane dane | Serwer je odrzuca | Serwer odczytuje i zwraca własne pliki |
Konto administratora SysAid | Tylko dla działu IT | Może zostać przejęte bez hasła |
Opis infrastruktury w zgłoszeniach | Wiedza wewnętrzna | Gotowa mapa dla napastnika |
Połączenie z inną luką (CVE-2024-36394) | Brak skutków bez konta | Wykonanie poleceń na serwerze jako SYSTEM |
źródło: Pexels, Arturo AñezPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do łańcucha opisanego przez watchTowr. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta, a według oceny CISA jest automatyzowalny, więc systemy SysAid dostępne z internetu mogą być wyszukiwane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie instalacji SysAid On-Prem dostępnych z internetu | Lista celów |
2. XXE | T+minuty | Wysłanie spreparowanych danych XML do obsługi Server URL | Odczyt plików serwera |
3. Przejęcie administratora | T+minuty | Wykorzystanie odczytanych danych do zalogowania jako administrator | Pełny dostęp do systemu zgłoszeń |
4. Wykonanie poleceń | T+godzina | Użycie luki po zalogowaniu (CVE-2024-36394) | Polecenia na serwerze z uprawnieniami SYSTEM |
5. Rozpoznanie | T+dni | Lektura zgłoszeń, inwentaryzacji sprzętu, haseł i opisów konfiguracji | Mapa infrastruktury firmy |
6. Dalszy atak | T+tygodnie | Wejście na kolejne systemy, kradzież danych, szyfrowanie | Przestój i żądanie okupu |
System zgłoszeń rzadko jest traktowany jako krytyczny: nie ma w nim faktur ani danych klientów. Ma za to opis całej infrastruktury, historię problemów i często hasła wklejane w zgłoszenia. Jego przejęcie to nie awaria, tylko przekazanie napastnikowi mapy firmy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera SysAid, zmiana haseł w wielu systemach, możliwy przestój działu IT | Dni | 20 tys. do 150 tys. PLN (odbudowa, praca IT) |
Bezpieczeństwo danych | Wyciek opisu infrastruktury, haseł ze zgłoszeń i danych pracowników | Godziny od ataku | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty reakcji, możliwy okup po dalszym ataku | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Informacja o incydencie dla klientów i partnerów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe pracowników lub klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SysAid On-Prem 23.3.40 lub starszego
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne (atak bez konta, automatyzowalny, potwierdzony przez CISA, EPSS 0,64), a wpływ krytyczny, bo przez łańcuch luk kończy się przejęciem serwera jako SYSTEM; system dostępny tylko z sieci wewnętrznej ma niższe, ale nadal wysokie ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję SysAid On-Prem | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Jeśli wersja to 23.3.40 lub starsza: odciąć system od internetu (tylko sieć wewnętrzna lub VPN) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować do 24.4.60 lub nowszej | Dziś | Administrator |
4 | 🟠 PILNIE | Zmienić hasła administratorów SysAid i kont technicznych, z których korzysta system | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera i listę kont administratorów pod kątem nieznanych logowań od marca 2025 | Do 7 dni | Administrator / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wyszukać w zgłoszeniach wklejone hasła i je zmienić | Do 7 dni | Kierownik IT |
7 | 🟡 WAŻNIE | Wprowadzić zakaz wpisywania haseł w zgłoszeniach i menedżer haseł dla zespołu | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 24.4.60; obejścia w swoich materiałach nie podaje. Do czasu aktualizacji pomagają środki usuwające warunki ataku z internetu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do SysAid tylko z sieci wewnętrznej lub przez VPN | Wysoka wobec napastników z internetu, nie chroni przed atakiem z wnętrza sieci | Łatwa do średniej |
Ograniczenie dostępu do adresów IP znanych lokalizacji | Średnia do wysokiej | Łatwa |
Czasowe przejście serwisantów terenowych na zgłoszenia mailowe lub telefoniczne | Średnia: pozwala zamknąć dostęp z zewnątrz | Łatwa |
Filtrowanie żądań z XML przez zaporę aplikacyjną | Niska: brak potwierdzonej skuteczności | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja SysAid | 23.3.40 lub starsza | 24.4.60 lub nowsza |
Dostęp z internetu | Otwarty dla każdego | Tylko przez VPN lub z zaufanych adresów |
Konto administratora | Może zostać przejęte bez hasła | Chronione, hasła zmienione |
Hasła w zgłoszeniach | Zapisane otwartym tekstem | Usunięte i zmienione, menedżer haseł |
Wiedza o włamaniu | Brak przeglądu | Logi i konta sprawdzone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA), razem z bliźniaczą CVE-2025-2775 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 9.3 KRYTYCZNA (VulnCheck, CVSS 3.1) |
PoC dostępny publicznie? | watchTowr opublikował 7 maja 2025 szczegółową analizę techniczną łańcucha ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,64397 (percentyl 0,9917); dla bliźniaczej CVE-2025-2775: 0,42681 (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): tak; wpływ techniczny oceniony jako częściowy |
Trzy instytucje opisują skutek różnie: NVD jako pełny, VulnCheck jako odczyt bez zmian danych, CISA jako częściowy. Zgodne są jednak elementy decydujące o pilności: atak przez sieć, bez konta, wykorzystywany w praktyce.
Sygnały zagrożenia dla CVE-2025-2776
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (VulnCheck) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~64% █████████████░░░░░░░ percentyl 99
Automatyzacja (CISA) TAK ████████████████████ możliwe skanowanie
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-12-20 watchTowr zgłasza producentowi pierwszą lukę XXE
2025-01-06 Zgłoszenie dwóch kolejnych luk XXE
2025-03-03 SysAid wydaje wersję 24.4.60 z poprawkami
2025-05-07 watchTowr publikuje analizę, publikacja CVE-2025-2776 w NVD
2025-07-22 CISA dodaje CVE-2025-2776 i CVE-2025-2775 do katalogu KEV
2025-08-12 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Notatki wydania producenta z poprawką: SysAid 24.4.60 . Analiza badaczy: watchTowr, SysOwned . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-2776 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma używa SysAid On-Prem i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie systemu od internetu do czasu aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację do 24.4.60 lub nowszej | CTO | DZISIAJ |
4 | Zlecić przegląd logów i kont administratorów od marca 2025 | CTO | DO JUTRA |
5 | Poinformować serwisantów terenowych o czasowej zmianie sposobu zgłoszeń | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z producentem obejmuje wsparcie przy aktualizacji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję SysAid On-Prem mamy zainstalowaną? | [wersja] | 🔴 |
2 | Czy SysAid jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowano system do 24.4.60 lub nowszej? | [data] | 🔴 |
4 | Czy lista administratorów SysAid zawiera nieznane konta? | TAK / NIE | 🟠 |
5 | Czy logi serwera od marca 2025 zostały przejrzane? | TAK / NIE, [data] | 🟠 |
6 | Czy w zgłoszeniach są zapisane hasła? | TAK / NIE, [liczba] | 🟠 |
7 | Jakie inne systemy mają dostęp do serwera SysAid lub są z niego zarządzane? | [lista] | 🟡 |
CVE-2025-2776 w SysAid On-Prem do wersji 23.3.40 pozwala bez hasła odczytać pliki serwera i przejąć konto administratora, a w łańcuchu z inną luką wykonać polecenia jako SYSTEM. CISA potwierdza ataki, a poprawka jest dostępna od marca 2025 roku, więc odcięcie systemu od internetu i aktualizacja do 24.4.60 lub nowszej to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.