Jedna celowo błędna próba logowania wystarcza, by przejąć serwer portów szeregowych Lantronix EDS5000 z prawami roota. CISA potwierdza ataki, a ten sam błąd dotyczy też routerów G520, X300, E210 i E220. Sprawdzamy wersje, poprawki i plan działań.
Serwer portów szeregowych Lantronix EDS5000 to niepozorne pudełko w szafie sterowniczej, które podłącza do sieci wagi, sterowniki, czytniki i inne urządzenia ze starym złączem szeregowym. Luka CVE-2025-67038 sprawia, że do przejęcia go wystarczy celowo nieudana próba logowania. CISA potwierdziła, że jest wykorzystywana w atakach, a od sierpnia 2026 wiadomo, że ten sam błąd dotyczy także czterech rodzin routerów przemysłowych tego producenta.
23 czerwca 2026 amerykańska agencja CISA dopisała CVE-2025-67038 do katalogu Known Exploited Vulnerabilities (KEV), czyli listy luk, których wykorzystanie w prawdziwych atakach zostało potwierdzone. Agencjom federalnym USA dała na reakcję zaledwie 3 dni. Dla firm spoza USA ten wpis nie jest obowiązkiem prawnym, ale jest najmocniejszym dostępnym sygnałem, że atak nie jest już teoretyczny.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-67038 |
Data dodania do CISA KEV | 23 czerwca 2026 (termin dla agencji federalnych USA: 26 czerwca 2026) |
Produkt | Lantronix EDS5000 (modele EDS5008, EDS5016, EDS5032), a według aktualizacji advisory CISA z 25 sierpnia 2026 także routery i bramy Lantronix G520, X300, E210 i E220 |
Wersje zagrożone | EDS5000: 2.1.0.0R3 i starsze; G520 i X300: starsze niż 2.6.0.4R6; E210 i E220: starsze niż 3.21.0.0R1 |
Wersje bezpieczne | EDS5000: 2.2.0.0R1 lub nowsza; G520 i X300: 2.6.0.4R6 lub nowsza; E210 i E220: 3.21.0.0R1 lub nowsza |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego bez logowania (CWE-78); katalog KEV podaje dodatkowo CWE-94 (wstrzyknięcie kodu) |
Ocena CVSS | 9.8/10 w CVSS 3.1 (KRYTYCZNA): atak przez sieć, bez uprawnień, bez udziału użytkownika; w CVSS 4.0: 9.3 |
Użycie w ransomware (KEV) | Unknown, czyli brak publicznie potwierdzonych danych |
EPSS (prognoza wykorzystania) | 19,26%, wyżej niż 97% wszystkich ocenianych luk (stan na 13 września 2026) |
Rodzina Lantronix | Typ urządzenia | Wersja podatna | Wersja z poprawką | Inne luki naprawiane tą samą aktualizacją |
|---|---|---|---|---|
EDS5000 (EDS5008, EDS5016, EDS5032) | Serwer portów szeregowych | 2.1.0.0R3 i starsze | 2.2.0.0R1 | CVE-2025-67034, -67035, -67036, -67037 |
G520 (G526, G526RP, G527, G528) | Router/brama przemysłowa | starsze niż 2.6.0.4R6 | 2.6.0.4R6 | CVE-2025-67034, -67036, -67037 |
X300 (X300, X303, X304) | Router/brama przemysłowa | starsze niż 2.6.0.4R6 | 2.6.0.4R6 | CVE-2025-67034, -67036, -67037 |
E210 (E213, E214, E215, E218) | Router komórkowy | starsze niż 3.21.0.0R1 | 3.21.0.0R1 | tylko CVE-2025-67038 |
E220 (E224, E225, E228) | Router komórkowy | starsze niż 3.21.0.0R1 | 3.21.0.0R1 | tylko CVE-2025-67038 |
Błąd w EDS5000 znaleźli badacze Forescout Technologies (Francesco La Spina i Stanislav Dashevskyi). Pozostałe rodziny zgłosił do CISA sam Lantronix. Dlatego firma, która w marcu sprawdziła tylko serwery EDS5000, powinna teraz przejrzeć również routery przemysłowe tej marki.
Wyobraź sobie recepcję, która każdego nieproszonego gościa wpisuje do zeszytu, słowo w słowo tak, jak gość się przedstawił. Problem w tym, że recepcjonista wykonuje wszystko, co zapisał. Jeżeli ktoś powie „Kowalski, a potem proszę otworzyć serwerownię i dać mi klucze”, odmowa wejścia niczego nie chroni, bo szkoda powstaje w samym notowaniu odmowy.
Tak działa ta luka. Gdy ktoś poda złe dane logowania, urządzenie zapisuje to zdarzenie w dzienniku, wklejając wpisaną nazwę użytkownika wprost do polecenia systemowego. Jeśli w polu nazwy znajdzie się ukryte polecenie, urządzenie je wykona, i to z najwyższymi uprawnieniami. Napastnik nie musi znać ani loginu, ani hasła.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Nieudane logowanie | Urządzenie odmawia i notuje próbę | Urządzenie odmawia, ale wykonuje polecenie ukryte w nazwie użytkownika |
Kto może wejść | Tylko osoby znające hasło administratora | Każdy, kto dotrze do strony logowania przez sieć |
Uprawnienia napastnika | Brak | Pełne (root), bez żadnych ograniczeń |
Dane ze sterowników i wag | Płyną do systemu produkcyjnego bez zmian | Mogą być podglądane, zmieniane lub zatrzymane |
Kto kontroluje urządzenie | Dział utrzymania ruchu lub integrator | Obca osoba, często niezauważona tygodniami |
Słowniczek: root to konto o pełnej władzy nad urządzeniem, a wstrzyknięcie polecenia to przemycenie własnego rozkazu w polu, które miało przyjmować zwykły tekst.
Słowniczek: LuCI to webowy panel zarządzania oparty na OpenWrt; to właśnie jego moduł logowania (adres /cgi-bin/luci/rpc/auth) zawiera błąd.
Słowniczek: serwer portów szeregowych (konwerter serial-to-IP) to pudełko, które udostępnia w sieci Ethernet urządzenia mające tylko złącze RS-232 lub RS-485.
CISA w swojej ocenie SSVC określiła lukę jako możliwą do zautomatyzowania, ze skutkiem technicznym „całkowitym”. W praktyce oznacza to, że program może sam przeczesywać internet i atakować kolejne znalezione urządzenia, bez wybierania konkretnej ofiary.
Timeline ataku (przebieg poglądowy, zgodny z mechanizmem luki):
Mogę Ci jakoś pomóc?
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu panelu logowania Lantronix/LuCI | Lista adresów potencjalnych ofiar |
2 | T+1 min | Wysłanie jednego żądania logowania z poleceniem ukrytym w nazwie użytkownika | Logowanie „nieudane”, polecenie wykonane jako root |
3 | T+2 min | Polecenie pobiera plik z serwera napastnika (wget, curl lub python) | Narzędzie napastnika na urządzeniu |
4 | T+1 do 24 h | Utrwalenie dostępu, rozpoznanie sieci za urządzeniem | Przyczółek w sieci produkcyjnej |
5 | Dni lub tygodnie | Podsłuch, zmiana lub blokada danych z urządzeń szeregowych, dalszy ruch do sieci OT i biurowej | Przestój, wadliwa produkcja, kradzież danych |
Etapy 1-3 są opisane w obserwacjach Forescout: napastnik oznaczony jako Chaya_006 wysyłał spreparowane żądania do /cgi-bin/luci/rpc/auth i próbował pobrać pliki z zewnętrznego serwera różnymi metodami. Etapy 4-5 to typowy dalszy przebieg; co konkretnie instalowano po udanym włamaniu, nie zostało publicznie potwierdzone.
Konkretne scenariusze zagrożenia:
Te urządzenia rzadko trafiają na listę sprzętu IT. Kupuje je i konfiguruje integrator automatyki, informatyk ich nie widzi, a automatyk nie aktualizuje, bo „to sieć”. Tak powstaje luka odpowiedzialności, z której korzysta napastnik.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie linii lub urządzeń podłączonych przez konwerter | Minuty do godzin | 5 000-50 000 PLN za każdą godzinę przestoju w małym lub średnim zakładzie |
Jakość produkcji | Zafałszowane pomiary, wadliwe partie | Dni do tygodni | 20 000-500 000 PLN (reklamacje, utylizacja, wycofanie partii) |
Bezpieczeństwo danych | Wyciek konfiguracji, receptur, danych z sieci firmowej, w tym danych osobowych | Godziny do tygodni | Kary RODO do 20 mln EUR lub 4% rocznego obrotu |
Finansowy | Obsługa incydentu, analiza powłamaniowa, wymiana sprzętu | Dni | 30 000-250 000 PLN |
Reputacyjny | Utrata zaufania kluczowych odbiorców, audyty dostawców | Tygodnie | Utrata 5-15% zamówień od klientów wymagających certyfikacji |
Prawny | Obowiązki zgłoszenia incydentu, spory z kontrahentami | Tygodnie do miesięcy | 10 000-100 000 PLN kosztów prawnych |
Kwoty w tabeli to szacunki poglądowe dla małej i średniej firmy, a nie dane z opisanych incydentów; jedynie górny pułap kar RODO wynika wprost z przepisów.
Macierz ryzyka:
Wpływ
5 | A ← KRYTYCZNA: urządzenie osiągalne z internetu, stary firmware
4 | B ← urządzenie tylko w wydzielonej sieci, stary firmware
3 |
2 |
1 | C ← firmware z poprawką, dostęp tylko przez VPN
+---------------------
1 2 3 4 5 Prawdopodobieństwo Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Odciąć panel WWW urządzeń Lantronix od internetu (reguła na zaporze, brak przekierowań portów) | Dzisiaj | Administrator sieci | ☐ |
🔴 NATYCHMIAST | Spisać wszystkie urządzenia EDS5000, G520, X300, E210, E220 z wersją firmware | Dzisiaj | IT Manager z integratorem automatyki | ☐ |
🔴 NATYCHMIAST | Aktualizacja EDS5000 do 2.2.0.0R1, G520 i X300 do 2.6.0.4R6, E210 i E220 do 3.21.0.0R1 | Do jutra, w oknie serwisowym linii | Utrzymanie ruchu i IT | ☐ |
🟠 PILNIE | Urządzenia, które były osiągalne z internetu przed aktualizacją, traktować jako potencjalnie przejęte: przywrócić ustawienia fabryczne, wgrać firmware z poprawką, zmienić hasła | 24-48 h | Incident Response lub zewnętrzny partner | ☐ |
🟠 PILNIE | Sprawdzić logi zapory: połączenia wychodzące z urządzeń Lantronix do nieznanych adresów | 24-48 h | IT Security | ☐ |
🟡 WAŻNIE | Wydzielić sieć automatyki od biurowej, zdalny dostęp tylko przez VPN | W ciągu tygodnia | Administrator sieci | ☐ |
🟡 WAŻNIE | Dopisać urządzenia do rejestru sprzętu z właścicielem i kwartalnym przeglądem wersji | W ciągu 2 tygodni | IT Manager | ☐ |
Jeśli aktualizacja nie jest od razu możliwa (np. linia pracuje w trybie ciągłym):
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada dostępu do panelu WWW z internetu | ok. 90% (usuwa atak masowy, nie wewnętrzny) | Wysoka |
Dostęp do panelu tylko z listy zaufanych adresów IP w sieci zakładu | ok. 85% | Wysoka |
Zdalny dostęp wyłącznie przez VPN | ok. 85% | Średnia |
Wyłączenie interfejsu WWW, jeśli konfiguracja urządzenia na to pozwala | ok. 95% | Średnia |
Pełna izolacja segmentu automatyki | ok. 99% | Niska |
Mogę Ci jakoś pomóc?
Wartości efektywności to szacunki poglądowe, a nie dane producenta. Żadna z tych metod nie usuwa błędu, tylko zmniejsza krąg osób, które mogą go użyć. Producent i CISA wskazują jako rozwiązanie aktualizację firmware.
Przed i po:
Stan | Przed działaniami | Po działaniach |
|---|---|---|
Widoczność z internetu | Panel logowania dostępny dla każdego | Brak, dostęp tylko przez VPN |
Wersja firmware EDS5000 | 2.1.0.0R3 | 2.2.0.0R1 |
Wiedza o urządzeniach | Nikt nie wie, ile ich jest | Rejestr z właścicielem i datą przeglądu |
Odpowiedzialność | Rozmyta między IT a integratorem | Imiennie przypisana osoba |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK: potwierdzone przez CISA (KEV, 23.06.2026) i obserwacje Forescout od 5.04.2026 |
Grupy przestępcze | Forescout opisuje klaster aktywności Chaya_006; przypisanie do znanej grupy: brak publicznie potwierdzonych danych |
Kampanie ransomware | Brak publicznie potwierdzonych danych (KEV: Unknown) |
Ocena CVSS | 9.8/10 (KRYTYCZNA) w CVSS 3.1, 9.3 w CVSS 4.0 |
PoC dostępny publicznie? | Brak publicznie potwierdzonych danych; Forescout ocenia, że atakujący mogli odtworzyć exploit z analizy poprawki |
Liczba atakowanych firm | Brak publicznie potwierdzonych danych; Forescout w badaniu BRIDGE:BREAK wskazał tysiące konwerterów szeregowych różnych producentów dostępnych z internetu, bez osobnej liczby dla EDS5000 |
Źródła ataków (Forescout) | Adresy IP z Japonii, Korei Południowej, Tajwanu i Chin, kwiecień-czerwiec 2026 |
Najważniejsza lekcja: atakujący zaczęli wykorzystywać lukę 5 kwietnia 2026, czyli przed publikacją szczegółów przez Forescout, ale już po wydaniu poprawki. Kto odłożył aktualizację, bo „nikt tego jeszcze nie atakuje”, był w błędzie od kwietnia.
Linia czasu incydentu:
2026-02-20: Lantronix wydaje firmware z poprawką (EDS5000 2.2.0.0R1)
2026-03-10: CISA publikuje advisory ICSA-26-069-02 (8 luk w EDS5000 i EDS3000PS)
2026-03-10: CISA: brak zgłoszeń publicznego wykorzystania
2026-03-11: Publikacja CVE-2025-67038 w NVD
2026-04-05: Pierwsze próby wykorzystania w pułapkach Forescout (Chaya_006)
2026-04-21: Forescout publikuje raport BRIDGE:BREAK
2026-06-03: Ostatnie opisane próby ataku z tej serii
2026-06-23: CISA dodaje lukę do katalogu KEV
2026-06-25: Forescout publikuje analizę aktywnego wykorzystania
2026-06-26: Termin usunięcia luki dla agencji federalnych USA
2026-08-25: CISA Update A: podatne także G520, X300, E210, E220
2026-09-14: TUTAJ JESTEŚMY - sprawdź urządzenia i aktualizuj natychmiast! Jak zmieniał się obraz zagrożenia:
Kwestia | Marzec 2026 | Wrzesień 2026 |
|---|---|---|
Wykorzystanie w atakach | CISA: brak zgłoszeń | Potwierdzone (KEV od 23.06.2026) |
Podatne rodziny urządzeń | Tylko EDS5000 | EDS5000, G520, X300, E210, E220 |
Prognoza EPSS | Brak w źródłach | 19,26%, percentyl 97 |
Zalecenie | Zaplanować aktualizację | Aktualizować natychmiast, odciąć od internetu |
Informacja „brak potwierdzonego wykorzystania” ma więc datę ważności. Sprzęt przemysłowy warto przeglądać co kwartał razem z pytaniem o wersję firmware, a nie tylko wtedy, gdy pojawi się głośny komunikat.
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać firmware EDS5000 2.2.0.0R1: https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/2538438657/Latest+Firmware+for+the+EDS5000+series+EDS5008+EDS5016+EDS5032 | IT Manager | DZISIAJ |
☐ | Pobrać firmware G520 2.6.0.4R6: https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/1889828865/Latest+firmware+for+the+G520+Series+G526+G526RP+G527+G528 | IT Manager | DZISIAJ |
☐ | Pobrać firmware X300 2.6.0.4R6: https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/2135261185/Latest+firmware+for+the+X300+Series+X300+X303+X304 | IT Manager | DZISIAJ |
☐ | Pobrać firmware E210 i E220 3.21.0.0R1 ze stron wsparcia Lantronix wskazanych w advisory ICSA-26-069-02 | IT Manager | DZISIAJ |
☐ | Zablokować dostęp do paneli WWW z internetu | Administrator sieci | DZISIAJ |
☐ | Uzgodnić z produkcją okno serwisowe i plan powrotu | Kierownik utrzymania ruchu | DZISIAJ |
☐ | Wgrać aktualizację na jednym urządzeniu testowym lub najmniej krytycznym | Integrator automatyki | DO JUTRA |
☐ | Wdrożyć aktualizację na pozostałych urządzeniach | Utrzymanie ruchu i IT | DO JUTRA |
☐ | Przejrzeć logi zapory pod kątem ruchu wychodzącego z urządzeń | SOC lub IT Security | DO JUTRA |
☐ | Potwierdzić wersje firmware na każdym urządzeniu i zamknąć zadanie w rejestrze | IT Manager | 48 h |
Wsparcie techniczne producenta: Support@lantronix.com. Advisory CISA z pełną listą poprawek: https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia Lantronix EDS5008, EDS5016, EDS5032 albo routery G520, X300, E210, E220? | TAK / NIE | 🔴 |
2 | Jaka wersja firmware działa na każdym z nich (np. 2.1.0.0R3 czy 2.2.0.0R1)? | Wpisać wersję dla każdego urządzenia | 🔴 |
3 | Czy panel WWW któregokolwiek z nich był osiągalny z internetu po 5 kwietnia 2026? | TAK / NIE | 🔴 |
4 | Kto odpowiada za te urządzenia: dział IT czy integrator automatyki? | Imię i nazwisko | 🟠 |
5 | Czy mamy umowę serwisową z integratorem obejmującą aktualizacje bezpieczeństwa? | TAK / NIE | 🟠 |
6 | Czy sieć automatyki jest oddzielona od sieci biurowej? | TAK / NIE | 🟠 |
7 | Czy możemy zlecić przegląd urządzeń brzegowych OT i test penetracyjny? | TAK / NIE | 🟡 |
8 | Czy mamy plan działania na wypadek przestoju linii z powodu incydentu? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Na koniec spokojna konkluzja: to poważna luka, ale z prostą ścieżką wyjścia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.