Błąd w usłudze staging Kentico Xperience 13 pozwala bez hasła przejąć kontrolę nad obiektami administracyjnymi strony. CISA potwierdza ataki, EPSS przekracza 90%. Zablokuj SyncServer.asmx i zaktualizuj powyżej 13.0.178.
Ten alert jest dla zarządu, CTO i CFO firm, których strona lub sklep internetowy działa na Kentico Xperience 13. Werdykt: jeśli wersja to 13.0.178 lub starsza, zablokuj dziś dostęp do usługi SyncServer.asmx i zleć aktualizację do wydania nowszego niż 13.0.178, bo luka pozwala przejąć panel administracyjny bez hasła i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 20 października 2025 roku dopisała do katalogu KEV podatność CVE-2025-2747 w Kentico Xperience, razem z bliźniaczą luką CVE-2025-2746. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Termin naprawy minął 10 listopada 2025 roku.
Błąd siedzi w składniku Staging Sync Server, który przenosi treści z serwera roboczego na produkcyjny. Przy konfiguracji z typem hasła „None” da się obejść sprawdzanie tożsamości i przejąć kontrolę nad obiektami administracyjnymi systemu, bez konta i bez hasła. Producent wskazuje, że przyczyna leży w bibliotece firmy trzeciej, a poprawka na wcześniejszą lukę CVE-2025-2746 tej dziury nie zamyka. Od poprawki do wpisu w KEV minęło prawie siedem miesięcy.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-2747 (powiązana: CVE-2025-2746) |
Data dodania do CISA KEV | 2025-10-20 |
Termin naprawy wg CISA | 2025-11-10 (21 dni od wpisu) |
Produkt | Kentico Xperience CMS 13, składnik Staging Sync Server |
Wersje zagrożone | NVD i baza europejska: do 13.0.178 włącznie. Producent: 13.0.177 i starsze. Ryzyko dotyczy usługi SyncServer.asmx dostępnej z sieci |
Wersje bezpieczne | Producent: poprawka w 13.0.178 z 6 marca 2025 roku. Przy rozbieżności rozsądnie przyjąć wersję nowszą niż 13.0.178. Po instalacji poprawki mogą być potrzebne dodatkowe kroki ręczne opisane w instrukcji producenta |
Typ podatności | Obejście uwierzytelnienia alternatywną ścieżką; CWE-288 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, VulnCheck; NIST nie wystawił własnej oceny). Producent: najwyższy stopień swojej skali. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie sklep, który ma dwa wejścia: główne dla klientów i tylne dla dostaw. Przy tylnym stoi zamek, ale ktoś zostawił w nim klucz, który da się sięgnąć przez okno. W styczniu właściciel wymienił zamek, bo wyszło, że da się go otworzyć bez klucza. W marcu okazało się, że w tych samych drzwiach jest drugi problem, a styczniowa wymiana nic w tej sprawie nie zmieniła.
Tak jest z Kentico. Staging to „tylne drzwi dla dostaw treści”: redaktor pisze na serwerze roboczym, a usługa przenosi gotowe treści na stronę, którą widzą klienci. Żeby wpuścić dane, usługa sprawdza, kto puka. W podatnych wersjach przy jednym typie konfiguracji hasła to sprawdzenie dało się obejść. Kto to zrobi, działa w systemie jak administrator: może zmieniać treści, konta i ustawienia.
💡 CMS to system zarządzania treścią strony internetowej. Staging to mechanizm przenoszenia treści z serwera roboczego na produkcyjny. Biblioteka firmy trzeciej to gotowy element oprogramowania napisany przez inną firmę i wbudowany w produkt. Web.config to plik konfiguracyjny aplikacji na serwerze Windows (IIS), w którym można zablokować dostęp do wybranego adresu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obce połączenie do usługi staging | Odrzucone bez poprawnego hasła | Przy typie hasła „None” sprawdzenie da się obejść |
Panel administracyjny strony | Tylko dla administratorów | Obcy może kontrolować obiekty administracyjne |
Dane do przelewu na stronie sklepu | Wpisane przez firmę | Mogą zostać podmienione |
Firma po styczniowej aktualizacji (CVE-2025-2746) | Uważa temat za zamknięty | Nadal podatna na CVE-2025-2747 |
Firma bez stagingu z zablokowanym SyncServer.asmx | Strona działa | Strona działa, wejście zamknięte |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Usługa staging jest zwykle dostępna pod adresem strony, więc atak może zacząć każdy z internetu. CISA ocenia, że atak da się zautomatyzować, a zespół watchTowr, który zgłosił błąd, opublikował szczegółowy opis techniki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie stron z adresem kończącym się na SyncServer.asmx | Lista stron na Kentico |
2. Obejście logowania | T+kilka minut | Spreparowane żądanie wykorzystujące obsługę typu hasła „None” | Dostęp do usługi bez hasła |
3. Przejęcie administracji | T+kilkanaście minut | Kontrola nad obiektami administracyjnymi: konta, ustawienia, treści | Napastnik działa jak administrator |
4. Utrwalenie | T+1 godz. | Dopisanie własnego konta administratora, zmiany trudne do zauważenia | Dostęp na tygodnie |
5. Nadużycie strony | T+dni | Podmiana danych do przelewu, wstawienie złośliwego kodu dla odwiedzających, kradzież danych klientów | Oszustwa, wyciek, infekcje klientów |
6. Dalszy atak | T+tygodnie | Próby wykonania kodu na serwerze i wejścia do sieci firmy | Szersze włamanie |
Strona firmowa i sklep to wizytówka i kasa jednocześnie. Przejęty panel administracyjny oznacza, że ktoś obcy decyduje, co widzą klienci i na jaki rachunek wpłacają pieniądze. Po wpisie do KEV i publikacji opisu techniki aktualizacja przestała być zadaniem „na spokojny wtorek”.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie strony, przegląd całego systemu, odtwarzanie treści, wstrzymany staging | Godziny do dni | 15 tys. do 150 tys. PLN (praca wykonawcy, przestój sprzedaży) |
Bezpieczeństwo danych | Wyciek danych klientów i zamówień, złośliwy kod na stronie | Dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Wpłaty klientów na podmieniony rachunek, zwroty, utracona sprzedaż | Dni do tygodni | 20 tys. do 400 tys. PLN łącznie |
Reputacyjny | Klienci widzą zmienioną stronę lub ostrzeżenia przeglądarki | Tygodnie | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Kentico Xperience 13 ≤ 13.0.178
z dostępną usługą SyncServer.asmx
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo atak nie wymaga konta, da się go zautomatyzować, jest potwierdzony przez CISA, a EPSS przekracza 90%; zablokowanie SyncServer.asmx lub aktualizacja przenosi firmę poza zasięg tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Kentico Xperience na stronie (zapytać wykonawcę) | Dziś | CTO / wykonawca strony |
2 | 🔴 NATYCHMIAST | Jeśli wersja to 13.0.178 lub starsza: zablokować dostęp do SyncServer.asmx regułą odmowy w pliku Web.config w katalogu CMSPages (obejście producenta) | Dziś | Wykonawca strony |
3 | 🟠 PILNIE | Zainstalować poprawkę producenta do wersji nowszej niż 13.0.178 i wykonać ręczne kroki z instrukcji | Do 3 dni | Wykonawca strony |
4 | 🟠 PILNIE | Sprawdzić po aktualizacji, czy strona i staging działają poprawnie | Do 3 dni | Wykonawca strony |
5 | 🟠 PILNIE | Przejrzeć listę kont administratorów, ostatnie zmiany treści (zwłaszcza danych do płatności) i logi dostępu do SyncServer.asmx od marca 2025 roku | Do 7 dni | Wykonawca strony / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wpisać do umowy serwisowej obowiązek śledzenia komunikatów bezpieczeństwa i czas instalacji poprawek krytycznych | Do 30 dni | CFO / CTO |
7 | 🟡 WAŻNIE | Jeśli staging nie jest używany, pozostawić usługę trwale zablokowaną | Do 30 dni | Wykonawca strony |
Producent wydał poprawkę i podał obejście działające natychmiast. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada dostępu do SyncServer.asmx w Web.config w katalogu CMSPages (zalecenie producenta) | Wysoka: zamyka podatną usługę | Łatwa, ale staging przestaje działać |
Dostęp do usługi staging tylko z adresu serwera roboczego (reguła na zaporze lub serwerze WWW) | Średnia do wysokiej | Średnia |
Wstrzymanie publikacji przez staging na czas aktualizacji | Wysoka w połączeniu z blokadą | Łatwa, kosztuje kilka dni bez nowych treści |
Monitorowanie nowych kont administratorów i zmian danych płatności | Niska jako ochrona, wysoka do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Usługa SyncServer.asmx | Dostępna z internetu bez skutecznego sprawdzenia | Zablokowana lub załatana |
Wersja Kentico | 13.0.178 lub starsza | Nowsza niż 13.0.178 |
Konta administratorów | Niesprawdzone | Przejrzane, obce usunięte |
Umowa z wykonawcą | Bez czasu reakcji na luki | Z obowiązkiem śledzenia i terminem instalacji |
Pewność co do wersji | Spór producent kontra bazy | Wersja powyżej obu granic |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). SSVC CISA z 21 października 2025: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, VulnCheck) |
PoC dostępny publicznie? | Opis techniki opublikowany: watchTowr udostępnił analizę i repozytorium na GitHub (NVD odsyła do obu) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zespół watchTowr |
Prognoza EPSS | 0,7% w dniu wpisu do KEV; ponad 92% w sierpniu 2026, jedna z najwyższych wartości tego wskaźnika (wg analizy źródłowej) |
Spór o wersję 13.0.178 wynika z dwóch sposobów zapisu: producent podaje pierwszą wersję z poprawką, bazy podają ostatnią wersję z błędem. Przy rozbieżności obowiązuje wariant ostrożniejszy.
Sygnały zagrożenia dla CVE-2025-2747
CVSS 3.1 (VulnCheck) 9.8/10 ████████████████████ KRYTYCZNA
EPSS październik 2025 0.7% ░░░░░░░░░░░░░░░░░░░░
EPSS sierpień 2026 ~92% ██████████████████░░ BARDZO WYSOKA
Opis techniki publiczny TAK ████████████████████ watchTowr
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-01 Poprawka na pierwszą lukę w stagingu (CVE-2025-2746)
2025-03-06 Kentico wydaje poprawkę CVE-2025-2747 (wersja 13.0.178)
2025-03-24 Publikacja CVE-2025-2747 w NVD
2025-10-20 CISA dodaje CVE-2025-2747 i CVE-2025-2746 do katalogu KEV
2025-10-21 CISA ocenia wykorzystanie jako aktywne i automatyzowalne
2025-11-10 Termin naprawy wg CISA dla agencji federalnych
2026-08 EPSS powyżej 92%
2026-09-17: TUTAJ JESTEŚMY Poprawki producenta: devnet.kentico.com/download/hotfixes . Opis techniki: analiza watchTowr . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-2747 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy strona lub sklep działa na Kentico Xperience 13 | CTO | DZISIAJ |
2 | Uzyskać od wykonawcy pisemnie numer wersji i informację, czy używamy stagingu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową blokadę SyncServer.asmx, nawet kosztem wstrzymania publikacji | CTO | DZISIAJ |
4 | Zlecić aktualizację i przegląd kont oraz danych płatności na stronie | CTO | DO JUTRA |
5 | Sprawdzić wyciągi pod kątem brakujących wpłat klientów, które mogły trafić na obcy rachunek | CFO | DO JUTRA |
6 | Przejrzeć umowę z wykonawcą strony pod kątem czasu reakcji na luki bezpieczeństwa | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja Kentico Xperience na naszej stronie? | [wersja] | 🔴 |
2 | Czy adres kończący się na SyncServer.asmx jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy używamy stagingu i jaki typ hasła jest skonfigurowany? | TAK / NIE, [typ] | 🔴 |
4 | Czy zainstalowano poprawki na obie luki: CVE-2025-2746 i CVE-2025-2747? | TAK / NIE, data: [data] | 🟠 |
5 | Czy wykonano ręczne kroki po instalacji poprawki? | TAK / NIE | 🟠 |
6 | Czy w systemie są konta administratorów, których nikt nie rozpoznaje? | TAK / NIE | 🟠 |
7 | Czy dane do płatności i kontaktowe na stronie są zgodne ze stanem sprzed marca 2025 roku lub zatwierdzonymi zmianami? | TAK / NIE | 🟡 |
CVE-2025-2747 pozwala bez hasła obejść logowanie w usłudze staging Kentico Xperience 13 i przejąć kontrolę nad obiektami administracyjnymi strony. CISA potwierdza wykorzystanie, atak da się zautomatyzować, a wskaźnik EPSS przekracza 90%. Zadanie na dziś to zablokować SyncServer.asmx i zlecić aktualizację do wersji nowszej niż 13.0.178, a potem sprawdzić konta i dane płatności.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.