Serwer wymiany plików CrushFTP w starszych wersjach wpuszczał każdego z internetu na konto administratora bez hasła. CISA potwierdza ataki, także ransomware. Zaktualizuj serwer do najnowszej wersji i sprawdź konta.
Ten alert jest dla zarządu, CTO i CFO firm, które wymieniają pliki z klientami, podwykonawcami lub urzędami przez własny serwer CrushFTP. Werdykt: jeśli serwer działa w wersji 10 starszej niż 10.8.4 albo 11 starszej niż 11.3.1, zaktualizuj go dziś do najnowszego wydania i sprawdź listę kont, bo luka pozwala wejść na konto administratora bez hasła i jest używana w atakach ransomware.
Amerykańska agencja CISA 7 kwietnia 2025 roku dopisała podatność CVE-2025-31161 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy CrushFTP, serwera do wymiany plików, który firmy stawiają u siebie i udostępniają w internecie kontrahentom. Wada w mechanizmie potwierdzania tożsamości pozwalała zalogować się na dowolne konto o znanej lub łatwej do odgadnięcia nazwie, w tym na domyślne konto administratora, bez znajomości hasła.
Producent wydał poprawione wersje 21 marca 2025 roku. Według NVD luka była wykorzystywana w marcu i kwietniu 2025 roku. CISA oznaczyła ją jako używaną w kampaniach ransomware, a termin naprawy dla agencji federalnych minął 28 kwietnia 2025 roku, czyli prawie półtora roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-31161 |
Data dodania do CISA KEV | 2025-04-07 |
Termin naprawy wg CISA | 2025-04-28 (21 dni od wpisu) |
Produkt | CrushFTP, serwer wymiany plików (obsługa połączeń HTTP i HTTPS) |
Wersje zagrożone | CrushFTP 10 od 10.0.0 do wersji starszych niż 10.8.4 oraz CrushFTP 11 od 11.0.0 do wersji starszych niż 11.3.1. Wyjątek wg producenta: luka nie działa, gdy przed serwerem stoi instancja pośrednicząca CrushFTP w strefie DMZ |
Wersje bezpieczne | Pierwsze z poprawką: 10.8.4 i 11.3.1 (21 marca 2025 roku). Zalecane: najnowsze dostępne wydanie, bo w lipcu 2025 roku ujawniono kolejną wykorzystywaną lukę CVE-2025-54309, poprawioną dopiero w 10.8.5 i 11.3.4_23 |
Typ podatności | Obejście uwierzytelniania prowadzące do przejęcia konta administratora; CWE-305 (obejście uwierzytelnienia przez słabość podstawową) wg CISA i organizacji rejestrującej |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1) wg NVD i organizacji rejestrującej (MITRE). Atak przez sieć, niska złożoność, bez konta i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie kołowrót w biurowcu, który najpierw sprawdza, czy nazwisko jest na liście pracowników, i od razu się otwiera. Dopiero potem prosi o kartę, a przy jej braku powinien wszystko zamknąć. Jeśli ktoś potrafi sprawić, że kołowrót zawiesi się dokładnie po otwarciu, wchodzi do środka, znając tylko nazwisko z listy.
Tak działała ta luka. Serwer uznawał sesję za zalogowaną, zanim zakończył sprawdzanie hasła, a napastnik umiał przerwać to sprawdzanie w odpowiednim momencie. Ponieważ konto administratora w tym produkcie domyślnie nosi zawsze tę samą nazwę, nie trzeba było niczego zgadywać. Administrator serwera plików widzi wszystkie konta, wszystkie katalogi i wszystkie zadania automatyczne.
💡 Obejście uwierzytelniania oznacza wejście do systemu bez prawidłowego hasła. Serwer wymiany plików (tu CrushFTP) to program, przez który firma wysyła i odbiera duże pliki od osób z zewnątrz, dlatego musi być widoczny z internetu. DMZ to wydzielona strefa sieci między internetem a właściwymi serwerami firmy. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kontrahent wysyła plik | Loguje się na swoje konto i widzi tylko swój folder | Tak samo, nic nie zauważa |
Obca osoba próbuje wejść na konto administratora | Zostaje odrzucona bez hasła | Wchodzi bez hasła, znając tylko nazwę konta |
Dostęp do plików innych klientów | Tylko dla uprawnionych kont | Pełny wgląd we wszystkie katalogi |
Zakładanie nowych kont | Tylko administrator firmy | Napastnik zakłada własne konto, które przetrwa aktualizację |
Logi nieudanych logowań | Pokazują próby zgadywania haseł | Nie ma nieudanych prób, bo logowanie „się udało” |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery CrushFTP są z założenia dostępne z internetu, atak nie wymaga konta ani udziału pracownika, a CISA ocenia go jako możliwy do pełnej automatyzacji. Oznacza to masowe skanowanie, a nie ręczną pracę na wybranych celach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie serwerów CrushFTP i ustalanie wersji | Lista podatnych serwerów |
2. Wejście | T+kilka minut | Zalogowanie się na konto administratora bez hasła | Pełna kontrola nad serwerem plików |
3. Utrwalenie | T+kilkanaście minut | Założenie własnych kont i zadań automatycznych | Droga powrotu, która działa nawet po aktualizacji |
4. Kradzież danych | T+1 godz. do kilku dni | Pobranie dokumentów firmy i kontrahentów zgromadzonych na serwerze | Dane poza organizacją |
5. Dalszy ruch | T+1 do 14 dni | Wykorzystanie danych z serwera (hasła, konfiguracje) do wejścia głębiej w sieć | Dostęp do innych systemów firmy |
6. Szantaż | T+dni do tygodni | Szyfrowanie danych (ransomware) i żądanie okupu, często z groźbą publikacji | Przestój i żądanie zapłaty |
Serwer wymiany plików to miejsce, w którym z definicji leżą dokumenty przeznaczone dla osób z zewnątrz: umowy, faktury, projekty, dane osobowe. Luka daje do nich dostęp każdemu z internetu, bez hasła i bez śladu nieudanego logowania. Straty nie kończą się na własnych danych, bo na serwerze leżą też pliki kontrahentów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączony serwer plików, wstrzymana wymiana dokumentów z klientami, odtwarzanie systemów | Godziny do dni od wejścia | 30 tys. do 250 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek dokumentów firmy i kontrahentów, w tym danych osobowych | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zlecenia, koszty zewnętrznych specjalistów | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, którzy powierzyli firmie swoje pliki; pytania od partnerów i ubezpieczyciela | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); możliwe roszczenia kontrahentów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z CrushFTP bez poprawki
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom na obu osiach, bo atak nie wymaga konta ani udziału pracownika, daje się zautomatyzować, daje pełną kontrolę nad serwerem i jest potwierdzony w kampaniach ransomware; niższe ryzyko mają tylko instalacje z instancją pośredniczącą w DMZ.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma (lub partner IT) używa CrushFTP, w jakiej wersji i czy serwer jest dostępny z internetu | Dziś | Administrator / partner IT |
2 | 🔴 NATYCHMIAST | Zaktualizować CrushFTP do najnowszego wydania z gałęzi 10 lub 11 (co najmniej 10.8.5 lub 11.3.4_23, które zamykają też lipcową lukę) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś nie jest możliwa: odciąć serwer od internetu albo ograniczyć dostęp do znanych adresów kontrahentów | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć listę kont, uprawnień i zadań automatycznych pod kątem pozycji, których nikt świadomie nie zakładał | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera od marca 2025 roku pod kątem logowań administratora z nieznanych adresów | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła administratora i kont technicznych, a jeśli były ślady włamania, także hasła i klucze zapisane w konfiguracji serwera | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Rozważyć instancję pośredniczącą w DMZ, tak aby właściwy serwer z plikami nie stał wprost w internecie | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Wprowadzić stały przegląd wersji i biuletynów producenta (co najmniej raz w miesiącu) | Do 30 dni | CTO |
Producent wydał poprawki dla obu gałęzi, więc aktualizacja jest właściwym rozwiązaniem, a poniższe miary to wyłącznie rozwiązania przejściowe. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie serwera od internetu do czasu aktualizacji | Wysoka: usuwa możliwość ataku z zewnątrz | Łatwa, ale wstrzymuje wymianę plików z kontrahentami |
Instancja pośrednicząca CrushFTP w DMZ (wg producenta luka wtedy nie działa) | Wysoka dla tej luki, nie zastępuje aktualizacji | Trudna: wymaga dodatkowej maszyny i zmiany architektury |
Ograniczenie dostępu do serwera do listy znanych adresów IP | Średnia: zawęża grono napastników, nie usuwa luki | Średnia: trzeba zebrać adresy kontrahentów |
Codzienny przegląd logowań administratora i listy kont | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Konto administratora | Dostępne bez hasła dla każdego z internetu | Chronione hasłem, dostęp ograniczony |
Pliki klientów | Do pobrania przez napastnika | Dostępne tylko dla uprawnionych kont |
Konta na serwerze | Nieznane, możliwe konta napastnika | Przejrzane i potwierdzone |
Wiedza o incydencie | Brak, bo nie ma śladu nieudanych logowań | Przejrzane logi od marca 2025 roku |
Zgodność z wymogami | Zaległość wobec terminu CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) sprzed prawie 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD opisuje wykorzystanie w marcu i kwietniu 2025 roku; CISA ocenia atak jako możliwy do pełnej automatyzacji, ze skutkiem całkowitym |
Grupy przestępcze | Źródła tego alertu nie wskazują nazw grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1) wg NVD i organizacji rejestrującej |
PoC dostępny publicznie? | TAK, w internecie są publiczne analizy techniczne sposobu wykorzystania, podlinkowane w NVD |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 99,9% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Podobne luki w tym produkcie | CVE-2024-4040 (KEV od 2024-04-24) i CVE-2025-54309 (KEV od 2025-07-22), obie wykorzystywane w atakach |
Serwer CrushFTP był w ostatnich latach wielokrotnie celem ataków. Dla zarządu oznacza to, że jednorazowa aktualizacja nie wystarczy: ten system potrzebuje stałego nadzoru.
Sygnały zagrożenia dla CVE-2025-31161
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~99,9% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie 2025-03-21 Producent wydaje poprawione wersje 10.8.4 i 11.3.1
2025-03/04 Wykorzystanie luki w atakach (wg NVD)
2025-04-01 Holenderski zespół reagowania wydaje ostrzeżenie (wg analizy źródłowej)
2025-04-03 Publikacja CVE-2025-31161
2025-04-07 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-04-28 Termin naprawy wg CISA dla agencji federalnych
2025-07-18 Producent ujawnia kolejną lukę CVE-2025-54309 (poprawka 10.8.5, 11.3.4_23)
2025-07-22 CISA dodaje CVE-2025-54309 do katalogu KEV
... prawie 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalna strona producenta z wersjami i informacjami o lukach: crushftp.com/crush11wiki/Wiki.jsp?page=Update . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-31161 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT utrzymuje serwer CrushFTP | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i dostępności serwera z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub czasowe odcięcie serwera od internetu | CTO | DZISIAJ |
4 | Powiadomić kluczowych kontrahentów o ewentualnej przerwie w wymianie plików | CTO | DO JUTRA |
5 | Zlecić przegląd kont, zadań automatycznych i logów od marca 2025 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów i nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy CrushFTP (u siebie lub u partnera IT) i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
2 | Czy serwer jest dostępny z internetu bez ograniczeń adresów? | TAK / NIE | 🔴 |
3 | Kiedy serwer został zaktualizowany do wersji 10.8.4 lub 11.3.1, a kiedy do najnowszej? | [data], [wersja] | 🔴 |
4 | Czy przed serwerem działa instancja pośrednicząca w DMZ? | TAK / NIE | 🟠 |
5 | Czy lista kont i zadań automatycznych została przejrzana po aktualizacji? | TAK / NIE, [data] | 🟠 |
6 | Czy mamy logi serwera od marca 2025 roku i czy ktoś je przejrzał? | TAK / NIE, [data] | 🟠 |
7 | Jakie dokumenty i czyje dane osobowe leżą na serwerze oraz jak długo są przechowywane? | [opis], [okres] | 🟡 |
CVE-2025-31161 pozwala każdemu z internetu wejść bez hasła na konto administratora serwera CrushFTP w wersjach starszych niż 10.8.4 i 11.3.1. CISA potwierdza ataki, także ransomware, a producent w lipcu 2025 roku zamknął kolejną podobną lukę, więc aktualizacja do najnowszego wydania to zadanie na dziś, a przegląd kont i logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.