Błąd XSS w poczcie webowej MDaemon Email Server pozwalał przejąć skrzynkę po samym otwarciu wiadomości HTML. CISA potwierdza ataki, ESET opisał kampanię szpiegowską. Zaktualizuj serwer do 24.5.1c lub nowszej i przejrzyj reguły skrzynek.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer poczty MDaemon Email Server, a pracownicy czytają pocztę przez przeglądarkę (Webmail, dawniej WorldClient). Werdykt: jeśli serwer działa w wersji starszej niż 24.5.1c, zaktualizuj go dziś, a potem sprawdź reguły przekierowań w skrzynkach, bo luka była wykorzystywana w atakach, a do przejęcia skrzynki wystarczało otwarcie wiadomości.
Amerykańska agencja CISA 19 maja 2025 roku dopisała podatność CVE-2024-11182 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy poczty webowej serwera MDaemon Email Server.
Napastnik wysyła wiadomość w formacie HTML z kodem ukrytym w znaczniku obrazka. Gdy pracownik otworzy wiadomość w przeglądarce, kod uruchamia się w jego oknie poczty i działa z jego uprawnieniami: może czytać korespondencję, wysyłać wiadomości i wykradać dane logowania. Nie trzeba klikać w link ani otwierać załącznika.
Firma ESET, która zgłosiła błąd producentowi 1 listopada 2024 roku, opisała jego wykorzystanie jako luki dnia zerowego w kampanii szpiegowskiej Operation RoundPress. Termin naprawy wyznaczony przez CISA minął 9 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-11182 |
Data dodania do CISA KEV | 2025-05-19 |
Termin naprawy wg CISA | 2025-06-09 (21 dni od wpisu) |
Produkt | MDaemon Technologies, MDaemon Email Server, poczta webowa (Webmail) |
Wersje zagrożone | Według opisu w NVD wszystkie wersje starsze niż 24.5.1c; maszynowa część rekordu NVD podaje granicę 24.5.1, a europejska baza ENISA zakres do 24.5.0 włącznie. Warunek ataku: użytkownik otwiera spreparowaną wiadomość w poczcie webowej |
Wersje bezpieczne | Bezpiecznie przyjąć 24.5.1c lub nowszą (najwyższa z podawanych granic; ESET podaje, że poprawka weszła w 24.5.1). Producent rozwija obecnie gałąź 26.x: w komunikacie z września 2026 wskazuje wersję 26.0.4 lub nowszą |
Typ podatności | Cross-site scripting (XSS) przez wiadomość HTML; CWE-79 |
Ocena CVSS | ESET (w NVD): 5.3 (CVSS 4.0, ŚREDNIA), atak przez sieć, bez logowania, wymagany bierny udział użytkownika. NVD: 6.1 (CVSS 3.1, ŚREDNIA), wymagane działanie użytkownika, zmiana zakresu skutków. CISA w swojej analizie ocenia skutek techniczny jako całkowity |
Wyobraź sobie sekretariat, w którym listy otwiera asystentka z pełnomocnictwem do prowadzenia korespondencji szefa. Ktoś wysyła list, w którym między zdjęciami wydrukowano drobnym drukiem instrukcję: „Po przeczytaniu skopiuj całą korespondencję i odeślij na ten adres; od dziś kopię każdego listu też”. Asystentka nie odróżnia treści listu od polecenia, więc je wykonuje, a szef niczego nie zauważa.
Tak działa ten błąd. Poczta w przeglądarce wyświetla treść wiadomości jako część strony. Jeśli nie oddzieli treści od nadawcy od kodu strony, przeglądarka wykonuje obcy kod tak samo jak kod poczty. Szkolenia uczą, żeby nie klikać linków i nie otwierać załączników, ale tu wystarczyło otworzyć wiadomość zatytułowaną na przykład „korekta do faktury”.
💡 XSS (cross-site scripting) to błąd, w którym strona wstawia dane od obcej osoby tak, że przeglądarka wykonuje je jako kod. Poczta webowa to dostęp do skrzynki przez przeglądarkę, bez programu pocztowego. Luka dnia zerowego to błąd wykorzystywany, zanim producent wyda poprawkę. Sesja to stan zalogowania, który po kradzieży pozwala działać jako użytkownik bez hasła.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera wiadomość HTML | Widzi treść i obrazki | Ukryty kod uruchamia się w jego oknie poczty |
Wiadomość bez linków i załączników | Uznawana za bezpieczną | Wystarcza do ataku |
Kod w oknie poczty | Brak | Czyta wiadomości, kontakty, może wykradać dane logowania |
Dwuetapowe logowanie | Chroni przed skradzionym hasłem | ESET opisał narzędzie, które próbowało je obejść |
Kontrahent dostaje prośbę o zmianę konta | Z adresu oszusta, łatwo zauważyć | Z prawdziwego adresu, w prawdziwym wątku |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy oparty na mechanizmie luki, a nie odtworzenie konkretnego incydentu. Atak zaczyna się od zwykłej wiadomości wysłanej z internetu, bez konta w firmie, ale wymaga, by ofiara otworzyła ją w poczcie webowej. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc częściej trafia w wybrane osoby niż w przypadkowe skrzynki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 (dni przed atakiem) | Ustalenie, że firma używa MDaemon z pocztą webową, wybór adresatów, np. księgowości | Lista celów |
2. Wysyłka | T+0 min | Wiadomość HTML z kodem w znaczniku obrazka, o wiarygodnym temacie | Wiadomość w skrzynce ofiary |
3. Otwarcie | T+minuty do godzin | Pracownik otwiera wiadomość w przeglądarce | Kod działa w oknie poczty ofiary |
4. Kradzież | T+sekundy od otwarcia | Pobranie haseł, kontaktów i wiadomości, ewentualnie ustawienie cichego przekierowania | Napastnik ma dostęp do korespondencji |
5. Wykorzystanie | T+dni do tygodni | Czytanie wątków z kontrahentami, wysyłka wiadomości z prawdziwego adresu | Wyłudzenia, szpiegostwo |
6. Skutek | T+tygodnie | Przelewy na obce konta, wyciek dokumentów, dalsze włamania | Straty finansowe i wyciek danych |
Mogę Ci jakoś pomóc?
Poczta to miejsce, w którym zapadają decyzje o płatnościach i krążą umowy. Przejęta skrzynka pozwala działać w imieniu pracownika w sposób, którego kontrahent nie odróżni od prawdziwego. Ocena CVSS jest średnia, ale mierzy wpływ na przeglądarkę, a nie na to, co napastnik zyskuje w skrzynce.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada kont, reset haseł, przegląd skrzynek, praca działów finansów i zarządu spowolniona | Dni | 10 tys. do 80 tys. PLN (obsługa, przegląd skrzynek) |
Bezpieczeństwo danych | Wyciek korespondencji, umów, danych kontaktowych klientów i partnerów | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelewy na konta oszustów po podmianie numeru rachunku | Dni do tygodni | 20 tys. do 500 tys. PLN, zależnie od wartości transakcji |
Reputacyjny | Kontrahenci oszukani z adresu firmy, utrata zaufania | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z kontrahentami o przelewy | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z MDaemon starszym niż 24.5.1c
i pocztą webową używaną przez pracowników
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo przejęta skrzynka służy do wyłudzeń i kradzieży danych, a prawdopodobieństwo średnie, bo atak wymaga otwarcia wiadomości i nie jest w pełni automatyczny; firmy obsługujące sektor obronny lub administrację powinny traktować je jako wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję MDaemon Email Server i to, czy pracownicy korzystają z poczty webowej | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer co najmniej do 24.5.1c, najlepiej do aktualnego wydania producenta | Dziś | Administrator poczty / partner IT |
3 | 🟠 PILNIE | Wylogować wszystkie sesje poczty webowej i wymusić zmianę haseł | Do 2 dni | Administrator poczty |
4 | 🟠 PILNIE | Przejrzeć reguły przekierowań i filtrów we wszystkich skrzynkach, usunąć nieznane | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Sprawdzić w logach serwera wysyłki z kont pracowników poza godzinami pracy i ustawienia dwuetapowego logowania | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wprowadzić zasadę telefonicznego potwierdzania zmiany numeru konta pod znany wcześniej numer | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Zapisać się na powiadomienia producenta o krytycznych aktualizacjach | Do 30 dni | CTO |
Producent wydał poprawkę (wersja 24.5.1 według ESET, 24.5.1c według opisu w NVD), a CISA zaleca zastosować zalecenia producenta albo przestać używać produktu. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Korzystanie z programu pocztowego (np. przez IMAP lub ActiveSync) zamiast poczty webowej | Średnia do wysokiej: luka dotyczy poczty w przeglądarce | Średnia: zmiana nawyków pracowników |
Wyłączenie dostępu do poczty webowej z internetu | Średnia do wysokiej | Łatwa, ale utrudnia pracę poza biurem |
Przegląd reguł przekierowań i aktywnych sesji | Niska jako ochrona, ważna do wykrycia skutków | Łatwa |
Telefoniczne potwierdzanie zmian rachunków bankowych | Wysoka wobec wyłudzeń przelewów, nie chroni danych | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja MDaemon | Starsza niż 24.5.1c | 24.5.1c lub nowsza, najlepiej aktualna |
Otwarcie wiadomości HTML | Może uruchomić obcy kod | Treść wyświetlana bez wykonywania kodu |
Sesje i hasła | Mogły zostać przejęte | Unieważnione i zmienione |
Reguły w skrzynkach | Nieprzejrzane, możliwe ciche przekierowania | Przejrzane, nieznane usunięte |
Przelewy po zmianie rachunku | Na podstawie e-maila | Po potwierdzeniu telefonicznym |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). ESET opisał jej użycie jako luki dnia zerowego w 2024 roku |
Grupy przestępcze | ESET przypisuje kampanię Operation RoundPress, ze średnią pewnością, grupie Sednit (znanej też jako APT28 lub Fancy Bear) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.3 ŚREDNIA (CVSS 4.0, ESET); 6.1 ŚREDNIA (CVSS 3.1, NVD) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym narzędziu; ESET opublikował analizę złośliwego kodu SpyPress.MDAEMON |
Liczba atakowanych firm | Brak publicznych danych dla MDaemon; według ESET cele kampanii to głównie instytucje rządowe i firmy zbrojeniowe w Europie Wschodniej, a także rządy w Afryce, Europie i Ameryce Południowej |
Możliwości złośliwego kodu | Według ESET: kradzież danych logowania, kontaktów i wiadomości, a w wariancie dla MDaemon także obejście dwuetapowego logowania |
Prognoza EPSS | Około 17,7% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 97% znanych podatności (wg analizy źródłowej) |
Średnie oceny CVSS nie oddają realnego zagrożenia, bo mierzą wpływ na przeglądarkę, a nie na zawartość skrzynki:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-11182
CVSS 3.1 (NVD) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
CVSS 4.0 (ESET) 5.3/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~17.7% ████░░░░░░░░░░░░░░░░ wyżej niż 97% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Skutek wg CISA pełny ████████████████████ przejęcie skrzynki 2024 Kampania Operation RoundPress obejmuje MDaemon (luka dnia zerowego)
2024-11-01 ESET zgłasza błąd producentowi
2024-11-15 Publikacja CVE-2024-11182 w NVD, poprawka dostępna
2025-05-19 CISA dodaje lukę do katalogu KEV
2025-06-09 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona producenta z krytycznymi aktualizacjami: mdaemon.com/pages/downloads-critical-updates . Informacje o wydaniach: files.mdaemon.com/mdaemon/beta/RelNotes_en.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-11182 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa MDaemon i poczty webowej | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera i dacie aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i reset haseł do poczty | CTO | DZISIAJ |
4 | Zlecić przegląd reguł przekierowań i logów wysyłki | CTO | DO JUTRA |
5 | Wprowadzić obowiązek telefonicznego potwierdzania zmian rachunków kontrahentów | CFO | DO JUTRA |
6 | Sprawdzić ostatnie przelewy wykonane po zmianie numeru konta zgłoszonej e-mailem | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia zasady dotyczące wyłudzeń przelewów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszego serwera MDaemon Email Server? | [wersja] | 🔴 |
2 | Czy pracownicy korzystają z poczty webowej MDaemon? | TAK / NIE | 🔴 |
3 | Kiedy serwer został zaktualizowany do 24.5.1c lub nowszej wersji? | [data] | 🔴 |
4 | Czy po aktualizacji unieważniono sesje i zmieniono hasła? | TAK / NIE | 🟠 |
5 | Czy przejrzano reguły przekierowań we wszystkich skrzynkach? | TAK / NIE, [liczba usuniętych reguł] | 🟠 |
6 | Czy dwuetapowe logowanie jest włączone i czy nie zmieniono jego ustawień bez wiedzy użytkowników? | TAK / NIE | 🟠 |
7 | Czy poczta webowa jest dostępna z internetu i czy musi być? | TAK / NIE | 🟡 |
CVE-2024-11182 pozwalała przejąć skrzynkę w poczcie webowej MDaemon przez samo otwarcie spreparowanej wiadomości. CISA potwierdza ataki, ESET opisał wykorzystanie luki w kampanii szpiegowskiej, a termin CISA minął 9 czerwca 2025 roku, więc aktualizacja do 24.5.1c lub nowszej i przegląd reguł w skrzynkach to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.