Luka w wyszukiwarce XWiki pozwala każdemu gościowi bez logowania wykonać kod na serwerze firmowej wiki. CISA potwierdza ataki. Sprawdź wersję testem producenta, zaktualizuj do 15.10.11 lub 16.4.1 albo wprowadź obejście.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą wewnętrzną bazę wiedzy, instrukcje lub dokumentację na platformie XWiki. Werdykt: jeśli XWiki ma wersję starszą niż 15.10.11 (linia 15) lub 16.4.1 (linia 16), zaktualizuj ją lub wprowadź obejście dziś, bo każdy gość bez konta może przez wyszukiwarkę uruchomić kod na serwerze, a CISA potwierdza ataki.
Amerykańska agencja CISA 30 października 2025 roku dopisała podatność CVE-2025-24893 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w wyszukiwarce XWiki Platform (SolrSearch). Niezalogowany gość może wysłać zapytanie, w którym zamiast szukanej frazy umieszcza polecenia, a serwer je wykonuje.
Poprawkę i opis luki opublikowano 20 lutego 2025 roku, a do katalogu CISA trafiła ponad osiem miesięcy później. Termin naprawy wyznaczony agencjom federalnym minął 20 listopada 2025 roku. To przykład, że długa cisza po publikacji luki nie oznacza braku zagrożenia.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24893 (GitHub: GHSA-rr6p-3pfg-562j; baza europejska: EUVD-2025-4562) |
Data dodania do CISA KEV | 2025-10-30 |
Termin naprawy wg CISA | 2025-11-20 |
Produkt | XWiki Platform (instalacje XWiki z wyszukiwarką Solr) |
Wersje zagrożone | Od 5.3-milestone-2 do wersji niższych niż 15.10.11 oraz od 16.0.0-rc-1 do wersji niższych niż 16.4.1 |
Wersje bezpieczne | 15.10.11, 16.4.1 i 16.5.0RC1 oraz nowsze. Najnowszą wersję podaje producent na stronie projektu |
Typ podatności | Zdalne wykonanie kodu przez wstrzyknięcie do dynamicznie wykonywanego kodu; CWE-95 (CISA, zgłaszający), NVD klasyfikuje jako niepoprawną kontrolę generowania kodu |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA); GitHub (zgłaszający): 9.8 (CVSS 3.1). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie firmową bibliotekę, w której bibliotekarz przyjmuje od każdego odwiedzającego karteczkę z tytułem do wyszukania. Zamiast tytułu ktoś pisze na karteczce: „otwórz archiwum, wyjmij wszystkie teczki i zostaw tylne drzwi otwarte”. Bibliotekarz nie odróżnia tytułu od polecenia i wykonuje wszystko, co jest na karteczce. Odwiedzający nie musiał mieć karty czytelnika.
Tak działała wyszukiwarka XWiki. Przy prośbie o wyniki w formie kanału RSS tekst wpisany w pole wyszukiwania mógł zostać potraktowany jako fragment programu do wykonania. Skutek dotyczy całej instalacji: poufności (odczyt treści), integralności (podmiana instrukcji i procedur) i dostępności (zatrzymanie wiki). Najgroźniejsza jest podmiana treści, bo zauważa się ją dopiero wtedy, gdy ktoś postąpi według zmienionej procedury.
💡 XWiki to oprogramowanie do prowadzenia firmowej bazy wiedzy (wiki). Solr to wyszukiwarka używana przez XWiki. Kanał RSS to format, w którym strona zwraca listę wyników do automatycznego odczytu. Wstrzyknięcie kodu to przemycenie poleceń w danych, które program potem wykonuje. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Gość bez konta wpisuje zapytanie w wyszukiwarkę | Dostaje listę wyników | Może uruchomić własny kod na serwerze |
Instrukcje i procedury w wiki | Zmieniają je uprawnieni pracownicy | Mogą zostać po cichu podmienione |
Wiki dostępna z internetu dla handlowców w trasie | Wygoda | Każdy z internetu może spróbować ataku |
Serwer, na którym działa wiki | Służy firmie | Może pracować dla napastnika |
Sprawdzenie, czy jesteśmy podatni | Porównywanie wersji | Jednoznaczny test opisany w biuletynie, wynik w minutę |
źródło: Pexels, Ayşe İpekPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Ocena CISA mówi o aktywnym wykorzystaniu, ataku w pełni automatyzowalnym i całkowitym skutku technicznym, a sam biuletyn zawiera gotowe zapytanie testowe, więc przygotowanie ataku jest bardzo proste.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie instalacji XWiki dostępnych z internetu | Lista potencjalnych celów |
2. Test podatności | T+1 min | Wysłanie zapytania testowego do wyszukiwarki i sprawdzenie odpowiedzi | Potwierdzony cel |
3. Wykonanie kodu | T+2 do 10 min | Zapytanie z poleceniami uruchamiającymi program na serwerze | Kontrola nad serwerem wiki |
4. Utrwalenie i instalacja narzędzi | T+10 min do kilku godzin | Pobranie własnych programów, np. do ukrytego wykorzystania mocy serwera lub stałego dostępu | Serwer pracuje dla napastnika |
5. Kradzież lub podmiana treści | T+godziny do dni | Kopiowanie dokumentacji, haseł i danych kontaktowych, zmiany w procedurach | Wyciek i niewiarygodne instrukcje |
6. Dalszy atak | T+dni do tygodni | Wykorzystanie serwera i zdobytych danych do wejścia do innych systemów | Szerszy incydent w firmie |
Wewnętrzna wiki to system, który w małej firmie uruchamia się raz, a potem żyje własnym życiem: nie ma abonamentu, nie wysyła faktur i nikt nie pamięta o jej aktualizacjach. Tymczasem zawiera procedury, dane kontaktowe, a często także hasła i opisy konfiguracji innych systemów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedostępna baza wiedzy, zmienione procedury, odtwarzanie serwera | Godziny do dni | 10 tys. do 150 tys. PLN (przestój, odbudowa, weryfikacja treści) |
Bezpieczeństwo danych | Wyciek dokumentacji, danych klientów i dostawców, haseł zapisanych w treści | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Błędy wynikające z podmienionych instrukcji, koszty specjalistów, możliwe dalsze ataki | Dni do tygodni | 20 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli wiki zawierała ich dane lub materiały | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla XWiki bez poprawki
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE (wiki dostępna z internetu)
3 | . . □ . . ← ŚREDNIE (wiki tylko w sieci firmowej)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wiki dostępna z internetu ma ryzyko krytyczne (atak gościa bez konta, automatyzowalny, z gotowym testem); wpływ oceniamy jako wysoki, a nie maksymalny, bo dotyczy jednego serwera, choć może otworzyć drogę dalej; wiki dostępna tylko z sieci firmowej jest znacznie mniej narażona.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma instalację XWiki (także testową lub zapomnianą) i jaka jest jej wersja | Dziś | Administrator / partner IT |
2 | 🔴 NATYCHMIAST | Wykonać test z biuletynu producenta i sprawdzić, czy instalacja jest podatna | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Jeśli jest podatna: zaktualizować do 15.10.11, 16.4.1 lub nowszej, a gdy to niemożliwe od ręki, wprowadzić obejście producenta | Dziś | Administrator |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych procesów, plików i kont oraz przejrzeć logi zapytań do wyszukiwarki od lutego 2025 roku | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zweryfikować kluczowe procedury w wiki (dane kontaktowe, rachunki, instrukcje) pod kątem nieautoryzowanych zmian | Do 7 dni | Właściciele procesów |
6 | 🟡 WAŻNIE | Usunąć z wiki hasła i dane dostępowe do innych systemów | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Spisać wszystkie systemy firmy dostępne z internetu, z osobą odpowiedzialną za aktualizacje każdego | Do 30 dni | CTO |
Producent wydał poprawki w 15.10.11, 16.4.1 i 16.5.0RC1, więc docelowo trzeba je zainstalować. Dla instalacji, których nie da się zaktualizować od razu (np. z własnymi rozszerzeniami), producent opisał obejście. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Edycja | Wysoka: usuwa podatne zachowanie | Średnia: zmiana jednej linii, wymaga dostępu do serwera i ponowienia po aktualizacjach |
Odcięcie wiki od internetu (dostęp tylko z sieci firmowej lub przez VPN) | Wysoka wobec ataków z internetu | Łatwa do średniej |
Blokada na zaporze aplikacyjnej zapytań do wyszukiwarki z parametrem kanału RSS | Średnia: napastnik może szukać innych wariantów | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja XWiki | Poniżej 15.10.11 lub 16.4.1 | 15.10.11, 16.4.1 lub nowsza, albo obejście producenta |
Wynik testu z biuletynu | Pozytywny | Negatywny |
Dostęp do wiki | Z całego internetu | Tylko z sieci firmowej lub przez VPN |
Wiarygodność procedur | Niepewna | Kluczowe treści zweryfikowane |
Zgodność z terminem CISA | Zaległość od 20 listopada 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak w pełni automatyzowalny, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i wg GitHub (CVSS 3.1) |
PoC dostępny publicznie? | TAK: biuletyn i wpis w NVD zawierają gotowe zapytanie testowe wykonujące kod |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 0,9986, praktycznie szczyt skali (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-24893
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~99,9% ████████████████████ MAKSYMALNA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny test TAK ████████████████████ w biuletynie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-02-20 Publikacja CVE i biuletynu GHSA-rr6p-3pfg-562j
(poprawki 15.10.11, 16.4.1, 16.5.0RC1)
2025-05-07 Własna analiza NVD, ocena 9.8
... ponad 8 miesięcy bez wpisu w katalogu CISA
2025-10-30 CISA dodaje lukę do katalogu KEV
2025-11-20 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami, testem i obejściem: github.com/xwiki/xwiki-platform: GHSA-rr6p-3pfg-562j . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24893 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma jakąkolwiek instalację XWiki, także testową | CTO | DZISIAJ |
2 | Uzyskać wynik testu z biuletynu producenta: podatna lub niepodatna | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację lub obejście, jeśli test jest pozytywny | CTO | DZISIAJ |
4 | Zdecydować, czy wiki musi być dostępna z internetu | CTO | DO JUTRA |
5 | Zlecić przegląd serwera i weryfikację kluczowych procedur | CTO | DO JUTRA |
6 | Zarezerwować budżet na aktualizację rozszerzeń, jeśli blokują przejście na nową wersję | CFO | DO JUTRA |
7 | Zlecić spis wszystkich systemów dostępnych z internetu wraz z osobami odpowiedzialnymi | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy instalację XWiki i w jakiej wersji? | [wersja] | 🔴 |
2 | Czy test z biuletynu producenta dał wynik pozytywny? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano poprawkę lub wprowadzono obejście? | [data] | 🔴 |
4 | Czy wiki jest dostępna z internetu? | TAK / NIE | 🔴 |
5 | Czy przegląd serwera wykazał nieznane procesy, pliki lub konta? | TAK / NIE | 🟠 |
6 | Czy w treści wiki są hasła lub dane dostępowe do innych systemów? | TAK / NIE | 🟠 |
7 | Czy mamy spis systemów dostępnych z internetu z osobą odpowiedzialną za każdy? | TAK / NIE | 🟡 |
CVE-2025-24893 pozwala każdemu gościowi bez konta uruchomić kod na serwerze XWiki przez zapytanie do wyszukiwarki. CISA potwierdza ataki, a biuletyn zawiera gotowy test, więc sprawdzenie instalacji i aktualizacja do 15.10.11, 16.4.1 lub nowszej (albo obejście producenta) to zadanie na dziś, a przegląd serwera i treści procedur na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.