Błąd w module AntiCSRF platformy Sitecore do wersji 8.2 pozwala bez logowania wykonać kod na serwerze. CISA potwierdza aktywne, zautomatyzowane ataki. Sprawdź poprawkę producenta albo zablokuj katalog sitecore/shell.
Ten alert jest dla zarządu, CTO i CFO firm, których strona, sklep lub portal dla partnerów działa na platformie Sitecore w wersji starszej niż 9.0. Werdykt: jeśli masz Sitecore CMS 7.x lub Sitecore XP do 8.2, zleć dziś sprawdzenie, czy zainstalowano poprawkę producenta, a jeśli nie, zablokuj dostęp do katalogu sitecore/shell, bo luka pozwala przejąć serwer bez logowania i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 26 marca 2025 roku dopisała podatność CVE-2019-9874 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Razem z nią trafiła tam bliźniacza luka CVE-2019-9875, która wymaga zalogowania. Termin naprawy dla obu minął 16 kwietnia 2025 roku.
Błąd siedzi w module Sitecore.Security.AntiCSRF, który miał chronić przed innym rodzajem ataku. Parametr formularza __CSRFTOKEN był traktowany nie jak zwykły tekst, ale jak gotowy obiekt .NET do odtworzenia w pamięci serwera. Napastnik bez żadnego konta wysyła spreparowany obiekt, a serwer, odtwarzając go, wykonuje wpisany w niego kod. Producent opublikował biuletyn z poprawką już 1 marca 2019 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-9874 (biuletyn Sitecore SC2019-002-312864) |
Data dodania do CISA KEV | 2025-03-26 |
Termin naprawy wg CISA | 2025-04-16 (21 dni od wpisu) |
Produkt | Sitecore CMS i Sitecore Experience Platform (XP), moduł Sitecore.Security.AntiCSRF |
Wersje zagrożone | NVD: Sitecore CMS 7.0 do 7.2 oraz Sitecore XP 7.5 do 8.2. Biuletyn producenta: od Sitecore CMS 6.6.3 do Sitecore XP 8.2.7 |
Wersje bezpieczne | Sitecore XP 9.0.0 i nowsze nie są podatne. Dla starszych wersji: poprawka producenta SC Hotfix 313001-1 AntiCsrf (weryfikacja przez sumę kontrolną pliku Sitecore.Security.AntiCsrf.dll) |
Typ podatności | Deserializacja niezaufanych danych prowadząca do wykonania kodu; CWE-502 |
Ocena CVSS | 9.8 KRYTYCZNA (NVD i CISA, CVSS 3.1); 7.5 (NVD, starsza skala CVSS 2.0). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie dostawę mebla w płaskiej paczce z instrukcją składania. Monter bierze instrukcję i wykonuje każdy krok bez czytania. Jeśli instrukcja przyszła od nieznajomego, na czternastej stronie może stać: „wywierć dziurę w ścianie i wpuść autora instrukcji do środka”. Monter zrobi i to, bo nie odróżnia opisu mebla od polecenia.
Tak działa ta luka. Programy zapisują dane jako ciąg znaków, żeby je przesłać (serializacja), a potem odtwarzają je w działający obiekt (deserializacja). Moduł ochronny Sitecore odtwarzał obiekt przysłany przez kogokolwiek w parametrze formularza. Napastnik nie potrzebuje konta, nazwiska pracownika ani hasła: wystarczy mu adres serwisu. Jak ochroniarz, który zamiast porównać przepustkę z listą, wykonuje polecenie zapisane na jej odwrocie.
💡 Sitecore to platforma do prowadzenia dużych serwisów, sklepów i portali, działająca na technologii .NET. Deserializacja to odtwarzanie obiektu z zapisanego ciągu danych; przy danych od obcych może prowadzić do wykonania kodu. CSRF to atak, w którym zalogowany użytkownik nieświadomie wykonuje polecenie z obcej strony; moduł AntiCSRF miał przed nim chronić. Hotfix to doraźna poprawka producenta.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dystrybutor składa zamówienie w portalu | Formularz działa | Formularz działa |
Obcy wysyła formularz ze spreparowanym __CSRFTOKEN | Żądanie odrzucone | Serwer wykonuje kod napastnika |
Baza zamówień i warunków handlowych | Dostępna dla uprawnionych | Dostępna dla napastnika |
Faktury do pobrania na stronie | Z prawidłowym numerem konta | Numer konta może zostać podmieniony |
Wariant z logowaniem (CVE-2019-9875) | Wymaga konta | Trudniejszy do wykorzystania, ale też w KEV |
źródło: Pexels, Athena SandriniPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwisy na Sitecore są publicznie dostępne, luka nie wymaga logowania, a CISA ocenia atak jako automatyzowalny, więc można go prowadzić masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwisów na starszym Sitecore | Lista celów |
2. Wykonanie kodu | T+kilka minut | Wysłanie formularza ze spreparowanym obiektem .NET w parametrze __CSRFTOKEN | Kod napastnika działa na serwerze |
3. Utrwalenie | T+1 godz. | Pozostawienie ukrytego dostępu na serwerze WWW | Powrót możliwy w każdej chwili |
4. Kradzież danych | T+dni | Kopiowanie bazy zamówień, odbiorców, warunków handlowych | Wyciek danych bez żadnej awarii |
5. Nadużycia | T+dni do tygodni | Podmiana numerów kont na fakturach, treści strony | Wpłaty trafiają do napastnika |
6. Ruch w sieci | T+tygodnie | Przejście z serwera w głąb sieci firmy | Szersze włamanie, możliwy szantaż |
Firmowe serwisy na Sitecore często zostają bez opiekuna po zakończeniu wdrożenia. Strona działa, więc nikt nie pyta o aktualizacje. Ta luka pozwala przejąć serwer bez logowania, atak można prowadzić masowo, a pytanie „czy dane partnerów wyciekły” zadaje później prawnik, nie informatyk.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie serwisu, przerwa w zamówieniach przez portal | Dni | 30 tys. do 250 tys. PLN (praca agencji, przestój) |
Bezpieczeństwo danych | Wyciek bazy odbiorców, zamówień i warunków handlowych | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Wpłaty na podmieniony rachunek, utracone kontrakty | Tygodnie | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Partnerzy handlowi tracą zaufanie do portalu | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; bez logów „nie wiadomo” w praktyce oznacza konieczność przyjęcia, że dane mogły wyciec; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Sitecore CMS 7.x / XP ≤ 8.2 bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo luka nie wymaga logowania, pozwala wykonać kod na serwerze, jest potwierdzona przez CISA jako aktywnie i automatycznie wykorzystywana, a EPSS przekracza 80%; Sitecore XP 9.0 i nowsze albo zainstalowana poprawka przenoszą firmę poza zasięg tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Sitecore we wszystkich serwisach firmy i kto ma do nich dostęp administracyjny | Dziś | CTO / agencja |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy zainstalowano SC Hotfix 313001-1 AntiCsrf (suma kontrolna pliku Sitecore.Security.AntiCsrf.dll) | Dziś | Agencja / administrator |
3 | 🔴 NATYCHMIAST | Jeśli poprawki nie ma: zablokować dostęp do katalogu \Website\sitecore\shell regułą odmowy w IIS lub ograniczyć go do zaufanych adresów (obejście producenta) | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Zainstalować poprawkę producenta dla swojej wersji | Do 3 dni | Agencja / administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera i pliki w katalogach serwisu pod kątem śladów włamania; sprawdzić numery kont na fakturach do pobrania | Do 7 dni | Zespół bezpieczeństwa / agencja |
6 | 🟡 WAŻNIE | Zaplanować migrację na wspieraną wersję Sitecore | Do 90 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Podpisać umowę utrzymaniową z obowiązkiem instalacji poprawek bezpieczeństwa | Do 30 dni | CFO |
Producent wydał poprawkę w 2019 roku i opisał obejścia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Reguła odmowy dostępu do \Website\sitecore\shell dla wszystkich (zalecenie producenta) | Wysoka | Łatwa, ale edycja treści w Sitecore przestaje działać |
Dostęp do \Website\sitecore\shell tylko z zaufanych adresów wewnętrznych (zalecenie producenta) | Wysoka dla ataków z internetu | Średnia |
Zapora aplikacyjna filtrująca podejrzane wartości __CSRFTOKEN | Średnia: możliwe obejścia | Średnia |
Migracja na Sitecore XP 9.0 lub nowszy | Wysoka, usuwa też inne stare luki | Trudna: projekt wdrożeniowy |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Sitecore | Stara, bez wiedzy o poprawkach | Znana, z potwierdzoną poprawką lub obejściem |
Dostęp do sitecore/shell | Z całego internetu | Zablokowany lub tylko z zaufanych adresów |
Opiekun serwisu | Brak po zakończeniu wdrożenia | Umowa utrzymaniowa z obowiązkiem aktualizacji |
Wiedza o włamaniu | Brak logów, „nie wiadomo” | Przejrzane logi i pliki |
Plan na przyszłość | Brak | Harmonogram migracji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD i CISA, CVSS 3.1); 7.5 w starszej skali CVSS 2.0 |
PoC dostępny publicznie? | Szczegółowy opis techniczny opublikowała firma Synacktiv (NVD odsyła do jej raportu); brak informacji o gotowym narzędziu w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2019-9875 w tym samym module, wymaga logowania, w KEV od tego samego dnia |
Prognoza EPSS | Około 4,5% w dniu wpisu do KEV, obecnie około 84%, górne 0,3% znanych podatności (wg analizy źródłowej); wariant z logowaniem ma wskaźnik prawie sześciokrotnie niższy |
Starsza skala CVSS 2.0 ocenia ten błąd łagodniej (7.5), bo nie potrafiła wyrazić pełnego przejęcia systemu. Warto sprawdzać, w której wersji skali policzono liczby w raportach ze skanowania. Europejska baza ENISA nie przypisuje tej luce nazwy producenta, więc przy szukaniu lepiej posługiwać się numerem CVE.
Sygnały zagrożenia dla CVE-2019-9874
CVSS 3.1 (NVD/CISA) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 2.0 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS marzec 2025 ~4.5% █░░░░░░░░░░░░░░░░░░░
EPSS obecnie ~84% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone 2019-03-01 Sitecore publikuje biuletyn SC2019-002-312864 z poprawką i obejściem
2019-05-31 Publikacja CVE-2019-9874 (nadana przez MITRE)
... prawie 6 lat bez wpisu o aktywnym wykorzystaniu
2025-03-26 CISA dodaje CVE-2019-9874 i CVE-2019-9875 do katalogu KEV
2025-04-16 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z poprawką i obejściem: Sitecore KB0334035 . Biuletyn powiązanej luki: Sitecore KB0038556 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-9874 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, które serwisy firmy działają na Sitecore i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie instalacji poprawki SC Hotfix 313001-1 lub pracy na XP 9.0+ | CTO | DZISIAJ |
3 | Zatwierdzić blokadę sitecore/shell, jeśli poprawki nie ma, nawet kosztem przerwy w edycji treści | CTO | DZISIAJ |
4 | Zlecić przegląd logów i sprawdzenie numerów kont na dokumentach w portalu | CTO | DO JUTRA |
5 | Sprawdzić wpłaty od dystrybutorów pod kątem płatności, które nie dotarły | CFO | DO JUTRA |
6 | Przygotować budżet na umowę utrzymaniową lub migrację platformy | CFO | DO JUTRA |
7 | Ustalić listę osób z dostępem administracyjnym do serwisu i usunąć zbędne konta | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja Sitecore w naszych serwisach? | [wersja] | 🔴 |
2 | Czy zainstalowano SC Hotfix 313001-1 AntiCsrf i czy suma kontrolna pliku się zgadza? | TAK / NIE | 🔴 |
3 | Czy katalog sitecore/shell jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy mamy logi serwera sięgające wstecz i czy ktoś je przejrzał? | TAK / NIE, od: [data] | 🟠 |
5 | Kto ma dziś dostęp administracyjny do serwisu? | [lista] | 🟠 |
6 | Czy numery kont na dokumentach do pobrania są prawidłowe? | TAK / NIE | 🟠 |
7 | Kiedy planujemy przejście na wspieraną wersję Sitecore? | [data] | 🟡 |
CVE-2019-9874 pozwala bez logowania wykonać kod na serwerze Sitecore CMS lub XP do wersji 8.2 przez moduł, który miał chronić serwis. Poprawka i obejście istnieją od marca 2019 roku, ale CISA w 2025 roku potwierdziła aktywne, zautomatyzowane ataki. Zadanie na dziś: potwierdzić wersję i poprawkę, a w razie wątpliwości zablokować katalog sitecore/shell, potem przejrzeć logi i zaplanować migrację.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.