Błąd w bibliotece obrazów telefonów Samsung Galaxy pozwalał spreparowanym zdjęciem z komunikatora zainstalować szpiega LANDFALL. CISA potwierdza ataki. Sprawdź datę poprawek i zaktualizuj telefony.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy, a zwłaszcza kadra zarządzająca, używają telefonów Samsung Galaxy do poczty, bankowości i rozmów z klientami. Werdykt: jeśli telefon ma poprawki bezpieczeństwa starsze niż z kwietnia 2025 roku, zaktualizuj go dziś albo wymień, jeśli nie dostaje już aktualizacji, bo spreparowane zdjęcie z komunikatora instalowało na nim oprogramowanie szpiegujące.
Amerykańska agencja CISA 10 listopada 2025 roku dopisała CVE-2025-21042 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w bibliotece libimagecodec.quram.so, która w telefonach Samsunga rozkodowuje obrazy. Spreparowany plik zdjęcia pozwala napastnikowi uruchomić na telefonie własny kod.
Badacze Unit 42 (Palo Alto Networks) opisali 7 listopada 2025 roku oprogramowanie szpiegujące klasy komercyjnej LANDFALL, dostarczane tą drogą w plikach DNG, najpewniej przez WhatsApp. W samym komunikatorze błędu nie znaleziono: był tylko listonoszem. Samsung wydał poprawkę w kwietniu 2025 roku. Termin naprawy wg CISA minął 1 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-21042 |
Data dodania do CISA KEV | 2025-11-10 |
Termin naprawy wg CISA | 2025-12-01 |
Produkt | Samsung Mobile Devices, biblioteka |
Wersje zagrożone | Telefony Samsung z Androidem 13, 14 i 15 z pakietem bezpieczeństwa sprzed SMR Apr-2025 Release 1. W kodzie szpiega wskazano jako cele m.in. Galaxy S22, S23, S24, Z Fold4 i Z Flip4 |
Wersje bezpieczne | Pakiet bezpieczeństwa SMR Apr-2025 Release 1 (kwiecień 2025) i każdy nowszy. W telefonie: Ustawienia, Informacje o telefonie, Informacje o oprogramowaniu, data poprawki zabezpieczeń Androida |
Typ podatności | Zapis poza granicami bufora prowadzący do zdalnego wykonania kodu; CWE-787 |
Ocena CVSS | Samsung: 8.8 WYSOKA (CVSS 3.1, wymaga działania użytkownika). NVD: 9.8 KRYTYCZNA (CVSS 3.1, bez działania użytkownika). Atak przez sieć, bez uprawnień |
Wyobraź sobie sekretariat, w którym każdą przychodzącą przesyłkę automatycznie otwiera się i rozkłada na biurku, żeby szef od razu zobaczył zawartość. Nikt nie pyta szefa o zgodę, bo tak jest szybciej. Wystarczy, że ktoś przyśle kopertę, która przy otwieraniu uruchamia ukryty podsłuch, i podsłuch zaczyna działać, zanim ktokolwiek zdecydował, czy chce tę przesyłkę czytać.
Tak działa ta luka. Telefon, żeby pokazać miniaturę zdjęcia przychodzącego na komunikatorze, sam rozkodowuje plik. Biblioteka Samsunga miała błąd: dane z odpowiednio ułożonego pliku trafiały w miejsce pamięci przeznaczone na coś innego. Napastnicy doklejali do pliku zdjęcia archiwum z programem szpiegującym, który po uruchomieniu podnosił uprawnienia i dawał dostęp do rozmów, wiadomości i mikrofonu.
💡 DNG to format „surowych” zdjęć, obsługiwany przez telefony. Biblioteka to wspólny fragment kodu, z którego korzysta wiele aplikacji w telefonie. Oprogramowanie szpiegujące klasy komercyjnej to narzędzia sprzedawane zwykle instytucjom, a nie rozpowszechniane masowo. SMR (Security Maintenance Release) to comiesięczny pakiet poprawek bezpieczeństwa Samsunga.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Na komunikator przychodzi zdjęcie | Telefon pokazuje miniaturę | Telefon uruchamia ukryty kod napastnika |
Szkolenie „nie otwieraj plików od obcych” | Zmniejsza ryzyko | Może nie pomóc, jeśli atak działa bez kliknięcia |
Poczta, bankowość, rozmowy na telefonie | Dostępne tylko właścicielowi | Dostępne dla szpiega |
Mikrofon telefonu | Włączany świadomie | Może być używany do podsłuchu |
Telefon z comiesięcznymi poprawkami | Chroniony | Chroniony od kwietnia 2025, zanim nadano numer CVE |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie Unit 42. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. To atak celowany: napastnik musi znać numer ofiary i dostarczyć jej plik, dlatego CISA ocenia go jako nieautomatyzowalny. Badacze piszą, że łańcuch prawdopodobnie działał bez kliknięcia, ale nie stwierdzają tego stanowczo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Ustalenie numeru telefonu i modelu urządzenia wybranej osoby | Cel i dopasowany plik |
2. Dostarczenie | T+minuty | Wysłanie spreparowanego pliku DNG przez komunikator | Plik na telefonie |
3. Wykonanie kodu | T+sekundy od odebrania | Telefon rozkodowuje obraz, wypakowuje i uruchamia ukryty program | Kod napastnika działa w telefonie |
4. Utrwalenie | T+minuty | Druga część szpiega podnosi uprawnienia i zmienia zabezpieczenia Androida | Szpieg zostaje w telefonie na dłużej |
5. Podsłuch | T+godziny do miesięcy | Odczyt wiadomości, rozmów, kontaktów, dostęp do mikrofonu | Stały wgląd w komunikację ofiary |
6. Wykorzystanie | T+tygodnie | Użycie zdobytych informacji: negocjacje, dane klientów, dostęp do kont | Straty biznesowe i wyciek poufnych informacji |
Telefon z zaległymi poprawkami to inne ryzyko niż komputer z zaległymi poprawkami. Komputer zwykle czeka, aż ktoś coś kliknie. Telefon sam rozkodowuje każde przychodzące zdjęcie. Najbardziej narażony bywa telefon właściciela firmy: ma pocztę, bankowość i rozmowy z klientami, a często jest najstarszym urządzeniem w organizacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub przywrócenie telefonów, zmiana haseł do kont na nich zapisanych | Dni | 5 tys. do 40 tys. PLN (urządzenia, praca IT) |
Bezpieczeństwo danych | Wyciek korespondencji, kontaktów, danych klientów i dokumentów z telefonu | Godziny do miesięcy | 20 tys. do 150 tys. PLN (analiza urządzeń) |
Finansowy | Przejęcie kont, utrata przewagi w negocjacjach i przetargach | Tygodnie | 30 tys. do 500 tys. PLN (zależnie od skali) |
Reputacyjny | Ujawnienie poufnych rozmów z klientami i partnerami | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla typowej polskiej firmy MŚP
z telefonami Samsung bez poprawek z kwietnia 2025
Wpływ
5 | . ■ . . . ← ŚREDNIE / WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest krytyczny (podsłuch telefonu bez wiedzy właściciela), ale prawdopodobieństwo dla typowej firmy w Polsce jest niskie, bo opisana kampania była wymierzona w wybrane osoby, według badaczy głównie na Bliskim Wschodzie i w Afryce Północnej; dla zarządów firm o dużej wartości informacji znacznik przesuwa się w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić datę poprawki zabezpieczeń na telefonach Samsung zarządu i osób z dostępem do finansów | Dziś | Administrator / każdy użytkownik |
2 | 🔴 NATYCHMIAST | Zainstalować dostępne aktualizacje systemu i uruchomić telefon ponownie | Dziś | Użytkownik / administrator MDM |
3 | 🟠 PILNIE | Sprawdzić wszystkie telefony służbowe i prywatne z dostępem do poczty firmowej | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Wymienić telefony, które nie dostają już poprawek bezpieczeństwa | Do 30 dni, dla zarządu do 7 dni | CTO / CFO |
5 | 🟠 PILNIE | Włączyć automatyczne instalowanie aktualizacji systemu na telefonach | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Wdrożyć zarządzanie urządzeniami mobilnymi (MDM) z raportem daty poprawek i blokadą dostępu dla nieaktualnych telefonów | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić kwartalny przegląd daty poprawek na wszystkich telefonach | Do 30 dni | Kierownik IT |
Samsung wydał poprawkę w pakiecie z kwietnia 2025 roku i nie podaje obejścia. Jeśli telefon nie dostaje już aktualizacji, jedynym pełnym rozwiązaniem jest wymiana. Do tego czasu można ograniczyć ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana telefonu na model z bieżącymi poprawkami | Wysoka | Łatwa, ale kosztowna |
Usunięcie poczty firmowej, bankowości i komunikatorów z telefonu bez poprawek | Średnia: ogranicza skutki, nie zamyka luki | Łatwa |
Wyłączenie automatycznego pobierania multimediów w komunikatorach | Niska do średniej: może utrudnić dostarczenie, skuteczność niepotwierdzona | Łatwa |
Blokada dostępu do zasobów firmy dla telefonów z nieaktualną datą poprawek (MDM) | Wysoka dla danych firmy | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Data poprawek bezpieczeństwa | Nieznana, często sprzed roku | Sprawdzona, nie starsza niż kwiecień 2025, najlepiej bieżąca |
Telefony bez wsparcia | Nadal w użyciu z pocztą firmową | Wymienione lub odcięte od danych firmy |
Aktualizacje | Odkładane przez użytkowników | Instalowane automatycznie |
Nadzór | Brak wiedzy o stanie telefonów | Raport z MDM lub kwartalny przegląd |
Telefon zarządu | Najstarsze urządzenie w firmie | Priorytet przy wymianie i aktualizacjach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Unit 42 opisał oprogramowanie szpiegujące LANDFALL dostarczane przez tę lukę jako atak dnia zerowego |
Grupy przestępcze | Badacze nie przypisują kampanii żadnej znanej firmie ani państwu; prowadzą ją pod roboczym oznaczeniem |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (Samsung, CVSS 3.1); 9.8 KRYTYCZNA (NVD, CVSS 3.1); różnica dotyczy wymogu działania użytkownika |
PoC dostępny publicznie? | Brak publicznego PoC w przejrzanych źródłach; Unit 42 opublikował analizę próbek szpiega |
Liczba atakowanych firm | Brak publicznych informacji; możliwe cele w Iraku, Iranie, Turcji i Maroku (wg analizy próbek) |
Prognoza EPSS | 0,00215 w dniu wpisu do KEV, dziś około 0,33, powyżej 98% luk (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): nie, atak wymaga dostarczenia pliku konkretnej osobie |
Ten przypadek pokazuje, że prognoza EPSS nie zastępuje faktu wykorzystania: w dniu wpisu do katalogu CISA wynik był bliski zera.
Sygnały zagrożenia dla CVE-2025-21042
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Samsung) 8.8/10 ██████████████████░░ WYSOKA
EPSS w dniu wpisu do KEV 0,2% ░░░░░░░░░░░░░░░░░░░░ mylnie niski
EPSS dziś ~33% ███████░░░░░░░░░░░░░ percentyl > 98
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-07 Pierwsze złośliwe pliki DNG w publicznej usłudze analizy próbek
2024-09 Prywatne zgłoszenie błędu do Samsunga
2025-04 Samsung wydaje poprawkę w pakiecie SMR Apr-2025 Release 1
2025-09-12 Publikacja numeru CVE-2025-21042
2025-11-07 Unit 42 publikuje analizę szpiega LANDFALL
2025-11-10 CISA dodaje lukę do katalogu KEV
2025-12-01 Termin naprawy wg CISA dla agencji federalnych
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Samsunga z kwietnia 2025: security.samsungmobile.com, kwiecień 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-21042 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić datę poprawek na własnym telefonie i telefonach członków zarządu | CTO | DZISIAJ |
2 | Wysłać pracownikom instrukcję sprawdzenia i instalacji aktualizacji | CTO | DZISIAJ |
3 | Zlecić listę telefonów, które nie dostają już aktualizacji | CTO | DO JUTRA |
4 | Zatwierdzić budżet na wymianę telefonów bez wsparcia, zaczynając od zarządu | CFO | DO JUTRA |
5 | Ustalić zasady dostępu do poczty firmowej z telefonów prywatnych | CTO | DO JUTRA |
6 | Oszacować koszt narzędzia do zarządzania urządzeniami mobilnymi | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje incydenty na urządzeniach mobilnych | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów Samsung ma dostęp do poczty lub systemów firmy? | [liczba] | 🔴 |
2 | Jaka jest najstarsza data poprawek zabezpieczeń na tych telefonach? | [data] | 🔴 |
3 | Czy telefony zarządu mają poprawki nie starsze niż z kwietnia 2025? | TAK / NIE | 🔴 |
4 | Ile telefonów nie dostaje już aktualizacji od producenta? | [liczba] | 🟠 |
5 | Czy mamy narzędzie MDM raportujące datę poprawek? | TAK / NIE | 🟠 |
6 | Czy telefony z nieaktualnym systemem mają zablokowany dostęp do danych firmy? | TAK / NIE | 🟠 |
7 | Czy automatyczne aktualizacje systemu są włączone na telefonach służbowych? | TAK / NIE | 🟡 |
CVE-2025-21042 w bibliotece obrazów telefonów Samsung pozwalała spreparowanym zdjęciem z komunikatora zainstalować oprogramowanie szpiegujące LANDFALL. Poprawka jest dostępna od kwietnia 2025 roku, a CISA potwierdza ataki, więc sprawdzenie daty poprawek i aktualizacja telefonów, zaczynając od zarządu, to zadanie na dziś, a wymiana urządzeń bez wsparcia na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.