Archiwa: SIEM - Strona 90 z 93 - Security Bez Tabu

Tag: SIEM

Europol rozbija sieć „SIM farm”: 7 zatrzymanych, 1 200 urządzeń SIM-box i 49 mln fałszywych kont

Wprowadzenie do problemu / definicja luki

Europol (przy wsparciu Eurojustu i służb z Austrii, Estonii, Finlandii oraz Łotwy) rozbił międzynarodową infrastrukturę cybercrime-as-a-service o kryptonimie SIMCARTEL, która wynajmowała przestępcom numery telefoniczne z ponad 80 krajów do rejestracji i weryfikacji kont oraz prowadzenia oszustw. Zatrzymano 7 osób, przeprowadzono 26 przeszukań, zajęto 1 200 urządzeń SIM-box i 40 000 aktywnych kart SIM, a także pięć serwerów i dwie domeny wykorzystywane do świadczenia usługi. Według organów ścigania infrastruktura pomogła utworzyć blisko 50 mln fałszywych kont.

W skrócie

  • Skala: 3 200+ udokumentowanych przypadków oszustw, straty min. ~5 mln € (gł. Austria i Łotwa).
  • Modus operandi: hurtowy wynajem numerów (SIM-farmy/SIM-boxy) do obejścia weryfikacji SMS i ukrywania tożsamości.
  • Seizury: 1 200 SIM-box, 40 000 aktywnych SIM, setki tys. dodatkowych kart, 5 serwerów, mrożenie środków i konfiskata luksusowych aut.
  • Zastosowania przestępcze: phishing/smishing, fałszywe inwestycje, „na córkę/syna” w WhatsApp, podszywanie się pod policję, sklepy-widmo, a także przestępstwa pozatelekomunikacyjne.

Kontekst / historia / powiązania

Eurojust podaje, że platforma udostępniała numery z >80 krajów i była oferowana innym grupom w modelu CaaS (Crime-as-a-Service). Działania operacyjne przeprowadzono 10 października 2025 r., a komunikaty opublikowano 17 października.
Niezależne redakcje (BleepingComputer, CyberScoop, The Record) potwierdzają aresztowania i skalę zabezpieczeń, podając zbliżone szacunki strat: ok. 4,5 mln € w Austrii i ~420 tys. € na Łotwie.

Analiza techniczna / szczegóły luki

SIM-box/SIM-farmy to zestawy bramek GSM z dziesiątkami/setkami gniazd SIM, które automatycznie rotują karty i numery. Dzięki sterowaniu API można masowo:

  • odbierać kody SMS (OTP) do rejestracji kont i resetów haseł,
  • prowadzić smishing na dużą skalę,
  • omijać mechanizmy anty-fraudowe platform (np. limity na numer/urządzenie),
  • maskować geolokalizację i tożsamość operatora.

W sprawie SIMCARTEL infrastruktura działała jak profesjonalna usługa: panel online, automatyzacja, pozyskiwanie kart z wielu rynków, a nawet „oferta” na wynajem numerów i monetyzację cudzych kart. Organy przejęły m.in. serwisy ułatwiające pozyskanie numerów jednorazowych do kodów weryfikacyjnych.

Dlaczego to działa?
Ekosystem SMS-OTP i weryfikacji numeru telefonu jest podatny na nadużycia, bo:

  • SMS nie zapewnia silnego uwierzytelnienia i jest podatny na przekierowania/SS7/małe opóźnienia dostaw,
  • wiele serwisów ufnie traktuje numer jako tożsamość (KBA/„posiadanie”),
  • reputacja numeru jest słabo współdzielona między usługami.

Praktyczne konsekwencje / ryzyko

  • Platformy online: zalew botów i kont-widm (do 49 mln), spadek skuteczności AML/KYC light, nadużycia programów promocyjnych, większe koszty moderacji i ryzyka.
  • Instytucje finansowe: phishing inwestycyjny, podszywanie się, nadużycia „SCA via SMS”.
  • Użytkownicy: ataki „na córkę/syna” w komunikatorach, wyłudzenia danych i środków.
  • Telco: wykorzystanie ich sieci do generowania ruchu A2P, ryzyko reputacyjne i regulacyjne.

Rekomendacje operacyjne / co zrobić teraz

Dla platform i fintechów

  1. Ogranicz zaufanie do SMS-OTP: przejdź na passkeys/FIDO2 jako główny MFA; SMS zostaw jako fallback z dodatkowymi kontrolami ryzyka.
  2. Weryfikacja numeru ≠ weryfikacja tożsamości: zawsze łącz z innymi sygnałami (dokument/biometria, proof-of-personhood).
  3. Inteligencja numerów: HLR/MNP lookups, kontrola klasy usługi (pre-/post-paid), sprawdzanie nowości numeru, scoring reputacji (czy numer był widziany przy wielu rejestracjach).
  4. Anti-abuse na rejestrację: device fingerprinting, velocity rules (na IP/ASN/IMEI-like), limity per metoda płatności, weryfikacje „liveness” w KYC, dynamiczne CAPTCHy.
  5. Monitoring: reguły SIEM/FRM wychwytujące anomalię OTP (dużo SMS na ten sam numer/zakres), alerty na skoki rejestracji z jednego kraju/ASN.

Dla banków i e-commerce

  • Transaction-level MFA (push z bindingiem urządzenia, podpis kryptograficzny), detekcja „social engineering session”.
  • Predefiniowane ostrzeżenia UX i bloki słów kluczowych w komunikacji (np. wzorce „nowy numer dziecka”, „pilny przelew”).

Dla operatorów telekomunikacyjnych

  • Detekcja SIM-box: korelacja IMSI/IMEI, anomalia w TADIG/CellID (duża liczba MSISDN z jednego modemu), nietypowe profile SMS-MT/MO, hurtowa rotacja kart.
  • Współpraca z LEA/CSIRT oraz sinkhole numerów/domen powiązanych z farmami.

Dla użytkowników

  • Nie traktuj SMS jako dowodu tożsamości rozmówcy. Weryfikuj „nowe numery” bliskich innym kanałem. Blokuj linki z SMS/komunikatorów kierujące do płatności/logowania.

Różnice / porównania z innymi przypadkami

W USA we wrześniu 2025 r. tajne służby rozbiły dużą SIM farmę (ponad 300 serwerów i 100 000 kart SIM) wskazując na rosnące ryzyko dla infrastruktury krytycznej. Europa i USA notują więc zbliżoną taktykę, ale inne wektory nadużyć (w UE – silny nacisk na oszustwa konsumenckie i masowe rejestracje kont).

Podsumowanie / kluczowe wnioski

  • SIM-farmy komodytyzują nadużycia oparte na SMS-OTP i deprecjonują numer telefonu jako sygnał zaufania.
  • Organizacje powinny odejść od SMS-OTP jako głównego MFA i wzmocnić kontrole anty-abuse na etapie rejestracji/kontaktu.
  • Współpraca LEA (Europol/Eurojust) z podmiotami prywatnymi i operatorami pozostaje kluczowa do demontażu infrastruktury CaaS.

Źródła / bibliografia

  1. Eurojust: „Decisive action against various online scams in Austria and Latvia: seven arrests”, 17.10.2025. (szczegóły operacji, liczby: 1 200 SIM-box, 40 000 SIM, ~50 mln kont, 26 przeszukań). (Eurojust)
  2. Europol: „Cybercrime-as-a-service takedown: 7 arrested – Operation SIMCARTEL” (komunikat prasowy: aresztowania, przejęte serwisy). (Europol)
  3. BleepingComputer: „Europol dismantles SIM box operation renting numbers for cybercrime”, 17.10.2025 (szacunki strat, przejęte domeny). (BleepingComputer)
  4. CyberScoop: „Europol dismantles cybercrime network linked to $5.8M in financial losses”, 17.10.2025 (dodatkowe liczby, kontekst USA). (CyberScoop)
  5. The Record: „European police bust network selling thousands of phone numbers to scammers”, 17.10.2025 (tło śledztwa, cytaty, materiał wideo policji). (The Record from Recorded Future)

Luki w Fuji Electric V-SFT (HMI Configurator): analiza techniczna, skutki dla OT i jak się zabezpieczyć

Wprowadzenie do problemu / definicja luki

W oprogramowaniu V-SFT (konfigurator HMI dla paneli MONITOUCH firmy Fuji Electric) ujawniono nowy pakiet podatności, które mogą prowadzić do wykonania dowolnego kodu na stacji inżynierskiej po otwarciu specjalnie spreparowanego pliku projektu. Luki dotyczą wersji 6.2.7.0 i starszych i zostały ujęte przez JPCERT/CC pod numerem JVNVU#90008453 (zestaw CVE-2025-61856 … 61864). Producent udostępnił aktualizację do V-SFT 6.2.9.0.

W skrócie

  • Wpływ: wykonanie kodu, ujawnienie informacji, awaria aplikacji (ABEND) po otwarciu złośliwego pliku V-SFT.
  • Wektor: atak wymaga interakcji użytkownika (socjotechnika / dostarczenie projektu V-SFT).
  • Zakres: dotyczy stacji inżynierskich Windows w zespołach OT (inżynierowie HMI/SCADA).
  • Łatki: aktualizacja do 6.2.9.0 (strona producenta nie nazywa wprost “security fix”, ale to wersja wskazana przez JPCERT).

Kontekst / historia / powiązania

To kolejny w tym roku pakiet luk w V-SFT. W maju 2025 JPCERT publikował JVNVU#97228144 (CVE-2025-47749 … 47760) dotyczący wersji 6.2.5.0 i starszych – również z ryzykiem RCE po otwarciu plików V7/V8. Zatem obserwujemy ciągłość problemów w parserach formatów projektu V-SFT.

Badacz Michael Heinzl opublikował własne advisories i wskazuje, że w ostatnich miesiącach załatano ponad 20 błędów w tym ekosystemie narzędziowym.

Analiza techniczna / szczegóły luki

Pakiet październikowy (JVNVU#90008453) obejmuje m.in.:

  • CVE-2025-61856 – stack-based buffer overflow w VS6ComFile!CV7BaseMap::WriteV7DataToRom.
  • CVE-2025-61857 … 61859 – out-of-bounds write w różnych ścieżkach przetwarzania obiektów/animacji.
  • CVE-2025-61860 … 61863 – out-of-bounds read w modułach pamięci/serializacji.
  • CVE-2025-61864 – use-after-free w load_link_inf.

Wszystkie ocenione na CVSS v4.0: 8.4 (High) oraz CVSS v3.1: 7.8 (High). Warunkiem skuteczności jest otwarcie spreparowanego pliku przez operatora/inżyniera; wykonanie następuje z uprawnieniami zalogowanego użytkownika.

Zakres wersji: „V-SFT v6.2.7.0 i starsze” – oficjalna nota JPCERT. Producent publikuje „Improvement information” dla 6.2.9.0, która jest wskazywana jako docelowa przez JPCERT, mimo że release notes nie nazywają zmian „security”.

Praktyczne konsekwencje / ryzyko

  • Przejęcie stacji inżynierskiej: wykonanie kodu pozwala na instalację narzędzi zdalnego dostępu, kradzież poświadczeń i pivot do sieci OT/IT.
  • Łańcuch dostaw projektów HMI: atakujący mogą podszywać się pod integratorów/partnerów i dostarczać „aktualizację” projektu.
  • Ataki bezpośrednio na środowisko produkcyjne: choć luki nie „dotykają” bezpośrednio paneli HMI, kompromitacja stacji inżynierskiej zwiększa ryzyko nieautoryzowanej zmiany logiki/ekranu HMI, a w konsekwencji wpływu na proces.
  • Niski próg socjotechniczny: wystarczy nakłonić inżyniera do otwarcia pliku.

Rekomendacje operacyjne / co zrobić teraz

  1. Zaktualizuj V-SFT do 6.2.9.0 na wszystkich stacjach inżynierskich (zgodnie ze wskazaniem JPCERT). Zweryfikuj hash/pochodzenie instalatora.
  2. Zablokuj uruchamianie projektów z nieznanych źródeł. Wprowadź whitelisting dostawców/projektów HMI.
  3. Segmentacja OT: stacje inżynierskie w osobnej strefie, dostęp z IT tylko przez jump hosty i MFA.
  4. Polityka poczty i wymiany plików: sandboxing załączników, skanowanie na bramkach, blokada makr/nietypowych rozszerzeń projektów V-SFT.
  5. Uprawnienia minimalne: użytkownicy V-SFT bez praw administratora; włącz Application Control/SRP/WDAC.
  6. Monitoring: reguły EDR/SIEM pod kątem nieoczekiwanego uruchamiania procesów potomnych przez V-SFT, kompilatorów, PowerShell/WSH.
  7. Testy IR: scenariusz „złośliwy projekt HMI” w planach ćwiczeń blue teamu.
  8. Przegląd poprzednich ostrzeżeń: jeśli wciąż działają wersje ≤6.2.5.0, zastosuj zalecenia z wcześniejszego JVNVU#97228144.

Różnice / porównania z innymi przypadkami

  • Ten sam wektor, nowe prymitywy: zarówno pakiet majowy (CVE-2025-47749…60), jak i październikowy (CVE-2025-61856…64) opierają się na błędach parsowania plików (OOB R/W, UAF, stack overflow), ale uderzają w inne komponenty DLL i ścieżki (np. CV7BaseMap, CItemDraw, WinFont*).
  • Ścieżka łatania: w październiku wskazana wersja docelowa to 6.2.9.0; w maju – aktualizacja wyższa niż 6.2.5.0. Ciągła potrzeba aktualizacji podkreśla wagę zarządzania wersjami narzędzi inżynierskich w OT.
  • Widoczność po stronie vendorów/CSIRT: SecurityWeek nagłaśnia, JPCERT formalnie koordynuje; CISA wcześniej publikowała advisories dla linii V-SFT/TELLUS, co pokazuje stałe zainteresowanie regulatorów ICS tym ekosystemem.

Podsumowanie / kluczowe wnioski

  • Najnowszy pakiet CVE dla V-SFT ≤6.2.7.0 umożliwia RCE po otwarciu pliku; ryzyko wysokie (CVSS v4.0: 8.4).
  • Aktualizacja do 6.2.9.0 jest w tej chwili kluczowym środkiem zaradczym, mimo niejednoznacznych not w „Improvement information”.
  • Organizacje powinny traktować stacje inżynierskie jak systemy o podwyższonym ryzyku: twarda segmentacja, kontrola źródeł projektów, EDR i polityki wymiany plików.

Źródła / bibliografia

  • SecurityWeek: „Fuji Electric HMI Configurator Flaws Expose Industrial Organizations to Hacking”, 16 października 2025. (SecurityWeek)
  • JPCERT/CC (JVN): JVNVU#90008453 – Multiple vulnerabilities in FUJI Electric V-SFT, 8 października 2025. (Japan Vulnerability Notes)
  • JPCERT/CC (JVN): JVNVU#97228144 – Multiple vulnerabilities in V-SFT, 14 maja 2025. (Japan Vulnerability Notes)
  • Fuji Electric / Hakko: Improvement information (V-SFT-6) – lista wersji, w tym 6.2.9.0. (Monitouch)
  • aweSEC (Michael Heinzl): lista advisories 2025 z pozycjami dotyczącymi Fuji Electric V-SFT. (awesec.com)

Microsoft unieważnia ponad 200 certyfikatów, by zablokować kampanię Rhysida — co to oznacza dla firm?

Wprowadzenie do problemu / definicja luki

Microsoft poinformował, że w początku października 2025 r. zakłócił kampanię prowadzącą do wdrożeń ransomware Rhysida, unieważniając ponad 200 certyfikatów używanych do podpisywania złośliwych plików. Kampanię przypisano grupie Vanilla Tempest (znanej także jako Vice Spider / Vice Society). Złośliwe binaria podpisywano m.in. przy użyciu Trusted Signing oraz usług podpisywania kodu dostawców SSL.com, DigiCert i GlobalSign.

W skrócie

  • Vektor wejścia: fałszywe strony podszywające się pod witrynę pobierania Microsoft Teams (np. teams-download[.]buzz, teams-install[.]run, teams-install[.]top).
  • Payload: podpisany backdoor Oyster (znany też jako Broomstick/CleanUpLoader), wykorzystywany następnie do wdrożenia Rhysida.
  • Działanie obronne: Microsoft unieważnił >200 certyfikatów, aktualizując detekcje dla fałszywych podpisów oraz narzędzi kampanii.
  • Aktor: Vanilla Tempest — finansowo motywowany, znany z ataków na edukację i ochronę zdrowia, wcześniej wykorzystywał różne rodzinny ransomware (m.in. BlackCat, Quantum Locker, Zeppelin).

Kontekst / historia / powiązania

Vanilla Tempest to nowa nazwa taksonomiczna Microsoftu dla wcześniej trackowanego DEV-0832/Vice Society, znanego z ataków oportunistycznych i eklektycznego doboru ładunków szyfrujących.
Rhysida funkcjonuje w modelu RaaS i jest regularnym celem ostrzeżeń rządowych — najnowsza, zaktualizowana w 2025 r. notyfikacja CISA opisuje TTPs i IOC tej rodziny.
Backdoor Oyster był już wcześniej dystrybuowany przez malvertising/SEO-poisoning jako trojanizowane instalatory popularnych narzędzi (PuTTY, WinSCP, a ostatnio — Teams).

Analiza techniczna / szczegóły luki

Łańcuch ataku:

  1. Pozycjonowanie i reklamy kierowały ofiary na domeny łudząco podobne do legitymnych stron Teams.
  2. Pobierany plik MSTeamsSetup.exe był loaderem, który uruchamiał podpisaną wersję backdoora Oyster.
  3. Oyster zapewnia trwały, zdalny dostęp (kradzież plików, wykonywanie poleceń, dogrywanie ładunków), ułatwiając lateral movement i wdrożenie Rhysida.

Nadużycie zaufania:
Aktor wykorzystywał Trusted Signing (krótkoterminowe certyfikaty) oraz usługi podpisywania kodu SSL.com, DigiCert, GlobalSign, aby nadać artefaktom pozory wiarygodności (SmartScreen, AV/EDR trust). Microsoft przerwał kampanię przez hurtową revokację >200 certyfikatów powiązanych z fałszywymi instalatorami i narzędziami post-exploitation.

Praktyczne konsekwencje / ryzyko

  • Podpis ≠ bezpieczeństwo: Sam fakt podpisania binarium nie gwarantuje braku złośliwości. SOC-e powinny korelować podpisy z telemetrią uruchomień, siecią i zachowaniem.
  • Ryzyko supply-chain w userlandzie: Użytkownicy częściej „googlują” instalatory niż pobierają je z portali producenta — atak świetnie skaluje się na helpdeskach i w SMB.
  • Utrzymujące się TTPs: Nawet po revokacji certyfikatów aktor może się przegrupować z nowymi certyfikatami/infrastrukturą.

Rekomendacje operacyjne / co zrobić teraz

  1. Blokady domen/URL: natychmiast dodać do denylist znane domeny kampanii (teams-download[.]buzz, teams-install[.]run, teams-install[.]top, itp.) i monitorować pokrewne typosquaty.
  2. Źródła instalatorów: enforce’ować politykę pobierania oprogramowania wyłącznie z domen producenta; rozważyć blokadę pobrań EXE/MSI z wyszukiwarek.
  3. Kontrole podpisów: w EDR/SIEM budować reguły na anomalia podpisów (wydawca ≠ oczekiwany; chain do niedawno odwołanego certyfikatu; short-lived certs).
  4. Detekcje Oyster/Rhysida: wdrożyć najnowsze IOC/TTP z biuletynów branżowych i CISA; szukać nietypowych połączeń C2 oraz artefaktów loadera.
  5. Hardening przeglądarek/DNS: izolacja przeglądarek dla pobrań, DNS sinkhole dla domen malvertisingowych, blokada reklam na poziomie sieci.
  6. Edukacja użytkowników: krótkie runbooki „Jak bezpiecznie pobierać Teams” + banery w intranecie. (Źródła kampanii dowodzą skuteczności SEO-poisoningu).
  7. IR gotowość: playbook Ryusida/Oyster: containment hostów z podejrzanym MSTeamsSetup.exe, natychmiastowa rotacja poświadczeń, review logonów interaktywnych, hunting po sygnaturach podpisu.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W przeszłości widzieliśmy kradzione lub wyłudzone certyfikaty używane do podpisywania malware. Nowością jest systemowe nadużycie usług podpisywania (w tym Trusted Signing z krótką ważnością certyfikatów), co znacząco zwiększa tempo rotacji certyfikatów po stronie aktora i utrudnia proste bloki „na wydawcę”. Dzisiejsze zdarzenie pokazuje, że hurtowa revokacja i telemetria behawioralna są skuteczniejsze niż poleganie na samym zaufaniu do łańcucha certyfikacji.

Podsumowanie / kluczowe wnioski

  • >200 odwołanych certyfikatów to zdecydowany ruch, który obniża skuteczność kampanii, ale nie eliminuje ryzyka rearmowania się przeciwnika.
  • Fałszywe instalatory Teams + Oyster → Rhysida: łańcuch ataku był wiarygodny dzięki podpisom i SEO-poisoning.
  • Organizacje powinny wzmocnić kontrolę źródeł oprogramowania, reguły detekcji podpisów i higienę przeglądarkową.

Źródła / bibliografia

  1. SecurityWeek — „Microsoft Revokes Over 200 Certificates to Disrupt Ransomware Campaign”, 16 października 2025 r. (SecurityWeek)
  2. BleepingComputer — „Microsoft disrupts ransomware attacks targeting Teams users”, 16 października 2025 r. (BleepingComputer)
  3. CISA — „#StopRansomware: Rhysida Ransomware” (zaktualizowane 30 kwietnia 2025 r.). (CISA)
  4. Microsoft Security Blog — „DEV-0832 (Vice Society)…” (mapowanie do Vanilla Tempest), 25 października 2022 r. (Microsoft)
  5. Broadcom / Symantec — „Oyster backdoor spread via malicious Teams setup”, 29 września 2025 r. (Broadcom)

F5: atak powiązany z Chinami, wycieki kodu BIG-IP i szybkie łatki. Rządy wydają alerty

Wprowadzenie do problemu / definicja luki

F5 potwierdziło poważny incydent bezpieczeństwa: zaawansowany aktor państwowy uzyskał długotrwały dostęp do środowisk deweloperskich i platformy wiedzy inżynierskiej, skąd wykradziono m.in. fragmenty kodu źródłowego BIG-IP oraz informacje o nieujawnionych jeszcze podatnościach. W reakcji F5 opublikowało pakiet poprawek bezpieczeństwa i przeprowadziło rotację kluczy/certyfikatów podpisywania oprogramowania. Agencje rządowe USA i Wielkiej Brytanii wydały pilne ostrzeżenia i wytyczne.

W skrócie

  • Atrybucja: doniesienia medialne i analiza profilu ataku wskazują na grupę powiązaną z Chinami (m.in. wątki łączone z kampanią BRICKSTORM/UNC5221).
  • Ryzyko systemowe: CISA wydała Emergency Directive 26-01, nazywając zagrożenie „imminent threat” i nakazując federalnym agencjom inwentaryzację, twardnienie i szybkie łatanie BIG-IP (m.in. do 22 października 2025 r. dla części działań).
  • Stan łańcucha dostaw: na ten moment brak dowodów na modyfikację procesu build/release czy backdoor w produktach, ale wyciek kodu i wiedzy o podatnościach może przyspieszyć rozwój ukierunkowanych exploitów.

Kontekst / historia / powiązania

F5 BIG-IP jest powszechnie wykorzystywany jako load balancer/WAF na brzegu sieci — stąd każdy incydent w ekosystemie F5 ma potencjał „efektu domina”. W ostatnich tygodniach Google Threat Intelligence i Mandiant opisały kampanię BRICKSTORM: bardzo długie utrzymywanie się w sieciach ofiar (średnio setki dni), celowanie w firmy technologiczne i SaaS oraz kradzież kodu w celu wyszukiwania 0-dayów. Wątki te są spójne z tym, co F5 przekazuje klientom po incydencie.

Analiza techniczna / szczegóły luki

  • Vuln intel: F5 w „Quarterly Security Notification (October 2025)” wydało duży pakiet łatek na dziesiątki podatności w BIG-IP i innych produktach. Znaczna część luk to DoS (często zdalne i bez uwierzytelnienia), ale są też obejścia mechanizmów bezpieczeństwa i eskalacje uprawnień wymagające logowania.
  • Artefakty ataku: napastnicy uzyskali dostęp do repozytoriów/zasobów inżynierskich, skąd pozyskali fragmenty kodu i informacje o nieopublikowanych jeszcze podatnościach. To szczególnie groźne, bo umożliwia analizę statyczną/dynamiczną pod kątem błędów logicznych i tworzenie precyzyjnych exploitów.
  • Łańcuch dostaw: F5 (we współpracy z Mandiant i CrowdStrike) nie znalazło dowodów na manipulację pipeline’em build/release ani tampering kodu NGINX czy usług chmurowych F5; CISA i NCSC jednak ostrzegają, że warstwa ryzyka pozostaje podwyższona.

Praktyczne konsekwencje / ryzyko

  • Przyspieszone exploit dev: wyciek kodu i wiedzy o lukach zwiększa prawdopodobieństwo pojawienia się ukierunkowanych RCE/priv-esc bypassów na BIG-IP.
  • Dostęp do kluczy/sekretów: według CISA potencjalne wykorzystanie dotkniętych produktów może dać atakującym dostęp do wbudowanych poświadczeń i kluczy API, lateral movement, eksfiltrację danych i trwałą persystencję.
  • Sektor publiczny i krytyczna infrastruktura: stąd pilne dyrektywy/zalecenia USA i UK.

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowe łatanie: zastosuj najnowsze aktualizacje F5 (BIG-IP i inne dotknięte produkty). W organizacjach objętych reżimem federalnym USA odnieś się do ED 26-01 (deadline’y operacyjne, m.in. 22.10.2025).
  2. Inwentaryzacja i segmentacja: sporządź pełną listę fizycznych/virtual BIG-IP, zwłaszcza z interfejsem do Internetu; egzekwuj zasadę najmniejszych uprawnień na kontach administracyjnych.
  3. Hardening i ekspozycja: ogranicz dostęp do TMUI/zarządzania (VPN/jump hosts), włącz SSH key-only, wyłącz nieużywane moduły, zweryfikuj SNAT/irule/ASM policy pod kątem misconfigów. (Dobre praktyki wynikają z wytycznych CISA/NCSC i doświadczeń z incydentami na urządzeniach brzegowych.)
  4. Rotacja sekretów: po aktualizacji zmień hasła, klucze i certyfikaty powiązane z BIG-IP (w tym MGT/API), zweryfikuj zaufanie do łańcuchów certyfikatów — F5 przeprowadziło rotację własnych kluczy podpisywania.
  5. Threat hunting pod BRICKSTORM/UNC5221: skanuj pod kątem technik długotrwałej persystencji, nietypowych jobów/cronów, artefaktów tunelowania i anomalii ruchu wychodzącego; porównaj baseline’y konfiguracji i logów z ostatnich 12+ miesięcy. (Mapowanie do kontekstu BRICKSTORM i TTPs).
  6. Monitoring i telemetria: włącz/dotwardź logowanie LTM/TMM, ASM/Adv WAF, APM; wysyłaj do SIEM, wprowadź reguły korelacyjne na anomalie cookie/session oraz błędy TMUI.

Różnice / porównania z innymi przypadkami

W odróżnieniu od klasycznych kampanii na urządzenia brzegowe (np. wyłącznie exploit znanej luki TMUI), tu wektor ryzyka wynika z kompromitacji producenta, wycieku kodu i wiedzy o nieopublikowanych lukach. To przybliża scenariusz do głośnych incydentów supply-chain (SolarWinds, 3CX), choć dotychczas nie ma dowodów na zainfekowane buildy/aktualizacje F5.

Podsumowanie / kluczowe wnioski

  • Incydent F5 ma wysoki ciężar systemowy: BIG-IP stoi na styku sieci, a wyciek kodu i informacji o lukach zwiększa presję czasową na zespoły.
  • Łataj, utwardzaj, rotuj sekrety i poluj na persystencję — wprost według ED 26-01 i wskazówek NCSC.
  • Wątek BRICKSTORM/UNC5221 wzmacnia hipotezę o długotrwałej, cichej infiltracji nakierowanej na pozyskiwanie kodu i wiedzy, co może owocować exploitami „szytymi na miarę” w najbliższych tygodniach.

Źródła / bibliografia

  1. SecurityWeek: „F5 Hack: Attack Linked to China, BIG-IP Flaws Patched, Governments Issue Alerts” (16 października 2025). (SecurityWeek)
  2. CISA – Emergency Directive 26-01: Mitigate Vulnerabilities in F5 Devices (15 października 2025). (CISA)
  3. NCSC UK – „Confirmed compromise of F5 network” (15 października 2025). (NCSC)
  4. Google Threat Intelligence – „BRICKSTORM espionage campaign” (24 września 2025). (Google Cloud)
  5. Reuters – „Breach at F5 blamed on China, Bloomberg reports” (16 października 2025). (Reuters)

Luki w konfiguratorze HMI Fuji Electric (V-SFT) narażają zakłady przemysłowe na ataki

Wprowadzenie do problemu / definicja luki

Fuji Electric udostępniło poprawki dla V-SFT – oprogramowania do tworzenia i konfiguracji interfejsów HMI serii MONITOUCH. Zidentyfikowane luki pozwalają napastnikowi doprowadzić do wycieku informacji, awarii aplikacji (ABEND) lub wykonania dowolnego kodu na stacji inżynierskiej, jeśli użytkownik otworzy złośliwy plik projektu. O podatnościach poinformował badacz Michael Heinzl; koordynację przeprowadziło JPCERT/CC.

W skrócie

  • Produkty: V-SFT (narzędzie konfiguracyjne HMI MONITOUCH).
  • Wersje podatne: do v6.2.7.0 włącznie; producent publikuje wydanie v6.2.9.0.
  • Wektor ataku: otwarcie spreparowanego pliku V-SFT (wymaga socjotechniki). Kod wykonuje się z uprawnieniami zalogowanego użytkownika.
  • Skutki: RCE/DoS/ujawnienie informacji; lokalna skala oddziaływania, ale z konsekwencjami dla całej sieci OT.

Kontekst / historia / powiązania

V-SFT nie po raz pierwszy trafia na listy ostrzeżeń. W latach 2024–2025 CISA kilkukrotnie publikowała porady bezpieczeństwa dla tego ekosystemu (V-SFT i powiązane narzędzia, m.in. Tellus Lite), wskazując na błędy prowadzące do wykonania kodu i zalecając aktualizacje oraz segmentację sieci. Nowe podatności wpisują się w ten ciąg problemów jakościowych.

Analiza techniczna / szczegóły luki

Według JVN (JPCERT/CC) bieżący pakiet obejmuje co najmniej dziewięć CVE w V-SFT ≤ 6.2.7.0, m.in.:

  • CVE-2025-61856 – stack-based buffer overflow w VS6ComFile!CV7BaseMap::WriteV7DataToRom
  • CVE-2025-61857/61858/61859 – out-of-bounds write w różnych funkcjach VS6ComFile
  • CVE-2025-61860/61861/61862/61863 – out-of-bounds read w modułach VS6MemInIF/VS6ComFile/CSaveData
  • CVE-2025-61864 – use-after-free w VS6ComFile!load_link_inf

Dla większości wpisów JVN podaje CVSS v4.0: 8.4 (lokalne/bez uprzywilejowania, interakcja użytkownika wymagana). NVD potwierdza opisy i podkreśla możliwość wykonania kodu po otwarciu specjalnie przygotowanego pliku. (jvn.jp)

Wydanie producenta V-SFT 6.2.9.0 jest dostępne na stronie „Improvement information”, choć nota wersji nie nazywa wprost poprawek bezpieczeństwa – to częsta praktyka w narzędziach OT. Zbieżność wersji i dat wskazuje, że to build łatający opisane CVE.

Praktyczne konsekwencje / ryzyko

Choć wektor jest „lokalny” (wymaga otwarcia pliku na stacji inżynierskiej), skuteczny RCE na EWS/eng. workstation daje atakującemu przyczółek w sieci OT: możliwość podmiany logiki HMI/PLC, kradzieży receptur, pivotu do segmentu IT i przerwania produkcji. Błędy w parserach projektów HMI są szczególnie groźne, bo pliki często krążą e-mailem/USB i bywają otwierane poza ścisłą kontrolą zmian. Źródła branżowe podkreślają konieczność edukacji użytkowników (socjotechnika) w parze z aktualizacjami.

Rekomendacje operacyjne / co zrobić teraz

  1. Zaktualizuj V-SFT do 6.2.9.0 lub nowszej – zgodnie z informacją producenta/JPCERT. Zweryfikuj wersję w całej organizacji (także u integratorów).
  2. Zakaz otwierania projektów z nieznanych źródeł. Wymuś obieg przez repozytorium inżynierskie z kontrolą wersji i podpisem. (Wektor: złośliwy plik projektu).
  3. Aplikacyjna kontrola uruchamiania i whitelisting na stacjach inżynierskich; blokuj procesy niebędące częścią łańcucha V-SFT. Również EDR z trybem tylko-monitoruj (zgodnie z wymaganiami dostawcy OT).
  4. Segmentacja i izolacja EWS (VLAN/zamek jednokierunkowy do IT, brak bezpośredniego Internetu), zasada najmniejszych uprawnień dla kont inżynierskich. Rekomendacje te są zbieżne z wcześniejszymi poradami CISA dla V-SFT.
  5. Kontrole detekcyjne: reguły SIEM/EDR na nietypowe uruchomienia V-SFT i odczyty plików projektu, monitorowanie tworzenia/ładowania DLL VS6*/V10*.
  6. Plan reagowania: w razie incydentu traktuj stację jako skompromitowaną, wykonaj „gold image” i przywróć projekt z zaufanego repozytorium.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Wcześniejsze porady CISA z 2024 r. dla V-SFT dotyczyły m.in. type confusion/out-of-bounds write. Obecna seria CVE rozszerza spektrum o stack overflow i use-after-free, ale wektor pozostaje ten sam: plik projektu otwierany przez operatora/inżyniera. Wnioski: nawet po „załataniu” pojedynczych funkcji parser pozostaje obszarem wysokiego ryzyka, wymagając dyscypliny w procedurach otwierania i podpisywania projektów.

Podsumowanie / kluczowe wnioski

  • Nowe CVE w V-SFT ≤ 6.2.7.0 umożliwiają RCE po otwarciu złośliwego projektu; producent udostępnił v6.2.9.0.
  • Stacje inżynierskie to krytyczny punkt bezpieczeństwa OT – jeden klik może przechylić szalę na korzyść napastnika.
  • Aktualizacja + kontrola łańcucha projektów + segmentacja EWS to minimum higieny. Porady CISA pozostają aktualne.

Źródła / bibliografia

  1. SecurityWeek: „Fuji Electric HMI Configurator Flaws Expose Industrial Organizations to Hacking” (16 października 2025). (SecurityWeek)
  2. JVN (JPCERT/CC): „Multiple vulnerabilities in FUJI Electric V-SFT” – lista CVE i metryki CVSS (8 października 2025). (jvn.jp)
  3. NVD: szczegóły wybranych CVE (np. CVE-2025-61856/61860/61859). (NVD)
  4. Fuji Electric – „Improvement information” (lista wersji V-SFT, m.in. 6.2.9.0). (Monitouch)
  5. CISA ICS Advisories dla Fuji Electric V-SFT / Tellus – tło i zalecenia dobrych praktyk ICS (2024–2025). (CISA)

Krytyczna luka w SAP NetWeaver (CVE-2025-42944): deserializacja przez RMI-P4 pozwala na przejęcie serwera bez logowania

Wprowadzenie do problemu / definicja luki

W SAP NetWeaver AS Java ujawniono krytyczną podatność CVE-2025-42944 (CVSS 10.0), klasy insecure deserialization. Atakujący bez uwierzytelnienia mogą przesłać złośliwy ładunek do modułu RMI-P4 nasłuchującego na otwartym porcie i osiągnąć wykonanie poleceń w systemie operacyjnym serwera SAP. SAP ujęło problem w październikowym Patch Day jako aktualizację noty bezpieczeństwa (pierwsza poprawka wyszła we wrześniu 2025).

W skrócie

  • Identyfikator: CVE-2025-42944
  • Skala: CVSS 10.0 (krytyczna)
  • Komponent: SAP NetWeaver AS Java, interfejs RMI-P4
  • Wymagania ataku: brak uwierzytelnienia, zasięg sieciowy
  • Skutek: zdalne wykonanie kodu / komend OS, pełne przejęcie instancji
  • Status poprawek: poprawki opublikowane, uzupełnione w Patch Day październik 2025; systemy należy zaktualizować niezwłocznie.

Kontekst / historia / powiązania

Październikowy Patch Day SAP przyniósł pakiet łatek, w tym ponowne wzmocnienie zabezpieczeń wobec deserializacji w NetWeaver AS Java (CVE-2025-42944), a także korekty innych komponentów (m.in. SAP Print Service, SAP GUI for HTML, CSRF w AS ABAP). To sugeruje, że producent domyka scenariusze obejściowe względem pierwotnej poprawki z września.

W ostatnich miesiącach ekosystem SAP zmagał się z aktywnie wykorzystywanymi podatnościami, m.in. w Visual Composer (CVE-2025-31324, CVSS 10.0), która umożliwiała nieautoryzowany upload binariów i była łączona w łańcuchy RCE przez grupy APT. To podnosi wagę szybkiego patchowania NetWeavera oraz twardych kontroli na perymetrze.

Analiza techniczna / szczegóły luki

  • Klasa błędu: insecure deserialization w stosie Java.
  • Powierzchnia ataku: RMI-P4 — protokół komunikacyjny używany przez NetWeaver AS Java. Usługa nasłuchuje na interfejsie sieciowym i przetwarza przesyłane obiekty.
  • Warunki powodzenia: atak z sieci (zewnętrznej lub wewnętrznej), brak potrzeby posiadania konta SAP; dostarczenie specjalnie spreparowanego strumienia serializacji do otwartego portu RMI-P4.
  • Efekt: zainicjowanie łańcuchów deserializacji prowadzących do wykonania kodu/komend OS w kontekście procesu serwera aplikacyjnego.
  • Łatka październikowa: rozszerza ochronę wobec scenariuszy, których nie obejmowała łatka wrześniowa (tzw. defense-in-depth i/lub domknięcie wektorów obejścia).

Uwaga: szczegółowe artefakty (np. klasy, gadżety deserializacyjne) nie są publicznie opisane w notach SAP. Organizacje powinny polegać na oficjalnych poprawkach i kontrolach kompensacyjnych, nie na „sygnaturach” konkretnych łańcuchów.

Praktyczne konsekwencje / ryzyko

  • Pełne przejęcie instancji SAP AS Java, możliwość ruchu bocznego do systemów ABAP/S4 i baz danych.
  • Eksfiltracja danych (dane finansowe, HR, łańcuch dostaw), modyfikacje transakcji i integracji B2B.
  • Ransomware / sabotaż: zatrzymanie procesów biznesowych o krytycznym znaczeniu (ERP, SRM, BW/BOBJ).
  • Ryzyko CRQ/SoD: ominięcie mechanizmów autoryzacji dzięki wykonaniu kodu poza kontrolą aplikacyjną.
    Te wnioski wynikają z klasy błędu (RCE bez uwierzytelnienia) i roli NetWeavera w krajobrazie SAP oraz obserwowanej wcześniej aktywności wobec komponentów NetWeaver (np. Visual Composer).

Rekomendacje operacyjne / co zrobić teraz

1) Patchowanie (priorytet najwyższy)

  • Zastosuj październikowe poprawki SAP dla NetWeaver AS Java odnoszące się do CVE-2025-42944 (w tym aktualizację noty z września). Zweryfikuj, że wszystkie węzły/instancje w klastrze zostały zaktualizowane.

2) Ograniczenie ekspozycji RMI-P4

  • Ogranicz dostęp do interfejsu RMI-P4 do zaufanych sieci (ACL, segmentacja, WAF/Reverse Proxy/SAP Web Dispatcher), wyłącz zbędne usługi i protokoły zdalne.

3) Twardnienie i detekcja

  • Włącz wzmożone logowanie w AS Java i centralną korelację (SIEM).
  • Monitoruj nietypowe połączenia do portu usługi RMI-P4 i wzorce deserializacji/uruchamiania powłok.
  • Stosuj reguły EDR/NDR pod kątem: uruchomień interpreterów, living-off-the-land, tunelowania RMI, subsekwentnych połączeń do C2.
  • Przegląd praw i kluczy usługowych używanych przez integracje (minimalizacja szkód przy ewentualnym włamaniu).

4) Testy regresyjne i skany zgodności

  • Po aktualizacji wykonaj testy techniczne i biznesowe (interfejsy, RFC, JMS).
  • Zaktualizuj skanery i polityki zgodności (np. aby wykrywać stare wersje komponentów AS Java).

5) Zarządzanie ryzykiem

  • Dodaj CVE-2025-42944 do wewnętrznego rejestru ryzyka i KPI „patch SLA” dla systemów Internet-facing.
  • Przeprowadź table-top exercise dla scenariusza przejęcia AS Java i ruchu bocznego do krańcowych systemów finansowych.

Różnice / porównania z innymi przypadkami

  • CVE-2025-42944 (NetWeaver AS Java, RMI-P4, deserializacja, bez uwierzytelnienia) — RCE z sieci; krytyczne i pre-auth.
  • CVE-2025-31324 (Visual Composer, upload pliku) — również bardzo ciężkie (CVSS 10.0), często łączone w łańcuchy ataku; potwierdzona aktywna eksploatacja w 2025 r.
  • Inne łatki z Patch Day październik 2025 obejmują m.in. SAP Print Service (Directory Traversal, CVSS 9.8) oraz aktualizacje ABAP/GUI i CSRF — ważne, ale o innych wektorach.

Podsumowanie / kluczowe wnioski

  • CVE-2025-42944 to krytyczna, pre-auth RCE w SAP NetWeaver AS Java przez RMI-P4.
  • SAP wydało poprawki we wrześniu i dodatkowe zabezpieczenia w październiku 2025 — należy wdrożyć natychmiast i ograniczyć ekspozycję usług zdalnych.
  • Historia ostatnich ataków na NetWeaver (np. CVE-2025-31324) pokazuje, że opóźnienia w patchowaniu szybko przekładają się na kompromitacje.

Źródła / bibliografia

  1. The Hacker News — „New SAP NetWeaver Bug Lets Attackers Take Over Servers Without Login” (15 paź 2025). (The Hacker News)
  2. SAP — „Security Patch Day — October 2025” (aktualizacja not bezpieczeństwa, 2 dni temu). (support.sap.com)
  3. SecurityWeek — „SAP Patches Critical Vulnerabilities in NetWeaver, Print Service, SRM” (konkret dot. CVE-2025-42944 i uzupełnień październikowych). (SecurityWeek)
  4. Onapsis — „SAP Security Patch Day — October 2025” (tło do innych krytycznych poprawek i priorytetyzacja). (Onapsis)
  5. Onapsis / CISA — materiały dot. wcześniejszej, aktywnie wykorzystywanej luki CVE-2025-31324 (kontekst zagrożeń dla NetWeaver). (Onapsis)

Adobe łata krytyczną podatność w pakiecie współpracy (Connect). Co powinni zrobić administratorzy?

Wprowadzenie do problemu / definicja luki

Adobe opublikowało poprawki bezpieczeństwa usuwające krytyczną lukę w Adobe Connect, platformie do wirtualnych spotkań i webinarów. Najpoważniejszy błąd to DOM-based XSS (CVE-2025-49553), oceniony na CVSS 9.3, który – przy odpowiedniej sekwencji działań – może prowadzić do zdalnego wykonania kodu (RCE) po stronie klienta. Łatka jest dostępna w wydaniu Adobe Connect 12.10.

W skrócie

  • Produkty/wersje: Adobe Connect 12.9 i starsze na Windows i macOS. Naprawa w 12.10.
  • Najpoważniejsza luka: CVE-2025-49553 (DOM-XSS, CVSS 9.3) → możliwość wykonania kodu. Dodatkowo CVE-2025-49552 (DOM-XSS, CVSS 7.3) oraz CVE-2025-54196 (open redirect, CVSS 3.1).
  • Status exploitów: brak informacji o aktywnym wykorzystywaniu w środowisku produkcyjnym.
  • Szeroki kontekst: w tym samym cyklu Adobe załatało ponad 35 luk w różnych produktach (m.in. Illustrator, Bridge, Animate).

Kontekst / historia / powiązania

Aktualizacja jest częścią październikowego cyklu łatkowania (Patch Tuesday). Poza Connect, Adobe opublikowało również biuletyny dla innych aplikacji kreatywnych – np. Illustrator (APSB25-102) – gdzie wyeliminowano luki prowadzące do RCE. To potwierdza, że ekosystem Adobe regularnie otrzymuje zbiorcze poprawki obejmujące zarówno narzędzia biurowo-kolaboracyjne, jak i kreatywne.

Analiza techniczna / szczegóły luki

Zgodnie z biuletynem APSB25-70 dla Adobe Connect:

  • CVE-2025-49553 – DOM-based XSS (CWE-79), CVSS 9.3, krytyczna: atakujący może dostarczyć spreparowany ładunek (np. przez złośliwy link lub wstrzyknięty skrypt), który po interakcji użytkownika uruchomi się w kontekście przeglądarki i umożliwi wykonanie kodu, kradzież tokenów sesyjnych, eskalację działań w ramach aplikacji itp. Wektor: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.
  • CVE-2025-49552 – DOM-based XSS (CWE-79), CVSS 7.3: podobna kategoria, ale wymaga wyższych uprawnień i trudniejszych warunków do skutecznej eksploatacji.
  • CVE-2025-54196 – Open Redirect (CWE-601), CVSS 3.1: umożliwia przekierowanie użytkownika na niezweryfikowany adres (sprzyja phishingowi, kradzieży poświadczeń).

SecurityWeek potwierdza, że poprawki dla Connect dostarczono w wersji 12.10, równolegle z pakietem innych biuletynów (łącznie >35 luk).

Praktyczne konsekwencje / ryzyko

  • Ryzyko kompromitacji sesji i kont: DOM-XSS w aplikacjach webowych do spotkań pozwala na kradzież tokenów, wstrzyknięcie skryptów śledzących, przejęcie uprawnień w ramach aplikacji (np. moderowanie pokoju, dostęp do nagrań, materiałów).
  • Łańcuchowe nadużycia: Open Redirect ułatwia kampanie spear-phishingowe kierujące do stron wyłudzających MFA lub SSO, co może stać się etapem wstępnym do BEC/APT.
  • Ekspozycja w organizacjach hybrydowych: Connect jest często publikowany w internecie (dla gości/webinarów), co obniża próg dotarcia atakującego. (Wniosek na podstawie charakteru produktu i biuletynu.)

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowa aktualizacja do Connect 12.10 na wszystkich hostach (Windows/macOS). Zweryfikuj zgodność w środowiskach testowych, ale nie odkładaj wdrożenia w produkcji.
  2. Twarde EDR/AV i polityki przeglądarek na stacjach prowadzących webinary (sandboxing, blokada niechcianych rozszerzeń, CSP gdzie to możliwe po stronie serwera).
  3. Higiena linków w zaproszeniach: generuj linki do spotkań wyłącznie z oficjalnych domen; skanuj treści opisów/webinarów pod kątem wstrzyknięć HTML/JS (reguły WAF).
  4. Monitorowanie anomalii:
    • Reguły SIEM/UEBA pod kliknięcia w nieoczekiwane linki przekierowujące (HTTP 3xx do domen spoza allowlisty).
    • Alarmy na zmianę ról w pokojach, nietypowe pobrania nagrań, masowe zaproszenia.
  5. Szkolenia dla prowadzących: znakowanie zewnętrznych prelegentów, weryfikacja materiałów, unikanie osadzania niezweryfikowanych skryptów/iframe.
  6. Przegląd innych biuletynów Adobe z tego cyklu (np. Illustrator) i zaplanowanie zbiorczego okna serwisowego — w październiku lista luk przekracza 35 pozycji.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W poprzednich miesiącach najgłośniejsze poprawki Adobe dotyczyły m.in. ColdFusion i Commerce/Magento (RCE, obejścia zabezpieczeń). Obecna runda przesuwa uwagę na warstwę kolaboracji (Connect), gdzie typowym ryzykiem są ataki webowe (XSS/redirect), a nie serwerowe luki w interpreterach czy komponentach backendowych. To wymaga innego zestawu kontroli – więcej CSP/WAF, przeglądarkowej telemetrii i higieny linków – zamiast samych hardeningów aplikacyjnych.

Podsumowanie / kluczowe wnioski

  • Zaktualizuj do Connect 12.10 – to jedyny skuteczny sposób eliminacji CVE-2025-49553 i powiązanych luk.
  • Traktuj Connect jak krytyczną aplikację webową: CSP, WAF, monitorowanie przekierowań i tokenów.
  • W tym samym cyklu Adobe łata >35 luk w innych produktach – zaplanuj zbiorczy maintenance window zamiast ad-hoc instalacji.

Źródła / bibliografia

  • Adobe Security Bulletin – APSB25-70: Security update available for Adobe Connect (CVE-2025-49552, CVE-2025-49553, CVE-2025-54196; wersje i CVSS). Adobe Help Centre
  • SecurityWeek: Adobe Patches Critical Vulnerability in Connect Collaboration Suite (przegląd, skala poprawek >35 luk, kontekst). SecurityWeek
  • Adobe – APSB25-102: Security Updates Available for Adobe Illustrator (przykład innych produktów załatanych w tym cyklu). Adobe Help Centre
  • Qualys Blog – Patch Tuesday (październik 2025) (kontekst zbiorczy aktualizacji tego miesiąca). Qualys
  • The Cyber Express – Adobe Security Update (zestawienie CVE dla Connect; źródło wtórne). The Cyber Express