Kiteworks zalecił wyłączenie serwerów. Zagrożenie było możliwe, nie potwierdzone

Kiteworks, wcześniej znany jako Accellion, poprosił klientów o czasowe wyłączenie samodzielnie utrzymywanych systemów do przesyłania plików. Firma podała, że otrzymała od federalnych służb wiarygodne informacje wskazujące, iż sprawca może podjąć próbę ataku na część jej systemów. Jednocześnie zaznaczyła, że nie ma sygnałów świadczących o przejęciu systemów własnych ani klientów.426

Skąd zalecenie wyłączenia serwerów?

Chodziło o środek ostrożności na czas oceny zagrożenia, a nie reakcję na publicznie potwierdzone wykorzystanie luki. Doniesienia opisujące wiadomość wysłaną klientom mówiły o sześciogodzinnym wyłączeniu około 26 września 2026 r. i zachęcie, by — jeśli to możliwe — wyłączyć systemy wcześniej.47

Publiczny komunikat Kiteworks podawał jednak dziewięciogodzinne okno zapobiegawcze, liczone według lokalnej strefy czasowej klientów. Sześciu i dziewięciu godzin nie należy więc traktować jako wymiennych instrukcji: właściwe były zalecenia dotyczące konkretnego wdrożenia.426

Czy potwierdzono lukę typu zero-day?

Nie. W doniesieniach pojawiła się możliwość ataku z użyciem nieznanej wcześniej podatności, czyli luki typu zero-day, ale dostępne informacje nie potwierdzały, że taką lukę wykorzystano. W chwili publikacji relacji nie podano identyfikatora CVE — numeru nadawanego publicznie opisanym podatnościom — ani technicznych szczegółów ewentualnego sposobu ataku. Publicznie nie wskazano też sprawcy, a Kiteworks informował o braku oznak przejęcia systemów.21726

Kogo dotyczyło zalecenie i co z aktualizacją?

Wyłączyć systemy mieli klienci, którzy sami nimi zarządzali: zarówno urządzenia działające we własnej infrastrukturze, jak i wdrożenia chmurowe utrzymywane we własnym zakresie. Instancjami hostowanymi i zarządzanymi przez Kiteworks miała zająć się firma. Według relacji o zakresie ostrzeżenia nie obejmowało ono produktów DRACOON, ownCloud i totemo.1820

Kiteworks podał, że wersja 9.5.1 usuwa wszystkie znane podatności. To nie jest jednak potwierdzenie, że podejrzewany atak dotyczył znanej luki, ani informacja o łatce na potwierdzoną lukę typu zero-day.1626

Dlaczego przypominana jest historia Accellion?

Produkt do przesyłania plików firmy Accellion został wykorzystany w kampanii kradzieży danych i wymuszeń prowadzonej przez grupę Clop w latach 2020–2021. Ten precedens pokazuje, dlaczego ostrzeżenie dotyczące kolejnego systemu transferu plików potraktowano poważnie. Nie stanowi jednak dowodu, że Clop miał związek z zagrożeniem z września 2026 r. ani że zapowiadany atak rzeczywiście nastąpił.226