aktualizacja firmware

Aktualizacja firmware to wgranie nowej wersji oprogramowania wbudowanego w urządzenie: router, kamerę, drukarkę, sterownik przemysłowy albo inny sprzęt sieciowy. Baza wiedzy CERT Polska wyodrębnia ją jako osobną kategorię aktualizacji, dotyczącą oprogramowania samego systemu operacyjnego urządzenia ^[1]. Nowe podatności są regularnie znajdowane w oprogramowaniu praktycznie każdego producenta urządzeń sieciowych, a najpoważniejsze pozwalają na zdalne wykonanie kodu (RCE) i pełne przejęcie urządzenia ^[1]. CERT Polska zwraca też uwagę na tempo: publiczna informacja o krytycznej podatności uruchamia tworzenie exploitów, a podatność pozwalającą na zdalne wykonanie kodu z dużym prawdopodobieństwem zaczyna się masowo wykorzystywać w atakach ^[1]. Aktualizacja firmware jest więc odpowiednikiem łatki (patch) dla sprzętu, który zwykle działa latami bez nadzoru.

Jak działa

Specyfikacja RFC 9019 opisuje architekturę bezpiecznej aktualizacji dla urządzeń internetu rzeczy. Uzasadnia ją tym, że podatności w urządzeniach IoT wymusiły niezawodny i bezpieczny mechanizm aktualizacji, dostosowany do urządzeń o ograniczonych zasobach ^[2]. Według RFC obraz firmware musi być chroniony kryptograficznie przed modyfikacją i przed pochodzeniem z niezaufanego źródła, a opis aktualizacji zawiera manifest ^[2]. Urządzenie przechowuje klucze publiczne zaufanych wystawców, a program rozruchowy sprawdza podpis cyfrowy obrazu, zanim go uruchomi ^[2]. To ten sam mechanizm, na którym opiera się bezpieczny rozruch.

Schemat poniżej pokazuje uproszczony przebieg aktualizacji zgodny z tą architekturą.

RYS. 1Bezpieczna aktualizacja firmware

RFC zaleca, by aktualizacje odbywały się bez udziału użytkownika, bo tylko tak skalują się na tysiące urządzeń ^[2]. Producenci sprzętu domowego oferują zwykle trzy ścieżki. ASUS opisuje automatyczną aktualizację o ustawionej godzinie, aktualizację z panelu WWW routera po komunikacie o nowej wersji oraz ręczne wgranie pliku pobranego ze strony wsparcia ^[6]. Ostrzega też, by nie wyłączać routera w trakcie wgrywania oprogramowania ^[6].

Ryzyka samej aktualizacji

Aktualizacja firmware różni się od aktualizacji aplikacji tym, że zwykle wymaga restartu urządzenia i przerywa komunikację ^[1]. CERT Polska zwraca uwagę na ryzyko blokady (ang. brick risk): błąd lub niepowodzenie aktualizacji może zablokować urządzenie ^[1]. Zaleca urządzenia sieciowe w parach wysokiej dostępności: najpierw aktualizuje się urządzenie pasywne, potem zamienia role i aktualizuje drugie, bez przerwy w łączności ^[1].

NIST w wytycznych SP 800-193 traktuje firmware platformy jako cel ataków niszczących. Atak na firmware może unieruchomić system albo wymagać przeprogramowania u producenta ^[3]. Wytyczne opierają odporność na trzech zasadach: ochronie przed nieautoryzowaną zmianą, wykrywaniu zmian i szybkim, bezpiecznym odtworzeniu ^[3].

W WordPressie

WordPress nie ma firmware, ale strony na nim zbudowane są celem ataków prowadzonych z nieaktualizowanych urządzeń. W kwietniu 2017 roku BleepingComputer opisał raport Wordfence, według którego 6,7% wszystkich ataków siłowych na strony WordPress w marcu 2017 roku pochodziło z domowych routerów z otwartym portem 7547 ^[7]. Przestępcy przejmowali routery przez słabości protokołu zdalnego zarządzania TR-069, w tym podatność nazwaną Misfortune Cookie, i rozkładali próby zgadywania haseł administratora na tysiące adresów IP ^[7]. Taki rozproszony botnet omija proste blokady pojedynczego adresu, dlatego przy logowaniu do WordPressa liczy się limit prób logowania na konto i uwierzytelnianie dwuskładnikowe (2FA).

Druga zależność dotyczy samego administratora. Router w domu lub biurze, przez który loguje się do panelu, jest częścią jego powierzchni ataku. Jego firmware wymaga tej samej dyscypliny co automatyczne aktualizacje wtyczek.

Zagrożenia i skutki

Najbardziej szczegółowy polski przykład skutków zaniedbanego firmware opisał CERT Polska w raporcie z ataku na sektor energii z 29 grudnia 2025 roku ^[4]. Na większości zaatakowanych farm wiatrowych i fotowoltaicznych działały sterowniki RTU z domyślnymi poświadczeniami, w tym kontem o nazwie „Default” ^[4]. Atakujący zalogował się tym kontem do interfejsu WWW sterownika i wgrał uszkodzony firmware: na początku programu wstawiono 240 bajtów 0xFF, co wywołało nieskończoną pętlę restartu urządzenia ^[4].

Raport pokazuje też znaczenie weryfikacji podpisu. Funkcja secure update, sprawdzająca podpis wgrywanego obrazu, była dostępna od wersji 13.2.1, ale wymagała włączenia i nie była włączona na żadnym ze wspierających ją urządzeń ^[4]. Nawet włączoną można było obejść przez podatność CVE-2024-2617, naprawioną w wersji 13.7.7 ^[4]. Takie działanie to w praktyce wiper na poziomie sprzętu, a sprawa dotyczy bezpieczeństwa systemów przemysłowych i infrastruktury krytycznej.

Jak się bronić

• Włączyć automatyczną aktualizację, jeśli producent ją oferuje, i ustawić ją na godziny bez ruchu ^[6].
• Włączyć weryfikację podpisu obrazu, jeśli urządzenie ją ma, zamiast polegać na ustawieniach fabrycznych ^[4].
• Zmienić domyślne hasło przed podłączeniem urządzenia do sieci; w opisanym ataku domyślne konto miało prawo zmiany firmware ^[4].
• Po aktualizacji sprawdzić, czy urządzenie nie zostało wcześniej przejęte; tak zaleca CERT Polska w komunikatach o krytycznych poprawkach ^[5].
• Wycofać sprzęt po końcu wsparcia producenta. CERT Polska pisze, że przestarzałe systemy nie powinny być używane produkcyjnie, nawet jeśli działają prawidłowo ^[1].
• Prowadzić spis urządzeń i wersji w ramach zarządzania poprawkami.

Historia i przykłady

4 września 2026 roku CERT Polska poinformował o wydaniu wersji systemu RouterOS z krytycznymi poprawkami bezpieczeństwa dla urządzeń MikroTik ^[5]. Poprawione wydania to 6.49.21, 7.23.4, 7.24.2 i 7.25beta, a numery CVE miały zostać dopisane po publikacji podatności ^[5]. Zespół zalecił aktualizację i sprawdzenie, czy urządzenie nie zostało skompromitowane ^[5].