W nocy z 11 na 12 października 2026 ktoś zdalnie podgrzał chłodnie w setkach europejskich supermarketów. Tydzień później Loxone ogłosiło, że włamano się do jego wewnętrznych systemów. Obie sprawy zaczynają się podobnie, a kończą zupełnie inaczej, więc warto je zestawić.
Piszę to jako integrator Loxone, czyli mam w tym interes. Dlatego oddzielam to, co pochodzi z komunikatu producenta (cytowanego przez heise.de i inne media), od doniesień prasowych. Dane są na 3 listopada 2026, śledztwa trwają i część szczegółów może się jeszcze zmienić.
Co się stało z lodówkami w supermarketach?
Sterowniki chłodnictwa w sklepach (Intermarché, Netto, Coopérative U, Carrefour, Monoprix i innych) dostały polecenie rozmrażania z towarem w środku. Liczba sklepów zależy od źródła: od 300 do 700. Temperatury w chłodniach rosły do około 50 °C po mniej więcej sześciu godzinach, a w jednym sklepie w Normandii do 80 °C. Według Wikipedii alarmy się nie uruchomiły. Francuski CERT-FR ostrzegał przed włamaniami do sterowników Danfoss już 12 października. Sprawcy nie znamy, o okupie nic nie wiadomo. Wikipedia opisuje też drugą falę z 2 listopada w kilku krajach, ale nie znalazłem jej potwierdzenia w innych źródłach, więc traktuję ją jako niepewną.
Jaka to była automatyka?
Głównym celem były sterowniki Danfoss AK-SM 800A, czyli platforma do zarządzania chłodnictwem sklepowym. Wikipedia wymienia też AK-SC355 oraz sterowniki XWEB (Copeland/Dixell). Danfoss twierdzi, że większość dotkniętych urządzeń to starszy sprzęt, który nie dostaje już aktualizacji. Taki sterownik prowadzi agregaty i rozmrażanie, a wbudowany panel WWW służy do zdalnego serwisu, zwykle przez zewnętrzną firmę, bo sklepy chłodnictwo outsourcują.
Jak doszło do ataku?
Bez żadnej finezji. Zebrało się kilka podstawowych zaniedbań:
- Panel prosto w internecie. Według Claroty i Kevina Beaumonta publicznie dostępnych było kilka tysięcy takich paneli.
- Hasło, którego nie trzeba było zgadywać. Wikipedia opisuje logowanie na konto
adminz ukrytą funkcją „code of the day”: jako hasło działała aktualna data urządzenia. - Znane luki bez łatki. Claroty opisało w AK-SM 800A obejście uwierzytelnienia, zdalne wykonanie kodu i wstrzykiwanie konfiguracji. Danfoss ujawnił to 24 marca 2025, a poprawka (firmware R4.3.1) wyszła w sierpniu 2025. SecurityWeek zaznacza jednak, że nie wiadomo, czy napastnicy użyli akurat tych luk.
- Sprzęt po końcu wsparcia. AK-SC355 wyszedł z oferty w 2016, AK-SM800 w maju 2021, i Danfoss od dawna zalecał wymianę.
Le Monde pisze, że w części chłodni wydłużono rozmrażanie z godziny do ośmiu, żeby opóźnić alarmy. Tego nie potwierdzają inne źródła. Numerów CVE nie podaję, bo spójnie opisuje je tylko jeden blog producenta zabezpieczeń.
Co się stało w Loxone?
Loxone wykryło nieautoryzowany dostęp do części wewnętrznych systemów w niedzielę 18 października 2026, a dzień później ogłosiło incydent. Według komunikatu, przytaczanego przez heise.de, ucierpiały: wewnętrzny CRM (kontakty do firm partnerskich, głównie instalatorów), zgłoszenia do supportu, system rekrutacyjny i baza danych strony. Loxone zaznacza, że napastnicy nie dostali danych kart płatniczych, kodu źródłowego ani wrażliwych informacji o produktach.
Grupa nazywająca się „Samurai” podobno twierdzi, że skopiowała około 200 GB. Loxone tej liczby nie potwierdziło i nie powiedziało, czy żądano okupu. Prezes powiedział w ORF, że wyciekły także dane klientów, a firma pisze mailem do osób, których wyciek potwierdziła. Sposób wejścia nie jest publicznie znany. Firma pisze, że został zidentyfikowany i zamknięty, a według SecNews prezes mówił w ORF, że atak poszedł przez jeden z serwerów WWW. W aktualizacji z 21 października Loxone podało, że systemy wracają do pracy, a strona, sklep i Portal Partnera czekają na poprawkę PHP.
Czy Miniservery były bezpieczne?
Według Loxone tak: Miniserver, Remote Connect, Exosphere, chmurowy mailer i powiadomienia push działają na osobnej infrastrukturze i nie zostały dotknięte. Dane użytkowników i dostępowe są przechowywane lokalnie na Miniserverze, a Loxone nie prowadzi bazy haseł do instalacji klientów, więc nie było czego ukraść. Firma potwierdza też, że oprogramowanie z jej podpisem jest autentyczne, a pipeline budowania odtworzyła prewencyjnie.
Jest jedno zastrzeżenie, które dotyczy bezpośrednio Ciebie. Jeśli kiedykolwiek wysłałeś hasło Miniservera mailem albo wpisałeś je w zgłoszeniu do supportu, zmień je. Loxone przeglądało historię supportu pod kątem haseł podanych jawnym tekstem. I jeszcze phishing: Loxone nie prosi o hasła ani o zmianę numeru konta, a w obiegu mogą być maile z podobnych domen.
Czy to była luka w PHP?
Na to nie ma dowodu. Wiemy tyle: 20 października projekt PHP ujawnił dwie krytyczne luki (nazwane PHP2Shell), które według komunikatów mogą dać zdalne wykonanie kodu bez logowania. Loxone zainstalowało poprawki i wstrzymało ponowne uruchomienie strony, sklepu i Portalu Partnera do czasu ich wdrożenia. Włamanie wykryto jednak 18 października, dwa dni przed ujawnieniem luk, i żadne ze znanych mi źródeł nie łączy tych dwóch spraw.
PHP stoi za ogromną częścią stron WWW, w tym WordPressem i sklepami, więc takie luki dotykają wielu firm naraz. Procentów nie podaję, bo nie znalazłem wiarygodnych danych o skali. Dla Ciebie wniosek jest praktyczny: strona na PHP to osobna powierzchnia ataku, niezależna od Miniservera, i też wymaga aktualizacji.
Czym Miniserver różni się od sterownika z lodówek?
| Sterowniki Danfoss | Miniserver Loxone | |
|---|---|---|
| Dostęp zdalny | panel WWW wprost w internecie | Loxone zaleca Remote Connect, które nie wymaga przekierowania portów |
| Konta | admin z hasłem z daty | konta użytkowników przechowywane lokalnie, osobne dla każdej osoby |
| Aktualizacje | poprawka od sierpnia 2025, wiele urządzeń bez niej | paczki aktualizacji podpisane przez Loxone (od 2020) |
| Wsparcie | część sprzętu po końcu życia (2016, 2021) | firmware rozwijany, ale starsze generacje mają ograniczenia |
Remote Connect nie jest jedyną drogą. Gdy zamiast niego korzystasz z Cloud DNS, musisz przekierować port na routerze, a wtedy Miniserver jest widoczny z internetu. Loxone podpowiada, żeby przy HTTPS nie wystawiać portu HTTP, a w Gen 1 HTTPS w ogóle nie jest dostępne. Dostęp zdalny przez Cloud DNS opisałem we wpisie o portalu serwisowym kaskady pomp ciepła.
Czy Miniserver też miał luki?
Miał, tak samo jak każdy sterownik. Różnica polega na tym, że poprawki wychodziły i dało się je zainstalować:
- CVE-2020-27488 (Gen 1, ocena 9,8/10). Miniservery z firmware starszym niż 11.1 (11.1.9.3) nie korzystały z uwierzytelniania paczki aktualizacji opartego na podpisie, więc urządzenie albo ktoś, kto je udawał, mógł dalej używać nieuwierzytelnionej usługi chmurowej. Po aktualizacji problem znikał.
- FTP, styczeń 2022. Loxone załatało lukę w dostępie FTP w kilku wersjach 12.x i napisało, że nie zna przypadków jej wykorzystania.
- Miniserver Go Gen 2, lipiec 2023 (CVE-2023-36622, -36623 i -36624, ocena 7,2 do 7,8). Wstrzyknięcie komend przez parametr strefy czasowej, hasło roota wyliczane z adresu MAC i błędna konfiguracja sudo. Wszystkie wymagały dostępu lokalnego albo konta administratora, a poprawki weszły w wersjach 14.1.5.9 i 14.2.
Dlatego nie wystarczy, że producent łata. Trzeba jeszcze zainstalować łatkę u siebie.
Co się może stać, gdy nie aktualizujemy i nie dbamy o bezpieczeństwo?
W sklepach skończyło się zepsutym towarem i stratami liczonymi w milionach euro. W budynku z automatyką ten sam błąd oznacza coś innego, zależnie od tego, co masz podpięte: nastawy ogrzewania i chłodzenia (piwnica z magazynem wina, serwerownia, basen), blokady alarmu, bramy i drzwi, kamery, limity mocy PV i magazynu energii. Wektor ataku jest ten sam, tylko skutki zależą od instalacji.
Największy problem w sklepach polegał jednak na tym, że nikt się nie zorientował na czas, bo alarmy miał ten sam sterownik, który ktoś przejął. W tym miejscu zalecam jedno: niezależny czujnik temperatury z własnym powiadomieniem, który nie zależy od sterownika głównego.
Lista kontrolna dla Twojej instalacji
- Nie otwieraj portów na routerze do Miniservera. Użyj Remote Connect albo VPN.
- Jeśli musisz używać Cloud DNS, włącz HTTPS i nie przekierowuj portu HTTP.
- Zmień każde hasło domyślne. Każda osoba ma własne konto, a serwisant dostaje konto, które po wizycie wyłączasz.
- Zaktualizuj firmware Miniservera i Loxone Config. Sprawdź wersję: na Go Gen 2 poniżej 14.2 jest już kilka znanych luk.
- Hasło do Miniservera nigdy mailem ani w zgłoszeniu. Jeśli się zdarzyło, zmień je dziś.
- Przy wiadomościach „od Loxone” sprawdź adres nadawcy. Oficjalne to support@loxone.com i orders@loxone.com, a w obiegu są adresy typu @loxon.com i @luxone.com.
- Sieć automatyki trzymaj osobno od reszty (VLAN w UniFi), a kamery i rzeczy z chmury w oddzielnej.
- Strona WWW na PHP lub WordPressie ma własny cykl aktualizacji: PHP, wtyczki, motyw. Dotyczy to też Twojej własnej wizytówki.
- Dla rzeczy, które mogą się zepsuć, zrób osobny alarm: czujnik temperatury z własnym zasilaniem i powiadomieniem na telefon.
Loxone dodało też dwuskładnikowe uwierzytelnianie w Loxone Config (wersja 17.2.10.21 jest w testach, według komunikatu z 21–22 października), więc warto śledzić aktualizacje.
Masz instalację Loxone i nie wiesz, jaka jest wersja firmware ani jak skonfigurowany jest dostęp zdalny? Napisz na biuro@loxem.pl, sprawdzimy to zdalnie.
Źródła
- heise.de: Loxone Cyberattack hits building automation provider
- Chiptron: Hackers attacked Loxone, what leaked and what is safe
- SecNews: Loxone says hackers took customer data
- Safeguard: Loxone Cyberattack, CRM and Applicant Data Copied
- SecurityWeek: Refrigeration Controller Hack Spoils Food Across European Supermarkets
- Facilities Dive: Hack of Danfoss refrigeration controllers in Europe
- Wikipedia: 2026 French supermarket refrigerator hack
- NVD: CVE-2020-27488, CVE-2023-36622, CVE-2023-36623, CVE-2023-36624
- Komunikat Loxone o incydencie: security.loxone.com (aktualny status sprawdź tam, bo ten wpis opiera się na relacjach z 21–23 października)
LOXEM BUILD by RamaR – zarządzanie energią i automatyka Loxone. Wpis opisuje stan wiedzy na 3.11.2026 i nie jest oceną prawną. Szczegóły ataku na Loxone pochodzą z komunikatów firmy cytowanych przez media.
Dodaj komentarz