# CERT Polska opisał 11 podatności w urządzeniach boneIO, poprawki są w wersji 1.6.0

CERT Polska opublikował 26 października 2026 r. opis 11 podatności w produktach boneIO, od CVE-2026-77052 do CVE-2026-77062. Źródło wskazuje wersję 1.6.0 jako rozwiązującą opisane problemy.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/bone-io-black-11-podatnosci/>
- Rodzaj: Streszczenie
- Data publikacji: 26.10.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT Polska](https://cert.pl/posts/2026/10/CVE-2026-77052/) (26 października 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT Polska opublikował 26 października 2026 r. opis 11 podatności w produktach boneIO, od CVE-2026-77052 do CVE-2026-77062. Dotyczą sterownika boneIO Black oraz obrazów systemowych black_debian_images. Podatne wersje sięgają do 1.6.0, a początek zakresu zależy od podatności: od 1.0.0, 1.2.0 albo 1.3.0. Zgłosił je Mateusz Włodarczak z s3ga.

Najpoważniejsze są dwie. W CVE-2026-77052 instancja Node-RED jest dostępna bez uwierzytelnienia pod ścieżką `/nodered/`, co pozwala nieuwierzytelnionemu atakującemu z sieci lokalnej wykonać polecenia systemowe i przejąć kontrolę nad systemem. W CVE-2026-77053 firmware domyślnie nie wymaga uwierzytelnienia, a API zarządzania nasłuchuje na wszystkich interfejsach, więc atakujący może zmienić konfigurację i sterować podłączonymi obwodami fizycznymi.

Przez ten domyślny brak uwierzytelnienia pozostałe podatności są groźniejsze. Endpoint `GET /api/config` zwraca hasła w postaci jawnej (CVE-2026-77054), a podatność CSRF (CVE-2026-77058) i brak ochrony przed clickjackingiem (CVE-2026-77062) pozwalają, by użytkownik sieci wewnętrznej samym wejściem na złośliwą stronę wywołał działania na urządzeniu, na przykład otwarcie bram czy przełączenie przekaźników. Opisano też podniesienie uprawnień do roota (CVE-2026-77055, CVE-2026-77059) oraz domyślne dane brokera MQTT (CVE-2026-77056).

Według CERT Polska wszystkie opisane problemy rozwiązuje wersja **1.6.0**. Urządzenie bez konta administratora odrzuca w niej żądania API, dopóki właściciel nie utworzy takiego konta. Wersje starsze niż 1.2.0 bazują na Debianie 10, nie są wspierane i nie da się ich zaktualizować: na te urządzenia trzeba ponownie wgrać obraz systemowy w wersji 1.6.0. Jeśli używasz urządzeń boneIO, sprawdź wersję. Urządzenia zaktualizowane z wcześniejszych wersji zachowują dotychczasowe dane uwierzytelniające brokera MQTT, a panel WWW od wersji 1.6.0 zgłasza użycie wartości domyślnych, które należy zmienić.

## Pojęcia w tym tekście

- [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Sterownik PLC](https://pelnomocnikcyber.pl/slownik/sterownik-plc/): Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
- [CSRF](https://pelnomocnikcyber.pl/slownik/csrf/): Atak, w którym zalogowany użytkownik, zwykle po kliknięciu podsuniętego linku, nieświadomie wykonuje w aplikacji internetowej akcję wybraną przez atakującego, z własnymi uprawnieniami.
- [Clickjacking](https://pelnomocnikcyber.pl/slownik/clickjacking/): Atak polegający na osadzeniu panelu sterowania w elemencie iframe na złośliwej stronie i nakłonieniu użytkownika do kliknięcia przycisków.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 26 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.