# CERT Polska opisał 11 podatności w szpitalnym systemie CGM CLININET, dla sześciu nie podał wersji z poprawką Pięć podatności prowadzi do wykonania kodu z uprawnieniami root, jedna pozwala pobrać dokumenty pacjentów bez uwierzytelnienia. Wersja 2026.MS3 usuwa pięć z nich, pozostałe sześć potwierdzono także w tej wersji. - Adres: - Rodzaj: Streszczenie - Data publikacji: 23.10.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [CERT Polska](https://cert.pl/posts/2026/10/CVE-2025-30043/) (23 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) 23 października 2026 r. CERT Polska opublikował informację o 11 podatnościach w CGM CLININET, szpitalnym systemie informacyjnym firmy CGM. Zgłoszenia trafiły do CERT Polska, który uczestniczył w koordynacji ich ujawnienia, a dziesięć z nich zgłosił Maciej Kazulak. To druga taka seria w tym roku: w marcu CERT Polska opisał osiem podatności w CGM CLININET i CGM NETRAAD, z których pięć zgłosił ten sam badacz. Pięć podatności pozwala wykonać dowolny kod z uprawnieniami root. W rekordach CVE, które wystawia CERT Polska, najwyższą ocenę CVSS 4.0, 9,4, mają CVE-2025-30047 i CVE-2025-30050. Pierwsza to deserializacja niezaufanych danych w API modułu administracyjnego, które wymienia obiekty Java przez HTTP, druga to komponent `RunCGI.pm`, który importuje moduł wskazany w parametrze zapytania. W obu przypadkach atakujący musi być w sieci lokalnej. Procesy komunikacji HL7 z systemami zewnętrznymi działają jako root, kiedy przetwarzają niezaufane dane (CVE-2025-30046), a skrypty i konfigurację usługi HL7 może zmienić użytkownik `uhcapache` (CVE-2025-30054). CVE-2025-30045 wymaga konta z wysokimi uprawnieniami. Ścieżka `/DocManagment` jest dostępna bez uwierzytelnienia, więc atakujący z sieci wewnętrznej może pobrać listę dokumentów pacjentów i same dokumenty (CVE-2025-30043). Hasła użytkowników system przechowuje jako niesolone skróty MD5 (CVE-2025-30049), a plik `SysIO.pl` z loginem i hasłem do produkcyjnej bazy danych i brokera RabbitMQ może odczytać każde konto lokalne (CVE-2025-30051). Usługa rsyncd sprawdza tylko adres IP klienta, więc kto podszyje się pod dozwolony adres, może edytować pliki w systemie (CVE-2025-30052). Proces `cgm-updater` nasłuchuje na otwartym porcie bez uwierzytelnienia (CVE-2025-30053), a CVE-2025-58403 to reflected XSS. Według CERT Polska wersja **2026.MS3** usuwa CVE-2025-30043, CVE-2025-30047, CVE-2025-30050 i CVE-2025-30051, a CVE-2025-30049 wersje 2026.MS1 i 2026.MS3. **Pozostałe sześć podatności** potwierdzono w wersjach do 2026.MS3 włącznie, a późniejsze też mogą być podatne. Ostrzeżenie nie podaje dla nich wersji z poprawką ani obejścia. Jeśli w twojej organizacji działa CGM CLININET, sprawdź zainstalowaną wersję. W rekordzie CVE-2025-58403 podatne wersje kończą się na 2025.MS3, a nie na 2026.MS3, jak w ostrzeżeniu CERT Polska. ## Źródła - [CERT Polska: Podatności w oprogramowaniu CGM CLININET](https://cert.pl/posts/2026/10/CVE-2025-30043/) - [CVE.org: CVE-2025-30047](https://www.cve.org/CVERecord?id=CVE-2025-30047) - [CVE.org: CVE-2025-30050](https://www.cve.org/CVERecord?id=CVE-2025-30050) - [CVE.org: CVE-2025-58403](https://www.cve.org/CVERecord?id=CVE-2025-58403) - [CERT Polska: Podatności w oprogramowaniu CGM CLININET oraz CGM NETRAAD](https://cert.pl/posts/2026/03/CVE-2025-10350/) - [CGM: Szpitalny system informacyjny HIS - CGM CLININET](https://www.cgm.com/pol_pl/products/szpital/cgm-clininet.html) ## Pojęcia w tym tekście - [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CVE](https://pelnomocnikcyber.pl/slownik/cve/): Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [XSS](https://pelnomocnikcyber.pl/slownik/xss/): Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 23 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.