# CERT Polska opisał podatność w bibliotece KAMSOFT ZSIRep CLIENT, która pozwala podszyć się pod serwer

CERT Polska ujawnił podatność CVE-2026-113618 w bibliotece KAMSOFT ZSIRep CLIENT: biblioteka akceptuje dowolny certyfikat serwera. Poprawki wydano w wersji biblioteki i w pięciu produktach KAMSOFT.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/kamsoft-zsirep-client-podatnosc-certyfikat/>
- Rodzaj: Streszczenie
- Data publikacji: 06.11.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT Polska](https://cert.pl/posts/2026/11/CVE-2026-113618/) (6 listopada 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT Polska opublikował 6 listopada 2026 r. informację o podatności CVE-2026-113618 w bibliotece KAMSOFT ZSIRep CLIENT. Podatność jest typu Improper Certificate Validation (CWE-295). Zgłoszenie trafiło do CERT Polska, który uczestniczył w koordynacji jej ujawnienia. Podziękowania za zgłoszenie CERT Polska kieruje do Kajetana Pawelca.

Biblioteka kliencka ZSIRep (`ZSIREP.CLIENT.DLL`) nieprawidłowo weryfikuje certyfikat serwera. Rejestruje wywołanie zwrotne .NET obejmujące cały proces, które akceptuje dowolny certyfikat dla połączeń HTTPS bez weryfikacji. Osoba zdolna wykonać atak man-in-the-middle może podszyć się pod serwer ZSIRep oraz przechwycić lub zmodyfikować dane uwierzytelniania i dokumenty. Wywołanie zwrotne pozostaje aktywne po zamknięciu klienta, więc wpływa na bezpieczeństwo pozostałych połączeń HTTPS w tej samej aplikacji.

CERT Polska podaje, że problem został rozwiązany w wersji **2.12.3.1**, a w polu podatnych wersji wpisuje „Wszystkie do 2.12.3.1”. Te dwa zapisy nie są ze sobą w pełni spójne, dlatego numer wersji z poprawką potwierdź u dostawcy. Biblioteka jest używana w produktach KS-SOMED (poprawione w wersji 2026.03.0.01), KS-PPS (2026.03.1.0), KS-MEDIS (2026.03.0.0), KS-SOLAB (2026.3.1.0) oraz KS-ASW (2026.3.0.1).

Jeśli Twój podmiot korzysta z któregoś z tych produktów, sprawdź zainstalowaną wersję i porównaj ją z wersją poprawioną. Skoro wywołanie zwrotne obejmuje cały proces, ryzyko dotyczy także innych połączeń HTTPS w aplikacji, która ładuje tę bibliotekę.

## Pojęcia w tym tekście

- [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Atak man-in-the-middle](https://pelnomocnikcyber.pl/slownik/atak-man-in-the-middle/): Atak, w którym napastnik podszywa się pod serwer i może przechwycić lub zmodyfikować przesyłane dane, na przykład dane uwierzytelniania i dokumenty.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 6 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.