Aktualności
Krótkie wiadomości o cyberbezpieczeństwie, prawie i incydentach.
Aktualności
Streszczenie
Google załatał w Chrome ósmą w tym roku podatność zero-day wykorzystywaną w atakach
Google wydał aktualizacje Chrome naprawiające dziewięć podatności, w tym CVE-2026-125350 w komponencie XML, dla której istnieje exploit używany w atakach. To według SecurityWeek ósma wykorzystywana podatność zero-day w Chrome w 2026 r.
Źródło: BleepingComputer
Streszczenie
OpenSSH 10.6p2 usuwa obejście logowania hasłem w sshd na Linuksach z biblioteką musl bez PAM, m.in. w Alpine
Na Linuksie z biblioteką musl i bez PAM konto z gwiazdką zamiast skrótu hasła przyjmowało każde hasło dłuższe niż 256 znaków. Zespół OpenSSH wydał poprawkę dzień po zgłoszeniu i do czasu aktualizacji zaleca wyłączenie logowania hasłem.
Źródło: OpenSSH
Streszczenie
Protest w Warszawie przeciwko umowie MON z Palantirem, gdy armie Szwajcarii, Niemiec i Danii odrzucają tę firmę
8 listopada 2026 r. w Warszawie protestowano przeciwko negocjowanej umowie MON na Maven Smart System Poland i żądano niezależnego audytu. Palantir odpowiada, że system działa w infrastrukturze wojska, a firma nie ma kluczy ani samodzielnego dostępu do danych.
Źródło: CyberDefence24
Streszczenie
Model GPT-6 Cyber od OpenAI przygotował exploity na 948 podatności w jądrze Linuksa dające uprawnienia roota
OpenAI opisało 4 listopada 2026 r. przebieg, w którym jego model odtworzył 1724 podatności w jądrze Linuksa i napisał działające exploity na 948 z nich, każdą z łatką. Całość kosztowała 1 213 430 dolarów w kredytach API, a 304 krytyczne podatności trafiły do opiekunów jądra z propozycjami poprawek.
Źródło: OpenAI
Streszczenie
Wordfence notuje próby ataków na błąd w aktualizacji WordPressa, poprawkę zawiera wersja 7.1.4
Podatność w procesie aktualizacji WordPress Core od 4.7 do 7.1.3 pozwala bez logowania wykonać kod na serwerze, ale tylko w krótkim oknie podczas instalacji pełnego pakietu. Wordfence ocenia ją na 8.1 w skali CVSS i nie informuje o udanych włamaniach.
Źródło: Wordfence
Streszczenie
Headscale 0.29.7 i Tailscale 1.104.4 usuwają większość błędów z raportu Tailworm, sama poprawka serwera nie wystarczy
Wydanie z 30 października 2026 r. naprawia też 12 błędów zgłoszonych przez skaner oss-scanner firmy Anthropic. Poprawki dla Tailscale SSH działają w oprogramowaniu na węzłach, a część ustaleń raportu nie ma wydanej poprawki.
Źródło: Headscale
Streszczenie
Podatność CVE-2026-98432 w kodzie TCP jądra Linuksa ma ocenę 9.8, a RHEL i Ubuntu nie mają jeszcze poprawki
Wyścig przy zestawianiu połączeń TCP po IPv4 prowadzi do użycia zwolnionej pamięci jądra. Anthropic twierdzi, że jego model napisał na tej podstawie zdalny exploit z uprawnieniami roota. Debian, Oracle, SUSE i Amazon wydały już poprawione jądra.
Źródło: The Hacker News
Streszczenie
CERT Polska ostrzega przed podatnością path traversal w Wing FTP Server poniżej wersji 8.2.6
W Wing FTP Server wykryto podatność CVE-2026-105420, która pozwala administratorowi dodać katalogi użytkownika poza folderem bazowym i może prowadzić do zdalnego wykonania kodu. Poprawka jest w wersji 8.2.6.
Źródło: CERT Polska
Streszczenie
Krytyczna podatność CVE-2026-97631 w firmware UEFI opartym na EDK II pozwala wykonać kod podczas rozruchu przez PXE
TianoCore ocenił błąd w sterowniku rozruchu sieciowego EDK II na 9.5 w CVSS 4.0. Poprawka jest w kodzie od 15 października, ale nie ma jej jeszcze w żadnym wydaniu stabilnym ani w aktualizacjach producentów.
Źródło: TianoCore
Streszczenie
ISC ostrzega przed podatnością CVE-2026-94300 w serwerze DNS BIND9, są wersje z poprawką
Internet Systems Consortium opisało podatność w BIND9, która może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Poprawki są w wersjach 9.20.30, 9.21.27 i 9.20.30-S1, obejścia brak.
Źródło: Sekurak
Materiał własny
28 października wchodzi w życie ostatnia część ustawy o systemach sztucznej inteligencji, z kontrolami i karami
Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może kontrolować, prowadzić postępowania i nakładać kary. Tego samego dnia zaczynają obowiązywać zmiany w ustawie o KSC i w ustawie o ochronie danych osobowych.
Źródło: Dziennik Ustaw, ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji
Streszczenie
Fortinet wydaje poprawki dla FortiOS, FortiManager i FortiAnalyzer, a biuletyny opublikuje dopiero 10 listopada
Fortinet zapowiedział na 22 października 2026 r. aktualizacje FortiOS, FortiManager i FortiAnalyzer z poprawkami krytycznymi i wysokimi, po wydaniach FortiMail i FortiAuthenticator. Część błędów znalazł w testach z użyciem modeli AI. Szczegółów podatności jeszcze nie podał.
Źródło: Fortinet
Streszczenie
Node.js usunął dziesięć podatności, w tym błąd w dekoderze Brotli pozwalający na zdalne wykonanie kodu
Projekt Node.js wydał 21 października 2026 r. wersje 26.12.1, 24.22.1 i 22.23.4. Cztery z usuniętych podatności mają ocenę wysoką, a trzy z nich dotyczą rozwiązywania nazw i weryfikacji certyfikatów TLS.
Źródło: Node.js
Streszczenie
F5 wydał poza harmonogramem poprawki na trzy krytyczne podatności w NGINX
F5 opublikował 14 października 2026 r. biuletyn poza harmonogramem z 11 podatnościami w produktach NGINX. Trzy są krytyczne i mogą prowadzić do awarii procesu lub wykonania kodu, ale źródła nie opisują ich wykorzystania w atakach.
Źródło: BleepingComputer
Streszczenie
CERT Polska opisał trzy podatności w centralach telefonicznych Slican, poprawka jest tylko dla serii IPx
W centralach Slican wykryto trzy podatności: słabe szyfrowanie komunikacji, SQL injection w WebCTI i jawne hasła tymczasowe. Poprawkę ma seria IPx, a centrale bez wsparcia producenta jej nie dostaną.
Źródło: CERT Polska
Streszczenie
CERT Polska ostrzega przed podatnością XXE w Sparx Systems Enterprise Architect
CERT Polska opisał podatność CVE-2026-88794 w Enterprise Architect, która pozwala przez spreparowany plik XML odczytać dowolne pliki z systemu ofiary. Potwierdzono ją w wersji 17.1, a producent nie nawiązał skutecznego kontaktu.
Źródło: CERT Polska
Streszczenie
CERT Polska opisał podatność SQL injection w Payload CMS poniżej wersji 3.90.0
Błąd w walidacji parametrów in oraz not_in pozwala uwierzytelnionemu atakującemu przeprowadzić atak SQL injection. Producent naprawił podatność w wersjach 3.90.0 oraz 4.0.0-canary.34.
Źródło: CERT Polska
Streszczenie
CERT Polska opisał podatność w Ollamie, która pozwala zdalnie wykonać kod z uprawnieniami root
CERT Polska opublikował 8 października 2026 r. opis podatności CVE-2026-103663 w Ollamie. Nieuwierzytelniony atakujący może zapisać złośliwy plik poza katalogiem modeli, a w typowym obrazie Docker doprowadzić do wykonania kodu jako root.
Źródło: CERT Polska
Streszczenie
Atlassian wydał poprawki krytycznej podatności w Jira, Confluence i innych produktach Data Center
Podatność CVE-2026-21589 pozwala nieuwierzytelnionemu atakującemu odczytać wybrane pliki z katalogu głównego aplikacji. Dotyczy instalacji Data Center we własnej infrastrukturze. Atlassian nie widzi dowodów wykorzystania, CERT-EU zaleca aktualizację od instancji dostępnych z internetu.
Źródło: BleepingComputer
Streszczenie
CISA ostrzega przed krytyczną podatnością w kliencie SMTP lwIP 2.2.1 w energetyce i wodociągach
CISA opublikowała 6 października 2026 r. ostrzeżenie o podatności CVE-2026-15340 w kliencie SMTP lwIP firmy Savannah (CVSS v3 9,8). Błąd może prowadzić do awarii urządzenia lub zdalnego wykonania kodu, a poprawka jest już dostępna.
Źródło: CISA ICS Advisories
Streszczenie
Botnet Cling ukrywa ruch sterujący w STUN i atakuje podatne routery oraz rejestratory DVR
Nozomi Networks Labs opisało botnet Cling, który infekuje urządzenia IoT i sieciowe dostępne z internetu, a swój ruch sterujący maskuje jako zwykły ruch STUN. Wykorzystuje m.in. starą podatność w Realtek Jungle SDK.
Źródło: Industrial Cyber
Streszczenie
Wyciek z duńskiego rejestru ludności CPR dotyczy 8,8 mln osób, sprawcy użyli dostępu prywatnej firmy
Duński Centralny Rejestr Ludności (CPR) potwierdził wyciek imion, adresów i numerów CPR około 8,8 mln osób. Sprawcy wykorzystali legalny dostęp prywatnej firmy do systemu rejestru.
Źródło: BleepingComputer
Streszczenie
Dell załatał krytyczną podatność w narzędziu System Update, która daje atakującemu uprawnienia roota
Dell opublikował poprawki do narzędzia System Update (DSU). Krytyczna podatność CVE-2026-86360 pozwala nieuwierzytelnionemu atakującemu wykonać kod z uprawnieniami roota. Poprawki zawiera DSU 2.3.0.0 lub nowsza.
Źródło: BleepingComputer
Streszczenie
Grupa stojąca za ransomware Warlock nadal włamuje się przez podatności w SharePoint Server
Symantec opisał ataki grupy Longlegs (Storm-2603) na co najmniej cztery organizacje, w tym wodociągi i dostawcę telekomunikacyjnego. Wejściem były podatności w lokalnie instalowanym SharePoint Server. Osobno CISA dodała kolejną podatność SharePoint do katalogu KEV.
Źródło: Industrial Cyber
Streszczenie
Krytyczna luka w Linux KVM na ARM64 pozwala w pewnych warunkach przejąć kontrolę nad hostem wirtualizacji
Badacz Hyunwoo Kim opisał na openwall.com krytyczną podatność CVE-2026-89775 w podsystemie KVM dla architektury ARM64 w jądrze Linuksa, która przy włączonej wirtualizacji zagnieżdżonej pozwala na ucieczkę z maszyny wirtualnej i przejęcie kontroli nad hostem. Błąd naprawiono, zalecana jest aktualizacja jądra.
Źródło: Sekurak
Streszczenie
Citrix ujawnia osiem podatności w NetScaler ADC i Gateway, dwie już aktywnie wykorzystywane w atakach
Citrix opublikował biuletyn opisujący osiem podatności w NetScaler ADC i NetScaler Gateway, w tym dwie krytyczne podatności pozwalające na zdalne wykonanie kodu bez uwierzytelnienia, które są już aktywnie wykorzystywane w atakach. CERT-EU zaleca natychmiastową aktualizację i sprawdzenie urządzeń wystawionych do internetu pod kątem śladów włamania.
Źródło: CERT-EU
Materiał własny
Ustawa o systemach sztucznej inteligencji dodaje CSIRT-om nowe zadanie od 28 października 2026 r.
Art. 124 ustawy o systemach sztucznej inteligencji dopisuje do art. 26 ust. 3 ustawy o KSC punkt 24, współpracę CSIRT MON, CSIRT NASK i CSIRT GOV z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Zmiana obowiązuje od 28 października 2026 r.
Źródło: Dziennik Ustaw, ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji