Druga połowa października 2026 r. była jednym z najbardziej pracowitych okresów dla administratorów w tym roku. CERT Polska w ciągu kilku dni opublikował komunikaty o krytycznych lukach w PHP, GitLabie, produktach Fortinet i Collabora Online dla Nextcloud, o skompromitowanych kluczach urzędu certyfikacji i o kolejnych kampaniach wymierzonych w klientów biznesowych banków.
Dla małej czy średniej firmy problem nie polega na tym, że komunikatów jest dużo. Polega na tym, że zwykle nikt nie ma w obowiązkach ich czytania. Zebraliśmy więc najważniejsze z nich w jednym miejscu – z informacją, kogo dotyczą i co zrobić.
Najważniejsze w skrócie:
- Strony i sklepy na PHP – aktualizacja PHP na serwerze (php2shell), nie tylko WordPressa.
- FortiGate, FortiManager, FortiMail – aktualizacje przed 10 listopada, a FortiMail sprawdzić pod kątem włamania.
- GitLab i Nextcloud z wbudowanym Collabora – pilne aktualizacje, w Nextcloud luka jest wykorzystywana w atakach ransomware.
- eMudhra – aktualizacja magazynów certyfikatów, także w kontenerach i na systemach offline.
- Księgowość i zarząd – uwaga na e-maile „z banku” o aktualizacji dokumentacji firmy i na „zapytania ofertowe” z plikiem Excel.
Mapa artykułu
Spis treści
1. PHP: php2shell (21 października)
Dwie krytyczne luki, CVE-2026-109618 i CVE-2026-109619, pozwalają na zdalne wykonanie poleceń na serwerze. Według CERT Polska dotyczą wszystkich wersji PHP od 5.4 wzwyż, a pierwsze masowe próby wykorzystania już się pojawiły. Aktualizacja WordPressa nic tu nie da – trzeba zaktualizować PHP na serwerze. Wszystko, co trzeba wiedzieć, opisaliśmy w artykule php2shell – co musi zrobić firma ze stroną na WordPressie.
2. Fortinet i FortiMail (2 i 22 października)
Fortinet wydał poprawki dla FortiOS, FortiManagera, FortiAnalyzera, FortiMaila i FortiAuthenticatora, a szczegóły błędów ujawni 10 listopada. Wcześniej, 2 października, CERT Polska ostrzegał przed aktywnie wykorzystywaną luką w FortiMail (CVE-2026-104286). Wersje i kolejność działań: Fortinet łata FortiOS, FortiManagera i FortiMaila.
3. GitLab: zdalne wykonanie kodu bez logowania (21–22 października)
Krytyczne podatności w GitLab CE i EE pozwalają m.in. na zdalne wykonanie kodu na serwerze przez nieuwierzytelnionego atakującego. Najpoważniejsza z nich, CVE-2026-110264, ma ocenę CVSS 10.0. To szczególnie groźne, bo GitLab zwykle przechowuje nie tylko kod, ale też tokeny, klucze i dane dostępowe do środowisk produkcyjnych.
Podatne są wersje:
| Gałąź | Podatna, jeśli starsza niż |
|---|---|
| 19.5.x | 19.5.1 |
| 19.4.x | 19.4.3 |
| 19.3.x | 19.3.6 |
| 19.2.x | 19.2.9 |
| 19.1.x | 19.1.9 |
| 19.0.x | 19.0.10 |
| 18.11.x | 18.11.13 |
Podatne są też starsze gałęzie (sprzed 18.11) – nie dostaną poprawki, więc trzeba przejść na wspieraną wersję. Jeśli firma utrzymuje własny GitLab (self-managed), aktualizacja powinna być zrobiona od razu. Według GitLaba GitLab.com działa już na poprawionej wersji, więc tam nie trzeba nic robić.
4. Nextcloud z wbudowanym Collabora: luka wykorzystywana w atakach ransomware (20 października)
Podatność CVE-2026-110447 dotyczy aplikacji Collabora Online – Built-in CODE Server (richdocumentscode) w wersjach starszych niż 26.4.303. Pozwala nieuwierzytelnionemu atakującemu wykonywać polecenia systemowe na serwerze. Ciekawy szczegół: wykorzystanie jest możliwe tylko wtedy, gdy lokalny serwer dokumentów chwilowo nie działa – np. po restarcie, aktualizacji lub awarii. Według CERT Polska luka jest aktywnie wykorzystywana do ataków ransomware.
- Problem nie dotyczy samodzielnych serwerów Collabora Online ani Nextcloud Office podłączonego do zewnętrznego serwera Collabora.
- Wyłączenie aplikacji w Nextcloud nie usuwa podatności – trzeba ją zaktualizować albo usunąć.
- W Nextcloud 29 i starszych, gdzie nowej wersji nie da się zainstalować, CERT zaleca aktualizację Nextcloud albo usunięcie aplikacji.
- Warto sprawdzić, czy w katalogu
apps/richdocumentscodenie ma plikówshx*.php, przejrzeć logi pod kątem żądańproxy.php?statusz%2e%2e,$(lub${IFS}oraz prób użyciasudoprzez konto serwera WWW.
5. eMudhra: skompromitowane klucze urzędu certyfikacji (22 października)
Błąd w procesie generowania kluczy pozwolił odtworzyć klucze prywatne urzędów certyfikacji eMudhra (emSign) na podstawie publicznych certyfikatów. Atakujący mogą więc wystawiać fałszywe certyfikaty dla dowolnych domen i podpisywać złośliwe oprogramowanie. Certyfikaty zostały unieważnione, a główne przeglądarki je blokują.
Problem zostaje tam, gdzie magazyny certyfikatów nie są aktualizowane: w kontenerach Docker, systemach wbudowanych, komputerach offline i aplikacjach, które nie sprawdzają statusu unieważnienia (CRL, OCSP). CERT Polska zaleca aktualizację magazynów zaufanych certyfikatów, przebudowę obrazów kontenerów i sprawdzenie, czy aplikacje odrzucają certyfikaty tych urzędów – także w łańcuchach prowadzących do Sectigo AAA Certificate Services. Samo usunięcie certyfikatu głównego eMudhra może nie wystarczyć.
6. „Komunikaty z banku” dla klientów biznesowych (22–26 października)
CERT Polska odnotowuje liczne zgłoszenia e-maili podszywających się pod komunikację banków skierowaną do firm. Preteksty się zmieniają: nowe zasady autoryzacji przelewów, zmiany w obsłudze rachunków walutowych, a ostatnio konieczność aktualizacji dokumentacji firmy z powołaniem na obowiązki regulacyjne. Cel jest zawsze ten sam – link do fałszywej strony logowania do bankowości. Osobno CERT ostrzegał przed kampanią podszywającą się pod PKO Bank Polski z prośbą o „aktualizację danych klienta”.
Zasada dla księgowości i zarządu: do bankowości wchodzimy tylko przez wpisany ręcznie adres lub aplikację, nigdy z linku w e-mailu. A jeśli ktoś już podał dane, liczy się czas – telefon do banku i zmiana danych dostępowych. Co robić, gdy przestępcy przejmą skrzynkę pocztową, opisaliśmy w artykule przejęta skrzynka pocztowa w firmie.
7. Fałszywe zapytania ofertowe z plikiem Excel (6 października)
Wiadomość wygląda jak zwykła okazja biznesowa: prośba o ofertę, szczegóły w załączniku. Załącznik to plik .xls, który zamiast zapytania instaluje Remcos – narzędzie do zdalnego sterowania komputerem. Pozwala ono m.in. przechwytywać naciśnięcia klawiszy, obraz z ekranu, kamerę i mikrofon. To atak wymierzony w działy sprzedaży, które z natury otwierają załączniki od nieznanych firm.
Poza komunikatami CERT: atak na pakiet Pythona LiteLLM
Tego samego dnia co php2shell, 21 października, doszło do ataku na łańcuch dostaw biblioteki LiteLLM, popularnej w firmowych wdrożeniach AI. Zainfekowana wersja z PyPI i Dockera kradła klucze do chmury i modeli AI. To nie był komunikat CERT Polska, ale firm, które wdrażają AI, dotyczy bezpośrednio: atak na LiteLLM – co sprawdzić w firmie.
Kto w Twojej firmie czyta te komunikaty?
Wszystkie opisane sytuacje mają wspólną cechę: czas między publikacją a pierwszymi atakami jest coraz krótszy. Firma, która dowiaduje się o krytycznej luce tydzień później, często dowiaduje się o niej od atakującego. Dlatego warto, żeby ktoś miał to w obowiązkach – wewnętrzny administrator albo zewnętrzny zespół, który monitoruje komunikaty i od razu sprawdza, czy dotyczą Waszej infrastruktury. Komunikaty można też subskrybować bezpośrednio w serwisie moje.cert.pl.
FAQ – komunikaty CERT Polska
Gdzie czytać komunikaty CERT Polska?
Na stronie moje.cert.pl/komunikaty. Można je też otrzymywać e-mailem lub przez RSS – z podziałem na komunikaty dla użytkowników i dla administratorów.
Od czego zacząć, jeśli dotyczy nas kilka komunikatów naraz?
Od tego, co jest wystawione do internetu i aktywnie wykorzystywane: w tej rundzie FortiMail i Nextcloud z wbudowanym Collabora, potem PHP na serwerach stron, GitLab i reszta urządzeń Fortinet.
Jak zgłosić podejrzaną wiadomość lub incydent?
Przez formularz na incydent.cert.pl albo usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Firmy objęte ustawą o KSC mają dodatkowo własne obowiązki zgłoszeniowe.
Źródła
- CERT Polska – komunikaty (moje.cert.pl)
- CERT Polska – podatności w GitLab (197/2026)
- CERT Polska – Collabora Online dla Nextcloud (194/2026)
- CERT Polska – klucze eMudhra (199/2026)
- CERT Polska – wiadomości podszywające się pod bank (203/2026)
- CERT Polska – fałszywe zapytania ofertowe (185/2026)
- CERT Polska – komunikat dla klientów biznesowych (202/2026)
- CERT Polska – „aktualizacja danych klienta” PKO BP (200/2026)
- GitLab – Patch release 19.5.1
