Cyberbezpieczeństwo w Polsce

Aplikacja z niezałataną kopią dekodera, która rozpakowuje dane w formacie Brotli, ryzykuje uszkodzenie pamięci własnego procesu już w chwili, gdy dekoder czyta spreparowany strumień, a więc zanim jej kod, logowanie czy uprawnienia zobaczą cokolwiek z treści. Dotyczy to serwerów przyjmujących skompresowane żądania, klientów pobierających odpowiedzi od cudzych serwerów i programów otwierających wgrane pliki, także wtedy, gdy Brotli trafiło do nich ukryte w zależności. Poprawka dla Node.js wyszła w trzech liniach, ale pozostałe środowiska mają własne kopie dekodera i własne terminy.

Dostajesz tabelę środowisk z wersją poprawki i statusem na 28 października 2026 roku: Node.js, Bun, Python, Java, .NET, PHP, Ruby, Go, curl, Envoy i Istio, z osobnym oznaczeniem tam, gdzie poprawki wciąż brakuje. Do tego kolejność działań od inwentarza po restart procesów, sposób odrzucania skompresowanych danych tam, gdzie poprawki jeszcze nie ma, wskaźniki do przejrzenia w logach i chronologia od lutowego commita do wydań z ostatnich dni. Rozdzielamy też ocenę GitHuba od oceny Node.js i wyjaśniamy trzy nazwy, pod którymi luka krąży.

Strony, sklepy i aplikacje działające na PHP są narażone na dwie krytyczne podatności, przez które atakujący może bez logowania uruchomić własny kod na serwerze. Błąd uruchamia się, zanim ruszy kod aplikacji, więc nie chronią przed nim ani hasła, ani role użytkowników, a pierwszą znaną próbę ataku zarejestrowano cztery dni przed publikacją poprawek. W Polsce część stron Biuletynu Informacji Publicznej została czasowo wyłączona, a Wykop tymczasowo wyłączył serwis.

Dostajesz zestawienie wersji PHP z poprawką i bez niej, kolejność działań od inwentaryzacji po restart procesów oraz zestawienie ustawień php.ini z rozróżnieniem, co zaleca zespół PHP, a co CERT Polska i czego te ustawienia nie zamykają. Pokazujemy też, co przejrzeć w logach i w systemie, gdzie zgłosić ślady włamania i jak wyglądała droga od sierpniowego odkrycia do ujawnienia, z godzinami podanymi w UTC, oraz co zrobiły polskie instytucje.

Październikowe spotkanie wrocławskiej społeczności ISSA Polska na Politechnice Wrocławskiej, od 17:30 do 21:00. Michał Sobiegraj mówi o operacjonalizacji bezpieczeństwa AI i o tym, jak cyberbezpieczeństwo może pomóc firmom wydobyć wartość z wdrożeń AI. Mateusz Zeman omawia administracyjnoprawną odpowiedzialność sankcyjną w cyberbezpieczeństwie, w tym wymagania dyrektywy NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa. Spotkanie kończy networking. Udział jest bezpłatny i nie wymaga członkostwa w stowarzyszeniu, obowiązuje rejestracja.

Którzy operatorzy blokują strony phishingowe z Listy Ostrzeżeń CERT Polska na mocy porozumienia z UKE, MC i NASK - i czy dotyczy to też Twojego operatora.

Zgłoś phishing bezpośrednio do CERT Polska - podejrzaną stronę internetową przez formularz na incydent.cert.pl, a fałszywą wiadomość SMS pod numer 8080.

Lista Ostrzeżeń CSIRT NASK - wyszukaj domenę, żeby sprawdzić, czy trafiła na oficjalną listę stron wykorzystywanych do phishingu i innych oszustw online.

Zastrzeżenie numeru PESEL jest bezpłatne i od 1 czerwca 2024 r. utrudnia kredyt na Twoje dane - w serwisie mObywatel, w jego aplikacji albo w urzędzie gminy.