Cyberbezpieczeństwo w Polsce

Aplikacja z niezałataną kopią dekodera, która rozpakowuje dane w formacie Brotli, ryzykuje uszkodzenie pamięci własnego procesu już w chwili, gdy dekoder czyta spreparowany strumień, a więc zanim jej kod, logowanie czy uprawnienia zobaczą cokolwiek z treści. Dotyczy to serwerów przyjmujących skompresowane żądania, klientów pobierających odpowiedzi od cudzych serwerów i programów otwierających wgrane pliki, także wtedy, gdy Brotli trafiło do nich ukryte w zależności. Poprawka dla Node.js wyszła w trzech liniach, ale pozostałe środowiska mają własne kopie dekodera i własne terminy.

Dostajesz tabelę środowisk z wersją poprawki i statusem na 24 października 2026 roku: Node.js, Bun, Python, Java, .NET, PHP, Ruby, Go, curl, Envoy i Istio, z osobnym oznaczeniem tam, gdzie dostawca jeszcze się nie odezwał. Do tego kolejność działań od inwentarza po restart procesów, sposób odrzucania skompresowanych danych tam, gdzie poprawki jeszcze nie ma, wskaźniki do przejrzenia w logach i chronologia od lutowego commita do wydań z ostatnich dni. Rozdzielamy też ocenę GitHuba od oceny Node.js i wyjaśniamy trzy nazwy, pod którymi luka krąży.

Strony, sklepy i aplikacje działające na PHP są narażone na dwie krytyczne podatności, przez które atakujący może bez logowania uruchomić własny kod na serwerze. Błąd uruchamia się, zanim ruszy kod aplikacji, więc nie chronią przed nim ani hasła, ani role użytkowników, a pierwszą znaną próbę ataku zarejestrowano cztery dni przed publikacją poprawek. W Polsce część stron Biuletynu Informacji Publicznej została czasowo wyłączona, a Wykop tymczasowo wyłączył serwis.

Dostajesz zestawienie wersji PHP z poprawką i bez niej, kolejność działań od inwentaryzacji po restart procesów oraz zestawienie ustawień php.ini z rozróżnieniem, co zaleca zespół PHP, a co CERT Polska i czego te ustawienia nie zamykają. Pokazujemy też, co przejrzeć w logach i w systemie, gdzie zgłosić ślady włamania i jak wyglądała droga od sierpniowego odkrycia do ujawnienia, z godzinami podanymi w UTC, oraz co zrobiły polskie instytucje.

Po raz pierwszy program rozkłada się na dwa dni i dziesięć ścieżek. Osobne pasma dostają bezpieczeństwo aplikacji webowych, sieci, systemów Windows wraz z Active Directory, Linuksa oraz narzędzia etycznego hackera. Ścieżka EXEC to krótkie wystąpienia szefów bezpieczeństwa z mBanku, Alior Banku, PKO BP, Pekao, PZU, Orange i CERT Polska, a ścieżka Luzik omija żargon i celuje w osoby nietechniczne. CyberArena zderza wymagania regulacyjne z praktyką, a w ścieżce Sekurak.Academy prezentują się uczestnicy projektu o tej nazwie. Organizator zapowiada pokazy hackingu na żywo zamiast prezentacji produktowych.

Krok po kroku po wycieku danych: najpierw zastrzeż PESEL, potem sprawdź dane w bezpiecznedane.gov.pl i rozpoznaj fałszywe strony udające ten serwis.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) - wdrożenie NIS2 po nowelizacji z 2026 r.: kogo obejmuje, jakie nakłada obowiązki i w jakich terminach.

Zastrzeżenie numeru PESEL jest bezpłatne i od 1 czerwca 2024 r. utrudnia kredyt na Twoje dane - w serwisie mObywatel, w jego aplikacji albo w urzędzie gminy.

Którzy operatorzy blokują strony phishingowe z Listy Ostrzeżeń CERT Polska na mocy porozumienia z UKE, MC i NASK - i czy dotyczy to też Twojego operatora.