W grudniu zeszłego roku portal X (dawny Twitter) zasłynął nie tylko z na bikini przy pomocy Groka. Jak informowaliśmy na naszych łamach, Komisja Europejska w wysokości 120 mln euro za naruszenie Aktu o usługach cyfrowych.
Służby regularnie publikują informacje o przeprowadzonych operacjach wymierzonych w grupy przestępcze. W niektórych przypadkach mowa o dość istotnych sukcesach.
Od wielu lat cyberbezpieczeństwo w Polsce to już nie tylko fajna nisza dla nerdów. To olbrzymi rynek, na którym brakuje tysięcy specjalistów, a zarobki przyciągają coraz więcej zainteresowanych tą ścieżką kariery. Dodatkowo regulacje takie jak niegdyś RODO,...
_„Szpital Uniwersytecki w Krakowie zawiadamia, że 2 marca 2026 r. stwierdzono naruszenie ochrony danych osobowych przetwarzanych w systemie poczty elektronicznej pracownika Szpitala. (…) W systemie poczty elektronicznej Szpitala poprzez celowe i szkodliwe d...
Temat ochrony dzieci w sieci od wielu lat budzi dyskusje ekspertów i polityków. Na przełomie 2024 i 2025 roku, na ścieżce legislacyjnej pojawiły się dwa projekty ustaw, mających uniemożliwić dzieciom dostęp do pornografii: obywatelski oraz rządowy.
Podczas ostatniego posiedzenia Senat zajął się wdrażającym do polskiego porządku prawnego zapisy unijnego .
pokazuje znaczenie nowoczesnych technologii we współczesnych, ale i przyszłych konfliktach zbrojnych. Nasi wschodni sąsiedzi mocno stawiają na innowacyjne rozwiązania, aby zwiększyć potencjał swojej armii. Jej skuteczność podnosi m.in. .
Konflikt na Bliskim Wschodzie i ogólna intensyfikacja działań grup hakerskich, szczególnie sponsorowanych przez państwa, każe postawić pytanie o stan zabezpieczeń elementów infrastruktury krytycznej i technologii operacyjnych.
12 marca Prezes UODO Mirosław Wróblewski wydał dotyczący retencji (przechowywania przez określony czas) danych przez operatorów telefonii komórkowej. PUODO podkreślił, że telekomy gromadzą informacje dotyczące ruchu i lokalizacji, takie jak m.in.:
Polityka Mety wobec fałszywych reklam od wielu lat jest przedmiotem krytyki. Jak opisywaliśmy na naszych łamach, przedsiębiorstwo ma poważny problem z usuwaniem treści opłacanych przez oszustów. Filmy promujących inwestycje czy cudowne specyfiki utrzymują s...
W wyniku weekendowego na Samodzielny Publiczny Wojewódzki Szpital Zespolony (SPWSZ), doszło do naruszenia danych osobowych pacjentów, osób przez nich upoważnionych, pracowników, a także kontrahentów i podwykonawców współpracujących ze szpitalem.
31 marca 2026 r. ruszy nabór na projekty dotyczące cyfrowego udostępnienia zasobów nauki w programie Fundusze Europejskie na Rozwój Cyfrowy 2021-2027. Do rozdysponowania jest 150,5 mln zł, a maksymalny poziom dofinansowania może objąć 100 proc. kosztów kwal...
Patronat medialny
Od początku dekady można zauważyć, że konflikty zbrojne nie toczą się już wyłącznie w świecie rzeczywistym. Obok powietrza, wody i lądu, kolejnym środowiskiem działań stała się cyberprzestrzeń.
W oprogramowaniu Streamsoft Prestiż wykryto podatność polegającą na słabym kodowaniu tokenów (CVE-2026-0809).
Materiał sponsorowany
Na początku stycznia br. rząd przyjął wdrażający do polskiego porządku prawnego unijne przepisy dotyczące Europejskiego Pojedynczego Punktu Dostępu (ESAP).
Materiał sponsorowany
Polskie przedsiębiorstwa stopniowo zwiększają wykorzystanie technologii cyfrowych, jednak tempo transformacji wciąż pozostaje niższe niż średnia w Unii Europejskiej. Najnowszy raport Polskiej Agencji Rozwoju Przedsiębiorczości (PARP) pokazuje, że choć rośni...
Badacze z Check Point Research odkryli podatności w Claude Code (Anthropic), które pozwalają atakującym na zdalne wykonanie kodu i kradzież kluczy API. Luki wykorzystują różne mechanizmy konfiguracji, w tym Hooks, serwery Model Context Protocol (MCP) oraz z...
Zespół CERT Polska świętuje 30-lecie swojej działalności. Przez trzy dekady zmieniło się niemal wszystko. Internet, z którego w latach 90. korzystała niewielka grupa użytkowników, dziś jest podstawową przestrzenią, dzięki której funkcjonuje wiele aspektów n...
Po wprowadzeniu zakazu mediów społecznościowych dla dzieci w Australii, wiele krajów na świecie zdecydowało się na rozpoczęcie prac nad analogicznymi regulacjami, .
Patronat medialny
Ministerstwo Obrony Ukrainy wydało o rozszerzeniu funkcji aplikacji mobilnej Mobile o Radar. Nowe narzędzie ma informować indywidualnie każdego żołnierza o zagrożeniach nadchodzących z powietrza.
W środę, 11 marca, odbyło się posiedzenie sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, podczas którego omawiano kierunki programu _„ ”_ do 2030 r., wyznaczającego ramy transformacji cyfrowej w Unii Europejskiej.
, czyli pierwszy w Polsce zespół reagowania na zagrożenia w sieci, . Ostatnie 3 dekady jego działalności były pełne wyzwań, związanych z m.in. aktywnością grup APT powiązanych z państwami. Wystarczy wspomnieć o kampaniach prowadzonych przez Rosję, Białoruś...
W oprogramowaniu Coppermine Photo Gallery wykryto podatność typu Path Traversal (CVE-2026-3013).
Globalna sieć oszustw inwestycyjnych wykorzystuje reklamy na Facebooku, by kierować użytkowników do starannie przygotowanych lejków wyłudzeń finansowych. Z analizy Bitdefender Labs wynika, że w ciągu niespełna miesiąca zidentyfikowano setki kampanii działaj...
Od czasu zaprezentowania założeń projektu ustawy o ochronie małoletnich przez Koalicję Obywatelską trwa dyskusja , które mają się w nim znaleźć. Jak opisywaliśmy na naszych łamach, dokument z założenia będzie wprowadzał zakaz mediów społecznościowych dla dz...
Patronat medialny
Chiński sprzęt rodzi wiele pytań i wątpliwości dotyczących bezpieczeństwa. W ostatnim czasie sporo miejsca poświęca się samochodom z Państwa Środka, które mają zakaz wjazdu na tereny wojskowe w Polsce.
W miniony weekend z 7 na 8 marca (z soboty na niedzielę) doszło do skutecznego na Szpital Wojewódzki w Szczecinie. Jak przekazały w komunikacie władze placówki, zainfekowano jeden z systemów, zaszyfrowano część danych i zablokowano do nich dostęp. To wskazu...
Zespół Szkolno-Przedszkolny im. Marii Skłodowskiej-Curie w Ruścu o _„możliwym, nieuprawnionym dostępie odbiorców grupowych wiadomości systemowych przesłanych za pomocą rozwiązania poczty email sprusiec@nadarzyn.pl do danych osobowych pozostałych adresatów i...
JavaScript to język wyjątkowy – świetny dla początkujących i obecny niemal wszędzie w Internecie: zarówno w przeglądarkach, na backendzie, jak i w aplikacjach desktopowych, jako język skryptowy w niektórych aplikacjach – i tak dalej. Jego składnia jest przy...
Wraz z 2024 rokiem zakończył się pięcioletni okres objęty Strategią Cyberbezpieczeństwa Rzeczpospolitej Polskiej. Prace nad nowym dokumentem trwały dosyć długo – jeszcze na początku 2025 roku prowadzono konsultacje projektu.
Cyberprzestępcy coraz częściej wykorzystują komunikatory w serwisach ogłoszeniowych, aby podszywać się pod administratorów platform i wyłudzać dane użytkowników. Jeden z takich przypadków pojawił się niedawno na OTOMOTO i pokazuje, jak łatwo można paść ofia...
Paweł podesłał nam historię oszukania swojego taty na ~80000zł. W ramach całego procederu, w pewnej chwili została przesłana do ofiary taka “legitymacja” należąca rzekomo do pracownika departamentu bezpieczeństwa banku. Oczywiście w celu zmylenia ofiary, że...
Funkcjonariusze ustalili 7 osób w wieku nastoletnim (od 12 do 16 lat), które sprzedawały w internecie programy przeznaczone do dokonywania (czym są DDoS-y wyjaśniamy w #CyberMagazynie: ).
Wrogie działania ujawniły holenderskie służby wywiadowcze i bezpieczeństwa, wskazując, że ofiarami są m.in. pracownicy tamtejszego rządu.
Pod koniec lutego posłowie Koalicji Obywatelskiej zaprezentowali w Sejmie założenia projektu ustawy w sprawie ochrony dzieci i młodzieży w internecie. Jak opisywaliśmy na naszych łamach, ma on wprowadzić dwa zakazy: korzystania z telefonów podczas lekcji w...
W piątek 6 marca br. o odwołaniu nadinsp. Adama Cieślaka z funkcji Komendanta Centralnego Biura Zwalczania Cyberprzestępczości. Szef MSWiA Marcin Kierwiński podjął tę decyzję po zapoznaniu się z wnioskiem i rekomendacją Komendanta Głównego Policji gen. insp...
Tym razem chodzi o stronę gminy Długołęka. Nasz czytelnik poinformował nas o takim incydencie: wchodzisz na stronę gmina dlugoleka pl i od razu pojawia się prośba o potwierdzenie, że jesteś człowiekiem: No dobra, nie ma tu nic podejrzanego, klikamy dalej a...
6 marca br. Biały Dom opublikował , przedstawiającą obrany przez główę państwa kierunek działania Stanów Zjednoczonych w cyberprzestrzeni.
Rozwój sztucznej inteligencji w ostatnich tygodniach wzbudza wiele kontrowersji. Punktem zapalnym stało się porozumienie OpenAI z Departamentem Wojny, który jednocześnie prowadzi spór z Anthropic.
wskazuje, że sytuacja miała miejsce pod koniec stycznia br. w Punkcie Kontroli Bezpieczeństwa Terminala AB na warszawskim lotnisku.
Po wielu latach żmudnych prac i opóźnień w harmonogramach, w końcu uruchomiono system łączności głosowej GSM-R na pierwszych odcinkach sieci PKP Polskich Linii Kolejowych.
_„105 Kresowy Szpital Wojskowy z Przychodnią Samodzielny Publiczny Zakład Opieki Zdrowotnej w Żarach, informuje, że w dniu 27 lutego 2026 r. w godzinach 16:20–17:00 doszło do naruszenia ochrony Pani/Pana danych osobowych przetwarzanych w systemie informatyc...
Wielkimi krokami zbliża się jedno z najważniejszych wydarzeń w regionie Azji Wschodniej dotyczące technologii smart city oraz transformacji cyfrowej. Mowa o Smart City Summit & Expo (SCSE), które odbędzie się w dwóch terminach i lokalizacjach: 17-20 marca w...
O incydencie ransomware szpital informuje na swojej stronie: Szpital Wojewódzki w Szczecinie padł ofiarą ataku cyberprzestępców, którzy w nocy z soboty na niedzielę (7/8 marca) zainfekowali system informatyczny placówki, szyfrując część danych i blokując do...
Oskar Klimczuk, CyberDefence24: Czy możemy powiedzieć, że złamanie szyfru Enigmy było wspólnym polsko-brytyjskim sukcesem?
Śledząc aktywne kampanie cyberprzestępcze biorące na cel użytkowników smartfonów, jesteśmy przyzwyczajeni że malware jest najczęściej dostarczany za pomocą phishingu (link do pobrania złośliwego oprogramowania), czy też jako złośliwa aplikacja dostępna w Ap...
Cześć! Z tej strony Tomek Turba. AI bez lukru to cykl moich felietonów o sztucznej inteligencji bez marketingowego lukru, bez korporacyjnych slajdów i bez bajek o “rewolucji, która wszystko zmieni”. Pokazuję AI taką, jaka jest naprawdę: z absurdami, wpadkam...
Chodzi o firmę Planet Labs, która opisuje swoje usługi jako “AI-Powered Earth Intelligence”. Na ów “Earth Intelligence” składa się flota kilkuset satelitów, które fotografują każdy skrawek ziemi “minimum raz dziennie”. Firma zaczęła od sprzedaży danych w ce...
O ataku poinformowały władze szpitala w niedzielę 8 marca br. W oficjalnym czytamy, że w trybie pilnym wdrożono procedury awaryjne. Placówka przeszła na tryb pracy „na papierze”.
Rozmawiałem wczoraj 40 minut z Markiem, który opisał jak padł ofiarą scamu. Wyglądało to mniej więcej tak. – Scammer dzwoni z losowego numeru: została zaciągnięta pożyczka na pana dane– Ale ja nie brałem pożyczki– To chyba doszło do wycieku danych. W jakim...
Dwie brytyjskie spółki obsługiwały przepływy finansowe powiązane z irańską armią. W sumie mowa o ok. 1 mld dol., które miały przejść przez wspomniane firmy. Okazuje się, że na ich czele stała nieistniejąca, wirtualna postać: Elizabeth Newman.
Jak RMF FM, w piątek 6 marca br. nadinsp. Adam Cieślak miał otrzymać raport dotyczący zwolnienia. Udało nam się potwierdzić te informacje. Nieznane są jednak oficjalne powody takiej decyzji. Nazwisko nowego szefa powinniśmy poznać już w poniedziałek.
Zapraszamy do nowego wydania Weekendowej Lektury. Skoro tu zaglądacie, to stęskniliście się pewnie za stertą linków, które umożliwią zorientowanie się w aktualnym krajobrazie czyhających na was zagrożeń. Miłego klikania! W dzisiejszym wydaniu szczególnie po...
to agencja podległa amerykańskiemu Departamentowi Bezpieczeństwa Krajowego (DHS). W ramach jej struktur prowadzony jest katalog _(ang. Known Exploited Vulnerabilities)_, gdzie agregowane są aktywnie wykorzystywane luki w oprogramowaniu.
Na początku lutego br. poinformowało o nowym etapie programu dobrowolnych powszechnych szkoleń obronnych #wGotowości. Jak zapowiedziało wówczas kierownictwo resortu, na czele z wicepremierem , kolejne kursy mają ruszyć w sobotę 7 marca br.
5 marca br. ukraińskie Centrum Zwalczania Dezinformacji o rosyjskiej kampanii dezinformacyjnej dotyczącej rzekomej „masowej eksmisji Ukrainców”, prowadzonej przez polskie organy ściagania.
W oprogramowaniu QuickCMS wykryto podatność typu Cross-Site Request Forgery (CSRF) (CVE-2026-1468).
W czwartek 5 marca br. hiszpańska policja wydała o zlikwidowaniu grupy przestępczej podejrzanej o handel ludźmi, fałszowanie dokumentów, kradzież tożsamości, oszustwa komputerowe i pranie pieniędzy.
W IT też bywa sezon ogórkowy. Tyle że zamiast ogórków mamy zaległe tickety, niedokończone migracje i alerty. Gdzieś między kolejnym zgłoszeniem na helpdesku a odkładaną aktualizacją zaczynasz się zastanawiać, czy w tym zawodzie chodzi jeszcze o coś więcej n...
Pod koniec grudnia 2025 r. doszło do wymierzonych w polską energetykę. Celem było m.in. minimum 30 farm wiatrowych i fotowoltaicznych oraz duża elektrociepłownia.
W połowie stycznia br. rozpoczęły się prace nad ustawą mającą uniemożliwić dzieciom dostęp do mediów społecznościowych. Według , posła Koalicji Obywatelskiej Romana Giertycha dla naszej redakcji, ogólna koncepcja przekłada zobowiązanie do przestrzegania zak...
W systemie e-Toll był błąd, który powodował naliczanie niesłusznych kar za rzekomo nieopłacone przejazdy autostradą (po latach!). Nasz Czytelnik Szymon podrążył temat i pieniądze odzyska. Było warto walczyć o swoje choć nie było całkiem łatwo. Przypomnijmy....
W oprogramowaniu DobryCMS wykryto 2 podatności różnego typu (CVE-2025-12462 oraz CVE-2025-14532)
W oprogramowaniu CGM CLININET oraz CGM NETRAAD wykryto 8 podatności różnego typu.
Zapraszamy do nowego wydania Weekendowej Lektury. Nie zawsze jesteśmy w stanie przygotować je już w piątek, ale tym razem mocno się sprężyliśmy i oto jest nowa porcja linków do ciekawych informacji z minionego tygodnia. Miłego klikania! W dzisiejszym wydani...
W oprogramowaniu Pro3W CMS wykryto podatność typu SQL Injection (CVE-2025-15498).
W oprogramowaniu PluXml CMS wykryto 3 podatności różnego typu (od CVE-2026-24350 do CVE-2026-24352)
W oprogramowaniu Omega-PSIR wykryto podatność typu Cross-site Scripting (CVE-2026-1434).
W oprogramowaniu Simple.ERP wykryto podatność typu SQL Injection (CVE-2026-1198).
W wielu programach Finka wykryto podatność typu Use of Hard-coded Credentials (CVE-2025-13776).
W wielu urządzeniach firmy Slican wykryto podatność typu Missing Authentication for Critical Function (CVE-2025-14577).
Zapraszamy do nowego wydania Weekendowej Lektury. Opisy nowych zmagań badaczy z cyberprzestępcami, szczegóły świeżo odkrytych luk, analizy nowych kampanii – każdy znajdzie coś dla siebie. Miłego klikania! W dzisiejszym wydaniu szczególnie polecamy w części...
Niewątpliwie najważniejsza dla polskiego cyberbezpieczeństwa ustawa uzyskała podpis Prezydenta. Została jednak wysłana do Trybunału Konstytucyjnego co oznacza, że niektóre jej przepisy z czasem mogą być uchylone. Tak czy owak trzeba się szykować na wdrażani...
Pomogliśmy dużej organizacji w analizie infekcji malware spowodowanej przez Fake CAPTCHA. W tym raporcie podsumowujemy nasze obserwacje oraz publikujemy szczegółową analizę znalezionego złośliwego oprogramowania.
Zapraszamy do nowego wydania Weekendowej Lektury. Lepiej późno niż wcale, przybywamy więc do Was ze świeżą porcją informacji o atakach, wyciekach, podatnościach i szkodnikach, które zaobserwowali ostatnio eksperci. Miłego klikania! W dzisiejszym wydaniu szc...
Firma w której pracujesz może już niebawem stać się elementem “systemu cyberbezpieczeństwa”, co wiąże się z nowymi obowiązkami i ewentualnymi karami za ich niespełnienie. Wszystko dzięki ustawie, która bez poprawek niedawno została przyjęta przez Senat. Jeś...
Ponad pół miliona podatności udało się znaleźć dzięki udostępnieniu serwisu moje.cert.pl. To darmowe narzędzie, z którego korzysta już niemal 16 tysięcy użytkowników. To też ponad 19 tysięcy stron, które należą do instytucji, firm i osób prywatnych, których...
Wszyscy zgodzimy się, że warto wiedzieć, czy ktoś przypadkiem nie buszuje po naszej infrastrukturze — i to nie tylko wtedy, kiedy na jej styku stoi UTM od Fortinet ;) Wiele z sieci jest już od dawna przejętych, ale niestety nie każda firma potrafi wykryć, ż...
Włamanie do sklepu Morele.net miało miejsce w 2018 roku, ale funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości (CBZC) nie odpuścili. Udało im się ustalić osobę odpowiedzialną za atak i przedstawić jej zarzuty. Zakładamy, że większość naszych...
Zapraszamy do nowego wydania Weekendowej Lektury. Tym razem także nie zabrakło materiału do analizy – poniżej znajdziecie kilkadziesiąt linków, które mogą zapewnić Wam zajęcie na resztę weekendu. Miłego klikania! W dzisiejszym wydaniu szczególnie polecamy w...
Jechałeś A4 lub A2? To skarbówka może Cię wezwać do wniesienia opłaty za “nieopłacony przejazd autostradą” sprzed kilku (!) lat. I to mimo tego, że Ty przejazd opłaciłeś, a dziś podróż tym odcinkiem jest bezpłatna. Wiele osób po prostu płaci, choć niektóre...
Otrzymujemy informacje o tym, że oszuści zaczęli podszywać się pod Ministerstwo Finansów oraz Krajową Administrację Skarbową i rozsyłają e-maile dotyczące KSeF, które zawierają złośliwe załączniki, których uruchomienie może spowodować kradzież danych i pien...
W oprogramowaniu Quick.Cart wykryto 2 podatności różnego typu (CVE-2026-23796 i CVE-2026-23797)
Przywykliśmy do tego, że kamery i monitoring pojawiają się w różnych miejscach. Taksówkach, autobusach, budynkach, garażach, aptekach, a nawet osiedlowych sklepach. I większość osób nie ma z kamerami problemu, bo zakłada że do nagrań sięga się tylko “po prz...
Twój pociąg odjeżdża o 21:36. A nie, o 22:35. Nie, nie, jednak o 20:36. Każde odświeżenie strony daje nowy wynik, a żaden z nich nie jest prawidłowy. Koszmarny sen? Nie, tak naprawdę działa (czasem i dla niektórych klientów) oficjalny rozkład jazdy PKP onli...
W aplikacji mObywatel na system iOS wykryto podatność sktutkującą ujawnieniem danych osobowych nieuwierzytelnionemu atakującemu (CVE-2025-11598).
Jak zabezpieczam swoje (nie tylko cyfrowe) życie? Z jakich technologii korzystam, a jakie omijam? Komu powierzam swoje dane? Jak dbam o swoją prywatność? Już 10 lutego opowiem o wszystkim, jak na spowiedzi :) Dołączyć (także za darmo, ale tylko do startu we...
W oprogramowaniu EAP Legislator wykryto podatność pozwalającą na rozpakowanie archiwum plików poza katalogiem docelowym (CVE-2026-1186).
Zapraszamy do nowego wydania Weekendowej Lektury. Linków jest dużo, a czasu mało, materiały są jak zwykle całkiem ciekawe, nie będziemy zatem tracić czasu na wprowadzenie, tylko bierzcie się od razu do czytania. Miłego klikania! W dzisiejszym wydaniu szczeg...
W końcówce 2025 doszło do bezprecedensowego i skoordynowanego ataku na kilkadziesiąt obiektów w strukturach polskiego sektora energetycznego. Atakującym udało się włamać do co najmniej 30 obiektów typu OZE (farmy wiatrowe i fotowoltaiczne) ale także elektro...
29 grudnia 2025 miały miejsce niespotykane do tej pory w Polsce skoordynowane ataki na infrastrukturę energetyczną. Zespół CERT Polska opublikował właśnie bardzo szczegółowy raport (także w wersji angielskiej, podeślijcie kolegom i koleżankom z innych krajó...
Zespół CERT Polska przedstawia raport z analizy incydentu w sektorze energii, do którego doszło 29 grudnia 2025 roku. Ataki miały charakter destrukcyjny i były wymierzone w farmy wiatrowe i fotowoltaiczne, dużą elektrociepłownię oraz przedsiębiorstwo z sekt...
W oprogramowaniu routera LV-WR21Q wykryto 2 podatności różnego typu (CVE-2025-12386 oraz CVE-2025-12387)
Zapraszamy do nowego wydania Weekendowej Lektury, w którym pokazujemy, co nowego, ważnego i ciekawego wydarzyło się w minionym tygodniu w dziedzinach bezpieczeństwa i prywatności. Miłego klikania! W dzisiejszym wydaniu szczególnie polecamy w części fabularn...
W aplikacji Inkscape na system MacOS wykryto podatność umożliwiającą atak typu TCC Bypass (CVE-2025-15523).
W oprogramowaniu Quick.Cart wykryto 2 podatności różnego typu (CVE-2025-67683 oraz CVE-2025-67684)
W najbliższych tygodniach realizujemy szkolenia z dwóch tematów, które chcieliśmy Wam w dzisiejszym wpisie przybliżyć: 1. Bezpieczeństwo Sieci Komputerowych (Testy Penetracyjne) Termin: 28-30 stycznia, w Krakowie 2. Zaawansowany OSINT: pozyskiwanie informac...
W ostatnich dniach rodzice posiadający konta w dziennikach Librus i Vulcan, otrzymali od nauczycieli różnego rodzaju szokujące, kłamliwe, a niekiedy nawet sprośne wiadomości. Próbowano ich też okraść. Oczywiście, za tymi działaniami nie stali nauczyciele, a...
W aplikacji mobilnej Crazy Bubble Tea wykryto możliwość uzyskania danych osobowych innych użytkowników (CVE-2025-14317).
W oprogramowaniu Ysoft SafeQ 6 wykryto podatność polegająca na nieskutecznym maskowaniu hasła (CVE-2025-13175).
Pliki umów zawartych pomiędzy rodzicami a żłobkami w Łodzi były dostępne publicznie i możliwe do pobrania przez każdego. Powód? Błąd w aplikacji, która miała ułatwiać organizowanie pracy w żłobkach. Co się wydarzyło? Jak poinformowała nas pewna zaniepokojon...
W oprogramowaniu kamery Vivotek IP7137 wykryto 4 podatności różnego typu (od CVE-2025-66049 do CVE-2025-66052)
W oprogramowaniu routerów KAON CG3000T oraz CG3000TC wykryto zaszyte poświadczenia umożliwiające zdalne przejęcie urządzenia (CVE-2025-7072).
Możliwość nieautoryzowanego dostępu do dokumentacji medycznej została wykryta w oprogramowaniu Asseco AMDX (CVE-2025-4596).
W oprogramowaniu Asseco InfoMedica Plus wykryto 2 podatności różnego typu (CVE-2025-8306 oraz CVE-2025-8307).
W oprogramowaniu Kieback&Peter Neutrino-GLT wykryto podatność umożliwiająca wstrzyknięcie komend (CVE-2025-6225).
Zwykła przeglądarka PDF-ów i umiejętność kopiowania tekstu – tyle wystarczyło, aby poznać niektóre z “utajnionych” szczegółów sprawy Epsteina. Jak widzicie na przełomie lat 2025/2026 takie rzeczy ciągle się zdarzają. Zakładamy, że słyszeliście o sprawie Jef...
Obserwujemy falę e-maili, w których przestępcy podszywając się pod mBank, pod pretekstem aktualizacji numeru telefonu wyłudzają dane dostępowe do rachunku bankowego. Oto jak wygląda e-mail oraz docelowa strona udająca stronę logowania do mBanku: Nadawca: mB...
W oprogramowaniu routera WODESYS WD-R608U wykryto 5 podatności różnego typu (od CVE-2025-65007 do CVE-2025-65011)
W oprogramowaniu urządzeń Govee z łącznością sieciową wykryto podatność umożliwiającą przejęcie sterowania nad cudzymi urządzeniami (CVE-2025-10910).
W oprogramowaniu WaveStore Server wykryto 3 podatności typu Path Traversal (od CVE-2025-65074 do CVE-2025-65076)
Jak to jest z tym publicznym Wi-Fi? W internecie wciąż możecie trafić na informacje, że korzystanie z takiej otwartej sieci w kawiarni, hotelu lub na lotnisku, to proszenie się o kłopoty, bo hakerzy mogą w ten sposób wykraść hasła i dane. I owszem tak BYŁO....
W oprogramowaniu OpenSolution QuickCMSwykryto podatność typu SQL Injection (CVE-2025-12465).
W oprogramowaniu Wirtualna Uczelnia wykryto podatność umożliwiającą zdalne wykonanie kodu przez atakującego (CVE-2025-12140).
W oprogramowaniu routerów SDMC NE6037 wykryto podatność pozwalającą na wstrzyknięcia komend powłoki (CVE-2025-8890).
W oprogramowaniu SOPlanning wykryto 8 podatności różnego typu (od CVE-2025-62293 do CVE-2025-62297 oraz od CVE-2025-62729 do CVE-2025-62731)
W oprogramowaniu Times Software E-Payroll wykryto nieprawidłowe neutralizowanie danych wejściowych skutkujące możliwością wykonania ataku DoS oraz (prawdopodobnie) SQL Injection (CVE-2025-9977).
W oprogramowaniu Windu CMS wykryto 8 podatności różnego typu (od CVE-2025-59110 do CVE-2025-59117)
W oprogramowaniu OpenSolution QuickCMS wykryto 2 podatności różnego typu (CVE-2025-9982 oraz CVE-2025-10018)
W ostatnich miesiącach CERT Polska zaobserwowało nowe próbki złośliwego oprogramowania mobilnego związane z atakiem NFC Relay (NGate) wymierzonym w użytkowników polskich banków.
W oprogramowaniu Eveo URVE Smart Office wykryto podatność typu Cross-site Scripting (CVE-2025-10348).
W oprogramowaniu OpenSolution Quick.Cart wykryto podatność typu Cross-Site Request Forgery (CSRF) (CVE-2025-10317).
W oprogramowaniu mMedica firmy Asseco Poland S.A. wykryto podatność typu Authentication Bypass Using an Alternate Path or Channel i nadano jej identyfikator CVE-2025-9313.
W oprogramowaniu Studio Fabryka DobryCMS wykryto podatność typu 'SQL Injection' (CVE-2025-8536).
W oprogramowaniu Request Tracker firmy Best Practical wykryto podatność typu XSS i nadano jej identyfikator CVE-2025-9158.
W oprogramowaniu Vilar VS-IPC1002 wykryto 2 podatności różnego typu (CVE-2025-53701 oraz CVE-2025-53702)
W oprogramowaniu OpenSolution QuickCMS wykryto 2 podatności typu Cross-site Scripting (od CVE-2025-9980 do CVE-2025-9981)
W oprogramowaniu SIMPLE.ERP wykryto podatność typu SQL Injection i nadano jej identyfikator CVE-2025-9339.
W oprogramowaniu NetBird VPN wykryto podatność typu Use of Default Credentials (CVE-2025-10678).
W oprogramowaniu Strapi wykryto podatność typu Insufficient Session Expiration (CVE-2025-3930).
Opublikowaliśmy właśnie pierwszy raport miesięczny, podsumowujący nasze działania i obserwacje za wrzesień 2025. To początek nowej formuły komunikacji – chcemy regularnie informować o najważniejszych incydentach, trendach i aktywnościach zespołu.
W oprogramowaniu PAD CMS wykryto 9 podatności różnego typu (CVE-2025-7063, CVE-2025-7065 oraz od CVE-2025-8116 do CVE-2025-8122)
W oprogramowaniu CivetWeb wykryto podatność typu Improper Neutralization of NUL Character (CVE-2025-9648).
W oprogramowaniu GALAYOU G2 wykryto podatność typu Missing Authentication for Critical Function (CVE-2025-9983).
Współczesne ataki phishingowe wykorzystują dokładne kopie wizualne znanych serwisów, co uniemożliwia rozpoznanie oszustwa na podstawie wyglądu strony. Przedstawiamy metodę analizy adresów URL jako jedyną niezawodną technikę weryfikacji autentyczności witryn...
W oprogramowaniu Sparkle wykryto 2 podatności typu Incorrect Authorization (CVE-2025-10015 i CVE-2025-10016)
W oprogramowaniu urządzeń SMSEagle wykryto podatność typu SQL Injection (CVE-2025-10095).
W oprogramowaniu ITCube CRM wykryto podatność typu Path Traversal (CVE-2025-5993).
W oprogramowaniu GOV CMS wykryto podatność typu SQL Injection (CVE-2025-7385).
W oprogramowaniu Payload CMS wykryto 2 podatności różnego typu (CVE-2025-4643 oraz CVE-2025-4644)
W oprogramowaniu OpenSolution QuickCMS wykryto 6 podatności różnego typu (od CVE-2025-54540 do CVE-2025-55175)
W oprogramowaniu CGM CLININET wykryto 17 podatności różnego typu (pomiędzy CVE-2025-2313 a CVE-2025-30064)
W oprogramowaniu OpenSolution Quick.CMS oraz Quick.CMS.Ext wykryto 3 podatności różnego typu (CVE-2025-54172, CVE-2025-54174 oraz CVE-2025-54175).
W oprogramowaniu Akcess-Net Lepszy BIP wykryto podatność typu Cross-site Scripting (XSS) (CVE-2025-7761).
W oprogramowaniu GIMP (CVE-2025-8672), Mosh-Pro (CVE-2025-53811), Cursor (CVE-2025-9190), MacVim (CVE-2025-8597), Nozbe (CVE-2025-53813) oraz Invoice Ninja (CVE-2025-8700) na systemy MacOS wykryto podatności umożliwiające atak typu TCC Bypass.
Oddajemy w Państwa ręce dokument, którego podstawowym celem jest wsparcie w procesie ustanawiania CSIRT-ów oraz rozwijania ich zdolności operacyjnych. Chcemy, żeby proces tworzenia zespołów cyberbezpieczeństwa przebiegał w sposób uporządkowany, a same zespo...
W oprogramowaniu Flexibits Fantastical wykryto podatność typu Incorrect Authorization (CVE-2025-8533).
W oprogramowaniu TSplus Remote Access wykryto podatność umożliwiającą poznanie hasha PINu zabezpieczającego aplikację przed uruchomieniem (CVE-2025-5922).
W oprogramowaniu FARA firmy SIGNUM-NET wykryto podatność typu Use of Hard-coded Credentials (CVE-2025-4049).
W aplikacjach preinstalowanych na telefonach Bluebird wykryto 3 podatności typu "Improper Export of Android Application Components" (od CVE-2025-5344 do CVE-2025-5346).
W oprogramowaniu SUR-FBD CMMS wykryto podatność typu Use of Hard-coded Password (CVE-2025-3920).
W dwóch aplikacjach na systemy macOS została wykryta podatność typu TCC Bypass: Phoneix Code (CVE-2025-5255), Postbox (CVE-2025-5963).
CERT Polska obserwuje złośliwą kampanię e-mail prowadzoną przez grupę UNC1151 przeciwko polskim podmiotom z wykorzystaniem podatności w oprogramowaniu Roundcube.
W oprogramowaniu 2ClickPortal firmy Trol InterMedia wykryto podatność typu SQL Injection (CVE-2025-4568).
W aplikacjach preinstalowanych na telefonach Ulefone oraz Krüger&Matz wykryto 3 podatności różnego typu (od CVE-2024-13915 do CVE-2024-13917).
W trzech aplikacjach na systemy macOS została wykryta podatność typu TCC Bypass: Poedit (CVE-2025-4280), Viscosity (CVE-2025-4412), DaVinci Resolve (CVE-2025-4081)
W oprogramowaniu hackney wykryto nieprawidłowe zachowanie prowadzące do wyczerpania puli połączeń (CVE-2025-3864).
W oprogramowaniu kart hotelowych Be-Tech Mifare Classic wykryto podatność typu Cleartext Storage of Sensitive Information (CVE-2025-4053).
W oprogramowaniu Studio Fabryka DobryCMS wykryto podatność typu Cross-site Scripting (XSS) (CVE-2025-4379).
W oprogramowaniu MegaBIP wykryto 3 podatności różnego typu (od CVE-2025-3893 do CVE-2025-3895).
Na początku roku uruchomiliśmy serwis moje.cert.pl, podnoszący i rozwijający cyberbezpieczeństwo dzięki szeregowi usług i narzędzi. Od startu w serwisie zarejestrowało się ponad 11 tysięcy użytkowników. To dla nich włączamy dziś nową funkcję – komunikaty o...
W oprogramowaniu Proget wykryto 7 podatności różnego typu (od CVE-2025-1415 do CVE-2025-1421).
W oprogramowaniu EZD RP wykryto podatność typu Missing Authorization (CVE-2025-4430).
W oprogramowaniu Netis Systems WF2220 wykryto 2 podatności różnego typu (CVE-2025-3758 oraz CVE-2025-3759).
W oprogramowaniu Symfonia Ready_ wykryto 4 podatności różnego typu (od CVE-2025-1980 do CVE-2025-1983).
W module Internet Starter oprogramowania SoftCOM iKSORIS wykryto 11 podatności różnego typu.
Za nami kolejny rok działania zespołu CERT Polska. Rok absolutnie rekordowy, jeśli weźmiemy pod uwagę praktycznie wszystkie statystyki przytaczane w naszych dotychczasowych raportach. Za tymi liczbami stoi codzienna praca ekspertów, którzy każdego dnia dbaj...
Krajobraz zagrożeń występujących w polskiej cyberprzestrzeni ulega ewolucji. Z jednej strony obserwujemy dobrze znane z ostatnich lat kampanie phishingowe, których celem jest wyłudzenie loginów i haseł do popularnych usług e-mail lub serwisów społecznościow...
Problem oszustów działających za pośrednictwem platform społecznościowych jest wciąż aktualny. Firma Meta nie zrealizowała wszystkich przedstawionych w ubiegłym roku przez ekspertów z działającego w NASK zespołu CERT Polska postulatów, które miały zwiększyć...
W oprogramowaniu Streamsoft Prestiż wykryto 2 podatności różnego typu (CVE-2024-11504 oraz CVE-2024-7407).
W aplikacji Fast CAD Reader (Beijing Honghu Yuntu Technology) wykryto podatność CVE-2025-2098 typu Incorrect Privilege Assignment.
W oprogramowaniu OXARI ServiceDesk firmy Infonet Projekt SA wykryto podatność typu Incorrect Authorization (CVE-2025-1542).
W popularnym kontrolerze Ingress-Nginx w wersjach do 1.12.0 i 1.11.4 włącznie znaleziono krytyczne podatności umożliwiające zdalne wykonanie kodu bez konieczności uwierzytelnienia. Ingress-Nginx Ingress-Nginx jest domyślnym kontrolerem zarządzania ruchem si...
W oprogramowaniu SIMPLE.ERP wykryto 2 podatności różnego typu (CVE-2024-8773 oraz CVE-2024-8774).
W oprogramowaniu BotSense NASK-PIB wykryto podatność typu Improper Neutralization of Value Delimiters (CVE-2025-1774).
W oprogramowaniu MLJAR PlotAI wykryto podatność typu Command Injection (CVE-2025-1497).
W oprogramowaniu kamer Smartwares CIP-37210AT oraz C724IP wykryto 3 podatności różnego typu (od CVE-2024-13892 do CVE-2024-13894).
W oprogramowaniu CyberArk Endpoint Privilege Manager wykryto 5 podatności różnego typu (od CVE-2025-22270 do CVE-2025-22274).
W aplikacji DaVinci Resolve wykryto podatność CVE-2025-1413 typu Incorrect Privilege Assignment.
W oprogramowaniu Wyn Enterprise wykryto podatność CVE-2024-9150 pozwalającą uwierzytelnionemu użytkownikowi na eskalację uprawnień.