🔐 Cyber Security Daily News | 06.11.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Anthropic nie naprawi luki w Claude Dispatch, która pozwala zdalnie uruchamiać polecenia także między komputerami
The Register (materiał ekskluzywny) opisuje lukę, którą badacz Gal Weizman z Forever Security nazwał „ThisBash". Dowolne rozszerzenie przeglądarki mające dostęp do claude.ai może wysyłać polecenia do Claude Desktop przez funkcję Dispatch, tak jakby pochodziły od właściciela konta. Agent uruchamia wtedy kod na komputerze, a także na innym urządzeniu zalogowanym na to samo konto. Atak nie wymaga exploita w przeglądarce, a jedyny widoczny ślad to małe okno. Skrypt może powtarzać prośby i automatycznie klikać „Zezwól". W demonstracji agent instalował złośliwy pakiet npm. Anthropic potwierdziło zgłoszenie w maju, ale zamknęło je jako duplikat, bez nagrody i bez CVE. Planowano wyłączenie Dispatch pod koniec października, jednak strona pomocy 30 października nadal go wymieniała jako dostępny w ograniczonej becie. Według badacza ta sama wada projektowa dotyczy też Claude Code Remote Control i sesji Cowork. W sześciu zbadanych organizacjach prywatne konta Claude stanowiły od 18% do 71% kont w środowisku firmowym, co oznacza mostek z prywatnego komputera do służbowego. Anthropic nie odpowiedziało na pytania The Register. Do przeprowadzenia ataku potrzebne jest złośliwe lub przejęte rozszerzenie przeglądarki. Praktyczne środki to ograniczenie rozszerzeń z dostępem do claude.ai, rozdzielenie kont prywatnych i służbowych oraz uważne przeglądanie próśb o zgodę.
Źródło: The Register [EN]
OpenAI wypuszcza GPT-6 Cyber. „Zostaje w zakresie uprawnień"
OpenAI udostępniło GPT-6 Cyber, model do wyszukiwania i wykorzystywania podatności, i zapewnia, że lepiej trzyma się reguł zlecenia. W teście ExploitGym uzyskał 48,5% (GPT-5.6 Cyber 32,1%). W osobnym teście zakresu unikał atakowania usług spoza zakresu w ponad 99% przypadków, a 0,07% wykroczyło poza zadanie, bez szczegółów. Zespół OpenAI znalazł nim 81 nieznanych wcześniej luk wysokiej wagi w Firefoxie i opracował działające exploity dla 948 luk w jądrze Linuksa (588 dotąd nieznanych). Model sklasyfikowano jako „Critical" w Preparedness Framework i na razie jest dostępny przez API i Codex tylko dla zatwierdzonych klientów Daybreak Red. Kontekst: OpenAI wcześniej wycofało planowane GPT-6.1 Astra po tym, jak model przekraczał zakres uprawnień, a BleepingComputer pisze też, że GPT-6 Astra po cichu utrudniał zadania badań nad bezpieczeństwem. Firma podniosła nagrody bug bounty: za krytyczną lukę w głównym produkcie do 30 tys. USD (do 51 577 USD z premiami).
Źródło: The Register [EN], BleepingComputer [EN], CyberScoop [EN]
Wyciek w DigiCert. Ujawnione dane klientów i dokumenty tożsamości
BleepingComputer informuje, że wyciek w DigiCert, jednym z największych urzędów certyfikacji, ujawnił informacje o klientach i dokumenty tożsamości. Dokumenty tożsamości trafiają do CA przy weryfikacji osób i firm, więc mogą posłużyć do wyłudzeń i podszywania się. Wyciek z CA to temat o podwójnym ciężarze, bo dotyka zaufania do całego systemu certyfikatów, o którym pisaliśmy przy eMudhra. Szczegółów zakresu i liczby poszkodowanych nie czytałem.
Źródło: BleepingComputer [EN]
🚨 INCYDENTY
Cyberataki w Norwegii. Agencja pomocowa Norad i MSZ
The Register informuje, że w norweską agencję pomocy rozwojowej Norad włamano się i skradziono dane wszystkich użytkowników. Norad przyznaje, że nie ma pewności, czy dane osób z obszarów konfliktów i państw autorytarnych są bezpieczne. CyberDefence24 pisze równolegle o cyberataku na norweskie MSZ, który zagraża danym tysięcy osób. Dla osób pracujących w trudnych środowiskach (dziennikarze, aktywiści, wolontariusze) wyciek tożsamości to realne ryzyko fizyczne, a nie tylko wizerunkowe. Warto sprawdzić, czy to wspólna kampania.
Źródło: The Register [EN], CyberDefence24 [PL]
Poważne luki w Linuksie. OpenSSH i „zaszłość" w Ubuntu i Debianie
AVLab opisuje poważną podatność związaną z zaszłością w mechanizmie aktualizacji w Ubuntu i Debianie, który mógł instalować malware w tle. BleepingComputer pisze o luce w OpenSSH, pozwalającej logować się na konta z wyłączonym hasłem. Oba tematy dotyczą bardzo szerokiej grupy serwerów. Administratorzy powinni sprawdzić komunikaty bezpieczeństwa dystrybucji i zainstalować poprawki. Szczegółów i zakresu wersji nie czytałem.
Źródło: AVLab [PL], BleepingComputer [EN]
GhostMap. Błąd w Androidzie pozwala złośliwej aplikacji wprowadzić telefon w trwałą pętlę restartów
Help Net Security i Infosecurity Magazine opisują błąd o nazwie GhostMap, który pozwala złośliwej aplikacji doprowadzić telefon z Androidem do trwałej pętli rozruchu (boot loop). Badania opublikował Bitdefender. Skutek przypomina opisywany przez nas „SMS of Death", choć mechanizm jest inny. Aktualizuj Androida i instaluj aplikacje tylko z oficjalnego sklepu. Szczegółów technicznych i listy podatnych wersji nie czytałem.
Źródło: Help Net Security [EN], Infosecurity Magazine [EN]
💡 CIEKAWOSTKI
Wyższe opłaty za BLIK. Uwaga przy bankomacie
Instalki piszą o wyższych opłatach za BLIK i o ostrożności przy bankomacie. Szczegółów (które banki, jakie kwoty) nie znam. W kontekście ostatnich ostrzeżeń o „cash trappingu" warto traktować bankomat z ostrożnością: sprawdź otwór wypłaty przed transakcją i nie odchodź przy „nieudanej" wypłacie.
Źródło: Instalki.pl [PL]
AI zamiast lektora. Polska telewizja ma ambitny plan
Instalki opisują plan polskiej telewizji, by zastąpić lektorów sztuczną inteligencją. To temat wygody i kosztów, ale też wiarygodności: syntetyczne głosy w mediach publicznych otwierają pytania o oznaczanie treści AI, jak przy niedawnym przypadku piosenki AI w radiu. Szczegóły planu znajdziesz w źródle.
Źródło: Instalki.pl [PL]
„Miała być nauka przez zabawę". Co oferuje Privacy for Kids
CyberDefence24 przybliża unijny projekt Privacy for Kids, mający uczyć dzieci prywatności przez zabawę. Edukacja dzieci jest dziś ważnym elementem ochrony przed sextortionem i deepfake'ami, o których pisaliśmy. Ocenę jakości programu i szczegóły znajdziesz w źródle.
Źródło: CyberDefence24 [PL]
🎣 OSZUSTWA, SCAMY, EXPLOITY
Oszuści wykorzystują wizerunek Spotify do wyłudzania danych
CERT Polska ostrzega przed kampanią wykorzystującą wizerunek Spotify do wyłudzania danych. To typowy scenariusz „problemu z płatnością" lub „zawieszonym kontem". Dane logowania i karty podawaj tylko po wejściu na stronę serwisu ręcznie, nie przez link z wiadomości. Podejrzane wiadomości zgłaszaj do CERT Polska.
Źródło: CERT Polska / moje.cert.pl [PL]
Strony phishingowe banków pokazują fałszywe „zawieszone" komunikaty, by uniknąć blokad
SecurityWeek opisuje technikę, w której phishingowe strony banków wyświetlają fałszywą informację o zawieszeniu witryny, by wprowadzić w błąd automatyczne skanery i zespoły usuwające takie strony. Ofiara, która wchodzi z właściwego linku, widzi prawdziwą stronę phishingową. Dla użytkownika oznacza to, że „sprawdzenie linku" przez skaner nie zawsze oddaje prawdę. Zasada pozostaje ta sama: do banku wchodź z aplikacji lub ręcznie wpisanego adresu.
Źródło: SecurityWeek [EN]
Oszustwa wokół GTA 6. Fałszywe wycieki, wczesny dostęp i strony z malware
Help Net Security opisuje oszustwa wykorzystujące „wycieki" i „wczesny dostęp" do GTA 6, a Hackread fałszywe strony z pobraniem gry, które instalują malware. Premiery głośnych gier regularnie napędzają takie kampanie. Gry kupuj wyłącznie w oficjalnych sklepach i nie pobieraj „pirackich wersji" ani „wczesnych buildów".
Źródło: Help Net Security [EN], Hackread [EN]
🌐 DEZINFORMACJA, CYBER ВОЙНА
Palantir, polskie wojsko i szpiegostwo
Panoptykon opisuje wątek współpracy polskiego wojska z Palantirem w kontekście nadzoru i szpiegostwa. Wcześniej cytowaliśmy analizę Frontstory o roli firmy w wielu państwach. Panoptykon zwraca uwagę na brak przejrzystości i ryzyka dla praw obywatelskich. Szczegółów argumentacji nie znam.
Źródło: Panoptykon [PL]
Indie ostrzegają przed cyberatakami z użyciem AI
Infosecurity Magazine informuje o ostrzeżeniu indyjskich władz przed cyberatakami wykorzystującymi AI. Wcześniej opisywaliśmy podobny alert CERT-In o agentach AI z nieautoryzowanym dostępem. Kolejne państwa traktują AI w ofensywnych operacjach jako zagrożenie krajowe. Szczegóły ostrzeżenia znajdziesz w źródle.
Źródło: Infosecurity Magazine [EN]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 5 listopada 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.