🔐 Cyber Security Daily News | 11.11.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Cyberatak na system ePUAP. Resort: infrastruktura jest bezpieczna
Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował we wtorek 10 listopada tuż przed 21:00, że wykryto i zatrzymano cyberatak na państwowy system ePUAP. Zespoły bezpieczeństwa podjęły działania, by utrzymać stabilność systemu. Według komunikatu na portalu ePUAP skrzynki są niedostępne zarówno dla obywateli, jak i dla urzędów, a skala i czas trwania przerwy nie zostały podane. Od początku 2026 r. obywatele i firmy kontaktują się z urzędami głównie przez e-Doręczenia, a ePUAP służy urzędom tylko w wybranych przypadkach, np. w korespondencji między urzędami i z sądami administracyjnymi. Resort twierdzi, że infrastruktura Centralnego Ośrodka Informatyki jest bezpieczna, a do wyjaśnienia incydentu włączono ABW. Artykuł nie precyzuje typu ataku ani sprawców i nie zawiera zaleceń, więc warto śledzić komunikaty resortu i portalu.
Źródło: CyberDefence24 [PL]
Wykorzystywany zero-day w Outlooku wśród 1094 luk załatanych przez Microsoft
Listopadowy Patch Tuesday przyniósł 1094 poprawki: 726 dla Windowsa, 174 dla Office'a, 59 dla SQL Server, a także m.in. dla SharePointa i Exchange. To mniej niż rekordowe 1413 z października, ale od początku roku Microsoft załatał już ponad 5000 luk. Jedyną wykorzystywaną w atakach luką jest CVE-2026-124194 w Outlooku, ocenioną jako „moderate" (CVSS 6.5). To spoofing: po otwarciu spreparowanego pliku wiadomości Outlook łączy się z lokalizacją atakującego bez zwykłego ostrzeżenia, co ujawnia skrót NTLMv2 użytkownika. Atak nie uruchamia się z samego podglądu wiadomości, a dotyczy Microsoft 365 Apps for Enterprise oraz Office LTSC 2021 i 2024. Microsoft nie podał szczegółów zaobserwowanych ataków, a w podziękowaniach dla zgłaszającego pojawia się wzmianka o modelu Claude. To ostatnie miesięczne aktualizacje dla edycji Enterprise i Education Windows 11 23H2.
Źródło: SecurityWeek [EN]
🚨 INCYDENTY
Nitori, „IKEA Japonii", przyznaje się do wycieku do 37,6 mln rekordów klientów
Japońska sieć meblowa (879 sklepów w Japonii i 219 za granicą) poinformowała, że ktoś uzyskał nieuprawniony dostęp do jednego z jej systemów. Według śledztwa napastnik mógł mieć dostęp od połowy października, a firma wykryła włamanie 6 listopada i zablokowała dostęp. Potencjalnie wyciekło do 37,62 mln rekordów (tytuł mówi o 3,76 mln, ale treść podaje 37,62 mln). Dotyczy to numerów członkowskich, imion i nazwisk, adresów, telefonów, dat urodzenia i płci, danych firm-klientów oraz szczegółów zamówień z Nitori Net i sklepów na marketplace'ach. Firma zapewnia, że hasła i dane kart nie zostały ujawnione. Zgłoszono to japońskiemu urzędowi ochrony danych i policji, a klienci mają dostać powiadomienia. Nitori ostrzega przed phishingiem i zapewnia, że nigdy nie prosi o hasła, numery kart ani PIN-y. Atakującego nie wskazano, a artykuł nie opisuje, jak doszło do włamania.
Źródło: BleepingComputer [EN]
Groźba ransomware zabrzmiała z komputerów Uniwersytetu Vanderbilta
Uczelnia z Nashville ogłosiła 9 listopada „aktywny incydent cyberbezpieczeństwa" i poleciła studentom oraz pracownikom wyłączyć urzędowe urządzenia i odłączyć się od uczelnianego Wi-Fi. Według uczelnianej gazety z komputerów kampusu odtwarzano nagranie z groźbą od grupy BYOD, o treści „You have been compromised by BYOD". Grupa przyznała się do ataku i twierdzi, że ma ponad milion numerów SSN, dane studentów i pracowników oraz pełną kontrolę nad kontrolerem domeny. Vanderbilt nie potwierdził tych twierdzeń, a artykuł nie wspomina o kwocie okupu. Wi-Fi przywrócono tego samego wieczoru, ale dostęp do większości systemów pozostał ograniczony. Zajęcia we wtorek odbyły się normalnie, a niedostępny był system biletów sportowych. BYOD wcześniej przyznawał się do ataków m.in. na University of New Mexico, a tego samego dnia także na Texas Health and Human Services, które nie potwierdziło incydentu.
Źródło: The Register [EN]
Luka RCE w SGLang pozwoliła włamać się do serwerów NEAR AI
Napastnik wykorzystał lukę zdalnego wykonania kodu w SGLang, otwartym silniku inferencji, i uruchomił kod na serwerze NEAR AI przetwarzającym żądania w trybie poufnym, wewnątrz TEE. NEAR AI zauważyło, że TEE „nie chroni przed podatnością w oprogramowaniu działającym wewnątrz", więc atakujący mógł zobaczyć żądania z tego dnia i przejść dalej w systemach. W wycofanym produkcie Private Chat pobrano dane ok. 100 kont (e-maile, imiona, część informacji o planach i saldzie), bez śladów dostępu do rozmów i plików. W starszym wdrożeniu agentów poza TEE napastnik dotarł do 18 agentów i zabrał historię czatów, ustawienia i logi. Dwa klucze API klientów wyciekły w logach i zostały unieważnione. NEAR AI nie podało numeru CVE ani wersji SGLang, nie wyjaśniło, czy chaty z asystenta Leo w Brave przechodziły przez ten serwer, a poprawkę wdrożyło na wszystkich serwerach i zgłosiło ją projektowi SGLang.
Źródło: The Hacker News [EN]
💡 CIEKAWOSTKI
Badaczka obeszła zabezpieczenia inteligentnych okularów Meta i uruchomiła własny kod
Badaczka znana jako pamoutaf znalazła obejście dla okularów Ray-Ban Meta, sterowanych przez aplikację Meta AI na telefonie. W firmware do wersji 126 okulary nie sprawdzały, czy instalowane oprogramowanie pochodzi od Meta, więc mogła podstawić własną aplikację. Wersja 127 dodała sprawdzanie podpisu cyfrowego, ale przełącznik tej kontroli był odczytywany z pliku ustawień dostarczonego przez telefon, a okulary sprawdzały tylko, czy plik jest poprawnie zbudowany, a nie czy go zmieniono. Zmiana jednego bajtu wyłączała weryfikację podpisu. Po uruchomieniu aplikacji mogła wysyłać polecenia do okularów z telefonu przez łączność bezprzewodową, choć opisuje proces jako trudny. Artykuł nie zawiera stanowiska Meta, a badaczka nie zademonstrowała dostępu do kamery ani nagrań, ale to potencjalne ryzyko urządzenia noszonego cały dzień. Rady: aktualizuj firmware i aplikację oraz unikaj nieoficjalnych aplikacji i modyfikacji.
Źródło: Malwarebytes [EN]
Bielik 3.1, nowa wersja polskiego modelu AI, rozumie 56 języków
Nową wersję przygotowały Fundacja SpeakLeash i Cyfronet AGH. Bielik 11B v3.1 dotrenowano na 500 mld tokenów, a liczba obsługiwanych języków wzrosła z 32 do 56, w tym wszystkie urzędowe języki UE oraz m.in. arabski, chiński, japoński i koreański. Według artykułu model zachował mocne strony w polskim, a wyniki w benchmarkach wzrosły (Belebele o 8 punktów procentowych, INCLUDE o 5). W teście obsługi klienta τ²-bench wypadł o 16–45 punktów lepiej niż poprzednik, zależnie od scenariusza. Model potrafi planować kroki i używać narzędzi dzięki wywoływaniu funkcji, odpowiedziom w zadanym formacie i trybowi rozumowania. Premierze towarzyszą Bielik-One, czyli cztery modele klasyfikujące do sortowania maili czy moderacji treści, oraz DFlash przyspieszający generowanie. Podczas Bielik Summit 2026 (26 listopada) twórcy mają pokazać multimodalny model o ponad 100 mld parametrów. Artykuł nie podaje nazwy licencji, tylko zapowiada udostępnianie wag w duchu open science.
Źródło: Telepolis.pl [PL]
Reddit przerabia wpisy z forum na recenzje sprzętu pisane przez AI
Reddit testuje Reddit Reviews, czyli subplatformę, która zbiera opinie użytkowników o produktach i przerabia je na zbiorcze recenzje pisane przez AI. Obejmuje sprzęt od ekspresów po telefony i produkty higieniczne. Bot łączy komentarze z całego serwisu w jedną „super-recenzję" z proporcją opinii pozytywnych, mieszanych i negatywnych oraz listą zalet i wad. Kliknięcie w komentarz prowadzi do oryginalnej dyskusji, a recenzje mogą zawierać zdjęcia, ceny i linki do sklepów od marek lub sprzedawców. Na start ma być ok. 10 tys. produktów dla użytkowników z USA, a w 2027 r. baza ma się rozrosnąć i trafić na świat. Autor jest sceptyczny: obawia się, że komercyjne boty będą zawyżać oceny, a wolontariusze-moderatorzy nie wystarczą jako ochrona, i że fora, dotąd miejsce weryfikacji produktów w praktyce, przejmą budżety reklamowe. Radzi zaglądać do oryginalnych dyskusji, bo syntetyczna recenzja nie zawsze oddaje realny obraz.
Źródło: Telepolis.pl [PL]
🎣 OSZUSTWA, SCAMY, EXPLOITY
Wykorzystywane obejście uwierzytelniania w Xen Orchestra pozwala przejmować serwery wirtualizacji
Vates, firma stojąca za Xen Orchestra, ostrzega przed luką VSA-2026-062 (w chwili publikacji bez CVE), którą wykorzystuje aktywnie jeden z napastników. Błąd tkwi w parsowaniu ciasteczka authenticationToken w REST API: spreparowana wartość zamienia się w pusty obiekt, który kod uwierzytelniający przekazuje bez sprawdzenia typu, a wyszukiwanie tokena zwraca pierwszy nieprzedawniony token i loguje żądanie jako jego właściciela. Daje to uprawnienia administratora bez poświadczeń, a stąd wykonanie dowolnego kodu na zarządzanych pulach i przejęcie węzła XCP-ng jako root. Wskaźniki włamania to żądania z authenticationToken=j:{}, działająca maszyna „pivot2" i pliki w /etc/cron.d/zz-ustar*, a infrastruktura atakujących jest powiązana z serwerem C2 RedLine Stealer. Poprawki wprowadzono w Xen Orchestra 6.9.1 i 6.10.0 (xo-server 5.211.2 i 5.213.1). Jeśli nie możesz od razu łatać, nie wystawiaj instancji do internetu i blokuj wzorzec pustego tokena na WAF-ie lub reverse proxy.
Źródło: The Hacker News [EN]
Zanim kupisz kalendarz adwentowy, sprawdź te sygnały ostrzegawcze
Malwarebytes zbadał sklepy internetowe sprzedające po jednym produkcie (m.in. kalendarze muzyczne, figurki, doniczki), zwykle tanie towary z wysoką marżą. Nie znalazł dowodów, że strony zbudowano do kradzieży danych kart, ale wskazuje ryzyko wprowadzających w błąd obietnic oraz płacenia za coś, co nie dotrze lub nie zgadza się z opisem. Czerwone flagi to sztuczna pilność (liczniki, które się resetują), ocena i opinie wpisane ręcznie do motywu strony, płatne dodatki sięgające prawie 35 dolarów oraz sprzeczne opisy, np. „działa offline" i „działa ze Spotify". Sklepy mają wspólny motyw i odcisk techniczny, są świeże (pliki z lipca–września), bez adresu i telefonu, a zdjęcia produktów wyglądają na wygenerowane przez AI. W filmach pojawiały się też niepotwierdzone deklaracje partnerstwa z Walmartem. Rady: wyszukaj markę osobno, zrób odwrotne wyszukiwanie obrazów, sprawdź adres i firmę, a płać kartą lub usługą z ochroną kupującego.
Źródło: Malwarebytes [EN]
RCE w WordPressie podczas aktualizacji, czyli luka prawie niemożliwa do wykorzystania
Luka CVE-2026-119977 pozwala na zdalne wykonanie kodu z uprawnieniami użytkownika PHP, a więc z dostępem do plików serwisu. W bazie CVE oceniono ją jako „High" na podstawie analizy Wordfence, a zespół WordPressa w swoim komunikacie jako „Low". Atakujący musiałby odpytać setup-config.php w niemal idealnym momencie, czyli podczas trwającej aktualizacji WordPressa. Autor przyznaje, że atak można zautomatyzować narzędziem wysyłającym żądania w krótkich odstępach, ale w profesjonalnych wdrożeniach jego szanse ocenia jako praktycznie zerowe. Krytykuje branżę za automatyczne nadawanie wysokich ocen lukom w popularnym oprogramowaniu bez oceny praktycznej wykorzystywalności. Artykuł nie podaje wersji dotkniętych ani poprawionych. Zalecenia: aktualizacje przez Git i CI/CD zamiast z Kokpitu, wyłączenie automatycznych aktualizacji, rate limiting, WAF, ograniczenie ruchu wychodzącego i mniej wtyczek.
Źródło: AVLab [PL]
🌐 DEZINFORMACJA, CYBER ВОЙНА
Turla zamieniła serwery Exchange w swoje centrum dowodzenia
ESET opisał dotąd nieznany zestaw narzędzi Cereal, który z wysoką pewnością przypisuje rosyjskiej grupie Turla (według CISA powiązanej z Centrum 16 FSB). ESET znalazł go 28 listopada 2025 r. w organie rządowym w Kazachstanie, a 23 grudnia skompromitowano organ w Rumunii, gdzie narzędzie oznaczało wiadomości do i od NATO i UE. Cereal działa na serwerach Microsoft Exchange i w większości składa się z modułowego kodu .NET ładowanego z szyfrowanej postaci do pamięci. Backdoor CerealNeuron nie ma wbudowanych komend i czeka na instrukcje w ruchu wyglądającym jak zwykły Outlook Web Access, Autodiscover i ActiveSync. Moduł CerealBox kradnie e-maile z dokumentami i PDF-ami, wstrzykując się w proces EdgeTransport.exe bez rejestrowania nowego agenta transportu. ESET nie znalazł serwera kontrolowanego przez atakujących, bo punktem dowodzenia jest sam internetowy Exchange ofiary, więc blokowanie sieciowe jest bardzo trudne. Sprawdzaj nietypowe DLL-e w katalogu zarządzania Windows i w cache natywnych obrazów .NET, a nie polegaj na czystej liście agentów transportu.
Źródło: Security Affairs [EN]
Trzy chińskie kampanie szpiegowskie połączone ekosystemem Sparrow
Check Point opisał trzy klastry (SilentDelivery, OceanGate i DarkWire), które pozornie były osobnymi operacjami, a dzielą infrastrukturę i podobieństwa kodu w ekosystemie malware Sparrow. Check Point przypisuje framework podmiotowi o kryptonimie CopperDragon, który ocenia jako twórcę narzędzi dla kilku grup powiązanych z Chinami (m.in. FamousSparrow, Earth Estries i Tropic Trooper). SilentDelivery od początku 2026 r. wstrzykuje JavaScript do legalnych stron i pokazuje fałszywe ostrzeżenie o certyfikacie z „narzędziem naprawczym", które instaluje backdoor SquadC. OceanGate atakuje organizacje w Azji, wchodząc przez serwery Linux, kradnąc poświadczenia i przechodząc na Windows przez RDP, z rootkitami na poziomie jądra. DarkWire od połowy 2025 r. celuje w telekomy i rządy w Ameryce Łacińskiej, często z adresami IP w kraju ofiary. Cele to telekomy, rządy, wojsko, instytuty badawcze i infrastruktura krytyczna w Ameryce Łacińskiej, Azji i Europie. Wspólny mianownik to kradzież poświadczeń (zrzut LSASS, keylogger) i DLL sideloading.
Źródło: The Hacker News [EN]
Rosja, MAGA i konta z Izraela. Kto wykorzystywał zamieszki we Francji
Reuters dotarł do dwóch wewnętrznych raportów (unijnego za 7–21 października i francuskiego MSZ) o dezinformacji wokół zamieszek we Francji. Według UE stała za nią sieć Matrioszka (Operation Overload), która rozpowszechniała spreparowane nagrania podszywające się pod zachodnie redakcje. Raport francuskiego MSZ wskazuje, że podobne narracje, łączące zamieszki z migracją i radykalnym islamizmem, rozpowszechniały też konta powiązane z ruchem MAGA i z Izraelem. W analizie platformy X z 16–18 października dziesięć najpopularniejszych wpisów prorosyjskich kont miało ok. 2,8 mln wyświetleń, MAGA i powiązanych kont ponad 49 mln, a izraelskich ponad 35 mln. Metody obejmowały klonowanie głosów ekspertów przez AI i fałszowanie nagłówków prasowych. Zastrzeżenia: nie wszystkie wpisy były fałszywe lub skoordynowane, wyświetlenia nie pokazują wpływu na poglądy, a według raportu UE nie ma dowodów, że obce podmioty wywołały lub eskalowały protesty. Eksperci mówią o oportunistycznym wykorzystaniu istniejących napięć.
Źródło: CyberDefence24 [PL]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 10 listopada 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.