Lista kontrolna bezpieczeństwa VPS: październik 2026

Październik 2026 roku okazał się jednym z najtrudniejszych miesięcy pod względem bezpieczeństwa serwerów. Krytyczne luki wykryto w PHP, Node.js, nginx, GitLab, Redis, a nawet w certyfikatach, którym ufa cały internet. Część z tych luk hakerzy już wykorzystują.

Zebraliśmy wszystko na jednej liście. Potraktuj ją jak przegląd techniczny samochodu: przejdź przez poszczególne punkty i zaznacz te, które dotyczą Twojego serwera. Zacznij od tabeli zbiorczej. Jeśli nie korzystasz z danego programu, po prostu pomiń jego sekcję.

Tabela zbiorcza

„Luka jest już wykorzystywana” oznacza, że amerykańska agencja cyberbezpieczeństwa CISA umieściła ją w wykazie aktywnie wykorzystywanych podatności. Takie problemy należy usuwać w pierwszej kolejności.

1. PHP

Co się stało. Dwie krytyczne luki PHP2Shell umożliwiają wykonanie kodu na serwerze bez podawania hasła. 26 października CISA potwierdziła, że są już wykorzystywane w atakach. Istnieje też trzecia luka — CVE-2026-115560. Na razie nie ma dla niej poprawki.

Kogo to dotyczy. Wszystkich, którzy mają witrynę opartą na PHP: WordPress, Joomla, Bitrix, Laravel, OpenCart.

Co zrobić

php -v

Zaktualizuj PHP do wersji wskazanej w tabeli i uruchom ponownie PHP-FPM. Następnie dodaj do pliku php.ini wiersz:

session.upload_progress.enabled = 0

To zabezpiecza przed trzecią luką do czasu udostępnienia poprawki.

Szczegółowa instrukcja: PHP2Shell: jak sprawdzić swój serwer

2. Certyfikaty (ca-certificates)

Co się stało. Urząd certyfikacji eMudhra używał kluczy prywatnych, które można odgadnąć w ciągu sekundy. Jeden z kluczy był równy liczbie 4. Za ich pomocą można podszyć się pod rzekomo „bezpieczną” stronę banku lub systemu płatności. Przeglądarki zostały już zaktualizowane, ale nie wszystkie serwery.

Kogo to dotyczy. Niemal wszystkich: stron internetowych, skryptów i botów łączących się z API, systemami płatności lub pocztą.

Co zrobić

# Ubuntu и Debian
sudo apt update && sudo apt install --only-upgrade ca-certificates

# AlmaLinux и Rocky Linux
sudo dnf upgrade ca-certificates

Osobno zaktualizuj Python (pakiet certifi), Node.js, Go i Javę. Korzystają one z własnych magazynów certyfikatów. Przebuduj obrazy Dockera z flagą --pull.

Szczegółowa instrukcja: Klucz certyfikatu okazał się liczbą 4

3. Node.js i Next.js

Co się stało. W mechanizmie dekompresji Brotli znaleziono błąd umożliwiający wykonanie kodu przez atakującego. Node.js naprawił go 21 października, a 27 października CISA potwierdziła, że luka jest już wykorzystywana. W Next.js wykryto dwie krytyczne luki: jedną związaną z obrazami SVG, a drugą z pamięcią podręczną.

Ważne: Brotli jest używane nie tylko przez Node.js. Biblioteka jest również wbudowana w Pythona i wiele innych programów. Dlatego zaktualizuj także systemowy pakiet brotli. Poprawione wersje biblioteki to 1.0.10, 1.1.1 i 1.2.1.

Kogo to dotyczy. Wszystkich, którzy mają strony, API lub boty oparte na Node.js, a także wszystkich witryn opartych na Next.js.

Co zrobić

node -v
npm ls next sharp

Zaktualizuj Node.js do 22.23.4, 24.22.1 lub 26.12.1, Next.js do 16.4.1+ lub 15.5.28+, a sharp do 0.35.5+. Następnie przebuduj i uruchom ponownie aplikację. Node.js 20 i starsze wersje nie otrzymają poprawek.

Szczegółowa instrukcja: Node.js i Next.js: dwie krytyczne luki w ciągu tygodnia

4. Redis

Co się stało. W sierpniu i wrześniu Redis naprawił ponad tuzin luk. Wśród nich znalazły się: obejście uwierzytelniania certyfikatem TLS, wykonanie kodu za pomocą specjalnie przygotowanego pliku bazy danych oraz obejście uprawnień w transakcjach. Ponadto niezaszyfrowane węzły klastra mogły dopuścić połączenie z obcym serwerem.

Redis jest jak sejf z danymi witryny. Nawet jeśli sejf jest zamknięty, lepiej nie wystawiać go na widok z ulicy.

Kogo to dotyczy. Wszystkich korzystających z Redis: do buforowania stron, kolejek, sesji, Chatwoot i wielu innych usług.

Co zrobić

redis-server --version

Zaktualizuj Redis do 8.10.2, 8.8.3, 8.6.7, 8.4.7 lub 8.2.10. Sprawdź, czy porty 6379 i 16379 nie są dostępne z internetu:

ss -ltnp | grep -E ':6379|:16379'

Jeśli przy porcie widnieje 0.0.0.0, Redis nasłuchuje na wszystkich adresach. Zablokuj port w zaporze sieciowej lub ustaw bind 127.0.0.1 w konfiguracji.

5. PostgreSQL

Co się stało. W sierpniu PostgreSQL naprawił 28 luk bezpieczeństwa. To rekord dla jednej aktualizacji. Najgłośniejsza z nich otrzymała nazwę PostGREShell (CVE-2026-6471). Za pośrednictwem mechanizmu replikacji użytkownik mający wyłącznie uprawnienia do replikacji mógł przejąć pełną kontrolę nad bazą danych i wykonać kod na serwerze. Błąd ma 12 lat i występuje we wszystkich wersjach od 9.4 do 18.

Kogo to dotyczy. Wszystkich korzystających z wersji PostgreSQL starszej niż sierpniowe wydanie.

Co zrobić

psql --version

Zaktualizuj do 18.6, 17.11, 16.15, 15.19 lub 14.24. Aktualizacja w ramach tej samej wersji głównej nie wymaga zrzutu bazy danych. Wystarczy zaktualizować pakiet i ponownie uruchomić usługę.

Uwaga, użytkownicy PostgreSQL 14: 12 listopada ukaże się ostatnia aktualizacja tej wersji. Potem nie będzie już żadnych poprawek. Warto zaplanować migrację do wersji 16, 17 lub 18.

6. Jądro Linux

Co się stało. W ciągu 2026 roku w jądrze Linux wykryto serię błędów o charakterystycznych nazwach: Copy Fail, Dirty Frag, Fragnesia i PinTheft. Wszystkie umożliwiają zwykłemu użytkownikowi serwera uzyskanie uprawnień administratora (root).

To tak, jakby wpuścić gościa do przedpokoju, a on znalazł sposób na otwarcie wszystkich pokoi i sejfu.

W październiku badacze przypadkowo opublikowali również szczegóły siedmiu kolejnych luk w jądrze, zanim udostępniono poprawki. Dwie z nich dotyczą modułu ksmbd. To serwer plików wbudowany w jądro, obsługujący foldery sieciowe Windows. Na większości serwerów nie jest włączony.

Kogo to dotyczy. Przede wszystkim serwerów obsługujących wielu użytkowników, witryny należące do różnych właścicieli lub kontenery Dockera.

Co zrobić

uname -r

Zaktualizuj system i uruchom ponownie serwer. Bez restartu nowe jądro nie zacznie działać.

# Ubuntu и Debian
sudo apt update && sudo apt upgrade
sudo reboot

# AlmaLinux и Rocky Linux
sudo dnf upgrade kernel
sudo reboot

Sprawdź, czy moduł ksmbd jest załadowany. Jeśli polecenie niczego nie wyświetli, moduł nie jest załadowany:

lsmod | grep ksmbd

7. Windows Server

Co się stało. W październiku Microsoft opublikował rekordową aktualizację, usuwając ponad 1 400 luk bezpieczeństwa. Jedna z nich (CVE-2026-96951) jest już wykorzystywana przez hakerów. Umożliwia ona obejście ostrzeżeń Windows dotyczących plików pobranych z internetu. To tak, jakby ochroniarz przepuścił paczkę bez kontroli, ponieważ ktoś nakleił na nią odpowiednią etykietę.

Dla serwerów szczególnie niebezpieczne są krytyczne błędy w usługach:

• DHCP Server i Message Queuing: ocena 9,8 na 10;
• brama usług pulpitu zdalnego (RD Gateway);
• serwer WWW IIS.

Kogo to dotyczy. Wszystkich korzystających z VPS lub serwera dedykowanego z systemem Windows.

Co zrobić. Zainstaluj październikowe aktualizacje za pomocą Windows Update i uruchom ponownie serwer. Ostatnio zainstalowane aktualizacje można sprawdzić w PowerShell:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

Jeśli najnowsza aktualizacja pochodzi sprzed połowy października, serwer nie jest chroniony.

8. Co jeszcze warto sprawdzić

GitLab: maksymalna ocena zagrożenia — 10 na 10. 21 października GitLab naprawił CVE-2026-110264, która umożliwia wykonanie kodu na serwerze bez logowania. Podatne są wszystkie wersje od 7.0, czyli wydania z 12 lat. Nawet jeśli aktualizowałeś GitLab 12 października, to nie wystarczy. Poprawione wersje: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13.

sudo gitlab-rake gitlab:env:info | grep -i version

nginx: pięć luk. 14 października wydano nginx 1.30.6 i 1.31.7. Trzy błędy mogą prowadzić do wykonania kodu, ale tylko przy określonych ustawieniach. Jeden z nich ma 21 lat. Łatwiej zaktualizować oprogramowanie niż analizować wszystkie ustawienia.

nginx -v

Nextcloud z wbudowanym pakietem biurowym Collabora. Luka CVE-2026-110447 jest wykorzystywana w atakach od września. Jeśli korzystasz z aplikacji richdocumentscode w wersji starszej niż 26.4.303, zaktualizuj ją lub usuń. Więcej informacji: Nextcloud i Collabora.

Magento i Adobe Commerce. 27 października CISA potwierdziła ataki wykorzystujące lukę CVE-2026-48356 w mechanizmie przesyłania plików. Zainstaluj najnowszą aktualizację zabezpieczeń Adobe.

YOOtheme Pro dla Joomla i WordPress. Luka CVE-2026-102785, oceniona na 10 na 10, jest już wykorzystywana do włamań na strony. Podatne są wersje od 5.0.0 do 5.0.52. Zaktualizuj motyw do najnowszej wersji.

LiteLLM. 27 października naprawiono lukę w wersji Enterprise ocenioną na 10 na 10: umożliwiała ona kradzież klucza głównego bez hasła. Poprawione wersje: 1.106.5, 1.105.6, 1.104.8, 1.103.10. O zainfekowanym wydaniu 1.107.0 przeczytasz w artykule Skradzione klucze AI.

Czego spodziewać się w listopadzie

Dodaj te daty do kalendarza:

Kiedy pojawi się aktualizacja PHP, będzie można usunąć ustawienie session.upload_progress.enabled = 0, ale dopiero po zainstalowaniu nowej wersji.

Końcowa lista kontrolna

• PHP zostało zaktualizowane, dodano session.upload_progress.enabled = 0.
• Pakiet ca-certificates został zaktualizowany, obrazy Dockera przebudowano.
• Node.js, Next.js i sharp zostały zaktualizowane.
• GitLab został zaktualizowany do poprawionej wersji.
• nginx został zaktualizowany do 1.30.6 lub 1.31.7.
• Redis został zaktualizowany, porty 6379 i 16379 są niedostępne z internetu.
• PostgreSQL został zaktualizowany do sierpniowego wydania.
• Jądro Linux zostało zaktualizowane, serwer uruchomiono ponownie.
• Windows Server otrzymał październikowe aktualizacje.
• Sprawdzono Nextcloud, Magento, YOOtheme i LiteLLM, jeśli są zainstalowane.
• Terminy listopadowych aktualizacji dodano do kalendarza.

Nie chcesz zajmować się tym samodzielnie?

Na tej liście jest 10 punktów, a niemal co miesiąc jest ona równie długa. Jeśli na serwerze działa Twój biznes, ręczne śledzenie wszystkich aktualizacji jest trudne. Czasem wystarczy pominąć jedną z nich, aby doszło do włamania.

W takich sytuacjach Zomro oferuje dwie możliwości.

SOD: przejdziemy listę kontrolną za Ciebie

Nasz administrator systemów:

• sprawdzi, które programy z listy są zainstalowane na Twoim serwerze;
• zaktualizuje je do bezpiecznych wersji;
• zamknie niepotrzebne porty;
• uruchomi serwer ponownie w dogodnym dla Ciebie terminie i sprawdzi, czy wszystko działa.

Cena: €12.50 za każde 15 minut pracy.

Zamów kontrolę bezpieczeństwa serwera

Premium: szybka pomoc wtedy, gdy jej potrzebujesz

Na odpowiedź w standardowym zgłoszeniu technicznym można czekać do 10 godzin. Z Premium odpowiadamy w ciągu 5–30 minut. Jeśli po aktualizacji coś przestanie działać, nie będziesz czekać pół dnia.

Nowe luki bezpieczeństwa pojawiają się co tydzień. Z Premium nie musisz radzić sobie z nimi samodzielnie.

Włącz Premium