--- title: 'Lista kontrolna bezpieczeństwa VPS: październik 2026 | Zomro' description: 'Lista kontrolna bezpieczeństwa VPS na październik 2026: aktualizacje PHP, Node.js, nginx, Redis, PostgreSQL i Linuksa. Sprawdź, jak zabezpieczyć serwer.' image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg' --- ![opened image]() * [Zomro](https://zomro.com/pl/) * [Przydatne artykuły](https://zomro.com/pl/blog/articles/) * [Bezpieczeństwo hostingu](https://zomro.com/pl/blog/articles/bezopasnost/) * Lista kontrolna bezpieczeństwa VPS: październik 2026 # Lista kontrolna bezpieczeństwa VPS: październik 2026 28-10-2026 ![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg) Październik 2026 roku okazał się jednym z najtrudniejszych miesięcy pod względem bezpieczeństwa serwerów. Krytyczne luki wykryto w PHP, Node.js, nginx, GitLab, Redis, a nawet w certyfikatach, którym ufa cały internet. Część z tych luk hakerzy już wykorzystują. Zebraliśmy wszystko na jednej liście. Potraktuj ją jak przegląd techniczny samochodu: przejdź przez poszczególne punkty i zaznacz te, które dotyczą Twojego serwera. Zacznij od tabeli zbiorczej. Jeśli nie korzystasz z danego programu, po prostu pomiń jego sekcję. ## ## ## Tabela zbiorcza Komponent | Bezpieczna wersja | Pilność | Czy luka jest już wykorzystywana? ---|---|---|--- PHP | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | Bardzo wysoka | Tak Node.js | 22.23.4, 24.22.1, 26.12.1 | Bardzo wysoka | Tak Next.js | 16.4.1+ lub 15.5.28+, sharp 0.35.5+ | Wysoka | Brak danych GitLab | 19.5.1, 19.4.3, 19.3.6 i inne | Bardzo wysoka | Brak danych nginx | 1.30.6 lub 1.31.7 | Wysoka | Brak danych Certyfikaty (`ca-certificates`) | Aktualny pakiet systemowy | Wysoka | Brak danych Redis | 8.10.2, 8.8.3, 8.6.7, 8.4.7, 8.2.10 | Średnia | Brak danych PostgreSQL | 18.6, 17.11, 16.15, 15.19, 14.24 | Średnia | Brak danych Jądro Linux | Aktualne jądro systemu | Średnia | Brak danych Windows Server | Aktualizacje październikowe | Wysoka | Tak > „Luka jest już wykorzystywana” oznacza, że amerykańska agencja cyberbezpieczeństwa CISA umieściła ją w wykazie aktywnie wykorzystywanych podatności. Takie problemy należy usuwać w pierwszej kolejności. ## ## 1\. PHP **Co się stało.** Dwie krytyczne luki PHP2Shell umożliwiają wykonanie kodu na serwerze bez podawania hasła. 26 października CISA potwierdziła, że są już wykorzystywane w atakach. Istnieje też trzecia luka — CVE-2026-115560. Na razie nie ma dla niej poprawki. **Kogo to dotyczy.** Wszystkich, którzy mają witrynę opartą na PHP: WordPress, Joomla, Bitrix, Laravel, OpenCart. **Co zrobić** php -v Zaktualizuj PHP do wersji wskazanej w tabeli i uruchom ponownie PHP-FPM. Następnie dodaj do pliku php.ini wiersz: session.upload_progress.enabled = 0 To zabezpiecza przed trzecią luką do czasu udostępnienia poprawki. **Szczegółowa instrukcja:[PHP2Shell: jak sprawdzić swój serwer](https://zomro.com/pl/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability)** ## ## ## 2\. Certyfikaty (`ca-certificates`) **Co się stało.** Urząd certyfikacji eMudhra używał kluczy prywatnych, które można odgadnąć w ciągu sekundy. Jeden z kluczy był równy liczbie 4. Za ich pomocą można podszyć się pod rzekomo „bezpieczną” stronę banku lub systemu płatności. Przeglądarki zostały już zaktualizowane, ale nie wszystkie serwery. **Kogo to dotyczy.** Niemal wszystkich: stron internetowych, skryptów i botów łączących się z API, systemami płatności lub pocztą. **Co zrobić** # Ubuntu и Debian sudo apt update && sudo apt install --only-upgrade ca-certificates # AlmaLinux и Rocky Linux sudo dnf upgrade ca-certificates Osobno zaktualizuj Python (pakiet `certifi`), Node.js, Go i Javę. Korzystają one z własnych magazynów certyfikatów. Przebuduj obrazy Dockera z flagą `--pull`. **Szczegółowa instrukcja:[Klucz certyfikatu okazał się liczbą 4](https://zomro.com/pl/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server)** ## ## ## 3\. Node.js i Next.js **Co się stało.** W mechanizmie dekompresji Brotli znaleziono błąd umożliwiający wykonanie kodu przez atakującego. Node.js naprawił go 21 października, a 27 października CISA potwierdziła, że luka jest już wykorzystywana. W Next.js wykryto dwie krytyczne luki: jedną związaną z obrazami SVG, a drugą z pamięcią podręczną. > **Ważne:** Brotli jest używane nie tylko przez Node.js. Biblioteka jest również wbudowana w Pythona i wiele innych programów. Dlatego zaktualizuj także systemowy pakiet `brotli`. Poprawione wersje biblioteki to 1.0.10, 1.1.1 i 1.2.1. **Kogo to dotyczy.** Wszystkich, którzy mają strony, API lub boty oparte na Node.js, a także wszystkich witryn opartych na Next.js. **Co zrobić** node -v npm ls next sharp Zaktualizuj Node.js do 22.23.4, 24.22.1 lub 26.12.1, Next.js do 16.4.1+ lub 15.5.28+, a sharp do 0.35.5+. Następnie przebuduj i uruchom ponownie aplikację. Node.js 20 i starsze wersje nie otrzymają poprawek. **Szczegółowa instrukcja:[Node.js i Next.js: dwie krytyczne luki w ciągu tygodnia](https://zomro.com/pl/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website)** ## ## ## 4\. Redis **Co się stało.** W sierpniu i wrześniu Redis naprawił ponad tuzin luk. Wśród nich znalazły się: obejście uwierzytelniania certyfikatem TLS, wykonanie kodu za pomocą specjalnie przygotowanego pliku bazy danych oraz obejście uprawnień w transakcjach. Ponadto niezaszyfrowane węzły klastra mogły dopuścić połączenie z obcym serwerem. Redis jest jak sejf z danymi witryny. Nawet jeśli sejf jest zamknięty, lepiej nie wystawiać go na widok z ulicy. **Kogo to dotyczy.** Wszystkich korzystających z Redis: do buforowania stron, kolejek, sesji, Chatwoot i wielu innych usług. **Co zrobić** redis-server --version Zaktualizuj Redis do 8.10.2, 8.8.3, 8.6.7, 8.4.7 lub 8.2.10. Sprawdź, czy porty 6379 i 16379 nie są dostępne z internetu: ss -ltnp | grep -E ':6379|:16379' Jeśli przy porcie widnieje `0.0.0.0`, Redis nasłuchuje na wszystkich adresach. Zablokuj port w zaporze sieciowej lub ustaw `bind 127.0.0.1` w konfiguracji. ## ## ## 5\. PostgreSQL **Co się stało.** W sierpniu PostgreSQL naprawił 28 luk bezpieczeństwa. To rekord dla jednej aktualizacji. Najgłośniejsza z nich otrzymała nazwę PostGREShell (CVE-2026-6471). Za pośrednictwem mechanizmu replikacji użytkownik mający wyłącznie uprawnienia do replikacji mógł przejąć pełną kontrolę nad bazą danych i wykonać kod na serwerze. Błąd ma 12 lat i występuje we wszystkich wersjach od 9.4 do 18. **Kogo to dotyczy.** Wszystkich korzystających z wersji PostgreSQL starszej niż sierpniowe wydanie. **Co zrobić** psql --version Zaktualizuj do 18.6, 17.11, 16.15, 15.19 lub 14.24. Aktualizacja w ramach tej samej wersji głównej nie wymaga zrzutu bazy danych. Wystarczy zaktualizować pakiet i ponownie uruchomić usługę. > **Uwaga, użytkownicy PostgreSQL 14:** 12 listopada ukaże się ostatnia aktualizacja tej wersji. Potem nie będzie już żadnych poprawek. Warto zaplanować migrację do wersji 16, 17 lub 18. ## ## ## 6\. Jądro Linux **Co się stało.** W ciągu 2026 roku w jądrze Linux wykryto serię błędów o charakterystycznych nazwach: Copy Fail, Dirty Frag, Fragnesia i PinTheft. Wszystkie umożliwiają zwykłemu użytkownikowi serwera uzyskanie uprawnień administratora (`root`). To tak, jakby wpuścić gościa do przedpokoju, a on znalazł sposób na otwarcie wszystkich pokoi i sejfu. W październiku badacze przypadkowo opublikowali również szczegóły siedmiu kolejnych luk w jądrze, zanim udostępniono poprawki. Dwie z nich dotyczą modułu `ksmbd`. To serwer plików wbudowany w jądro, obsługujący foldery sieciowe Windows. Na większości serwerów nie jest włączony. **Kogo to dotyczy.** Przede wszystkim serwerów obsługujących wielu użytkowników, witryny należące do różnych właścicieli lub kontenery Dockera. **Co zrobić** uname -r Zaktualizuj system i uruchom ponownie serwer. Bez restartu nowe jądro nie zacznie działać. # Ubuntu и Debian sudo apt update && sudo apt upgrade sudo reboot # AlmaLinux и Rocky Linux sudo dnf upgrade kernel sudo reboot Sprawdź, czy moduł ksmbd jest załadowany. Jeśli polecenie niczego nie wyświetli, moduł nie jest załadowany: lsmod | grep ksmbd ## ## ## 7\. Windows Server **Co się stało.** W październiku Microsoft opublikował rekordową aktualizację, usuwając ponad 1 400 luk bezpieczeństwa. Jedna z nich (CVE-2026-96951) jest już wykorzystywana przez hakerów. Umożliwia ona obejście ostrzeżeń Windows dotyczących plików pobranych z internetu. To tak, jakby ochroniarz przepuścił paczkę bez kontroli, ponieważ ktoś nakleił na nią odpowiednią etykietę. Dla serwerów szczególnie niebezpieczne są krytyczne błędy w usługach: * DHCP Server i Message Queuing: ocena 9,8 na 10; * brama usług pulpitu zdalnego (RD Gateway); * serwer WWW IIS. **Kogo to dotyczy.** Wszystkich korzystających z VPS lub serwera dedykowanego z systemem Windows. **Co zrobić.** Zainstaluj październikowe aktualizacje za pomocą Windows Update i uruchom ponownie serwer. Ostatnio zainstalowane aktualizacje można sprawdzić w PowerShell: Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 Jeśli najnowsza aktualizacja pochodzi sprzed połowy października, serwer nie jest chroniony. ## ## ## 8\. Co jeszcze warto sprawdzić **GitLab: maksymalna ocena zagrożenia — 10 na 10.** 21 października GitLab naprawił CVE-2026-110264, która umożliwia wykonanie kodu na serwerze bez logowania. Podatne są wszystkie wersje od 7.0, czyli wydania z 12 lat. Nawet jeśli aktualizowałeś GitLab 12 października, to nie wystarczy. Poprawione wersje: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. sudo gitlab-rake gitlab:env:info | grep -i version **nginx: pięć luk.** 14 października wydano nginx 1.30.6 i 1.31.7. Trzy błędy mogą prowadzić do wykonania kodu, ale tylko przy określonych ustawieniach. Jeden z nich ma 21 lat. Łatwiej zaktualizować oprogramowanie niż analizować wszystkie ustawienia. nginx -v **Nextcloud z wbudowanym pakietem biurowym Collabora.** Luka CVE-2026-110447 jest wykorzystywana w atakach od września. Jeśli korzystasz z aplikacji `richdocumentscode` w wersji starszej niż 26.4.303, zaktualizuj ją lub usuń. **Więcej informacji:** Nextcloud i Collabora. **Magento i Adobe Commerce.** 27 października CISA potwierdziła ataki wykorzystujące lukę CVE-2026-48356 w mechanizmie przesyłania plików. Zainstaluj najnowszą aktualizację zabezpieczeń Adobe. **YOOtheme Pro dla Joomla i WordPress.** Luka CVE-2026-102785, oceniona na 10 na 10, jest już wykorzystywana do włamań na strony. Podatne są wersje od 5.0.0 do 5.0.52. Zaktualizuj motyw do najnowszej wersji. **LiteLLM.** 27 października naprawiono lukę w wersji Enterprise ocenioną na 10 na 10: umożliwiała ona kradzież klucza głównego bez hasła. Poprawione wersje: 1.106.5, 1.105.6, 1.104.8, 1.103.10. O zainfekowanym wydaniu 1.107.0 przeczytasz w artykule _Skradzione klucze AI_. ## ## ## Czego spodziewać się w listopadzie Dodaj te daty do kalendarza: Kiedy | Co ---|--- 10 listopada | Comiesięczna aktualizacja zabezpieczeń Microsoft dla Windows Server 12 listopada | Planowana aktualizacja PostgreSQL; ostatnia dla PostgreSQL 14 W najbliższych tygodniach | Planowane wydanie PHP z poprawką CVE-2026-115560 31 grudnia | PHP 8.2 przestanie otrzymywać poprawki bezpieczeństwa Kiedy pojawi się aktualizacja PHP, będzie można usunąć ustawienie `session.upload_progress.enabled = 0`, ale dopiero po zainstalowaniu nowej wersji. ## ## ## Końcowa lista kontrolna * PHP zostało zaktualizowane, dodano `session.upload_progress.enabled = 0`. * Pakiet `ca-certificates` został zaktualizowany, obrazy Dockera przebudowano. * Node.js, Next.js i sharp zostały zaktualizowane. * GitLab został zaktualizowany do poprawionej wersji. * nginx został zaktualizowany do 1.30.6 lub 1.31.7. * Redis został zaktualizowany, porty 6379 i 16379 są niedostępne z internetu. * PostgreSQL został zaktualizowany do sierpniowego wydania. * Jądro Linux zostało zaktualizowane, serwer uruchomiono ponownie. * Windows Server otrzymał październikowe aktualizacje. * Sprawdzono Nextcloud, Magento, YOOtheme i LiteLLM, jeśli są zainstalowane. * Terminy listopadowych aktualizacji dodano do kalendarza. ## ## ## Nie chcesz zajmować się tym samodzielnie? Na tej liście jest 10 punktów, a niemal co miesiąc jest ona równie długa. Jeśli na serwerze działa Twój biznes, ręczne śledzenie wszystkich aktualizacji jest trudne. Czasem wystarczy pominąć jedną z nich, aby doszło do włamania. W takich sytuacjach Zomro oferuje dwie możliwości. ### ### **SOD: przejdziemy listę kontrolną za Ciebie** Nasz administrator systemów: * sprawdzi, które programy z listy są zainstalowane na Twoim serwerze; * zaktualizuje je do bezpiecznych wersji; * zamknie niepotrzebne porty; * uruchomi serwer ponownie w dogodnym dla Ciebie terminie i sprawdzi, czy wszystko działa. **Cena:** €12.50 za każde 15 minut pracy. [**Zamów kontrolę bezpieczeństwa serwera**](https://zomro.com/pl/paid-support-services/server-management-services) ### Premium: szybka pomoc wtedy, gdy jej potrzebujesz Na odpowiedź w standardowym zgłoszeniu technicznym można czekać do 10 godzin. Z Premium odpowiadamy w ciągu 5–30 minut. Jeśli po aktualizacji coś przestanie działać, nie będziesz czekać pół dnia. Nowe luki bezpieczeństwa pojawiają się co tydzień. Z Premium nie musisz radzić sobie z nimi samodzielnie. [**Włącz Premium**](https://zomro.com/pl/paid-support-services) Similar articles: [PHP2Shell: jak sprawdzić swój serwer i załatać niebezpieczną lukę w PHP](https://zomro.com/pl/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability) [Skradzione klucze AI: jak LiteLLM, Railway i OpenCode zawiodły programistów](https://zomro.com/pl/blog/articles/747-stolen-ai-keys-how-litellm-railway-and-opencode-let-developers-down) [Klucz certyfikatu okazał się liczbą 4: co zaktualizować na serwerze](https://zomro.com/pl/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server) [Nextcloud i Collabora: luka bezpieczeństwa, którą hakerzy już wykorzystują](https://zomro.com/pl/blog/articles/750-nextcloud-and-collabora-a-vulnerability-already-being-exploited-by-hackers) [Node.js i Next.js: dwie krytyczne luki w zabezpieczeniach w tydzień i jak chronić stronę](https://zomro.com/pl/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website) [ Serwer GPU od €174.80/mies ](/dedicated-servers/type=gpu)