KRONIKA ZAGROŻEŃ / 2006-2026

Internet się zmienia.
Czujność pozostaje.

Przypominamy podatności, które przez ostatnie 20 lat wpływały na bezpieczeństwo stron i serwerów. Wyjaśniamy, co się wydarzyło, jakie były skutki i czego mogą nauczyć administratorów.

Przejdź do chronologii ↓

Ilustracja ochrony i przywracania bezpieczeństwa aplikacji internetowej

20 lat zmian w bezpieczeństwie25 wydarzeń wybranych z historii hostinguŹródła producentów i badaczy

WIEDZA I PRAKTYKA

Czego uczą nas
te historie?

Dbanie o bezpieczeństwo to codzienna praca: śledzenie ostrzeżeń, sprawdzanie, których usług dotyczy zagrożenie, instalowanie poprawek i szukanie śladów ewentualnego włamania. Właśnie tak rozumiemy rolę Prywatnego Informatyka. Kronika pokazuje, dlaczego ta praca trwa również wtedy, gdy strona działa prawidłowo.

OD NAJNOWSZYCH DO NAJSTARSZYCH

Najważniejsze wydarzenia.

Przedstawiamy wybrane zagrożenia dla stron, poczty i serwerów. Przy każdym wpisie podajemy datę publicznego ogłoszenia podatności - mogła zostać odkryta wcześniej.

Wydarzeń w kronice: 25

21 października 2026PHP

CVE-2026-109618CVE-2026-109619

PHP2Shell: podatności w samym PHP

Błędy w obsłudze pamięci i procesów PHP mogły zagrozić aplikacji nawet wtedy, gdy sam CMS był aktualny.
Historia, skutki i wnioski
4 sierpnia 2026Linux

CVE-2026-64564

SCTPhantom: eskalacja uprawnień przez SCTP

Błąd w obsłudze SCTP umożliwił badaczom podniesienie uprawnień do root i wyjście z kontenera na podatnych systemach.
Historia, skutki i wnioski
4 sierpnia 2026Wirtualizacja

CVE-2026-64561

Zapscape: ucieczka z maszyny KVM na hosta

Luka w KVM/x86 mogła pozwolić napastnikowi wydostać się z maszyny wirtualnej i zaatakować serwer, na którym działała.
Historia, skutki i wnioski
17 lipca 2026CMS

CVE-2026-63030CVE-2026-60137

WP2Shell: wykonanie kodu w rdzeniu WordPressa

Połączenie dwóch błędów rdzenia WordPressa otworzyło drogę do ataku bez logowania i bez dodatkowych wtyczek.
Historia, skutki i wnioski
13 maja 2026Linux

CVE-2026-46300

Fragnesia: lokalna eskalacja w Linuksie

Błąd w obsłudze XFRM ESP-in-TCP w Linuksie pokazał, dlaczego trzeba aktualizować także jądro systemu, na którym działają aplikacje.
Historia, skutki i wnioski
28 kwietnia 2026Panele hostingu

CVE-2026-41940

cPanel 2026: krytyczna luka w logowaniu

Obejście uwierzytelniania w cPanel i WHM pokazało, jak luka w panelu zarządzania może zagrozić wielu usługom na serwerze.
Historia, skutki i wnioski
1 czerwca 2025Poczta

CVE-2025-49113

Roundcube 2025: wykonanie kodu po zalogowaniu

Luka w Roundcube pozwalała zalogowanemu użytkownikowi uruchomić kod na serwerze z uprawnieniami aplikacji pocztowej.
Historia, skutki i wnioski
1 lipca 2024Linux

CVE-2024-6387

regreSSHion: powrót podatności w OpenSSH

Błąd wyścigu w serwerze SSH przypomniał, że dawna podatność może powrócić po zmianach w kolejnych wersjach programu.
Historia, skutki i wnioski
29 marca 2024Łańcuch dostaw

CVE-2024-3094

xz: backdoor w łańcuchu dostaw

Tym razem zagrożenie wynikało z celowo wprowadzonego kodu, a nie z przypadkowej pomyłki programisty.
Historia, skutki i wnioski
10 października 2023Dostępność

CVE-2023-44487

HTTP/2 Rapid Reset: atak na dostępność usług

Wykorzystanie sposobu obsługi strumieni HTTP/2 pozwalało przeciążać usługi i przerywać działanie stron.
Historia, skutki i wnioski
22 lipca 2022CMS

CVE-2022-31181

PrestaShop 2022: od SQL injection do wykonania kodu

Połączenie luki SQL injection z błędem w obsłudze pamięci podręcznej Smarty mogło pozwolić na przejęcie sklepu.
Historia, skutki i wnioski
7 marca 2022Linux

CVE-2022-0847

Dirty Pipe: zapis do plików tylko do odczytu

Błąd w jądrze umożliwiał lokalnym procesom naruszenie danych, które powinny być chronione przed zapisem.
Historia, skutki i wnioski
9 grudnia 2021Aplikacje

CVE-2021-44228

Log4Shell: wykonanie kodu przez bibliotekę do zapisu logów

Biblioteka zapisująca komunikaty aplikacji stała się drogą do zdalnego wykonania kodu.
Historia, skutki i wnioski
16 sierpnia 2019Łańcuch dostaw

CVE-2019-15107

Webmin 2019: backdoor w paczkach programu

Złośliwa zmiana w paczkach panelu administracyjnego pokazała, że zagrożenie może pojawić się jeszcze przed instalacją programu.
Historia, skutki i wnioski
5 czerwca 2019Poczta

CVE-2019-10149

Exim: Return of the WIZard

Błąd sprawdzania adresu odbiorcy mógł pozwolić napastnikowi uruchomić polecenia na serwerze pocztowym.
Historia, skutki i wnioski
28 marca 2018CMS

CVE-2018-7600

Drupalgeddon2: zdalne wykonanie kodu

Luka w Drupalu umożliwiała atak na stronę na kilka sposobów i dotyczyła kilku rozwijanych równolegle wersji CMS.
Historia, skutki i wnioski
1 lutego 2017CMS

CVE-2017-1001000

WordPress REST API: zmiana treści bez konta

Błąd w REST API pozwalał zmieniać treść stron bez wymaganych uprawnień w dwóch wydaniach WordPressa.
Historia, skutki i wnioski
19 października 2016Linux

CVE-2016-5195

Dirty COW: lokalny błąd, duże uprawnienia

Podatność jądra Linuksa mogła zamienić ograniczony dostęp do systemu w znacznie szerszą kontrolę.
Historia, skutki i wnioski
14 grudnia 2015CMS

CVE-2015-8562

Joomla: wykonanie kodu przez obsługę sesji

Informacje przesyłane przez przeglądarkę trafiały do mechanizmu sesji bez wystarczającej kontroli.
Historia, skutki i wnioski
15 października 2014CMS

CVE-2014-3704

Drupalgeddon: SQL injection w Drupal 7

Błąd w warstwie obsługi bazy danych umożliwiał atak na stronę bez logowania do panelu CMS.
Historia, skutki i wnioski
24 września 2014Linux

CVE-2014-6271CVE-2014-7169

Shellshock: wykonanie poleceń przez podatny Bash

W określonych konfiguracjach dane z zewnątrz mogły zamienić się w polecenia wykonywane przez powłokę systemową.
Historia, skutki i wnioski
7 kwietnia 2014Kryptografia

CVE-2014-0160

Heartbleed: wyciek pamięci przez TLS

Zaszyfrowane połączenie nie wystarcza, gdy biblioteka obsługująca szyfrowanie ujawnia pamięć procesu.
Historia, skutki i wnioski
8 lipca 2008DNS

CVE-2008-1447

Błąd Kaminsky’ego: zatruwanie pamięci DNS

Fałszywa odpowiedź zapisana przez resolver DNS mogła skierować użytkownika do niewłaściwej usługi mimo wpisania poprawnej domeny.
Historia, skutki i wnioski
13 maja 2008Kryptografia

CVE-2008-0166

Debian OpenSSL: przewidywalne klucze

Pozornie niewielka zmiana w pakiecie kryptograficznym osłabiła klucze używane przez usługi i użytkowników.
Historia, skutki i wnioski
22 marca 2006Poczta

CVE-2006-0058

Sendmail: błąd w obsłudze sygnałów

Luka w serwerze pocztowym pokazała, że bezpieczeństwo hostingu zależy również od usług działających obok strony WWW.
Historia, skutki i wnioski

JAK CZYTAĆ KRONIKĘ

Jak wybieramy i opisujemy zagrożenia?

Opisujemy zagrożenia, które miały duży wpływ na bezpieczeństwo hostingu: ataki przez Internet, przejmowanie uprawnień w systemie i celowe wprowadzanie złośliwego kodu do oprogramowania. Kronika zawiera wybrane historie, a nie wszystkie zgłoszone podatności.

Fakty i interpretacja

Opisy opieramy na komunikatach producentów i badaczy, do których linkujemy w artykułach. Dodajemy własny komentarz o tym, czego dane zdarzenie uczy administratorów stron i serwerów.

Dawne wersje a dzisiejsze aktualizacje

W artykułach podajemy wersje, w których wówczas usunięto opisywane błędy. Aktualizując serwer, kieruj się bieżącymi zaleceniami dostawcy i wybieraj wspierane wydania. Kronika opisuje historię zagrożeń i nie zastępuje śledzenia nowych ostrzeżeń.

Opracowanie pierwszego zestawu i weryfikacja źródeł: 4 listopada 2026 r.

Internet się zmienia.Czujność pozostaje.

Czego uczą naste historie?