Raport CERT Polska wrzesień 2026 – incydenty, trendy i zalecenia

Raport CERT Polska za wrzesień 2026 r. prezentuje kluczowe dane o stanie cyberbezpieczeństwa w Polsce, najważniejsze incydenty oraz trendy w atakach. W artykule omawiamy najistotniejsze liczby, nowe podatności, przykłady kampanii phishingowych i smishingowych oraz praktyczne zalecenia dla firm i administratorów IT.

Statystyki incydentów i zmiany w raportowaniu

We wrześniu 2026 r. do CERT Polska zgłoszono łącznie 57,5 tys. potencjalnych zdarzeń i zagrożeń, z czego 19,2 tys. zostało zakwalifikowanych jako incydenty cyberbezpieczeństwa (Podsumowanie CERT Polska, str. 4-5). Liczba incydentów była niższa o 27% niż we wrześniu 2025 r., ale o 2% wyższa niż w sierpniu 2026 r. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) w kwietniu 2026 r. wprowadziła nowe kategorie zgłoszeń i rozszerzyła katalog podmiotów objętych obowiązkiem raportowania, co wpływa na porównywalność danych.

Phishing, smishing i fałszywe domeny – dominujące zagrożenia

Phishing i smishing pozostają najczęściej wykorzystywanymi technikami ataków. We wrześniu na Listę Ostrzeżeń CERT Polska wpisano 17,8 tys. szkodliwych domen, a od początku roku już 193,8 tys. (str. 7). Zgłoszono też 19,2 tys. podejrzanych SMS-ów, z czego 15% stanowiły fałszywe wiadomości mające na celu wyłudzenie danych lub pieniędzy (str. 8). CERT Polska, na podstawie wzorców smishingu, zablokował 28 tys. takich wiadomości w samym wrześniu.

Przykłady kampanii obejmują podszywanie się pod firmy kurierskie, administrację publiczną, operatorów telekomunikacyjnych, banki, platformy sprzedażowe (Allegro, OLX), sieci handlowe (ALDI, Lidl), serwisy informacyjne (Gazeta.pl), a także komunikatory (Telegram) i aplikacje webmail (str. 17-24). Stosowane są fałszywe strony logowania, panele płatności oraz reklamy w mediach społecznościowych prowadzące do stron wyłudzających dane.

Nowe techniki i trendy w atakach

• Smishing podszywający się pod e-TOLL, administrację publiczną, operatorów telekomunikacyjnych.
• Reklamy w mediach społecznościowych prowadzące do fałszywych sklepów lub inwestycji.
• Wykorzystanie powiadomień systemowych smartfonów do przekierowywania użytkowników na złośliwe strony (str. 19).
• Kampanie wyłudzające dane logowania do komunikatorów (np. Telegram) oraz aplikacji webmail.

Więcej przykładów znajdziesz na stronie BOIT o bezpieczeństwie IT.

Najważniejsze podatności i rekomendacje

Raport wyróżnia kilka podatności, które miały istotny wpływ na bezpieczeństwo polskich firm:

• MikroTik RouterOS – CERT Polska odkrył krytyczne luki, w tym CVE-2026-67276 w NVD, pozwalające obejść uwierzytelnianie SSH i przejąć urządzenie. Zalecana jest aktualizacja do wersji 6.49.21, 7.23.4 lub nowszych oraz ograniczenie dostępu do interfejsów zarządzania (str. 10-11). Szczegóły w komunikacie CERT Polska.
• Adobe Commerce/Magento – Luka umożliwiająca zdalne wykonanie kodu bez logowania, aktywnie wykorzystywana w atakach. Zalecana instalacja poprawki APSB26-146 oraz ograniczenie dostępu do panelu administracyjnego (str. 11). Więcej w dokumentacji Adobe.
• GeoNetwork – Krytyczne luki umożliwiające przejęcie serwera przez przeglądarkę. Rekomendowana aktualizacja i ograniczenie dostępu (str. 12). CVE-2026-63219 w NVD, CVE-2026-58400 w NVD.
• Check Point firewall – Podatności wykorzystywane podczas negocjacji VPN, pozwalające przejąć urządzenie. Zalecana instalacja poprawek i analiza logów VPN (str. 12-13). Instrukcja producenta.

W raporcie podkreślono, że podatności te były aktywnie wykorzystywane, a część z nich figurowała w katalogu CISA KEV jako szczególnie niebezpieczne.

Nowe narzędzia i inicjatywy wspierające bezpieczeństwo

We wrześniu uruchomiono portal wiedza.cert.pl – platformę edukacyjną z praktycznymi scenariuszami, poradami i wzorami dokumentacji dla administratorów i użytkowników (str. 13). W serwisie moje.cert.pl pojawił się moduł „Podatności w używanych technologiach”, który pozwala użytkownikom otrzymywać informacje o lukach dotyczących ich infrastruktury. We wrześniu zarejestrowało się tam 1,4 tys. nowych użytkowników, a CERT Polska wysłał 15,9 tys. powiadomień o wykrytych podatnościach lub błędnych konfiguracjach (str. 9).

Powstało także Krajowe Centrum Odzyskiwania Danych (KCOD) w ramach NASK, które ma wspierać odzyskiwanie danych i przywracanie ciągłości działania po incydentach (str. 14).

Rekomendacje i działania dla firm

• Regularnie aktualizuj oprogramowanie i ograniczaj ekspozycję interfejsów zarządzania.
• Monitoruj logi systemowe, szczególnie w kontekście VPN i dostępu zdalnego.
• Weryfikuj skuteczność backupów i testuj procedury odtwarzania danych.
• Segmentuj sieć, aby ograniczyć skutki potencjalnych incydentów.
• Korzystaj z narzędzi takich jak moje.cert.pl do monitorowania podatności i konfiguracji.

Efektem wdrożenia powyższych działań powinien być spadek liczby incydentów oraz szybsze wykrywanie i reagowanie na nowe zagrożenia.

Jak BOIT może pomóc?

BOIT wspiera firmy w przeglądzie ekspozycji na phishing i smishing, wdrażaniu segmentacji sieci oraz weryfikacji konfiguracji urządzeń. Pomagamy także w testach odtwarzania backupów i monitoringu infrastruktury. Skontaktuj się z BOIT, jeśli chcesz sprawdzić odporność swojej firmy na aktualne zagrożenia.

Źródła

• Podsumowanie CERT Polska, wrzesień 2026, Państwowy Instytut Badawczy NASK
• https://cert.pl/posts/2026/09/mikrotik-routeros-cve
• https://cert.pl/posts/2026/09/podatnosci-w-mikrotik-routeros-aktywnie-wykorzystywane
• https://helpx.adobe.com/security/products/magento/apsb26-146.html
• https://support.checkpoint.com/results/sk/sk1000117
• CVE-2026-67276 w NVD
• CVE-2026-63219 w NVD
• CVE-2026-58400 w NVD