bezpieczeństwo

Relacja między wielkim producentem oprogramowania a niezależnym badaczem bezpieczeństwa nigdy nie była sielanką, ale zwykle obydwie strony pilnowały choćby minimum pozorów. Teraz Microsoft po publikacji niezałatanych luk w Defenderze i BitLockerze nie skończył na krytyce badacza Nightmare Eclipse, lecz zaczęła grozić działaniami prawnymi. To wystarczyło, żeby w branży znów odżył stary spór o to, komu naprawdę służy „odpowiedzialne” ujawnianie błędów.

Kto dziś nie kojarzy chińskiej platformy Temu? Można powiedzieć, że stała się ona synonimem tanich rzeczy, które można kupić w Internecie. W jej ofercie znaleźć można mnóstwo produktów z wielu kategorii. Pod koniec października 2024 roku Komisja Europejska wszczęła jednak oficjalne postępowanie przeciwko Temu. Dlaczego? Okazuje się, że na platformie można było nabyć nielegalne rzeczy, które mogły zaszkodzić wielu osobom, a firma nie podjęła tu odpowiednich kroków.

Przeglądarki od lat zyskują kolejne warstwy ochrony, a mimo to badacze wciąż znajdują nowe sposoby na wyciąganie informacji. Tym razem nie chodzi o ciasteczka, skrypty reklamowe ani klasyczny fingerprint przeglądarki. Problem siedzi głębiej, w dostępie do plików i w tym, jak szybko nośnik odpowiada na odczyt. Badanie FROST pokazuje, że zwykła strona WWW może obserwować zakłócenia pracy SSD i na tej podstawie zgadywać, jakie co uruchamia użytkownik.

Nowy Steam Controller dopiero zdążył wejść na rynek, a wokół dołączanego do zestawu Pucka już zrobiło się głośno. Nie chodzi o opóźnienia, cenę czy dostępność, lecz o bezpieczeństwo. Jeden wpis na Reddicie wystarczył, aby temat podchwyciły media, a przy okazji wróciło pytanie, czy pogoń za wygodnym, magnetycznym złączem i bezprzewodowym ładowaniem nie poszła tu o krok za daleko. Zwłaszcza że jest to część standardowego zestawu.

Przeglądarki bazujące na Chromium od lat wygrywają wygodą i zgodnością ze współczesnym webem. Tym razem właśnie ten ekosystem stał się problemem. Google przypadkowo opublikowało kod exploita dla luki zgłoszonej jeszcze pod koniec 2022 roku, choć poprawki nadal brak. Nie chodzi przy tym o egzotyczny moduł dla deweloperów, ale o mechanizm zdolny utrzymywać transfer danych nawet po zamknięciu karty przeglądarki.

BitLocker przez lata był jedną z najważniejszych obietnic bezpieczeństwa w ekosystemie Windows. Założenie było proste. Nawet jeśli ktoś ukradnie komputer, dane pozostaną nieczytelne bez odpowiedniego klucza. YellowKey pokazuje jednak, że wystarczy słaby punkt w otoczeniu rozruchu systemu, aby model zaufania zaczął się chwiać. Problem tkwi tym razemw ścieżce, którą Windows 11 prowadzi użytkownika do odzyskiwania systemu i odblokowania urządzenia.

Ledwie opadł kurz po Copy Fail, a jądro Linux znów wraca na nagłówki z dużo gorszego powodu niż premiera nowej wersji. Tym razem chodzi o Dirty Frag, czyli łańcuch dwóch luk, który nie potrzebuje widowiskowego zdalnego włamania, aby narobić szkód. Wystarczy zwykłe lokalne konto i podatna konfiguracja, a potem cała zabawa przenosi się do page cache, czyli miejsca, którego klasyczne kontrole integralności zwykle nie pilnują tak, jak powinny.

Jeszcze niedawno interaktywna zabawka miała kilka nagranych kwestii i prosty system sterowania. Dziś pluszak potrafi rozmawiać, pamiętać kontekst, reagować głosem rodzica, a także działać jak mały bot towarzyszący. Problem w tym, że ta kategoria urządzeń rozwija się szybciej niż procedury bezpieczeństwa, a granica między zabawką, usługą sieciową i narzędziem do zbierania danych zaczyna się niebezpiecznie zacierać.

Łańcuch dostaw oprogramowania znowu pękł w najgorszym możliwym miejscu. Tym razem problem dotyczy elementary-data, znanego w ekosystemie dbt narzędzia publikowanego przez The Python Package Index (PyPI). Nie mówimy tu jednak o fałszywym klonie z jakiegoś niszowego konta, lecz o złośliwej wersji wypchniętej przez prawidłowy pipeline projektu. Pakiet z 1,15 mln pobrań miesięcznie wykradał użytkownikom klucze i tokeny.

Microsoft znowu wyszedł poza zwykły rytm łatania błędów i tym razem nie chodzi o Windows. Problem trafił w ASP.NET Core, a dokładniej w mechaniźmie Data Protection używanym przez aplikacje do obsługi ciasteczek, tokenów i innych wrażliwych danych. To jeden z tych przypadków, w których kilka linijek pozornie technicznego kodu nagle zaczyna interesować administratorów, deweloperów i operatorów usług wystawionych do internetu.

PDF od lat uchodzi za format niegroźny, przewidywalny i biurowo bezpieczny. Właśnie dlatego tak często działa jak skuteczna przynęta. Uśpiona czujność użytkownika bywa tu największym sprzymierzeńcem atakujących. Najnowsza sprawa związana z Adobe Acrobat Reader pokazuje, że rutynowe kliknięcie w załącznik wciąż potrafi otworzyć napastnikom drzwi szerzej, niż wielu chciałoby przyznać. Tym razem nie mówimy jednak o luce, którą zdążono już wykorzystać w praktyce.

Eksploit Rowhammer miał już swoją legendę, ale wydawało się, że branża zdążyła go oswoić i zneutralizować. Tymczasem badacze wrócili do tematu od strony, która dla rynku GPU jest znacznie bardziej niewygodna. Nie chodzi już o drobne zniekształcenia danych w pamięci, tylko o pytanie, czy karta graficzna używana w systemach AI, chmurze i pracy profesjonalnej nie stała się właśnie nowym tylnym wejściem do całego systemu.

Czasem całą przewagę technologiczną potrafi rozbroić drobiazg, którego nikt nie zauważył przed publikacją. Właśnie tak wygląda sprawa Claude Code, gdzie rutynowa aktualizacja zamieniła się w publiczny wgląd pod maskę jednego z najgłośniejszych narzędzi AI przeznaczonego dla programistów. I choć Anthropic mówi o błędzie pakietowania, skutki tej pomyłki wykraczają daleko poza zwykłe potknięcie w pipeline.

Tanie urządzenia IP-KVM zrewolucjonizowały pracę wielu administratorów. Za kilkadziesiąt dolarów można zdalnie przejmować klawiaturę, obraz i mysz dowolnego serwera, nawet gdy ten jest zawieszony lub wyłączony. Ten sam mechanizm, który sprawia, że są niezbędnymi w serwerowni, sprawia, że stają się także atrakcyjnym celem dla hakerów. Badacze z Eclypsium sprawdzili cztery popularne marki KVMów. Wyniki nie pozostawiają złudzeń.

Większość osób w Polsce i na świecie korzysta z mobilnych urządzeń, na pokładzie których działa system od Google - Android. Opiera się on na otwartoźródłowym projekcie AOSP (Android Open Source Project), do którego każdy ma dostęp, więc istnieje możliwość stworzenia własnego rozwiązania. Tych na rynku nie brakuje, a jednym z nich, które stawia na prywatność i bezpieczeństwo użytkownika, jest GrapheneOS. Dotychczas dostępny jedynie dla Pixeli, ale wkrótce sytuacja się zmieni.

Pseudonim wydaje się bezpieczną tarczą. Możesz pisać na Reddicie, Hacker News czy forach branżowych pod zmyślonym nickiem, nie ujawniając nazwiska, miejsca zamieszkania ani zawodu. Badacze od lat ostrzegali jednak, że anonimowość w sieci jest w dużej mierze złudzeniem — i najnowsze wyniki prac naukowców z ETH Zurich oraz Anthropic sugerują, że to złudzenie właśnie zaczyna pękać w szwach. I to w zupełnie nowy sposób.

Historia bezpieczeństwa sieci Wi-Fi to duża seria ataków, które kolejno łamały standardy szyfrowania, od WEP przez WPA2, az po WPA3. Każdy kolejny protokół miał rozwiązywać błędy poprzednika. Teraz badacze z Uniwersytetu Kalifornijskiego w Riverside oglosili AirSnitch, czyli serie technik, które nie łamią samego szyfrowania, ale skutecznie je omijają. I co wazniejsze, działają skutecznie przeciwko każdemu z jedenаstu testowanych urzadzeń.

Wielu użytkowników wybiera urządzenia od Apple z jakichś konkretnych powodów. Jednych przekonuje prostota i płynność iOS-a, innych szybkie połączenie z innymi urządzeniami od Apple, a jeszcze innych... samo logo nadgryzionego jabłka na obudowie. Ci najbardziej świadomi konsumenci zdają sobie jednak sprawę z tego, że iPhony czy iPady to znakomity wybór również pod względem bezpieczeństwa. Jak się okazuje, dostaliśmy na to twarde dowody.

Jedną z najpopularniejszych platform społecznościowych jest Instagram od firmy Meta, która odpowiada również za Facebooka, czy też Threads. We wrześniu 2025 roku dyrektor generalny tego przedsiębiorstwa (Mark Zuckerberg) poinformował, że miesięczna liczba aktywnych kont wynosi 3 miliardy. Z usługi często korzystają nastolatkowie, których mogą kontrolować rodzice. Meta stawia kolejny krok w tym zakresie, gdyż ma ostrzegać rodziców przez potencjalnym zagrożeniem.

NVIDIA DGX Spark to kompaktowy komputer przeznaczony do zadań związanych ze sztuczną inteligencją, który w pracach deweloperskich nad dużymi modelami okazuje się niezwykle wartościowy. Ta niewielka i cicha jednostka, oferująca bardzo wysoką moc obliczeniową, umożliwia uruchamianie, prowadzenie szkolenia i fine-tuning dużych modeli. Od 12 lutego jej funkcjonalność znacząco wzrosła, a to dzięki nowej aktualizacji od NVIDII.

Pod koniec stycznia 2026 roku firma Socket odkryła poważny incydent bezpieczeństwa dotyczący oficjalnych pakietów giełdy kryptowalut dYdX. Kilka wersji bibliotek dostępnych w repozytoriach npm i PyPI zawierało złośliwy kod, który przechwytywał dane dostępowe do portfeli użytkowników. Choć zainfekowane wersje zostały szybko usunięte, każdy deweloper, który zintegrował je ze swoją aplikacją, mógł nieświadomie narazić środki swoje i swoich klientów na kradzież.

Microsoft wydał awaryjną poprawkę bezpieczeństwa pod koniec stycznia, próbując załatać krytyczną lukę Office. Zanim administratorzy IT zdążyli wdrożyć aktualizację w swoich organizacjach, rosyjscy hakerzy zdołali nie tylko przeanalizować działanie podatności, ale też stworzyć zaawansowane narzędzia eksploitacyjne i przeprowadzić kampanię ataków wymierzoną w europejskie struktury rządowe i obronne. Wśród celów znalazły się także polskie instytucje.

Don Ho, twórca popularnego edytora Notepad++, ujawnił właśnie szokujące szczegóły ataku, który trwał niemal pół roku. Hakerzy przejęli mechanizm aktualizacji aplikacji nie przez włamanie do samego kodu, lecz przejmując infrastrukturę dostawcy hostingu. Ofiary były wybierane selektywnie. Atakujący precyzyjnie celowali w konkretnych użytkowników, dostarczając im zainfekowane instalatory pod przykrywką oficjalnych aktualizacji.

Ministerstwo Cyfryzacji udostępniło w aplikacji mObywatel funkcję, która eliminuje konieczność wizyty w urzędzie w przypadku problemów z warstwą elektroniczną dowodu osobistego. Od wersji 4.74 użytkownicy mogą samodzielnie zarządzać certyfikatami, zmieniać oraz odblokowywać kody PIN do profilu osobistego i podpisu elektronicznego. Operacje odbywają się przez komunikację NFC z chipem umieszczonym w dokumencie.

Wyobraź sobie, że grasz w ulubionego FPSa, a trafienie przeciwnika kończy się nie tylko wizualnym efektem na ekranie, ale również fizyczną reakcją. Petarda wystrzeliwuje z mechanicznego ramienia wprost w Twoim kierunku, mgiełka wodna symuluje deszcz z cutscenki, a pneumatyczny układ odtwarza odrzut broni. To nie scenariusz science fiction ani prototyp z laboratorium wielkiej korporacji. To rzeczywistość stworzona przez chińczyka o nicku @ryc._1216.

Nowy rok przyniósł Sony najgorszy możliwy prezent. 31 grudnia 2025 roku do sieci wyciekły klucze BootROM PlayStation 5, otwierając drzwi do niepatchowalnej luki w zabezpieczeniach konsoli. Efekt? Zapomniana gra z 2002 roku, wydana w limitowanym nakładzie na PS4, stała się nagle najgorętszym towarem wśród entuzjastów sceny homebrew. Fizyczna kopia tej konkretnej produkcji jest kluczem do nadchodzącego jailbreaku firmware'u 12.00.

Tajwan to serce globalnej produkcji półprzewodników, ale także region, w którym aktywność sejsmiczna jest codziennością. 27 grudnia 2025 roku, tuż przed północą, wyspę nawiedziło jedno z najsilniejszych trzęsień ziemi od lat, o magnitudzie 7,0. Epicentrum znajdowało się niespełna 32 kilometry od wybrzeża w pobliżu miasta Yilan. Dla Europy taki wstrząs oznaczałby zagładę infrastruktury, ale dla Tajwanu to po prostu kolejny sprawdzian wytrzymałości.

Google podało do sądu SerpApi, oskarżając ją o obchodzenie zabezpieczeń chroniących wyniki swojej wyszukiwarki. To nie pierwszy raz, gdy ktoś próbuje automatycznie wyciągać dane z największej wyszukiwarki świata. Google twierdzi, że SerpApi codziennie generuje setki milionów fałszywych zapytań, aby wykraść nie tylko surowe wyniki, ale przede wszystkim drogie w pozyskaniu, licencjonowane treści, od zdjęć w panelach wiedzy po dane map i sklepów.

Użytkownicy aplikacji mObywatel otrzymali pilny komunikat od Ministerstwa Cyfryzacji. Od 26 listopada 2025 roku aplikacja w wersji niższej niż 4.71.1 przestaje działać z powodu odnowienia certyfikatu domenowego. To standardowa procedura bezpieczeństwa, ale dla milionów Polaków oznacza konieczność działania. W przeciwnym razie stracą dostęp do wszystkich cyfrowych dokumentów. Problem dotyczy nie tylko głównej aplikacji, ale także mObywatel Junior.

Większość traktuje domowy router jako urządzenie typu "skonfiguruj i zapomnij". Tymczasem ten niepozorny kawałek plastiku, stojący gdzieś na półce w przedpokoju, jest pierwszą linią obrony naszej cyfrowej prywatności. Niestety, najnowsze doniesienia wskazują, że ta linia została właśnie przełamana na niespotykaną wcześniej skalę. Wykryto nową, wyrafinowaną kampanię wymierzoną w popularny sprzęt sieciowy, która zamienia domowe urządzenia w posłuszne zombie.

Uwierzytelnianie dwuskładnikowe (2FA) stało się standardem, chroniąc nasze dane przed nieautoryzowanym dostępem. Większość użytkowników ufa tej metodzie jako solidnej barierze obronnej. Jednak badacze bezpieczeństwa nieustannie odkrywają nowe wektory ataków, które potrafią ominąć nawet tak sprawdzone zabezpieczenia. Zagrożenie może jednak czaić się w jednej z najczęściej wykonywanych i pozornie nieszkodliwych czynności na smartfonie.

Współczesne samochody to zaawansowane komputery na kołach, a aktualizacje oprogramowania Over-the-Air (OTA) to standard. Dają nowe funkcje i poprawki bez wizyty w serwisie, co jest ogromną wygodą dla użytkowników. Proces ten niesie jednak ze sobą ryzyko. Błąd w kodzie może prowadzić do poważnych problemów, wpływając nie tylko na systemy rozrywki, ale również na komponenty odpowiedzialne za bezpieczeństwo i możliwość poruszania się pojazdem.

Współczesne modele językowe, takie jak te stosowane w popularnych chatbotach, uczą się na podstawie gigantycznych zbiorów danych. Ich jakość i wiarygodność ma istotne znaczenie dla zachowania AI. Twórcy tych systemów stosują zaawansowane filtry i techniki bezpieczeństwa, aby zapewnić, że AI będzie działać w sposób przewidywalny i pomocny. Najnowsze badania pokazują, że nawet te zabezpieczenia można obejść w zaskakująco prosty, a jednocześnie bardzo podstępny sposób.

Bezpieczeństwo cyfrowe to nieustanny wyścig pomiędzy specjalistami a cyberprzestępcami. Co jakiś czas pojawiają się nowe, nieszablonowe metody pozyskiwania danych, które wykorzystują do tego celu sprzęt codziennego użytku. Najnowsze badania pokazują, że nawet tak podstawowe urządzenie peryferyjne, jak mysz komputerowa, może stać się narzędziem do inwigilacji. Zagrożenie nie dotyczy jednak każdego modelu, a jego skuteczność jest zależna od kilku czynników.

Rywalizacja technologicznych gigantów często przenosi się na pole marketingu, gdzie firmy w kreatywny sposób starają się podkreślić zalety swoich produktów. Apple i Microsoft od dekad prowadzą taką rywalizację, a ich kampanie reklamowe nierzadko stają się tematem szerokich dyskusji. Niedawno firma z Cupertino postanowiła otworzyć kolejny rozdział w tej historii, sięgając po jeden z najbardziej rozpoznawalnych symboli niestabilności systemów konkurenta.

Bezpieczeństwo serwerów to podstawa stabilności cyfrowego świata. Administratorzy skupiają się na ochronie systemów operacyjnych i aplikacji, często ufając, że warstwa sprzętowa jest bezpieczna. Zagrożenia ewoluują i potrafią ukryć się znacznie głębiej, niż wydaje się to możliwe. Czasem najpoważniejsze niebezpieczeństwo nie czai się w oprogramowaniu, które widzimy, lecz w firmware, które nim zarządza. Atak na tym poziomie może pozostać niewykryty przez lata.