konto w ZUS, e-Sądzie i eZdrowiu. Jako ty. Nie jako haker w kominiarce. Nie za pomocą zero-daya z dark webu. Za pomocą YubiKeya za dwieście złotych i modyfikacji wtyczki do przeglądarki, której kod źródłowy jest niezaszyfrowany i napisany w JavaScripcie. Michał Leszczyński — programista, który chciał naprawić prosty błąd w oprogramowaniu do e-podpisów — odkrył trzy podatności, które pozwalały zalogować się jako dowolna osoba w większości krytycznych systemów państwowych w Polsce. Nie przesadzam. Mówię o konkretnych systemach. Co odkrył Trzy podatności. Trzy CVE. Każda gorsza od poprzedniej. CVE-2026-26928 — zdalne wykonanie kodu w SzafirHost. Wtyczka do e- podpisów, zainstalowana na 900 tysiącach komputerów w Polsce, nie weryfikowała podpisów cyfrowych plików DLL, SO i DYLIB. Atakujący mógł podmienić bibliotekę na złośliwą — i uruchomić dowolny kod na komputerze ofiary. Jedyny warunek: ofiara kliknie w link. Część 2 — hakowanie e-Sądu YubiKeyem. Systemy Ministerstwa Sprawiedliwości obsługujące logowanie przez „Moduł Tożsamość" nie sprawdzały w wystarczającym stopniu, czy karta do podpisu kwalifikowanego została wydana przez uprawniony podmiot. Wystarczyło wystawić fałszywą kartę na dane dowolnej osoby — i zalogować się w jej imieniu. CVE-2026-9058 — ominięcie uwierzytelniania w ZUS i systemach eZdrowia. To samo co w e-Sądzie, ale w systemach zawierających dane medyczne i ubezpieczeniowe każdego obywatela. Które systemy były podatne System eZUS — Zakład Ubezpieczeń Społecznych. Dane emerytalne, składki, zasiłki, renty każdego Polaka. Systemy Ministerstwa Sprawiedliwości — e-Sąd, Krajowy Rejestr Karny, Portal Informacyjny Sądów Powszechnych. Każde pismo procesowe, każdy wyrok, każdy nakaz zapłaty. Platforma UEOZ — Usługi Elektroniczne Ochrony Zdrowia. Recepty, skierowania, historia leczenia. Ile osób to dotyczy? Wszyscy. Każdy kto ma PESEL. Jak to było możliwe SzafirHost to aplikacja pośrednicząca między przeglądarką a kartą do podpisu kwalifikowanego. Robi jedną rzecz: bierze dokument z przeglądarki, wysyła go do karty, karta podpisuje, SzafirHost zwraca podpisany dokument. Problem: SzafirHost weryfikował pliki JAR (za pomocą listy zaufanych skrótów i podpisów cyfrowych), ale nie weryfikował plików DLL. Kompletnie. Zero sprawdzenia. Atakujący mógł wstrzyknąć złośliwy plik DLL, który SzafirHost posłusznie załadował i wykonał. Ale to dopiero początek. Systemy logowania sprawdzały, czy użytkownik ma ważny certyfikat podpisu kwalifikowanego. Sprawdzały podpis. Sprawdzały datę ważności. Ale nie sprawdzały w pełni, czy certyfikat został wydany przez zaufany urząd certyfikacji. W efekcie można było wygenerować własny certyfikat na dane dowolnej osoby — i system go akceptował. Wyobraź sobie: wchodzisz na stronę e-Sądu, logujesz się „podpisem kwalifikowanym" wystawionym na Prezesa Sądu Najwyższego — i system cię wpuszcza. Bo nie sprawdził, kto ten podpis wydał. Dlaczego to jest gorsze niż Zonda Zonda — polska giełda kryptowalut — straciła pieniądze klientów. Tragedia, ale zamknięta. Dotknęła ludzi, którzy świadomie zainwestowali w krypto. SzafirHost dotyczy każdego. Nie trzeba inwestować w krypto. Nie trzeba mieć konta na giełdzie. Wystarczy być obywatelem Polski, który kiedykolwiek poszedł do lekarza, zapłacił ZUS albo miał sprawę w sądzie. Dane medyczne. Dane emerytalne. Dokumenty sądowe. Podpisy elektroniczne na umowach. Nakazy zapłaty. Wszystko to mogło zostać sfałszowane, odczytane lub zmienione — przez kogokolwiek, kto wiedział jak zmodyfikować wtyczkę przeglądarkową napisaną w niezaciemnionym JavaScripcie. Pytanie @321Crypto Konto @321Crypto na X postawiło pytanie, które powinno paść w Sejmie: jeśli ktoś wejdzie na czyjś profil i podpisze coś bezpiecznym podpisem — to kto ponosi odpowiedzialność? Ofiara, bo „system twierdzi że to zrobiła ta osoba"? Czy państwo, bo wiedziało o lukach i nie reagowało? To nie jest pytanie retoryczne. To jest pytanie procesowe. Bo w polskim prawie podpis kwalifikowany ma moc równą podpisowi własnoręcznemu (art. 25 ust. 2 eIDAS). Jeśli ktoś podpisał umowę „twoim" podpisem — ty jesteś stroną umowy. Sąd zobaczy ważny podpis kwalifikowany i uzna, że to twoja wola. A teraz wiemy, że ten podpis mógł być sfałszowany za pomocą YubiKeya za dwieście złotych. Co zrobiono CERT Polska potwierdził podatności. SzafirHost naprawiony w wersji 1.1.0 (CVE-2026-26928) i 1.2.1 (CVE-2026-44088). Michał Leszczyński dostał podziękowania. Ale pytanie brzmi: ile czasu te luki były aktywne? Ile osób o nich wiedziało przed Michałem? I czy ktokolwiek sprawdził, czy luki nie zostały wykorzystane w praktyce? Wtyczka Szafir SDK Web miała 900 tysięcy użytkowników. Każdy z nich był potencjalną ofiarą. Każdy system państwowy, który akceptował logowanie podpisem kwalifikowanym, był potencjalnym celem. Dlaczego piszę o tym na LinkedIn Bo prowadzę firmę telekomunikacyjną od 1998 roku. Mam licencję UKE. Mam 271 domen. Mam 24 wnioski patentowe. I podpisuję dokumenty elektronicznie — JPK_VAT, KRS, ZUS, e-Doręczenia. Bo mam sprawę w sądzie (V Nsm 1749/23) i składam pisma procesowe elektronicznie. I właśnie dowiedziałem się, że ktoś mógł się zalogować na mój profil w e-Sądzie i złożyć pismo w moim imieniu. Podpisane moim podpisem. Które sąd uznałby za moje. Bo niedawno pisałem do znajomego o problemach z e-Doręczeniami — o tym, że wiadomość między podmiotami niepublicznymi nie przechodzi, bo jeden ma ADE u dostawcy publicznego a drugi u komercyjnego. Brak interoperability. I myślałem, że to jest poważny problem. A teraz się okazuje, że problem jest tysiąc razy większy. Że cały system podpisów kwalifikowanych w Polsce miał dziurę, przez którą mógł przejechać autobus. Co możesz zrobić Sprawdź wersję SzafirHost na swoim komputerze. Jeśli masz starszą niż 1.2.1 — zaktualizuj natychmiast. Przeczytaj pełne analizy Michała Leszczyńskiego na Zaufanej Trzeciej Stronie — to cztery artykuły, każdy warty twojego czasu. I zadaj sobie pytanie: jeśli 900 tysięcy Polaków używało wtyczki z podatnością na zdalne wykonanie kodu — ile dokumentów zostało podpisanych fałszywie? Ile wyroków? Ile recept? Ile wniosków o rentę? Nikt nie wie. I to jest najgorsze. Źródła: zaufanatrzeciastrona.pl — cykl „Badanie e-podpisów" cz. 1-3 + podsumowanie CERT Polska — CVE-2026-26928, CVE-2026-26927, CVE-2026-9058, CVE-2026-44088 @321Crypto na X — 15.5K wyświetleń, 25.05.2026 Łukasz „Loki" Frąckowiak LOKIS Group · Gdańsk · ISP od 1998 · 24 patenty UPRP · Operator telekomunikacyjny · Licencja UKE Podpisuję dokumenty elektronicznie od lat. Od wczoraj wiem, że ktoś mógł to robić za mnie. #cyberbezpieczeństwo #SzafirHost #CVE #ePodpis #ZUS #eSąd #eZdrowia #LOKIS #infosec #Polska #CERT
Dodaj komentarz