Polska pod atakiem: krytyczna podatność w popularnym oprogramowaniu QuickCMS

CERT Polska alarmuje o poważnej luce w QuickCMS-ie.

To znaczy, że system dla sklepów internetowych ma dziurę typu CSRF. Co to jest? Atakujący może przejąć kontrolę nad Twoim kontem admina i tworzyć produkty bez Twojej zgody. Brzmi jak koszmar, prawda?

No i teraz uwaga: podatność zgłoszono już 6 marca 2026 roku. Dotyczy konkretnie wersji 6.8 – ale producenci jeszcze nie potwierdzili dokładnie, które inne wersje są w zagrożeniu.

Dobra, rozbijmy to po kolei i powiem ci, co z tym zrobić.

Co to jest ten CSRF?

To tak jakby ktoś włamał się do Twojego komputera przez otwarte okno. Atakujący wysyła specjalnie przygotowaną stronę internetową (którą klikasz bezwiednie), a ona automatycznie tworzy zamówienie w twoim imieniu.

W efekcie mogą dodać szkodliwe treści, ukraść dane albo przejąć bazę danych. A co gorsza – bo system nie ma odpowiednich zabezpieczeń, wszystkie formularze są podatne.

Kto jest zagrożony?

Wszyscy użytkownicy QuickCMS w Polsce, szczególnie administratorzy i ci, którzy mają uprawnienia do tworzenia produktów. To zmienia postać rzeczy, bo jeśli masz swój sklep online, to musisz działać szybko.

Co mówi producent?

CERT Polska poinformowało firmę OpenSolution o tym kłopocie – ale na razie czekają na szczegóły dotyczące zakresu problemu i planowanych aktualizacji. Powiem ci szczerze, czekanie może być niebezpieczne.

Jak się chronić?

Do czasu oficjalnego „patcha” (czyli poprawki) zrób to samo co ja: bądź super ostrożny. Nie klikaj w podejrzane linki, regularnie zmieniaj hasła do systemu i – jeśli system pozwala – włóż dwuetapowe uwierzytelnianie.

Pamiętaj: lokalne źródła donoszą o wzmożonej aktywności atakujących sieciowych. To nie są żarty.

Dzięki Michałowi Biesiadzie za to zgłoszenie – zachęcam innych, żeby też sprawdzali swoje systemy.

Podsumowując: sytuacja jest poważna i wymaga szybkiej reakcji ze strony administratorów sklepów w całej Polsce. Należy monitorować komunikaty CERT Polska oraz producenta oprogramowania, żeby być na bieżąco z nowymi informacjami i aktualizacjami.

Źródło: CERT