8 października 2026 FBI, CISA, NSA i służby sześciu innych państw opublikowały wspólne advisory AA26-281A o chińskiej firmie Integrity Technology Group, która dostarcza operatorom powiązanym z państwem narzędzia, infrastrukturę i gotowe dostępy do cudzych sieci. Lista podatności wykorzystywanych w tych operacjach liczy osiem pozycji, a najnowsza z nich ma numer z 2023 roku. Najstarsza jest z 2014.
Osiem podatności, żadna nowsza niż 2023
W advisory AA26-281A wymieniono konkretne numery: CVE-2014-6278 (Bash, znane jako Shellshock), CVE-2015-3306 (ProFTPD 1.3.5), CVE-2015-5477 (ISC BIND), CVE-2016-3081 (Apache Struts), CVE-2019-11510 (Pulse Connect Secure, dziś Ivanti), CVE-2021-3199 (ONLYOFFICE DocumentServer 5.1.5–5.6.2), CVE-2021-22205 (GitLab od wersji 11.9) i CVE-2023-22894 (Strapi do 4.5.5). Pięć z nich CISA dopisała do katalogu znanych wykorzystywanych podatności 8 października, z terminem usunięcia na 11 października — trzy dni. Trzy pozostałe były w katalogu wcześniej: Shellshock od 2 października 2025, a luki w Pulse Connect Secure i GitLabie od 3 listopada 2021.
To jest cała treść tej informacji operacyjnej. Podmiot, który sprzedaje usługi włamywania i jest powiązany z aparatem państwowym Chińskiej Republiki Ludowej, nie potrzebował do tego ani jednego zero-daya. Wystarczyły luki łatane od pięciu do dwunastu lat, w oprogramowaniu, którego nikt nie inwentaryzował, bo „to tylko serwer plików”, „to tylko nasz GitLab” albo „to tylko edytor dokumentów w intranecie”.
Skanowanie z GitHuba, exploity w Pythonie
Rozpoznanie opisane w advisory nie wymaga budżetu. Operatorzy używają publicznie dostępnych skanerów — masscan, NMAP, Fscan, dirsearch, wpscan, ksubdomain, OneForAll — i koncentrują się na portach 21, 22, 53, 80, 443 oraz 1080. Przy skanowaniu serwisów WWW enumerują strony PHP i ASP (.NET). Od 2017 roku korzystają też z własnej aplikacji MicroScan: napisanej w Pythonie, zawierającej ponad 1300 skryptów testujących konkretne podatności w OpenSSL, Oracle WebLogic, Rejetto, WordPressie, Juniper ScreenOS, Jenkinsie i Apache Struts.
Autorzy advisory wyciągają z tego wniosek, który warto przeczytać dosłownie: „Użycie narzędzi open source, typowo dostępnych na GitHubie, sugeruje, że ci aktorzy raczej szukają bardziej podatnych celów”. Innymi słowy: to nie jest operacja celowana w konkretną organizację. To przemysłowe przeczesywanie internetu w poszukiwaniu kogoś, kto nie załatał. Selekcja odbywa się po stronie ofiary.
Warto zestawić to z dwiema sprawami z ostatnich tygodni. Zarówno 0-day w FortiMailu, jak i seria podatności w Citrix NetScaler wymagały od atakujących świeżej wiedzy i okna czasowego liczonego w dniach. Tutaj okno liczy się w latach, a koszt wejścia to jeden skaner i lista numerów CVE. Obrona przed drugim scenariuszem nie wymaga lepszych narzędzi detekcyjnych, tylko wiedzy, co faktycznie odpowiada na porcie z internetu — a to pytanie o kompletność inwentarza, nie o budżet na bezpieczeństwo.
Dziesięć drzwi do tej samej skrzynki
Najbardziej konkretny fragment advisory dotyczy poczty. Operatorzy używają narzędzia EBurst do password spraying i zgadywania haseł na kontach Exchange i Microsoft 365, uderzając kolejno w dziesięć interfejsów: Exchange Control Panel, Exchange Web Services, Offline Address Book, Outlook Web Access, RPC, API, MAPI, PowerShell, Autodiscover i Microsoft-Server-ActiveSync. Autorzy piszą wprost, że obrona musi uwzględniać wszystkie te interfejsy.
To jest dokładnie ten rodzaj asymetrii, który wywraca „mamy MFA” jako odpowiedź na pytanie o bezpieczeństwo poczty. Wymuszenie drugiego czynnika na portalu webowym nic nie daje, jeżeli MAPI, ActiveSync albo Autodiscover nadal przyjmują samo hasło. Powierzchnia ataku nie jest tu zdefiniowana przez to, czego używają użytkownicy, tylko przez to, co serwer wciąż obsługuje.
Legalny VPN jako tylne wejście
Persystencję operatorzy budują na SoftEtherze — legalnym kliencie VPN. Instalator pobierają PowerShellem na Windowsie albo przez curl i wget na Linuksie, konfigurują automatyczne wznawianie połączenia po restarcie, a plik nazywają conhost.exe lub dllhost.exe, żeby wyglądał jak składnik systemu. Advisory zawiera zdanie, które powinno trafić do każdej dyskusji o skuteczności EDR-a: oprogramowanie wykrywające na punktach końcowych rzadziej oznacza SoftEthera, bo to legalny program.
Dalej jest już klasyka ruchu bocznego: narzędzie DC.exe realizujące replikację DCSync przeciwko kontrolerowi domeny przez Directory Replication Service, czyli zrzut poświadczeń, członkostwa w grupach i relacji zaufania z Active Directory. Do skrzynek w Microsoft 365 operatorzy używają programu office-cli, działającego na plikach konfiguracyjnych z client_id, tenant_id i sekretem aplikacji — a więc na legalnym mechanizmie dostępu, nie na exploicie. W części przypadków dostęp do wykradzionych danych był ograniczony do adresów IP z Xiamen w Chinach.
Termin wyznaczony przez CISA formalnie wiąże tylko federalne agencje cywilne w Stanach Zjednoczonych, w reżimie dyrektywy BOD 26-04. Dla polskiego administratora liczy się inna rzecz: katalog KEV jest listą podatności z potwierdzonym wykorzystaniem w realnych atakach, a nie listą rekomendacji. Jeżeli pozycja z niego pasuje do czegoś, co masz wystawione do internetu, pytanie nie brzmi „czy łatać”, tylko „czy ktoś już tu był przed łatką”.
Co z tego wynika dla polskiej organizacji?
Advisory opisuje ofiary w Ameryce Północnej, Azji Południowo-Wschodniej i Afryce. To nie znaczy, że Polska jest poza zakresem — znaczy, że FBI prowadziło śledztwa tam, gdzie prowadziło. Technologia, w którą uderzają te operacje, jest u nas dokładnie ta sama. Trzy rzeczy do zrobienia w tym tygodniu.
- Policz interfejsy, nie użytkowników. Sprawdź w Exchange i Entra ID, które z dziesięciu interfejsów z advisory są jeszcze włączone i czy każdy z nich przechodzi przez politykę dostępu warunkowego. Gdzie ActiveSync, MAPI albo EWS przyjmują pojedyncze hasło — wyłącz je per użytkownik albo obejmij polityką wymagającą phishing-resistant MFA. Czego to nie rozwiąże: nie zatrzyma logowania na skradzionym tokenie aplikacji, więc przejrzyj też rejestracje aplikacji z sekretem i uprawnieniami do skrzynek.
- Poszukaj SoftEthera po nazwach plików, nie po nazwie produktu. Przeszukaj punkty końcowe i serwery pod kątem conhost.exe i dllhost.exe poza %SystemRoot%\System32, usług ustawionych na automatyczne wznawianie połączenia i procesów nawiązujących połączenia wychodzące po restarcie. Listę wskaźników kompromitacji CISA udostępnia w formacie STIX — wrzuć ją na kolektor logów i sprawdź historię zapytań DNS, nie tylko stan bieżący.
- Skonfrontuj osiem numerów CVE z tym, co masz wystawione. Zrób listę usług odpowiadających na porty 21, 22, 53, 80, 443 i 1080 z internetu, a potem sprawdź konkretnie: wersję self-hostowanego GitLaba (CVE-2021-22205 dotyczy wszystkiego od 11.9), ONLYOFFICE DocumentServer (5.1.5–5.6.2), Strapi (do 4.5.5), ProFTPD 1.3.5 i każdą pozostałość Pulse Connect Secure. Punkt pierwszy z zaleceń advisory — wyłączenie nieużywanych usług i portów — to w praktyce ta sama robota, co hardening serwera, tylko zaczynana od strony sieci.
Liczba, którą warto zapamiętać
CERT Polska zarejestrował we wrześniu 2026 19,2 tysiąca incydentów na podstawie 57,5 tysiąca zgłoszeń — wynika to z podsumowania miesięcznego opublikowanego 13 października. Od 3 kwietnia 2026, czyli od wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, dane te obejmują nowe kategorie zgłoszeń i nowy podział na podmioty kluczowe i ważne. Zespół zastrzega, że z tego powodu nie są w pełni porównywalne z wcześniejszymi okresami.
Z perspektywy obowiązków raportowych to oznacza jedno: jeżeli operator skanuje twoją sieć narzędziem z GitHuba i wchodzi przez lukę z 2016 roku, nie będzie ani sporu o atrybucję, ani wątpliwości co do klasyfikacji. Będzie incydent do zgłoszenia i pytanie, dlaczego usługa z dwunastoletnią podatnością odpowiadała z internetu.
Katalog CISA ma dziś 1741 pozycji, a pięć najnowszych wpisów z tej sprawy dostało termin trzech dni. Tylko że termin dotyczy łatania, a nie tego, co się stało wcześniej. Luka z 2014 roku wykorzystywana w 2026 nie jest zaległością w harmonogramie aktualizacji — jest dowodem, że ktoś przez dwanaście lat nie wiedział, że ta usługa w ogóle działa.