🔥 5 promocji w Kinetyce•Gemini Pro 170 zł -91%•Adobe CC 169 zł -84%•Brain.fm 109 zł -70%•i 2 więcej do 13.09 Zobacz →
Przejdź do treści
Luki i patche

Luka w polskim systemie produkcyjnym Golem OEE MES. Producenci powinni szybko zaktualizować

CERT Polska ostrzega przed podatnością CVE-2026-8464 w oprogramowaniu Golem OEE MES. Luka pozwala nieuwierzytelnionemu atakującemu w sieci lokalnej odczytać dowolne pliki z serwera. Firma Neuron Soft wydała łatkę w wersji 11.6.0.

3 min read
An abstract visual of a factory production line with gears and conveyor belts, where one gear is cracked and glowing red, while a shield with a padlock icon hovers above it, casting a protective blue light. No text or screens.

CERT Polska poinformował o podatności w oprogramowaniu Golem OEE MES firmy Neuron Soft. Luka oznaczona jako CVE-2026-8464 to podatność typu path traversal, która nie wymaga uwierzytelnienia. Atakujący znajdujący się w tej samej sieci lokalnej może dzięki niej odczytać dowolne pliki z systemu operacyjnego serwera. Producent udostępnił już poprawkę w wersji 11.6.0.

Co to jest Golem OEE MES i dlaczego luka jest groźna?

Golem OEE MES to system klasy MES (Manufacturing Execution System), służący do zarządzania produkcją w zakładach przemysłowych. Umożliwia monitorowanie wydajności maszyn, zbieranie danych produkcyjnych i planowanie zleceń. Jest wykorzystywany przez wiele polskich firm produkcyjnych. Podatność CVE-2026-8464 (katalogowana jako CWE-22 – niewłaściwe ograniczenie ścieżki do katalogu) pozwala na manipulowanie ścieżkami żądań HTTP. Oznacza to, że osoba atakująca może wysłać spreparowane żądanie do serwera i odczytać pliki konfiguracyjne, hasła, dane produkcyjne lub inne poufne informacje. Co istotne, atak nie wymaga żadnych wcześniejszych uprawnień – wystarczy dostęp do sieci lokalnej, w której pracuje serwer.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jakie jest ryzyko dla polskich firm?

Wiele zakładów produkcyjnych utrzymuje systemy MES w odizolowanych sieciach przemysłowych, jednak coraz częściej są one podłączane do sieci biurowej lub zdalnie dostępne dla integratorów. Jeśli serwer Golem OEE MES przed wersją 11.6.0 jest dostępny z poziomu sieci lokalnej, każdy pracownik, gość lub podłączone urządzenie (np. skaner, drukarka) może potencjalnie wykorzystać tę lukę. Skutki to nie tylko wyciek danych, ale też ryzyko eskalacji ataku na inne systemy – odczytane pliki konfiguracyjne mogą ujawnić hasła do baz danych czy kont administratora. CERT Polska wyraźnie zaznacza, że podatność została zgłoszona przez Karola Królaka z firmy securitum.pl, a proces ujawniania był koordynowany przez zespół CERT.

Jak się zabezpieczyć? Krok po kroku

Najważniejsze działanie to niezwłoczna aktualizacja oprogramowania do wersji 11.6.0. Neuron Soft udostępnił poprawkę 11 czerwca 2026 roku. Administratorzy powinni pobrać nową wersję z oficjalnego kanału i przetestować ją w środowisku stagingowym przed wdrożeniem produkcyjnym. Do czasu aktualizacji warto tymczasowo ograniczyć dostęp do serwera tylko do zaufanych adresów IP na poziomie zapory sieciowej. Jeśli to możliwe, należy również monitorować logi serwera pod kątem nietypowych żądań HTTP zawierających ciągi znaków takie jak „../” (próby path traversal). Trzeba pamiętać, że luka działa bez uwierzytelnienia, więc samo włączenie logowania nie rozwiązuje problemu – konieczna jest zmiana kodu.

Szerszy kontekst: rosnąca liczba luk w systemach OT/ICS

Incydent z Golem OEE MES wpisuje się w szerszy trend wzrostu liczby podatności w systemach przemysłowych (OT) i produkcyjnych. Ataki na łańcuch dostaw, ransomware czy kradzież własności intelektualnej często zaczynają się właśnie od przejęcia systemu MES lub innego komponentu sterowania produkcją. W ostatnich miesiącach CERT Polska i inne zespoły CSIRT wielokrotnie ostrzegały przed lukami w podobnym oprogramowaniu. Dlatego tak ważne jest, aby polskie firmy produkcyjne traktowały bezpieczeństwo systemów OT jako priorytet i regularnie aktualizowały oprogramowanie od producentów takich jak Neuron Soft. Nawet jeśli serwer jest „tylko” w sieci lokalnej, atakujący może być już wewnątrz – na przykład przez zainfekowane urządzenie pracownika.

Podsumowując: każda firma korzystająca z Golem OEE MES w wersji przed 11.6.0 powinna jak najszybciej zastosować poprawkę. Brak łatki oznacza pozostawienie otwartych drzwi dla potencjalnego ataku. Regularne aktualizacje i monitorowanie podatności to podstawa bezpieczeństwa w środowisku przemysłowym.

#bezpieczeństwo OT #CERT Polska #CVE-2026-8464 #Golem OEE MES #Neuron Soft #Path Traversal
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read