CERT Polska w komunikacie z 27 sierpnia opisał podatności w Plesk umożliwiające dostęp do baz danych innych klientów oraz odczyt dowolnych plików, z możliwością uzyskania uprawnień administratora. Dla polskiej firmy kupującej hosting to powód, aby uzyskać od operatora potwierdzenie aktualizacji panelu i sposób sprawdzenia izolacji klientów. Umowa hostingowa powinna wskazywać, kto odpowiada za te ustalenia.

Czy możliwość zalogowania się do własnego konta hostingowego wystarcza, aby uznać, że dane firmy są odseparowane od danych pozostałych klientów? Po ostrzeżeniu dotyczącym Plesk takie potwierdzenie byłoby przedwczesne. Punktem odniesienia powinien być stan wspólnego panelu, do którego odnosi się komunikat CERT Polska. Przegląd usługi zacznijmy więc od umowy i odpowiedzi operatora: kto aktualizuje panel, kto potwierdza wykonanie prac i jak sprawdza granicę dostępu między klientami. Jeżeli tych informacji brakuje, wpiszmy je jako otwarte pytania do dostawcy. Nie traktujmy własnego konta jako dowodu bezpieczeństwa całego środowiska. Wymagajmy odpowiedzi dotyczącej panelu obsługującego kupioną usługę.

Plesk: granica dostępu obejmuje bazy danych i pliki

Według CERT Polska CVE-2026-65642 jest błędem typu IDOR, który umożliwia odczyt i modyfikację baz danych innych klientów. Przy ocenie skutków uwzględnijmy więc odczyt cudzych danych i ich zmianę. Opis podatności dotyczy przekroczenia granicy między klientami hostingu, dlatego sprawdzenie wyłącznie własnego konta nie odpowiada na zasadnicze pytanie o izolację.

Druga podatność, CVE-2026-65646, według CERT Polska pozwala odczytać dowolne pliki przez funkcjonalność zarządzania DNS i może prowadzić do uzyskania uprawnień administratora. Zachowajmy w opisie ryzyka słowo „może”: komunikat wskazuje możliwy skutek podatności, bez potwierdzenia przejęcia konkretnego środowiska.

W zapytaniu do operatora wymieńmy oba identyfikatory. Poprośmy o osobne odniesienie do dostępu do cudzych baz oraz odczytu plików i możliwej eskalacji uprawnień. Odpowiedzi dotyczącej CVE-2026-65642 nie traktujmy jako rozstrzygnięcia sprawy CVE-2026-65646. Taki podział pozwoli odebrać ustalenia osobno dla każdego z opisanych zagrożeń.

Potwierdzenie izolacji klientów powinno dotyczyć granic dostępu opisanych w ostrzeżeniu o Plesk.

Procedura aktualizacji ma dotyczyć panelu, który obsługuje firmę

W przeglądzie procedur zestawmy zapis umowy z odpowiedzią operatora dotyczącą CVE-2026-65642 i CVE-2026-65646. Sprawdźmy, czy dokument wskazuje odpowiedzialnego za aktualizację wspólnego panelu oraz sposób potwierdzania wykonanych prac. Jeśli mówi jedynie ogólnie o utrzymaniu hostingu, poprośmy o doprecyzowanie odpowiedzialności za Plesk. To rekomendacja przeglądu własnej umowy; komunikat CERT Polska nie opisuje praktyk konkretnego operatora.

Od dostawcy oczekujmy potwierdzenia odnoszącego się do środowiska obsługującego naszą usługę: co zaktualizował, kiedy wykonał prace i na jakiej podstawie uznaje obie podatności za usunięte. Poprośmy również o zakres i wynik sprawdzenia izolacji klientów po tych działaniach. Samo określenie „panel zaktualizowany” pozostawmy do wyjaśnienia, jeżeli odpowiedź nie wskazuje, którego środowiska i jakich podatności dotyczy.

Po stronie kupującej hosting wyznaczmy osobę odbierającą te ustalenia. W jej notatce powinno być miejsce na wynik weryfikacji Plesk oraz informacje nadal oczekiwane od operatora. Nie zamykajmy zadania na podstawie samego otrzymania odpowiedzi, jeśli pytanie o izolację pozostało bez rozstrzygnięcia.

Umowa powinna wskazywać odpowiedzialność i sposób odbioru dowodów

Dla zarządu proponujemy przełożyć ostrzeżenie o Plesk na wymaganie wobec usługi: umowa powinna nazywać właściciela aktualizacji panelu i określać, jak firma otrzyma potwierdzenie izolacji klientów. Przy doprecyzowaniu ustaleń z operatorem uzgodnijmy także odbiorcę potwierdzenia oraz sposób postępowania, gdy sprawdzenie jeszcze trwa. Brak wyniku powinien prowadzić do wskazania kolejnego kroku i terminu odpowiedzi.

Ocenę stanu panelu oddzielmy od oceny ewentualnych skutków wcześniejszej podatności. Potwierdzenie wykonania aktualizacji Plesk samo w sobie nie odpowiada na pytanie, czy doszło do odczytu lub modyfikacji danych. Jeżeli operator będzie oceniał możliwe skutki, poprośmy o wyjaśnienie, czy uwzględnił zakres wynikający z obu identyfikatorów CVE. Oczekujmy wskazania podstaw ustaleń i ich ograniczeń, bez domagania się deklaracji pewności tam, gdzie brakuje danych.

Źródło nie potwierdza aktywnego wykorzystania opisanych podatności. W raporcie dla kierownictwa nie przedstawiajmy zatem ostrzeżenia CERT Polska jako dowodu naruszenia danych firmy. Nie traktujmy też braku takiego potwierdzenia jako dowodu, że panel naszej usługi był bezpieczny. Stan konkretnego środowiska pozostaje do ustalenia z operatorem.

Umowa hostingowa powinna przypisywać odpowiedzialność za aktualizację Plesk i określać dowód, który odbierze klient.

Polska firma może oprzeć zapytanie na komunikacie CERT Polska

Kupując hosting w Polsce, wykorzystajmy komunikat CERT Polska jako wspólny punkt odniesienia w rozmowie z dostawcą. Do zgłoszenia dotyczącego własnej usługi dołączmy link do ostrzeżenia z 27 sierpnia i oba numery CVE. Poprośmy najpierw o potwierdzenie, czy panel obsługujący tę usługę to Plesk. Jeśli tak, dalsza odpowiedź powinna obejmować aktualizację i sprawdzenie izolacji.

Nie zakładajmy na podstawie ostrzeżenia, że każdy operator hostingu korzysta z podatnego środowiska. Zakres odpowiedzi ograniczmy do usługi, którą firma rzeczywiście kupuje. Jeżeli dostawca stwierdzi, że ostrzeżenie jej nie dotyczy, poprośmy o podstawę tego ustalenia. W ten sposób również odpowiedź o braku zastosowania komunikatu będzie możliwa do oceny.

W firmowej dokumentacji połączmy odpowiedź operatora ze wskazaną usługą i osobą odpowiedzialną za jej odbiór. Proponujemy zachować razem ustalenia dotyczące Plesk, potwierdzenie prac i wynik sprawdzenia izolacji, tak aby przy kolejnym przeglądzie umowy było wiadomo, jakie informacje dostawca zobowiązał się przekazywać.

Co z tym zrobić w poniedziałek

Każdy punkt ogranicz do 30 minut pracy. Celem jest przygotowanie i przypisanie weryfikacji Plesk; same prace techniczne wymagają ustalenia zakresu z operatorem.

  1. Sprawdź odpowiedzialność w umowie hostingowej. Dla wybranej usługi odszukaj zapis o aktualizacji panelu i potwierdzaniu izolacji klientów. Zapisz wskazanego odpowiedzialnego albo brak takiego ustalenia. Przygotuj propozycję doprecyzowania, którą przekażesz osobie prowadzącej umowę.
  2. Przygotuj zapytanie do operatora. Dołącz komunikat CERT Polska oraz CVE-2026-65642 i CVE-2026-65646. Poproś o potwierdzenie, czy usługa korzysta z Plesk, a jeśli tak, o dowód aktualizacji oraz zakres i wynik sprawdzenia izolacji klientów.
  3. Wyznacz odbiorcę odpowiedzi. Ustal osobę i termin przeglądu ustaleń operatora. W zadaniu zapisz, że odpowiedź ma odnosić się do wybranej usługi i obu podatności. Brakujące potwierdzenia oznacz jako otwarte, z przypisanym następnym krokiem.

W umowie dotyczącej hostingu z Plesk wymagajmy odpowiedzialności, którą można przypisać, i potwierdzenia, które można ocenić. Prawo dostępu do własnego konta nie powinno zastępować ustaleń o izolacji klientów wspólnego panelu. Za rozstrzygnięcie uznajmy odpowiedź operatora odnoszącą się do naszej usługi, z jawnym wskazaniem tego, co sprawdził i czego nadal nie wiadomo.

Źródła

  1. CERT Polska: Podatności w oprogramowaniu Plesk, publikacja: 27 sierpnia 2026.

Redakcja cyberinsight.pl.