CGM CLININET: CERT Polska ostrzega przed 11 lukami

W szpitalu z systemem CGM CLININET starszym niż 2026.MS3 atakujący podłączony do sieci wewnętrznej może bez logowania pobrać dokumenty pacjentów. To jedna z 11 podatności, o których CERT Polska ostrzegł 23 października 2026 roku przed godziną 13. Pięć z nich producent usunął w wersji 2026.MS3, a przy sześciu CERT nie wskazuje wersji z poprawką.

Czym jest CGM CLININET i co znalazł CERT Polska

To szpitalny system informacyjny (HIS) firmy CompuGroup Medical. Obsługuje rejestrację, izbę przyjęć, oddziały, zlecenia, dokumentację medyczną i rozliczenia z NFZ. Według strony produktu system jest “wdrożony w największych jednostkach ochrony zdrowia w Polsce”. Działa w szpitalach od 50 do 1500 łóżek. Liczby placówek CGM nie podaje, więc nie wiadomo, ile szpitali ma podatne wersje.

Podatności zgłoszono do CERT Polska, który koordynował ich ujawnienie z producentem. Dziesięć z jedenastu zgłosił Maciej Kazulak. CERT dziękował mu też za całą serię z sierpnia 2025 roku i za część marcowej. Rekordy CVE trafiły do publicznej bazy tego samego dnia rano. Mają oceny w skali CVSS 4.0, które nadał CERT-PL jako organizacja przydzielająca numery.

Według tych ocen cztery luki są krytyczne, cztery wysokie i trzy średnie. Najpoważniejsze kończą się wykonaniem dowolnego kodu z uprawnieniami root na serwerze aplikacji. To pełne przejęcie maszyny, na której pracuje system szpitala. Ani CERT, ani producent nie podają, że ktokolwiek te luki wykorzystał. Nie ma też informacji o wycieku danych.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

11 podatności w CGM CLININET: skutek, warunek ataku i poprawka

Tabela zbiera opis każdej luki z ostrzeżenia CERT Polska i ocenę CVSS 4.0 z rekordu CVE. Kolumna “Poprawka” przepisuje stan z ostrzeżenia.

Pięć luk naprawia wersja 2026.MS3, przy sześciu CERT nie wskazuje poprawki

Aktualizacja do 2026.MS3 zamyka pięć podatności. Wśród nich jest pobieranie dokumentów bez logowania i dwie drogi do kodu jako root (30047 i 30050). Przy pozostałych sześciu CERT pisze, że luka “została potwierdzona w wersjach do 2026.MS3 włącznie, ale późniejsze wersje również mogą być podatne”.

To sformułowanie oznacza, że CERT w publicznym ostrzeżeniu nie wskazał wersji, która usuwa te luki. Czy CGM już taką wydał, ostrzeżenie nie mówi. Szpital na 2026.MS3 powinien więc zakładać, że nadal ma dwie luki krytyczne związane z HL7 (30046 i 30054), czyli standardem wymiany danych między systemami medycznymi. Do tego dochodzi usługa rsyncd ufająca adresom IP, otwarty port aktualizatora i XSS. Ten ostatni da się wykorzystać spoza szpitala, wysyłając pracownikowi link.

Jedna rozbieżność w danych: rekord CVE-2025-58403 w bazie CVE podaje wersje “do 2025.MS3 włącznie”, a ostrzeżenie CERT mówi o 2026.MS3. Przy planowaniu aktualizacji trzymaj się ostrzeżenia i pytaj producenta.

Do popołudnia 23 października 2026 roku CGM nie opublikował komunikatu o tych lukach na polskiej stronie aktualności. Klienci mogą dostać informację kanałem serwisowym, którego z zewnątrz nie widać.

Co powinien zrobić dział IT szpitala

Pierwszy krok to sprawdzenie wersji i aktualizacja do 2026.MS3. Usuwa ona lukę, przez którą da się pobierać dokumenty bez logowania. Dalsze kroki to nasze zalecenia wynikające z opisu luk. Ostrzeżenie CERT samo nie zawiera instrukcji ani obejść.

1. Zapytaj CGM o plan poprawek dla sześciu luk potwierdzonych do 2026.MS3 włącznie i o zalecane obejścia do czasu ich wydania.
2. Ogranicz dostęp do serwera aplikacji CLININET na poziomie sieci. Najgroźniejsze luki wymagają dostępu do sieci wewnętrznej albo konta na serwerze, ale cztery rekordy CVE mają wektor sieciowy bez takiego zastrzeżenia. W szpitalu w jednej sieci często pracują też urządzenia medyczne, drukarki i komputery firm zewnętrznych.
3. Sprawdź, które systemy wysyłają komunikaty HL7 do CLININET, i dopuść ruch tylko z ich adresów. Przy luce 30052 sam adres IP nie chroni, więc rsyncd i port cgm-updater nie powinny być osiągalne z sieci użytkowników.

Po aktualizacji zostają trzy rzeczy do zrobienia na serwerze:

1. Zmień hasło do bazy danych i do RabbitMQ, usługi przekazującej komunikaty między częściami systemu. Do tej pory mogło je przeczytać każde konto lokalne (30051).
2. Wymuś zmianę haseł użytkowników, jeśli placówka miała wersję podatną na lukę 30049 (hasła jako niesolone MD5). CERT wskazuje poprawkę w 2026.MS1 i 2026.MS3, dokładny zakres potwierdź z CGM.
3. Przejrzyj logi serwera aplikacji pod kątem zapytań do ścieżki /DocManagment z nietypowych adresów.

Podstawą ochrony są aktualizacje, podział sieci i ograniczenie dostępu do serwera. Antywirus i zabezpieczenia stanowisk mogą najwyżej utrudnić część scenariuszy, na przykład atak linkiem wykorzystującym XSS. Podział odpowiedzialności między producentem a placówką opisywaliśmy przy luce w programie drEryk Gabinet.

Co może zrobić pacjent szpitala

Pacjent nie ma jak sprawdzić, czy jego szpital używa CLININET i w jakiej wersji, ani nie może niczego zabezpieczyć sam. Może zapytać inspektora ochrony danych szpitala, czy placówka zaktualizowała system. Dane kontaktowe inspektora szpital podaje zwykle w klauzuli informacyjnej na swojej stronie.

Sama podatność nie jest jeszcze naruszeniem ochrony danych. Obowiązki z RODO powstają, gdy szpital stwierdzi naruszenie, na przykład nieuprawniony dostęp do danych, ich utratę albo zmianę. Według poradnika Urzędu Ochrony Danych Osobowych administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin (art. 33 ust. 1 RODO). Nie musi, gdy ryzyko dla osób jest mało prawdopodobne. Gdy naruszenie może powodować wysokie ryzyko dla pacjentów, musi ich o tym zawiadomić (art. 34 ust. 1 RODO). Drogi pacjenta po takim zawiadomieniu opisaliśmy w tekście o skardze do UODO i pozwie o odszkodowanie, napisanym po wycieku z systemu MyDr.

Trzecia seria luk w CLININET w ciągu 14 miesięcy

To trzecia publikacja CERT Polska o tym systemie. W ostrzeżeniu z 27 sierpnia 2025 roku było 17 podatności w CLININET. Jedna pozwalała bez uwierzytelnienia przejąć sesję dowolnego zalogowanego użytkownika. W ostrzeżeniu z 2 marca 2026 roku było osiem: siedem w CLININET i jedna w module imageserver systemu CGM NETRAAD. Razem to 35 numerów CVE w samym CLININET.

Trzy publikacje wyczerpują wszystkie 30 numerów od CVE-2025-30035 do CVE-2025-30064, a pięć pozostałych pochodzi spoza tego zakresu. Same numery nie mówią, kiedy luki wykryto ani jak długo producent pracował nad poprawkami. Wspólne ujawnianie z producentem daje mu czas na poprawkę, zanim szczegóły trafią do publicznej bazy. Nie wiadomo, kiedy klienci CGM dostali szczegóły kanałem serwisowym. Od 23 października opis każdej luki jest jednak publiczny, więc szpital ze starszą wersją powinien traktować aktualizację jako pilną.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

CERT Polska 23 października 2026 roku ostrzegł przed 11 podatnościami w CLININET, szpitalnym systemie informacyjnym obsługującym dokumentację pacjentów. Według ocen CVSS 4.0 z rekordów CVE cztery są krytyczne, cztery wysokie i trzy średnie. Najpoważniejsze prowadzą do wykonania kodu jako root na serwerze aplikacji. Jedna pozwala pobrać dokumenty pacjentów bez logowania z sieci wewnętrznej. Wersja 2026.MS3 naprawia pięć luk. Przy sześciu CERT potwierdza podatność do 2026.MS3 włącznie i nie wskazuje wersji z poprawką. Nie ma informacji o wykorzystaniu luk ani o wycieku. Działy IT szpitali powinny zaktualizować system i odciąć serwer aplikacji od sieci użytkowników. Potem powinny zmienić hasła do bazy i zapytać CGM o poprawki dla pozostałych sześciu luk. Stan na 23 października 2026 roku, popołudnie.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.