Poprawka leży na stronie producenta od 31 lipca 2026, a ostrzeżenie o dziurze, którą zamyka, wyszło dopiero 10 września. Tego dnia CERT Polska opublikował advisory o podatności CVE-2026-17038 w programie drEryk Gabinet, czyli w systemie, na którym pracują polskie przychodnie i gabinety rozliczające się z Narodowym Funduszem Zdrowia. Taka kolejność jest normalna przy skoordynowanym ujawnianiu podatności i sama w sobie nie jest zarzutem. Problem zaczyna się gdzie indziej. Miesiąc po wycieku z systemu MyDr każda wiadomość ze słowami “luka” i “przychodnia” czyta się w Polsce jak zapowiedź kolejnego wycieku danych pacjentów. Advisory CERT-u mówi co innego i warto przeczytać je dokładnie, zanim ktoś doklei do niego panikę albo machnie na nie ręką.
Co dokładnie znalazł badacz w drEryk Gabinet
Klasa błędu nazywa się CWE-798, czyli użycie zaszytych na stałe poświadczeń. Po ludzku: login i hasło do zewnętrznej usługi siedzą wpisane w kodzie programu, zamiast być pobierane z konfiguracji. Każdy, kto dostanie się do pliku aplikacji, dostaje razem z nim gotowy klucz.
CERT Polska opisuje to precyzyjnie. Program w wersjach wcześniejszych niż 11.5.0 “używa zaszytych na stałe poświadczeń API w swoim komponencie raportowania zgłoszeń”. Te poświadczenia można wykorzystać do bezpośredniego uwierzytelnienia w API systemu zgłoszeń. Atakujący dostaje wtedy możliwość “wykonywania uprzywilejowanych operacji wykraczających poza funkcjonalność oferowaną przez aplikację, w tym odczytywania i modyfikowania zgłoszeń”.
Podatność zgłosił Wojciech Giełdza, a ujawnienie koordynował CERT Polska w ramach programu skoordynowanego ujawniania podatności. To ta sama ścieżka, którą zespół prowadził przy lukach w RouterOS na routerach MikroTika. Advisory nie zawiera punktacji CVSS. Bazy podatności dopisują własne oceny i bywają one różne, ale żadna z nich nie jest oceną CERT Polska.
Czy wyciekła dokumentacja medyczna pacjentów
W żadnym źródle nie ma takiej informacji. Advisory opisuje podatność, czyli słabość w programie, i nie opisuje incydentu. CERT nie informuje o wykorzystaniu tej luki w praktyce ani o naruszeniu ochrony danych osobowych.
Druga rzecz dotyczy tego, co faktycznie stoi po drugiej stronie tego API. W advisory pada “system zgłoszeń” oraz “komponent raportowania zgłoszeń”. CERT nie mówi, kto ten system utrzymuje ani jakie informacje trafiają do pojedynczego zgłoszenia. Potwierdza jedną rzecz: poświadczenia pozwalały zgłoszenia odczytywać i modyfikować.
Z tego wynika ostrożny wniosek w obie strony. Bazy z wizytami, receptami i rozpoznaniami advisory nie wymienia ani razu, więc nagłówek o wycieku dokumentacji medycznej byłby zmyśleniem. Bez komunikatu producenta nie da się jednak przesądzić, czy w samych zgłoszeniach nie mogły się znaleźć dane pacjentów. Przy wycieku z MyDr zakres danych potwierdzały próbki i komunikaty. Tutaj nie ma ani jednego, ani drugiego, i to jest cała dostępna wiedza.
Poprawka wyszła 31 lipca, tylko nikt jej tak nie nazwał
Wersja 11.5.0 pojawiła się na stronie producenta w piątek 31 lipca 2026. Advisory wskazuje ją jako pierwszą wersję bez podatności. Między jednym a drugim minęło sześć tygodni. Placówka mogła w tym czasie wyjść z podatnej wersji zwykłą aktualizacją, nawet o tym nie wiedząc.
W notatkach do wydania 11.5.0 nie ma ani słowa o poświadczeniach, o API zgłoszeń ani o poprawce bezpieczeństwa. Lista ma jedenaście punktów. Dotyczą one raportów do NFZ, słownika ICD-10, Centralnej e-Rejestracji i odpłatności leków. Punkt pierwszy mówi o uwierzytelnianiu wieloskładnikowym w komunikacji z usługami centralnymi Funduszu, co jest zupełnie inną sprawą.
Producent nie opublikował też komunikatu o samej podatności. Sprawdziliśmy 13 września listę aktualności na dreryk.pl: dziesięć najnowszych pozycji, od 23 lipca do 11 września, to notatki o wydaniach, webinar i teksty poradnikowe. Wpisu o CVE-2026-17038 wśród nich nie ma. Najnowsza wersja gałęzi to 11.7.0 z 10 września, czyli z dnia publikacji advisory.
Tego samego dnia sprawdziliśmy jeszcze jedną rzecz, o którą pyta każdy, kto próbuje ocenić wagę sprawy. Producent nie podaje liczby placówek korzystających z systemu ani na stronie głównej, ani na stronie produktu, ani w aktualnościach. Szacunki krążące po sieci nie mają oparcia w materiałach drEryka, więc żadnej liczby tu nie znajdziesz. Skalę zna producent i to on mógłby ją podać.
Co powinna zrobić przychodnia, a czego nie zrobi pacjent
Cała robota jest po stronie placówki i jej administratora, a sprowadza się do czterech ruchów.
- Sprawdź numer wersji. Wszystko poniżej 11.5.0 jest podatne. Numer wersji widać w samym programie, a w razie wątpliwości poda go opiekun placówki po stronie dostawcy.
- Zaktualizuj do wersji aktualnej. Na 13 września 2026 jest nią 11.7.0. Aktualizacja systemu gabinetowego wymaga okna serwisowego, więc zaplanuj ją, zamiast odkładać.
- Zapytaj dostawcę o dwie konkretne rzeczy. Czy zaszyte poświadczenia zostały unieważnione, oraz czy producent przejrzał historię operacji w systemie zgłoszeń. Advisory tego nie rozstrzyga, a od odpowiedzi zależy, czy sama aktualizacja zamyka sprawę.
- Odnotuj podatność i reakcję w dokumentacji bezpieczeństwa. Taki zapis pomaga placówce wykazać, że oceniła ryzyko i odpowiednio na nie zareagowała. Obowiązki w tym obszarze rosną, co rozpisywaliśmy przy pakiecie Cyber Piątka.
Advisory nie zawiera zaleceń operacyjnych, więc nie rozstrzyga, czy do czasu aktualizacji ograniczyć działanie programu. Warto mieć w głowie koszt takiej decyzji: zatrzymanie systemu gabinetowego zatrzymuje rejestrację, recepty i rozliczenia z Funduszem. Rozsądna kolejność to zapytać dostawcę i zaplanować aktualizację, a nie wyłączać program odruchowo.
Pacjent nie ma tu żadnego przycisku do naciśnięcia i uczciwie jest to powiedzieć wprost. Advisory nie potwierdza incydentu ani ujawnienia numerów PESEL, więc samo ostrzeżenie CERT-u nie daje podstaw do zastrzegania numeru ani do innych działań typowych po wycieku. Jedyne, co warto zrobić, to zapamiętać, że wiadomości o rzekomym wycieku z twojej przychodni nadal krążą po telefonach, a sposób na ich sprawdzenie opisaliśmy osobno. Ostrzeżenie CERT-u jest dobrym pretekstem, żeby o tym przypomnieć, i złym pretekstem, żeby się bać.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Ostrzeżenie CERT Polska z 10 września dotyczy zaszytych poświadczeń API w komponencie raportowania zgłoszeń drEryk Gabinet i obejmuje wszystkie wersje starsze niż 11.5.0. Napastnik z tymi poświadczeniami mógł odczytywać i modyfikować zgłoszenia w tym systemie. Advisory nie mówi, kto go utrzymuje. Żadne źródło nie mówi o wycieku dokumentacji medycznej ani o wykorzystaniu luki w praktyce. Wersja bez podatności jest dostępna od 31 lipca, choć notatki do tamtego wydania w ogóle o tym nie wspominają, a osobnego komunikatu producenta nadal nie ma. Dla przychodni oznacza to dwie rzeczy na najbliższe okno serwisowe. Sprawdzić numer wersji i zaktualizować program, a przy okazji zapytać dostawcę o los zaszytych poświadczeń. Dla pacjenta oznacza to tyle, że tym razem nie musi robić nic.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
