26 lutego 2026 roku opublikowano informacje o podatności w oprogramowaniu Simple.ERP [^1] [^2]. Problem, zidentyfikowany jako CVE (Common Vulnerabilities and Exposures, identyfikator publicznie znanej luki) 2026-1198, dotyczy popularnego w Polsce systemu klasy ERP (Enterprise Resource Planning — oprogramowanie do zarządzania zasobami przedsiębiorstwa). Producentem jest polska firma Simple SA [^3] [^4] [^5]. Podatność pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań do bazy danych, co może prowadzić do odczytu lub modyfikacji wrażliwych danych firmowych [^6] [^7].

TL;DR

  • Produkt: Simple.ERP od polskiego producenta Simple SA [^3] [^4].
  • Podatność: CVE-2026-1198, SQL Injection (CWE-89) [^8].
  • Wektor: Uwierzytelniony użytkownik może wykonać dowolny kod SQL przez okno wyszukiwania „Obroty na kontach” [^9] [^10].
  • Zagrożenie: Odczyt i modyfikacja wrażliwych danych, w tym finansowych i informacji o klientach [^7] [^11] [^12].
  • Dotyczy: Wszystkie wersje Simple.ERP poniżej 6.30@A04.4_u06 [^13] [^14].
  • Reakcja: Natychmiastowa aktualizacja do wersji 6.30@A04.4_u06 lub nowszej [^15] [^16].
  • Koordynacja: Proces ujawnienia był koordynowany przez CERT Polska [^17].

Wektor ataku

Podatność oznaczona jako CVE-2026-1198 to klasyczny przypadek SQL Injection, sklasyfikowany jako CWE-89 (Improper Neutralization of Special Elements used in an SQL Command) [^8]. Atak tego typu polega na wstrzyknięciu fragmentu kodu SQL (Structured Query Language) do zapytania wysyłanego do bazy danych. W rezultacie serwer wykonuje polecenia napastnika, zamiast oryginalnego, zamierzonego zapytania.

W przypadku Simple.ERP, słaby punkt znajduje się w funkcjonalności wyszukiwania w oknie „Obroty na kontach” [^9] [^10] [^18] [^19]. Aplikacja nie przeprowadza wystarczającej walidacji danych wprowadzanych przez użytkownika w polach wyszukiwania [^6] [^20] [^21]. Pozwala to uwierzytelnionemu atakującemu, nawet z niskimi uprawnieniami, na spreparowanie złośliwego zapytania, które zostanie wykonane przez bazę danych [^22].

Skutkiem jest wykonanie dowolnych poleceń w kontekście bazy danych systemu ERP [^6] [^20]. Może to prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji, a nawet usunięcia [^7] [^12]. W kontekście systemu do zarządzania przedsiębiorstwem mówimy o danych o najwyższej wrażliwości: informacjach finansowych, danych kontrahentów, tajemnicach handlowych [^11].

Analiza wektora w skali CVSS (Common Vulnerability Scoring System — system oceny powagi luki) 4.0 wskazuje na następujące cechy [^23]:

  • Wektor ataku: Sieciowy (AV:N). Atak może być przeprowadzony zdalnie, przez sieć [^24].
  • Złożoność ataku: Niska (AC:L). Wykorzystanie luki nie wymaga skomplikowanych technik.
  • Wymagane uprawnienia: Niskie (PR:L). Atakujący musi być uwierzytelniony w systemie, ale wystarczą mu niskie uprawnienia [^22].
  • Interakcja użytkownika: Niewymagana (UI:N). Atak nie wymaga żadnej akcji ze strony innego użytkownika [^24].
  • Wpływ na poufność i integralność: Wysoki (VC:H, VI:H). Atakujący może zarówno odczytać wszystkie dane w bazie, jak i je zmodyfikować [^23].

Wskaźniki kompromitacji

Na chwilę obecną nie są znane publiczne exploity ani aktywne kampanie wykorzystujące tę podatność [^25]. Nie istnieją więc gotowe wskaźniki kompromitacji (IoC — Indicators of Compromise), takie jak hashe plików czy adresy IP serwerów C2 (Command and Control).

Zespoły SOC (Security Operations Center — centrum operacji bezpieczeństwa) powinny jednak proaktywnie przeszukać logi bazodanowe pod kątem nietypowych lub złożonych zapytań SQL. Szczególną uwagę należy zwrócić na zapytania pochodzące z modułu „Obroty na kontach”, które zawierają charakterystyczne dla ataków SQL Injection komendy, takie jak UNION SELECT, SLEEP, komentarze SQL (--, #) lub wywołania funkcji systemowych.

Co zrobić w 24-48h

Zalecamy podjęcie natychmiastowych działań w celu mitygacji ryzyka.

  1. Natychmiastowa aktualizacja. Producent, Simple SA, udostępnił poprawioną wersję oprogramowania oznaczoną jako 6.30@A04.4_u06 [^15] [^26] [^16]. Wszystkie wersje poniżej tej są podatne [^13] [^14]. Aktualizacja jest jedynym skutecznym sposobem na usunięcie zagrożenia. Należy skontaktować się z dostawcą lub partnerem wdrożeniowym w celu jej przeprowadzenia.

  2. Ograniczenie dostępu (środek tymczasowy). Jeśli natychmiastowa aktualizacja jest niemożliwa, rekomendowanym podejściem jest czasowe ograniczenie dostępu do modułu „Obroty na kontach”. Dostęp powinien być ograniczony wyłącznie do minimalnej liczby zaufanych, zweryfikowanych użytkowników. To nie eliminuje podatności, ale znacząco zawęża powierzchnię ataku.

  3. Przegląd logów. Należy przeanalizować logi dostępu do aplikacji oraz logi bazy danych w poszukiwaniu śladów potencjalnego wykorzystania luki przed instalacją poprawki. Poszukiwać należy prób logowania z nietypowych lokalizacji oraz anomalii w zapytaniach SQL, jak opisano w poprzedniej sekcji.

  4. Weryfikacja uprawnień użytkowników. Podatność wymaga uwierzytelnienia. To dobry moment na przeprowadzenie audytu kont użytkowników w systemie Simple.ERP. Należy usunąć nieużywane konta i zweryfikować, czy przypisane uprawnienia są zgodne z zasadą minimalnego dostępu.

Dla polskich firm, których działalność opiera się na systemie Simple.ERP, ta podatność stanowi bezpośrednie zagrożenie dla ciągłości działania i bezpieczeństwa danych. Zgodnie z RODO (Rozporządzenie o Ochronie Danych Osobowych) potencjalny wyciek danych klientów może wiązać się z poważnymi konsekwencjami prawnymi i finansowymi. Cały proces ujawnienia podatności był koordynowany przez CERT Polska, co podkreśla powagę sytuacji na rynku lokalnym [^27] [^17].

Powyższe rekomendacje stanowią sugerowane podejście i nie zastępują profesjonalnej konsultacji z zakresu bezpieczeństwa IT. Każda organizacja powinna ocenić ryzyko w kontekście własnego środowiska.

Zobacz też