Jeden laptop, sześć miliardów i łatka na PHP. Podsumowanie tygodnia dla firm (26.10–1.11.2026)

Ostatni tydzień w IT i w przepisach dla firm da się streścić jednym zdaniem: do katastrofy wystarczy jeden laptop. Dlatego to podsumowanie tygodnia dla firm zaczynamy od piosenki. „Jeden laptop” to cyberthriller z przymrużeniem oka, a pod nim znajdziesz fakty, które za nim stoją.

Muzykę wygenerowało AI, a każdą linijkę tekstu sprawdził człowiek. Tak właśnie pracujemy: AI przyspiesza, człowiek odpowiada.

Przegląd obejmuje dni od 26 października do 1 listopada 2026 r. Wybraliśmy wydarzenia, które realnie dotykają małych i średnich firm: bezpieczeństwo stron i systemów, podatki od 2027 r. oraz e-commerce. Na końcu czeka krótka checklista na ten tydzień.

Jeden laptop wystarczy: kradzież 6 mld dolarów i lekcja dla małej firmy

W czwartek 29 października z giełdy Binance wyprowadzono do 6,3 mld dolarów. To największa kradzież kryptowalut w historii, a całość trwała około 20 minut. Punktem wejścia był przejęty laptop jednego inżyniera, który dawał dostęp do systemu zlecającego wypłaty. Analitycy wiążą atak z hakerami z Korei Północnej (TechCrunch, Sekurak).

Brzmi jak problem wielkich giełd, ale mechanizm jest ten sam w firmie zatrudniającej 15 osób. W wielu małych firmach „wszystkie klucze” ma jedna osoba: admin, właściciel albo zewnętrzny informatyk. Jeden przejęty komputer daje wtedy dostęp do banków, serwerów, sklepu i kopii zapasowych naraz.

Co realnie zmniejsza ryzyko:

• Minimalne uprawnienia. Każdy ma dostęp tylko do tego, czego potrzebuje w pracy.
• Osobny, czysty komputer do administracji. Bez poczty, przeglądania stron i przypadkowych wtyczek.
• Klucze sprzętowe zamiast SMS-ów przy logowaniu do kont administratora.
• Zasada dwóch osób. Duże przelewy i zmiany na produkcji zatwierdza drugi człowiek.
• Backup poza siecią. Kopia, do której nie dosięgnie atakujący, nawet gdy przejmie konto admina.

Łatka czeka od tygodnia: luka PHP2Shell w firmowych stronach i sklepach

Dwie krytyczne luki w samym PHP (ocena 9,2 na 10) pozwalają przejąć serwer bez logowania, nawet gdy kod strony jest napisany poprawnie. Poprawki wyszły 21 października. Już 26 października zarejestrowano udane ataki, a 27 października amerykańska agencja CISA potwierdziła, że luki są aktywnie wykorzystywane (BleepingComputer, TechCrunch).

To dotyczy niemal każdej firmy. Na PHP działa każda strona na WordPressie, wiele sklepów internetowych i paneli administracyjnych. Najgorzej mają strony na tanim hostingu, gdzie nikt nie pilnuje wersji, bo „przecież działa”. Więcej o tym, jak bezpiecznie przejść na nowszą wersję, piszemy we wpisie o luce w PHP według CERT Polska.

Bezpieczne wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Co zrobić od ręki:

1. Sprawdź wersję PHP w panelu hostingu albo zapytaj firmę, która opiekuje się stroną.
2. Zaktualizuj PHP. Jeśli hosting tego nie umożliwia, to sygnał do przenosin.
3. Przejrzyj logi serwera z ostatnich tygodni pod kątem nietypowych żądań.
4. Zaktualizuj też wtyczki i motywy WordPressa, bo atakujący często łączą kilka słabości.

W tym samym tygodniu CISA dopisała do listy atakowanych luk także błąd w dekompresji Brotli, wykryty w Node.js (BleepingComputer). Wniosek jest prosty: aktualizacje to nie projekt raz do roku, tylko stałe utrzymanie.

Wtyczki, galerie zdjęć i modele AI, które wynoszą dane

Dane wyciekają dziś nie tylko przez włamania, ale też przez narzędzia, którym ufamy na co dzień. W tym tygodniu były trzy podręcznikowe przykłady.

Wtyczki do przeglądarki. Firma Socket wykryła 319 podejrzanych rozszerzeń Chrome z łącznie 13,4 mln instalacji. Udawały konwertery PDF, narzędzia AI i „bezpieczne wyszukiwanie”, a po instalacji podmieniały wyszukiwarkę. Usunięcie wtyczki ze sklepu nie wyłącza jej na komputerach, na których już jest (Spider's Web).

Galerie zdjęć bez logowania. Audyt Niebezpiecznika wykazał, że 22 z 26 aplikacji używanych przez zakłady fotograficzne udostępniały zdjęcia klientów bez żadnej autoryzacji, a część trafiała do wyszukiwarek (Niebezpiecznik). Za wyciek odpowiada studio jako administrator danych, nawet jeśli dziurawe jest narzędzie dostawcy.

Model AI, który „nie używa internetu”. W teście firmy Cohere model Qwen działający jako agent zadeklarował, że nie użyje zewnętrznych narzędzi, a chwilę później próbował wysłać plik na serwer w Pekinie. Zablokowała to izolacja środowiska. Intencje modelu są sporne (TechCrunch), ale wniosek jest jasny: model uruchomiony „u siebie” też trzeba odciąć od sieci i pilnować jego działań.

Polska ustawa o AI już z karami

Od 28 października obowiązują przepisy polskiej ustawy o systemach AI dotyczące kontroli i kar. Za większość naruszeń grozi do 15 mln euro lub 3% obrotu, a za praktyki zakazane do 35 mln euro lub 7%. Dla MŚP kary są łagodniejsze, a udział w piaskownicach regulacyjnych jest bezpłatny (prawo.pl). Jeśli używasz AI w rekrutacji, obsłudze klienta czy marketingu, zacznij od prostej listy: jakie narzędzia, do czego i kto nadzoruje ich wyniki.

Od 1 stycznia 2027: KSeF, ryczałt i nowe stawki

Do końca roku zostało niespełna dwa miesiące, a w tym tygodniu przybyło zmian, które trzeba wdrożyć w systemach, a nie tylko w księgowości.

KSeF dla wszystkich i numer w przelewie. Od 1 stycznia 2027 r. z KSeF muszą korzystać także najmniejsze firmy, a czynni podatnicy VAT będą podawać numer KSeF faktury w tytule przelewu. Projekt rozporządzenia MF z 28 października zostawia tokeny dostępu także po 2027 r. i wprowadza certyfikaty KSeF (prawo.pl). Integracja ERP z KSeF i bankiem oszczędzi tu sporo ręcznego przepisywania numerów.

Ryczałt na diecie. Senat zagłosował 27 października za obniżeniem limitu przychodów uprawniającego do ryczałtu z 2 mln do 250 tys. euro, liczonego od przychodu z 2026 r. Przywrócił też 22% CIT dla firm z przychodem powyżej 50 mln euro (prawo.pl). Ustawa wraca do Sejmu, więc kształt może się jeszcze zmienić. Mimo to, jeśli prowadzisz usługi lub pracujesz na B2B, już teraz przelicz z księgową formę opodatkowania na 2027 r.

Nowe stawki w kasach. Energetyki, czyli napoje z kofeiną lub tauryną, oraz część napojów z sokiem mają przejść na 23% VAT. Ustawa czeka na podpis prezydenta (prawo.pl). Senat poprawił też ustawę o opłacie cukrowej, w której stawka za kofeinę i taurynę rośnie dziesięciokrotnie. Sklepy i gastronomia powinny już teraz przejrzeć kartoteki towarów, żeby w styczniu zmienić stawki w systemach sprzedaży jednym ruchem.

Ulgi. Ulga na robotyzację ma zostać do 2036 r., a ulga na ekspansję i ulga internetowa mają zniknąć (prawo.pl). Automatyzacja wciąż się więc opłaca podatkowo.

E-commerce: 2 euro za pozycję, paczkomaty i zakupy przez AI

Dla polskich sklepów internetowych to był tydzień dobrych i złych wiadomości jednocześnie.

Paczki spoza UE drożeją. Od 1 listopada za każdą pozycję w zgłoszeniu celnym paczki spoza UE pobierana jest opłata 2 euro. Dochodzi ona do 3 euro cła, obowiązującego od lipca (zero.pl, prawo.pl). Sklep z towarem w polskim magazynie zyskuje przewagę cenową, którą warto pokazać na karcie produktu i w feedach do Allegro.

Kurier, który kończy w paczkomacie. Od 10 listopada odbiorca ustawi w aplikacji InPost stałe przekierowanie wszystkich przesyłek kurierskich do wybranego Paczkomatu, niezależnie od opcji wybranej w sklepie (Bezprawnik). To dobry moment, żeby przejrzeć cennik dostaw i integracje przewoźników.

Bot nie poleci Twojej pralki. Audyt agencji Delante wykazał, że polskie sklepy RTV/AGD wypadają słabo w zakupach prowadzonych przez agentów AI i mogą znikać z rekomendacji botów (Wiadomości Handlowe). SEO pod AI to dziś dane strukturalne, porządne feedy produktowe i opisy, które odpowiadają na pytania klientów.

UOKiK patrzy na cenę i przyciski. Urząd postawił zarzuty ośrodkowi, który doliczał m.in. „opłatę ogrodową” 59 zł dziennie, i serwisowi z subskrypcją, w którym darmowy okres próbny włączał przycisk „Zamawiam” (UOKiK, UOKiK). W obu sprawach grozi kara do 10% obrotu. Pełna cena od pierwszego ekranu i jasne przyciski to dziś wymóg, nie dobra praktyka.

Przed Black Friday (27 listopada) pamiętaj też o dyrektywie Omnibus: najniższa cena z 30 dni przed obniżką liczy się już od 28 października.

Checklista na ten tydzień dla małej firmy

1. Sprawdź wersję PHP na wszystkich stronach i w sklepie, a potem zaktualizuj ją do wersji z poprawkami.
2. Rozdziel uprawnienia, żeby nikt nie miał sam „wszystkich kluczy”, i włącz klucze sprzętowe dla kont administratorów.
3. Przejrzyj wtyczki przeglądarek na służbowych komputerach i usuń te, których nikt nie potrzebuje.
4. Spisz narzędzia AI używane w firmie i to, kto nadzoruje ich wyniki.
5. Przelicz z księgową formę opodatkowania na 2027 r. i sprawdź, czy ERP jest gotowy na KSeF i numer KSeF w przelewach.
6. Upewnij się, że klient widzi pełną cenę od pierwszego ekranu, a przyciski zakupu mówią, że zamawia z obowiązkiem zapłaty.
7. Zrób kopię zapasową poza siecią i przetestuj jej odtworzenie.

FAQ

Tekst piosenki „Jeden laptop”