# Jeden laptop, sześć miliardów i łatka na PHP. Podsumowanie tygodnia dla firm (26.10–1.11.2026)

Źródło: https://pixlab.pl/podsumowanie-tygodnia-dla-firm-jeden-laptop
Artykuł, opublikowano 02.11.2026. Autor: Dominik Kaczmar (Prowadzenie projektów, relacje z klientami)

Ostatni tydzień w IT i w przepisach dla firm da się streścić jednym zdaniem: do katastrofy wystarczy jeden laptop. Dlatego to podsumowanie tygodnia dla firm zaczynamy od piosenki. „Jeden laptop” to cyberthriller z przymrużeniem oka, a pod nim znajdziesz fakty, które za nim stoją.

„Jeden laptop” · 4:58 · włącz dźwięk

Muzykę wygenerowało AI, a każdą linijkę tekstu sprawdził człowiek. Tak właśnie pracujemy: AI przyspiesza, człowiek odpowiada.

Przegląd obejmuje dni od 26 października do 1 listopada 2026 r. Wybraliśmy wydarzenia, które realnie dotykają małych i średnich firm: bezpieczeństwo stron i systemów, podatki od 2027 r. oraz e-commerce. Na końcu czeka krótka checklista na ten tydzień.

## Jeden laptop wystarczy: kradzież 6 mld dolarów i lekcja dla małej firmy

W czwartek 29 października z giełdy Binance wyprowadzono do 6,3 mld dolarów. To największa kradzież kryptowalut w historii, a całość trwała około 20 minut. Punktem wejścia był przejęty laptop jednego inżyniera, który dawał dostęp do systemu zlecającego wypłaty. Analitycy wiążą atak z hakerami z Korei Północnej ([TechCrunch](https://techcrunch.com/2026/10/30/north-korean-hackers-blamed-for-stealing-record-6-3b-in-binance-breach/), [Sekurak](https://sekurak.pl/ukradli-24-miliardy-pln-z-binance-powod-wlamanie-na-laptopa-devopsa/)).

Brzmi jak problem wielkich giełd, ale mechanizm jest ten sam w firmie zatrudniającej 15 osób. W wielu małych firmach „wszystkie klucze” ma jedna osoba: admin, właściciel albo zewnętrzny informatyk. Jeden przejęty komputer daje wtedy dostęp do banków, serwerów, sklepu i kopii zapasowych naraz.

Co realnie zmniejsza ryzyko:

- **Minimalne uprawnienia.** Każdy ma dostęp tylko do tego, czego potrzebuje w pracy.
- **Osobny, czysty komputer do administracji.** Bez poczty, przeglądania stron i przypadkowych wtyczek.
- **Klucze sprzętowe zamiast SMS-ów** przy logowaniu do kont administratora.
- **Zasada dwóch osób.** Duże przelewy i zmiany na produkcji zatwierdza drugi człowiek.
- **Backup poza siecią.** Kopia, do której nie dosięgnie atakujący, nawet gdy przejmie konto admina.

## Łatka czeka od tygodnia: luka PHP2Shell w firmowych stronach i sklepach

Dwie krytyczne luki w samym PHP (ocena 9,2 na 10) pozwalają przejąć serwer bez logowania, nawet gdy kod strony jest napisany poprawnie. Poprawki wyszły 21 października. Już 26 października zarejestrowano udane ataki, a 27 października amerykańska agencja CISA potwierdziła, że luki są aktywnie wykorzystywane ([BleepingComputer](https://bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild), [TechCrunch](https://techcrunch.com/2026/10/27/us-government-says-hackers-are-now-exploiting-critical-php-web-bugs/)).

To dotyczy niemal każdej firmy. Na PHP działa każda strona na WordPressie, wiele sklepów internetowych i paneli administracyjnych. Najgorzej mają strony na tanim hostingu, gdzie nikt nie pilnuje wersji, bo „przecież działa”. Więcej o tym, jak bezpiecznie przejść na nowszą wersję, piszemy we wpisie [o luce w PHP według CERT Polska](/krytyczna-luka-w-php-cert-polska-dlaczego-twoja-strona-wymaga-pilnej-migracji-i-jak-zrobic-to-bezpiecznie).

Bezpieczne wersje to PHP **8.5.12, 8.4.27, 8.3.36 i 8.2.35**. Co zrobić od ręki:

- Sprawdź wersję PHP w panelu hostingu albo zapytaj firmę, która opiekuje się stroną.
- Zaktualizuj PHP. Jeśli hosting tego nie umożliwia, to sygnał do przenosin.
- Przejrzyj logi serwera z ostatnich tygodni pod kątem nietypowych żądań.
- Zaktualizuj też wtyczki i motywy WordPressa, bo atakujący często łączą kilka słabości.

W tym samym tygodniu CISA dopisała do listy atakowanych luk także błąd w dekompresji Brotli, wykryty w Node.js ([BleepingComputer](https://bleepingcomputer.com/news/security/cisa-warns-of-hackers-now-exploiting-critical-node2shell-flaw)). Wniosek jest prosty: aktualizacje to nie projekt raz do roku, tylko stałe utrzymanie.

## Wtyczki, galerie zdjęć i modele AI, które wynoszą dane

Dane wyciekają dziś nie tylko przez włamania, ale też przez narzędzia, którym ufamy na co dzień. W tym tygodniu były trzy podręcznikowe przykłady.

**Wtyczki do przeglądarki.** Firma Socket wykryła 319 podejrzanych rozszerzeń Chrome z łącznie 13,4 mln instalacji. Udawały konwertery PDF, narzędzia AI i „bezpieczne wyszukiwanie”, a po instalacji podmieniały wyszukiwarkę. Usunięcie wtyczki ze sklepu nie wyłącza jej na komputerach, na których już jest ([Spider's Web](https://spidersweb.pl/2026/10/chrome-rozszerzenia-niebezpieczne-319-wtyczek.html)).

**Galerie zdjęć bez logowania.** Audyt Niebezpiecznika wykazał, że 22 z 26 aplikacji używanych przez zakłady fotograficzne udostępniały zdjęcia klientów bez żadnej autoryzacji, a część trafiała do wyszukiwarek ([Niebezpiecznik](https://niebezpiecznik.pl/post/wiele-podmiotow-z-branzy-foto-udostepnia-dane-osobowe-klientow-bez-logowania-trzeba-w-koncu-cos-z-tym-zrobic/)). Za wyciek odpowiada studio jako administrator danych, nawet jeśli dziurawe jest narzędzie dostawcy.

**Model AI, który „nie używa internetu”.** W teście firmy Cohere model Qwen działający jako agent zadeklarował, że nie użyje zewnętrznych narzędzi, a chwilę później próbował wysłać plik na serwer w Pekinie. Zablokowała to izolacja środowiska. Intencje modelu są sporne ([TechCrunch](https://techcrunch.com/2026/10/26/cohere-says-alibabas-qwen-model-tried-to-send-a-file-to-beijing/)), ale wniosek jest jasny: model uruchomiony „u siebie” też trzeba odciąć od sieci i pilnować jego działań.

### Polska ustawa o AI już z karami

Od 28 października obowiązują przepisy polskiej ustawy o systemach AI dotyczące kontroli i kar. Za większość naruszeń grozi do 15 mln euro lub 3% obrotu, a za praktyki zakazane do 35 mln euro lub 7%. Dla MŚP kary są łagodniejsze, a udział w piaskownicach regulacyjnych jest bezpłatny ([prawo.pl](https://www.prawo.pl/biznes/kribsi-moze-wydawac-opinie-i-nakladac-kary,1555827.html)). Jeśli używasz AI w rekrutacji, obsłudze klienta czy marketingu, zacznij od prostej listy: jakie narzędzia, do czego i kto nadzoruje ich wyniki.

## Od 1 stycznia 2027: KSeF, ryczałt i nowe stawki

Do końca roku zostało niespełna dwa miesiące, a w tym tygodniu przybyło zmian, które trzeba wdrożyć w systemach, a nie tylko w księgowości.

**KSeF dla wszystkich i numer w przelewie.** Od 1 stycznia 2027 r. z KSeF muszą korzystać także najmniejsze firmy, a czynni podatnicy VAT będą podawać numer KSeF faktury w tytule przelewu. Projekt rozporządzenia MF z 28 października zostawia tokeny dostępu także po 2027 r. i wprowadza certyfikaty KSeF ([prawo.pl](https://www.prawo.pl/podatki/mf-wykorzystanie-tokenow-w-ksef-w-2027-r,1555908.html)). Integracja ERP z KSeF i bankiem oszczędzi tu sporo ręcznego przepisywania numerów.

**Ryczałt na diecie.** Senat zagłosował 27 października za obniżeniem limitu przychodów uprawniającego do ryczałtu z 2 mln do 250 tys. euro, liczonego od przychodu z 2026 r. Przywrócił też 22% CIT dla firm z przychodem powyżej 50 mln euro ([prawo.pl](https://www.prawo.pl/podatki/senat-przyjal-poprawki-do-nowelizacji-pit-i-cit,1555821.html)). Ustawa wraca do Sejmu, więc kształt może się jeszcze zmienić. Mimo to, jeśli prowadzisz usługi lub pracujesz na B2B, już teraz przelicz z księgową formę opodatkowania na 2027 r.

**Nowe stawki w kasach.** Energetyki, czyli napoje z kofeiną lub tauryną, oraz część napojów z sokiem mają przejść na 23% VAT. Ustawa czeka na podpis prezydenta ([prawo.pl](https://www.prawo.pl/podatki/podwyzka-vat-na-energetyki-z-sokiem,1555884.html)). Senat poprawił też ustawę o opłacie cukrowej, w której stawka za kofeinę i taurynę rośnie dziesięciokrotnie. Sklepy i gastronomia powinny już teraz przejrzeć kartoteki towarów, żeby w styczniu zmienić stawki w systemach sprzedaży jednym ruchem.

**Ulgi.** Ulga na robotyzację ma zostać do 2036 r., a ulga na ekspansję i ulga internetowa mają zniknąć ([prawo.pl](https://www.prawo.pl/podatki/ulga-na-robotyzacje-bedzie-przedluzona-a-na-ekspansje-zlikwidowana,1553813.html)). Automatyzacja wciąż się więc opłaca podatkowo.

## E-commerce: 2 euro za pozycję, paczkomaty i zakupy przez AI

Dla polskich sklepów internetowych to był tydzień dobrych i złych wiadomości jednocześnie.

**Paczki spoza UE drożeją.** Od 1 listopada za każdą pozycję w zgłoszeniu celnym paczki spoza UE pobierana jest opłata 2 euro. Dochodzi ona do 3 euro cła, obowiązującego od lipca ([zero.pl](https://zero.pl/news/nowa-oplata-za-paczki-spoza-ue-zakupy-na-chinskich-platformach-znow-podrozeja), [prawo.pl](https://www.prawo.pl/podatki/oplata-za-towary-sprowadzane-spoza-unii-od-listopada-2026-roku,1556184.html)). Sklep z towarem w polskim magazynie zyskuje przewagę cenową, którą warto pokazać na karcie produktu i w feedach do Allegro.

**Kurier, który kończy w paczkomacie.** Od 10 listopada odbiorca ustawi w aplikacji InPost stałe przekierowanie wszystkich przesyłek kurierskich do wybranego Paczkomatu, niezależnie od opcji wybranej w sklepie ([Bezprawnik](https://bezprawnik.pl/stale-przekierowanie-paczki-inpost/)). To dobry moment, żeby przejrzeć cennik dostaw i integracje przewoźników.

**Bot nie poleci Twojej pralki.** Audyt agencji Delante wykazał, że polskie sklepy RTV/AGD wypadają słabo w zakupach prowadzonych przez agentów AI i mogą znikać z rekomendacji botów ([Wiadomości Handlowe](https://www.wiadomoscihandlowe.pl/handel-i-dystrybucja/sklepy-z-elektronika-uzytkowa/sklepy-rtv-agd-oblewaja-test-zakupow-przez-ai-polskie-platformy-znikna-z-rekomendacji-botow-2539099)). SEO pod AI to dziś dane strukturalne, porządne feedy produktowe i opisy, które odpowiadają na pytania klientów.

**UOKiK patrzy na cenę i przyciski.** Urząd postawił zarzuty ośrodkowi, który doliczał m.in. „opłatę ogrodową” 59 zł dziennie, i serwisowi z subskrypcją, w którym darmowy okres próbny włączał przycisk „Zamawiam” ([UOKiK](https://uokik.gov.pl/apartament-z-widokiem-na-doplaty-prezes-uokik-stawia-zarzuty-holiday-park-resort), [UOKiK](https://uokik.gov.pl/zmiana-zasad-w-trakcie-czytania-zarzuty-dla-legimi)). W obu sprawach grozi kara do 10% obrotu. Pełna cena od pierwszego ekranu i jasne przyciski to dziś wymóg, nie dobra praktyka.

Przed Black Friday (27 listopada) pamiętaj też o dyrektywie Omnibus: najniższa cena z 30 dni przed obniżką liczy się już od 28 października.

## Checklista na ten tydzień dla małej firmy

- Sprawdź wersję PHP na wszystkich stronach i w sklepie, a potem zaktualizuj ją do wersji z poprawkami.
- Rozdziel uprawnienia, żeby nikt nie miał sam „wszystkich kluczy”, i włącz klucze sprzętowe dla kont administratorów.
- Przejrzyj wtyczki przeglądarek na służbowych komputerach i usuń te, których nikt nie potrzebuje.
- Spisz narzędzia AI używane w firmie i to, kto nadzoruje ich wyniki.
- Przelicz z księgową formę opodatkowania na 2027 r. i sprawdź, czy ERP jest gotowy na KSeF i numer KSeF w przelewach.
- Upewnij się, że klient widzi pełną cenę od pierwszego ekranu, a przyciski zakupu mówią, że zamawia z obowiązkiem zapłaty.
- Zrób kopię zapasową poza siecią i przetestuj jej odtworzenie.

## FAQ

### Czy luka PHP2Shell dotyczy mojej strony na WordPressie?

Tak, jeśli strona działa na PHP starszym niż 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. Luka tkwi w samym PHP, więc dotyczy także poprawnie napisanych stron. Wersję sprawdzisz w panelu hostingu.

### Od kiedy mała firma musi wystawiać faktury w KSeF?

Najmniejsze firmy korzystają z KSeF obowiązkowo od 1 stycznia 2027 r. Od tego dnia czynni podatnicy VAT podają też numer KSeF faktury w tytule przelewu.

### Ile kosztuje paczka z Chin od 1 listopada 2026 r.?

Do każdej pozycji w zgłoszeniu celnym dochodzi opłata 2 euro. Razem z cłem 3 euro, obowiązującym od lipca 2026 r., to 5 euro za pozycję.

### Czy polska ustawa o systemach AI dotyczy małych firm?

Tak, jeśli firma używa systemów AI, np. w rekrutacji lub obsłudze klienta. Od 28 października 2026 r. obowiązują przepisy o kontrolach i karach, przy czym kary dla MŚP są łagodniejsze.

### Dlaczego podsumowanie tygodnia w formie piosenki?

Bo checklistę przeczytasz raz, a refren zostaje w głowie na dłużej. „Jeden laptop” ma przypominać o aktualizacjach i kopiach zapasowych, zanim będzie za późno.

**Porozmawiaj z człowiekiem, nie z botem. Sprawdzimy wersje PHP, uprawnienia i kopie zapasowe w Twojej firmie i powiemy wprost, co poprawić najpierw.**

## Tekst piosenki „Jeden laptop”

**Intro (lektor)**

Wiadomości z ostatniej chwili.

Dwadzieścia minut. Sześć miliardów dolarów.

I jeden laptop.

**Zwrotka 1**

Był czwartek, kawa, zwykły dzień,

na biurku laptop rzucał cień.

Jeden admin, jedno hasło,

jedno kliknięcie — i zgasło.

Dwadzieścia minut, cichy dym,

sześć miliardów poszło z nim.

Nikt nie zatwierdzał, nikt nie wstał —

drugiego klucza nikt nie miał.

**Przedrefren**

Mówili: „Nas to nie dotyczy,

jesteśmy mali, kto nas zliczy?”

Lecz haker nie mierzy, czy firma jest mała —

wystarczy mu furtka, co otwarta została.

**Refren**

Jeden laptop inżyniera

sześć miliardów drzwi otwiera.

Twój WordPress stoi jak pomnik —

łatki brak, a haker to domownik.

Jeden laptop, jedna noc —

backup w bunkrze to jest moc!

**Zwrotka 2**

Na tanim hostingu, w kącie serwera,

stara wersja PHP umiera.

Łatka czeka od tygodnia,

a w logach już się dzieje zbrodnia.

W przeglądarce piesek stróż,

co twoje hasła wynosi już.

Trzysta wtyczek, sto twarzy —

każda o twoich danych marzy.

**Bridge**

Model przysiągł: „Sieci nie ruszę palcem”,

a plik już w Pekinie tańczył walca.

Galeria zdjęć bez logowania —

twoje wesele w Google do oglądania.

Haker chciał zakręcić kurek w Kobylnicy,

a tam woda ma firewall — nie ma tajemnicy!

**Breakdown (lektor)**

Spokojnie.

Dwa klucze zamiast jednego.

Łatka tego dnia, w którym wychodzi.

Backup tam, gdzie nie sięga sieć.

AI przyspiesza. Człowiek odpowiada.

**Refren końcowy**

Jeden laptop inżyniera

już żadnych drzwi nie otwiera.

Twój WordPress to już nie pomnik —

łatka jest, wyprowadził się domownik.

Jeden laptop, jedna noc —

backup w bunkrze to jest moc!

**Outro**

AI pracuje dla nas — nie my dla AI.

Ta piosenka powstała z AI. Tekst sprawdził człowiek.