Płatnik ZUS z trzema lukami: CERT Polska ostrzega, sprawdź, czy masz aktualną wersję

CERT Polska opublikował 30 października 2026 r. informację o trzech podatnościach w programie Płatnik, czyli w aplikacji ZUS, z której co miesiąc korzystają tysiące firm i biur rachunkowych do wysyłania deklaracji i raportów. Błędy dotyczą pobierania aktualizacji, przechowywania hasła i samego logowania. Dobra wiadomość: ZUS je naprawił, ale tylko w aktualnej wersji programu.

Co dokładnie znaleziono w Płatniku

Zgłoszenie trafiło do CERT Polska, który koordynował ujawnienie informacji razem z ZUS. Podatności dostały trzy numery: CVE-2026-110970, CVE-2026-110971 i CVE-2026-110972. W uproszczeniu chodzi o trzy problemy:

• Aktualizacje przez nieszyfrowane połączenie. Program pobierał aktualizacje, biblioteki i pliki pomocnicze przez zwykłe HTTP zamiast HTTPS. Ktoś, kto kontroluje sieć między komputerem a serwerem (np. w niezabezpieczonym Wi-Fi), mógłby podejrzeć przesyłane dane albo podmienić pobierane pliki na własne.
• Słabo zakodowane hasło. Hasło było zapisywane w formie, którą łatwo odwrócić. Jeśli ktoś zdobędzie zakodowaną wersję, bez większego wysiłku odczyta oryginał.
• Logowanie sprawdzane po stronie programu. Uwierzytelnianie odbywało się w aplikacji klienckiej, a nie na serwerze bazy. Osoba z dostępem do dowolnego stanowiska połączonego z tym samym serwerem mogła obejść logowanie i wejść jako inny użytkownik.

Ten ostatni punkt ma największe znaczenie tam, gdzie Płatnik działa w sieci, na wspólnej bazie, z kilkoma stanowiskami. Tak jest zwykle w biurach rachunkowych i działach kadr.

Kogo to dotyczy

Według CERT Polska podatne są wszystkie wydania Płatnika do metryki 242 w wersji 10.02.002, a poprawki wprowadzono właśnie w tej metryce. Metryka to pakiet słowników i komponentów, który program pobiera razem z aktualizacjami. Obecnie na stronie ZUS dostępna jest już metryka 334, wdrożona wieczorem 30 października. Jeśli więc aktualizujesz Płatnika na bieżąco, poprawki powinieneś już mieć. Problem dotyczy przede wszystkim stanowisk, na których program od dawna nie był aktualizowany, np. starych komputerów „tylko do ZUS-u” albo kopii zainstalowanych lata temu.

Dane w Płatniku to dane kadrowe i płacowe: PESEL-e, adresy, wynagrodzenia, numery kont. Ich wyciek albo nieuprawniona zmiana dokumentów to realny kłopot dla firmy i jej pracowników.

Co zrobić teraz – krótka lista

• Zaktualizuj Płatnika do najnowszej wersji i metryki, a po aktualizacji przeprowadź konwersję bazy, jeśli program o nią poprosi.
• Zrób kopię bazy przed aktualizacją i upewnij się, że znasz jej lokalizację i hasło. ZUS przypomina o tym na stronie pobierania.
• Instalator pobieraj tylko z zus.pl. ZUS podaje sumy kontrolne plików. Warto je porównać, zanim uruchomisz instalator.
• Nie aktualizuj w publicznych sieciach Wi-Fi. Hotel, kawiarnia czy otwarta sieć w biurowcu to dokładnie miejsca, w których łatwo podmienić niezaszyfrowany ruch.
• Zmień hasło do Płatnika, zwłaszcza jeśli to samo hasło działa też gdzie indziej. Nie powtarzaj go w poczcie, banku ani PUE/eZUS.
• Ogranicz dostęp do stanowisk i serwera bazy. W biurze z kilkoma komputerami sprawdź, kto realnie ma dostęp do maszyn połączonych z bazą Płatnika, i usuń stare konta.
• Rozważ eZUS dla prostych rozliczeń. Mała firma albo jednoosobowa działalność może wysyłać część dokumentów przez eZUS bez instalowania Płatnika.

Dlaczego warto o tym pamiętać

Płatnik to program, który wiele firm traktuje jak „coś, co po prostu działa”, i rzadko o nim myśli, dopóki nie trzeba wysłać deklaracji. Tymczasem przechowuje jedne z najbardziej wrażliwych danych w firmie. Te trzy podatności pokazują, że nawet oficjalne oprogramowanie państwowe wymaga regularnych aktualizacji i rozsądnej konfiguracji sieci. Kilka minut poświęconych na sprawdzenie wersji i zmianę hasła to niewielki koszt w porównaniu z wyciekiem danych pracowników.

Źródło: CERT Polska – Podatności w oprogramowaniu Płatnik, ZUS – Pobierz program Płatnik 10.02.002

Artykuł zredagowany przy pomocy AI.