# Klucz pod wycieraczką - przegląd tygodnia W46 > Przegląd 6-12.11.2026: cztery noty SAP z oceną 10,0, SSHole w OpenSSH, wykorzystywana luka w Outlooku i hasła w plikach Claude Code. Fakty i komentarz. - Source: https://snok.ai/pl/aktualnosci/blog/snok-weekly-digest-w46-klucz-pod-wycieraczka/ - Author: Jacek Bugajski - Published: 2026-11-13 --- ## W skrócie - Listopadowy SAP Security Patch Day przyniósł 42 pozycje, w tym cztery noty z oceną CVSS 10,0 dla ICM, SAP Web Dispatcher, SAP Gateway i usługi SAML2 w AS ABAP. - Luka SSHole (CVE-2026-123158) pozwala w określonej konfiguracji OpenSSH na Linuksie z musl i bez PAM obejść logowanie hasłem; CISA wpisała ją do katalogu KEV 9 listopada, a OpenSSH 10.6p2 zawiera obejście. - Jedyna luka listopadowego Patch Tuesday oznaczona jako wykorzystywana dotyczy Outlooka (CVE-2026-124194), a poprawka trafia kanałem Microsoft 365 Apps, nie zbiorczą aktualizacją Windows. - Według The Hacker News Apiiro znalazło sekrety w 1122 ze 104 185 kopii pliku .claude/settings.local.json w publicznych repozytoriach, łącznie 1379 różnych sekretów. - Rada dyrektorów Nvidii przyjęła 11 listopada rezygnację Jensena Huanga; obowiązki CEO pełni Colette Kress, a wyniki za III kwartał roku fiskalnego 2027 spółka poda 17 listopada. **Przegląd tygodnia W46, 6-12 listopada 2026: cztery noty SAP z oceną 10,0, luki w OpenSSH i Outlooku, phishing kodem urządzenia i hasła w pliku ustawień agenta kodującego, a obok nich agenci w UiPath i w sprzedaży biletów, nowe modele AI i rezygnacja prezesa Nvidii.** W tym tygodniu cztery noty SAP mają ocenę 10,0 i dotyczą komponentów, które odbierają ruch z sieci. Luka w OpenSSH otwiera się w określonej konfiguracji bardzo długim hasłem. Agent kodujący zapisuje czasem hasła w pliku ustawień, który użytkownicy dodają do publicznych repozytoriów. W phishingu kodem urządzenia ofiara sama wpisuje kod na prawdziwej stronie Microsoftu. W kilku tematach tego tygodnia dostęp leżał tam, gdzie każdy może zajrzeć - stąd tytuł wydania. Opisuję trzynaście tematów, przy każdym fakty według źródeł i mój komentarz. Kilka wydarzeń ma datę 5 listopada, ale ich skutki przypadły na ten tydzień. OWASP SAP Pentest Playbook nie jest nowością - to projekt rozwijany od maja 2025 roku, do którego warto sięgnąć przy planowaniu testów. ## 1. SAP Security Patch Day: 42 pozycje i cztery noty z oceną 10,0 10 listopada SAP opublikował 42 pozycje: 35 nowych not bezpieczeństwa, 4 advisory z GitHuba i 3 aktualizacje wcześniejszych not. Dziewięć z nich ma priorytet krytyczny. Cztery noty mają ocenę CVSS 10,0: 3778530 dla ICM w AS ABAP, 3778556 dla SAP Web Dispatcher, 3798345 dla SAP Gateway i 3849308 dla usługi SAML2 Service Provider w AS ABAP i ABAP Platform. Maksymalna ocena CVSS oznacza atak przez sieć, bez uprawnień i bez udziału użytkownika. Cztery noty łączy warstwa wejściowa systemu: komponenty, przez które przechodzi ruch HTTP, RFC i logowanie federacyjne. Bywają widoczne z sieci partnerów, a czasem z internetu. W tym miesiącu zaplanowałbym wymianę jądra i sprawdzenie, które instancje ICM, Web Dispatchera i Gatewaya są osiągalne spoza sieci wewnętrznej. SAP nie podaje, czy którakolwiek z tych luk jest wykorzystywana. Kolejny SAP Security Patch Day wypada 8 grudnia. Noty co miesiąc analizujemy w ramach [SAP Security Patch Day](https://snok.ai/pl/oferta/bezpieczenstwo-sap/sap-security-patch-day/). *Źródło: [SAP Security Notes, listopad 2026](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html). Status: potwierdzone na stronie SAP 12.11.2026.* ![Serwerownia nocą widziana przez uchylone stalowe drzwi, w progu wózek serwisowy z lampą, podkładką z kartkami i małym mosiężnym kluczem](https://snok.ai/images/blog/snok-weekly-digest-w46-01-patch-day.webp) ## 2. OWASP SAP Pentest Playbook: otwarty zbiór technik testowania SAP W ramach projektu OWASP Core Business Application Security rozwijany jest SAP Pentest Playbook - publiczny zbiór technik testów penetracyjnych systemów SAP na licencji CC BY 4.0. Repozytorium prowadzi organizacja SecuritySilverbacks. Istnieje od 10 maja 2025 roku, ma ponad 300 zmian, a ostatnia zmiana pochodzi z 7 listopada. Projekt CBAS ma w OWASP status Incubator. Wśród sponsorów wymienionych w repozytorium jest SecurityBridge, którego jesteśmy partnerem. To inicjatywa społeczności, bez statusu normy czy rekomendacji OWASP. Przydaje się jako wspólny słownik: zarząd i zespół Basis mogą porównać zakres zamawianego testu z listą technik, którą każdy może przeczytać. Przed kolejnym pentestem SAP poprosiłbym wykonawcę o wskazanie, które techniki z tej listy obejmuje, które pomija i dlaczego. Testy prowadzimy w ramach [pentestów SAP](https://snok.ai/pl/oferta/bezpieczenstwo-sap/pentesty-sap/). *Źródła: [GitHub, SecuritySilverbacks/sap-pentest-playbook](https://github.com/SecuritySilverbacks/sap-pentest-playbook); [OWASP Core Business Application Security](https://owasp.org/www-project-core-business-application-security/). Status: potwierdzone w repozytorium i na stronie OWASP 12.11.2026.* ![Biurko inspektora budowlanego nocą: rozłożony plan pięter z kolorowymi znacznikami przy kilku drzwiach, latarka, miarka, segregator i mosiężny klucz na planie](https://snok.ai/images/blog/snok-weekly-digest-w46-02-owasp-pentest.webp) ## 3. UiPath partnerem startowym Gemini for healthcare 10 listopada UiPath ogłosił, że jest partnerem startowym Google Cloud Gemini for healthcare. Przez UiPath MCP Server Gemini może uruchomić automatyzację, sprawdzić jej postęp albo przekazać zadanie agentowi UiPath, a obowiązują przy tym dotychczasowe mechanizmy uprawnień i audytu platformy. Integracja jest dostępna w wersji preview dla wspólnych klientów UiPath i Google Cloud. Komunikat nie podaje daty ogólnej dostępności, cen ani zakresu geograficznego. Istotny jest podział ról: model prowadzi rozmowę i decyduje, co zrobić, a wykonanie przechodzi przez platformę, która ma uprawnienia i audyt. Przy danych pacjentów taki ślad jest szczególnie cenny. Zanim ktokolwiek zaplanuje to w Polsce, trzeba poczekać na informację o dostępności w Unii Europejskiej i o warunkach przetwarzania danych. Sam wzorzec - model wywołuje zarządzaną automatyzację przez MCP - warto ocenić na własnym procesie już teraz. *Źródło: [UiPath, komunikat z 10.11.2026](https://ir.uipath.com/news/detail/482/uipath-accelerates-enterprise-ai-transformation-with-google-clouds-gemini-for-healthcare). Status: potwierdzone w komunikacie producenta; zakres geograficzny nieustalony.* ![Pusty szpitalny korytarz nocą, wózek z lekami przy dyżurce oświetlonej jedną lampą, zamknięty laptop na biurku i mosiężny klucz na wózku](https://snok.ai/images/blog/snok-weekly-digest-w46-03-gemini-szpital.webp) ## 4. United nie pozwala zewnętrznym agentom AI kończyć rezerwacji Według The Verge, który powołuje się na Wall Street Journal, United Airlines nie pozwoli zewnętrznym asystentom AI dokończyć rezerwacji biletu w imieniu użytkownika. Agenci mogą nadal wyszukiwać i pokazywać loty. Linia uzasadnia decyzję ochroną danych klientów, ryzykiem niezamierzonych zakupów i federalnymi wymogami informacyjnymi przy sprzedaży biletu. Według WSJ prezes United Scott Kirby powiedział, że nie chce kolejnego pośrednika. Linia dopuszcza ponowne rozważenie decyzji. Firmy, które planują agentów zakupowych albo obsługi klienta, powinny liczyć się z tym, że agent zewnętrzny może trafić na drzwi zamknięte przez drugą stronę - z powodów zgodności i prywatności, ale też dlatego, że druga strona nie chce oddać relacji z klientem. Ścieżka integracji agenta z cudzym systemem powinna być uzgodniona i uwierzytelniona. *Źródło: [The Verge, 11.11.2026](https://www.theverge.com/ai-artificial-intelligence/1031623/united-unauthorized-ai-agents). Status: za mediami, jedno źródło; artykułu WSJ i oświadczenia United nie otworzyliśmy.* ![Pusta hala odpraw lotniska nocą, stanowisko z zamkniętą taśmą barierki, mokra podłoga odbijająca światło, mosiężny klucz na blacie](https://snok.ai/images/blog/snok-weekly-digest-w46-04-united.webp) ## 5. SSHole: obejście logowania hasłem w OpenSSH na musl 5 listopada OpenSSH wydał wersję 10.6p2 z obejściem luki CVE-2026-123158, nazwanej SSHole, po stronie sshd. Luka dotyczy sshd na Linuksie z biblioteką musl, przy wyłączonym PAM i włączonym logowaniu hasłem. Dla niektórych kont z gwiazdką w polu hasła działa wtedy każde hasło dłuższe niż 256 bajtów, do 1024, o ile w systemie jest też inne lokalne konto z poprawnym hashem. NVD wskazuje Alpine jako przykładową platformę, a Alpine ma takie ustawienia domyślnie. CISA dodała lukę do katalogu wykorzystywanych podatności 9 listopada, a według Help Net Security firma Previdian zarejestrowała pierwszą próbę ataku mniej niż 9 godzin po publikacji CVE. Dlatego zacząłbym od inwentaryzacji: które obrazy i urządzenia mają OpenSSH na musl i logowanie hasłem. Do czasu aktualizacji do 10.6p2 doraźnie ustawiłbym `PasswordAuthentication no` i zrestartował sshd, po upewnieniu się, że działa logowanie kluczem. Dropbear i systemy z glibc lub PAM nie są podatne. Ślad udanego logowania na konto z gwiazdką w polu hasła traktowałbym jako incydent. *Źródła: [OpenSSH 10.6p2, informacja o wydaniu](https://www.openssh.com/txt/release-10.6p2); [lista musl, 06.11.2026](https://www.openwall.com/lists/musl/2026/11/06/7); [CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog). Status: potwierdzone.* ![Wąski zaułek nocą w deszczu, metalowe drzwi serwisowe podparte cegłą, para z wywietrznika, lampa sodowa i mosiężny klucz na mokrym stopniu](https://snok.ai/images/blog/snok-weekly-digest-w46-05-sshole.webp) ## 6. Microsoft Patch Tuesday: jedna wykorzystywana luka, w Outlooku Listopadowe poprawki Microsoftu z 10 listopada obejmują według Tenable 1093 luki we własnych produktach. Razem ze 142 lukami w przeglądarce Edge, opartej na Chromium, daje to 1235 - stąd dwie różne liczby w relacjach. Jedyna luka oznaczona jako wykorzystywana to CVE-2026-124194 w Outlooku: otwarcie spreparowanego pliku wiadomości ujawnia skrót NTLMv2 bez zwykłego ostrzeżenia o treści zewnętrznej. Microsoft ocenia ją jako umiarkowaną, CVSS 6,5. CISA wpisała ją do katalogu KEV z terminem 24 listopada. Według Tenable Microsoft oznacza luki RCE w AD DS, Exchange Server i Schannel (CVSS 8,8, 8,8 i 8,1) jako bardziej prawdopodobne do wykorzystania. Ocena 6,5 nie oddaje ryzyka, bo luka jest już wykorzystywana. Poprawka idzie kanałem Microsoft 365 Apps, nie zbiorczą aktualizacją Windows, więc zespół, który łata tylko serwery i system, jej nie zobaczy. Kto w tym tygodniu wdraża jednocześnie noty SAP i poprawki Microsoftu, ma dwa osobne kanały do sprawdzenia. *Źródła: [Tenable, 10.11.2026](https://www.tenable.com/blog/microsoft-november-2026-patch-tuesday-addresses-1093-cves-cve-2026-124194); [BleepingComputer, 10.11.2026](https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2026-patch-tuesday-fixes-1-235-flaws-outlook-zero-day/); [CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog). Status: częściowo - liczby i CVE według analityków (Tenable, BleepingComputer, Qualys, ZDI) i katalogu CISA, strony Microsoft Security Update Guide nie otworzyliśmy.* ![Biurowa sortownia poczty nocą, drewniane przegródki z kopertami, jedna koperta wysunięta do połowy, lampa biurkowa i mosiężny klucz na stole](https://snok.ai/images/blog/snok-weekly-digest-w46-06-patch-tuesday.webp) ## 7. Phishing kodem urządzenia pod szyldem wydarzeń AI Push Security opisał kampanię fałszywych zaproszeń na wydarzenia z markami OpenAI i SpaceX, z nagrodami w rodzaju trzech miesięcy ChatGPT Pro. Wariant z marką Anthropic był nieaktywny już w chwili analizy. Strony kierowały ofiarę do Kali365, platformy phishingu kodem urządzenia dla kont Microsoft Entra, albo do VoidProxy, który przechwytuje sesje Google jako pośrednik między użytkownikiem a stroną (AiTM). Według BleepingComputer przejęty token Entra otwiera aplikacje podłączone przez logowanie jednokrotne (SSO), w tym Microsoft 365, Salesforce, Atlassian i SAP. W tym schemacie użytkownik wpisuje kod na prawdziwej stronie Microsoftu i sam autoryzuje urządzenie napastnika, więc poprawny adres strony go nie ochroni. Pomaga prosta zasada: nie wpisujcie kodu urządzenia, jeśli sami nie zaczęliście logowania na innym urządzeniu. Na poziomie Microsoft Entra pomaga ograniczenie przepływu device code w politykach dostępu warunkowego tam, gdzie nie jest potrzebny. *Źródła: [Push Security, 05.11.2026](https://pushsecurity.com/blog/ai-themed-fake-event-campaign-analysis); [BleepingComputer, 05.11.2026](https://www.bleepingcomputer.com/news/security/fake-openai-spacex-events-used-to-steal-microsoft-google-accounts/). Status: potwierdzone; liczba ofiar nieznana.* ![Hotelowa recepcja nocą, dzwonek, czysta karta meldunkowa i pióro na ladzie, obok mosiężny klucz z drewnianym brelokiem](https://snok.ai/images/blog/snok-weekly-digest-w46-07-device-code.webp) ## 8. Claude Code: hasła w pliku „nie pytaj ponownie” Według The Hacker News firma Apiiro przeanalizowała 104 185 kopii pliku `.claude/settings.local.json` w publicznych repozytoriach. W tym pliku Claude Code zapisuje komendy zatwierdzone opcją „Yes, and don't ask again”, czasem w całości, razem z hasłem podanym w treści komendy. Sekrety znalazły się w 1122 kopiach, około 1,1 procent, łącznie 1379 różnych sekretów, w tym 379 haseł do baz danych, 43 zestawy danych logowania SSH, 42 tokeny GitHub, GitLab i npm oraz 23 klucze AWS. Żaden z dwóch popularnych skanerów, gitleaks i TruffleHog, nie wykrył sekretów w 215 z tych plików. Według The Hacker News Anthropic nie zajął stanowiska. Plik do repozytorium dodają użytkownicy. Claude Code wpisuje go do globalnego gitignore użytkownika, ale nie do `.gitignore` projektu. Katalogi agentów kodujących, takie jak `.claude/`, `.cursor/` czy `.gemini/`, traktowałbym jak pliki `.env`: dopisać do `.gitignore` całej organizacji, skanować historię repozytoriów, a znalezione hasła najpierw zmienić, potem usuwać z historii. Zasady pracy z agentami kodującymi opisujemy w ramach [AI Security](https://snok.ai/pl/oferta/automatyzacja-ai/ai-security/). *Źródło: [The Hacker News, 07.11.2026](https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html), za raportem Apiiro. Status: za mediami; oryginalnego raportu Apiiro nie udało się odczytać.* ![Biurko programisty nocą, klawiatura mechaniczna, kubek, żółta karteczka przyklejona do monitora, lampa biurkowa i mosiężny klucz na klawiaturze](https://snok.ai/images/blog/snok-weekly-digest-w46-08-sekrety.webp) ## 9. OpenAI GPT-6 Cyber dla wąskiego grona badaczy 5 listopada OpenAI ogłosiło GPT-6 Cyber, dostępny dla wybranych, zatwierdzonych klientów programu Daybreak Red. Według OpenAI model przygotował działające exploity eskalacji uprawnień dla 948 podatności w jądrze Linux i znalazł 81 wcześniej nieznanych podatności o wysokiej wadze w Firefoksie. W benchmarku ExploitGym, wewnętrznym dla OpenAI, GPT-6 Cyber uzyskał według producenta 48,5 procent wobec 32,1 procent GPT-5.6 Cyber. Biuletyn Mozilli MFSA 2026-118 z 27 października, który sprawdziliśmy, przypisuje OpenAI 41 wpisów; liczba 81 może obejmować także inne biuletyny. Liczby pochodzą od producenta i bez niezależnej weryfikacji traktuję je jako deklarację. Spodziewam się jednak, że w popularnym oprogramowaniu zgłoszeń luk będzie przybywać - biuletyny Mozilli i komunikaty OpenSSH już wymieniają zgłoszenia przygotowane z pomocą AI. Jeśli tak będzie, w budżecie na przyszły rok uwzględniłbym skrócenie cyklu poprawek. *Źródła: [BleepingComputer, 06.11.2026](https://www.bleepingcomputer.com/news/security/openais-new-gpt-6-cyber-ai-finds-81-firefox-flaws-948-linux-bugs/); [TechCrunch, 05.11.2026](https://techcrunch.com/2026/11/05/openai-released-a-new-cybersecurity-model-is-that-enough/); [Mozilla MFSA 2026-118](https://www.mozilla.org/en-US/security/advisories/mfsa2026-118/). Status: liczby według OpenAI w relacjach mediów; ogłoszenia OpenAI nie udało się odczytać.* ![Pusty punkt kontroli bezpieczeństwa nocą, bramka wykrywacza metalu i skaner bagażu, stos plastikowych tacek, w jednej mosiężny klucz](https://snok.ai/images/blog/snok-weekly-digest-w46-09-openai-cyber.webp) ## 10. Agent mobilny widzi co innego niż człowiek Praca „When Agents See Differently” z arXiv, w wersji z 6 listopada, opisuje rozjazd między tym, co na ekranie widzi agent mobilny, a tym, co widzi człowiek. Badacze sprawdzili 546 zadań w 13 aplikacjach, na 5 frameworkach agentowych i 3 modelach. Średni wskaźnik wprowadzenia agenta w błąd, czyli wyboru kontrolki wskazanej przez atakującego, wyniósł 77,4 procent w ewaluacji statycznej i 67,2 procent w dynamicznej, na poziomie aplikacji. To preprint bez recenzji. Agent, który decyduje na podstawie obrazu ekranu, może zostać skierowany tam, gdzie człowiek by nie poszedł. Preprint nie przeszedł recenzji, więc liczby traktowałbym jako sygnał ostrzegawczy. Mimo to w automatyzacjach opartych na rozpoznawaniu ekranu wymagałbym przy czynnościach nieodwracalnych potwierdzenia przez człowieka. *Źródło: [arXiv 2609.16732](https://arxiv.org/abs/2609.16732). Status: praca otwarta, preprint.* ![Smartfon leżący ekranem do góry na stoliku w kawiarni nocą, na ekranie rozmyte kolorowe kształty interfejsu, filiżanka kawy, lampa i mosiężny klucz obok telefonu](https://snok.ai/images/blog/snok-weekly-digest-w46-10-ui-injection.webp) ## 11. Claude Fable 5.2 i Mythos 5.2: cena za token niższa o 20 procent 9 listopada Anthropic wydał Claude Fable 5.2 i Claude Mythos 5.2. To ten sam model bazowy z różnymi zabezpieczeniami: Fable jest dostępny dla wszystkich klientów, Mythos tylko dla zweryfikowanych organizacji w programach cyberbezpieczeństwa i nauk o życiu. Względem wersji 5.1 cena obu spadła z 10 do 8 USD za milion tokenów wejściowych i z 50 do 40 USD za milion tokenów wyjściowych. Anthropic pisze, że oba modele częściej niż którykolwiek z jego ostatnich modeli sygnalizują podejrzenie, że są oceniane. Według dokumentacji wymagają 30-dniowej retencji danych i nie działają w trybie zero data retention bez zgody Anthropic. Dla wdrożeń liczy się przede wszystkim retencja: klient objęty NIS2, DORA albo z danymi osobowymi w promptach powinien sprawdzić ten zapis przed zmianą modelu. Jeśli model częściej sygnalizuje, że podejrzewa ocenę, testy akceptacyjne agenta powinny odbywać się w warunkach możliwie bliskich produkcji. Niższa cena za token nie przesądza o koszcie zadania, bo ten zależy od ustawienia rozumowania. *Źródła: [Anthropic, 09.11.2026](https://www.anthropic.com/claude-fable-and-mythos-5-2); [dokumentacja Claude Fable 5.2](https://platform.claude.com/docs/en/models/fable-5-2/whats-new-fable-5-2); [TechCrunch, 09.11.2026](https://techcrunch.com/2026/11/09/anthropic-releases-new-mythos-and-fable-models-amid-rsi-concerns/). Status: potwierdzone u producenta.* ![Stół zegarmistrza nocą, otwarty mechanizm zegarka pod lampą z lupą, drobne narzędzia, pęseta i mosiężny klucz obok mechanizmu](https://snok.ai/images/blog/snok-weekly-digest-w46-11-fable.webp) ## 12. Nvidia: rezygnacja Jensena Huanga 11 listopada rada dyrektorów Nvidii przyjęła rezygnację Jensena Huanga z funkcji prezesa, dyrektora generalnego i członka rady, ze skutkiem natychmiastowym. Kierował nią przez 33 lata, od współzałożenia spółki w 1993 roku. Obowiązki CEO pełni Colette Kress, dyrektor finansowa od 2013 roku, a przewodniczącym rady został Harvey C. Jones. Spółka szuka stałego prezesa wśród kandydatów wewnętrznych i zewnętrznych. Zgłoszenie do SEC nie podaje przyczyny rezygnacji. Decyzja zapadła po dwóch tygodniach doniesień mediów o prezesie. Ostatnie z nich, opublikowane przez New York Times 11 listopada, dotyczyły jego relacji z podległą mu menedżerką. Już 8 listopada rada zleciła niezależne dochodzenie. Spółka nie łączy tych doniesień z rezygnacją. Według TechCrunch kurs akcji spadł 11 listopada po sesji o około 8 procent. Wyniki za III kwartał roku fiskalnego 2027 Nvidia poda 17 listopada. Dla firm, które w przyszłym roku kupują infrastrukturę AI, liczy się to, że kluczowy dostawca akceleratorów ma tymczasowe kierownictwo i dopiero szuka stałego prezesa. Przy zakupach planowanych na 2027 rok warto mieć wariant zapasowy. *Źródła: [Nvidia, zgłoszenie 8-K, 11.11.2026](https://www.sec.gov/Archives/edgar/data/0001045810/000104581026000082/nvda-20261111.htm); [Nvidia, komunikat, 12.11.2026](https://www.sec.gov/Archives/edgar/data/0001045810/000104581026000082/nvidiaannouncesceotransiti.htm). Status: rezygnacja, następstwo i data wyników potwierdzone w dokumentach spółki; doniesienia o prezesie, dochodzeniu i kursie za mediami (TechCrunch, Euronews, Al Jazeera), New York Timesa nie otworzyliśmy.* ![Pusta sala posiedzeń nocą, długi stół i skórzane fotele, zamknięta teczka ze szklanką wody i mosiężnym kluczem, deszcz na szybach z widokiem na miasto](https://snok.ai/images/blog/snok-weekly-digest-w46-12-nvidia.webp) ## 13. Ministerstwo Cyfryzacji i Microsoft: porozumienie o cyberodporności Według CRN.pl i PAP Ministerstwo Cyfryzacji i Microsoft nawiązały współpracę w zakresie cyberbezpieczeństwa administracji publicznej, infrastruktury krytycznej i usług niezbędnych dla państwa. CRN.pl wymienia jako strony porozumienia sekretarza stanu Pawła Olszewskiego i wiceprezesa Microsoftu Mike'a Yeha. Zakres obejmuje wymianę informacji o zagrożeniach, identyfikowanie luk, ochronę przestarzałych systemów, szybkie przywracanie usług i wykorzystanie AI w zespołach obrony. Według PAP porozumienie uzupełnia umowę Microsoftu z Ministerstwem Obrony Narodowej z lutego 2025 roku. Z relacji mediów nie wynikają nowe obowiązki prawne dla firm. Pokazują za to, gdzie administracja widzi priorytety: przestarzałe systemy i ciągłość usług. Ocena skutków dla podmiotów objętych KSC i NIS2 wymaga treści komunikatu ministerstwa, którego jeszcze nie znaleźliśmy. *Źródła: [CRN.pl, 10.11.2026](https://crn.pl/aktualnosci/porozumienie-polskiego-rzadu-z-microsoftem/); [XYZ.pl za PAP, 10.11.2026](https://xyz.pl/?p=274574). Status: za mediami; komunikatu ministerstwa nie znaleźliśmy, data i forma dokumentu nieustalone.* ![Wejście do gmachu urzędu w Warszawie nocą, ciężkie drewniane drzwi z mosiężnymi klamkami, mokre kamienne schody, jedna lampa i mosiężny klucz na najwyższym stopniu](https://snok.ai/images/blog/snok-weekly-digest-w46-13-cyfryzacja.webp) ## Pięć rzeczy do sprawdzenia przed 8 grudnia Do grudniowego SAP Security Patch Day zostały niespełna cztery tygodnie. Z przeglądu wybrałem pięć miejsc, w których dostęp mógł zostać pod wycieraczką. 1. Które instancje ICM, SAP Web Dispatcher i SAP Gateway są osiągalne spoza sieci wewnętrznej i czy wymiana jądra jest zaplanowana. 2. Które obrazy kontenerów i urządzenia mają OpenSSH na musl i logowanie hasłem. 3. Czy poprawka Outlooka z kanału Microsoft 365 Apps została sprawdzona osobno od aktualizacji Windows. 4. Kto naprawdę potrzebuje przepływu device code w Microsoft Entra. 5. Czy katalogi `.claude/`, `.cursor/` i `.gemini/` są w `.gitignore` i czy historia repozytoriów została przeskanowana. Jeśli chcecie przejść tę listę z nami, [napiszcie](https://snok.ai/pl/kontakt/).

Przegląd tygodnia SNOK · W46 · 6-12 listopada 2026

Całe wydanie w jednym pliku

PDF, szesnaście stron, około 2,7 MB - bez formularza i bez podawania danych. Wersja do przekazania w zespole.

Pobierz wydanie W46 (PDF)