Replit odpowiada regułami WAF i łatkami na ujawnione problemy w urzędzie eMudhra, Node.js, PHP, LiteLLM i jądrze Linuksa

Wpis archiwalny: opisuje wydarzenie z 22 października 2026, a opublikowaliśmy go 8 listopada 2026. Dane pochodzą ze źródeł z tamtego dnia i mogły się od tego czasu zmienić.

Replit opublikował 22 października 2026 r. w poście na blogu swoją reakcję na serię ujawnionych problemów bezpieczeństwa. Wprowadził zabezpieczenia na poziomie zapory i poprosił użytkowników o otwarcie Security Center, zastosowanie dostępnych łatek i ponowną publikację dotkniętych aplikacji.

Co zrobił Replit

• Urząd certyfikacji eMudhra: eMudhra użył słabych, łatwych do odgadnięcia kluczy prywatnych podczas ceremonii podpisywania kluczy pośredniego urzędu certyfikacji. Replit usunął ten urząd z obrazów bazowych, automatycznie zastosował poprawkę w 95% opublikowanych aplikacji i załatał swoje narzędzia Pythona. Aplikacje w Pythonie trzeba opublikować ponownie.
• Node.js: Node.js ujawnił kilka błędów, w tym błąd dekodera Brotli, który mógł umożliwić zdalne wykonanie kodu. Replit wdrożył zabezpieczenia WAF i udostępnił załatane wersje Node.js, a aplikacje Node.js trzeba opublikować ponownie.
• PHP: w przypadku podatności umożliwiających zdalne wykonanie kodu Replit wdrożył reguły WAF, załatał swoje narzędzia PHP i zaleca ponowną publikację aplikacji PHP.
• LiteLLM: Replit podaje, że jego Socket Firewall zablokował wszystkie złośliwe instalacje pakietów z ataku na łańcuch dostaw na LiteLLM, szeroko używaną bibliotekę Pythona o otwartym kodzie.
• Jądro Linuksa: w przypadku kilku ujawnionych podatności jądra Replit podaje, że jego architektura microVM uniemożliwiła wykorzystanie z założenia, więc użytkownicy nie muszą nic robić.

Co to oznacza dla osób budujących z AI

Zarządzane platformy do budowania aplikacji mogą przejąć dużą część pracy związanej z łatami dla hostowanych aplikacji. Replit automatycznie zastosował poprawkę eMudhra w 95% opublikowanych aplikacji i dodał zabezpieczenia WAF, choć użytkownicy nadal musieli ponownie opublikować aplikacje w Pythonie i Node.js, a Replit zalecał ponowną publikację aplikacji PHP. W aplikacjach stworzonych z AI i hostowanych samodzielnie każdą poprawkę musieliby zastosować ich właściciele.

Uzupełnienie z 28 października

W uzupełnieniu z 28 października Replit podał, że wzmocniona konfiguracja jądra w architekturze microVM uniemożliwiła wykorzystanie podatności jądra. Dodał też, że od początku 2026 r. prowadził red teaming z użyciem AI przez całą dobę, z setkami agentów.

Źródła

• Security vulnerabilities across the internet: How Replit is protecting your business (Replit, 22 października 2026, oficjalne)
• Replit’s Architecture Behind Secure Agent Work (Replit, 28 października 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.