Wszystkie wersje aplikacji mObywatel na iOS poniżej 4.71.0 1 zawierają podatność pozwalającą na nieautoryzowany wgląd w dane osobowe. Problem, opublikowany 3 lutego 2026 roku 2 i zidentyfikowany jako CVE (Common Vulnerabilities and Exposures, identyfikator publicznie znanej luki) CVE-2025-11598, dotyczy sposobu, w jaki system iOS zarządza podglądem aplikacji. Może to prowadzić do ujawnienia informacji osobie z fizycznym dostępem do odblokowanego telefonu 3, nawet po zakończeniu sesji w aplikacji 4.

Podatność została zgłoszona do CERT Polska 5, który koordynował proces jej odpowiedzialnego ujawnienia 6 we współpracy z producentem, Centralnym Ośrodkiem Informatyki 7 8. Chociaż ryzyko jest oceniane jako niskie, dotyczy ono kluczowej aplikacji dla tożsamości cyfrowej milionów Polaków, co nadaje sprawie wysoką wagę. Problem został już naprawiony 9, jednak wymaga to działania ze strony użytkowników.

TL;DR

  • Produkt: Aplikacja mObywatel na system iOS 10.
  • Wektor ataku: Nieprawidłowe buforowanie widoku aplikacji w systemowym przełączniku aplikacji (App Switcher), co pozwala na podgląd ostatnio wyświetlanych danych po wylogowaniu 4 11.
  • Identyfikator: CVE-2025-11598 2, CWE-359 (Exposure of Private Personal Information to an Unauthorized Actor) 12 13.
  • Wpływ: Osoba z fizycznym dostępem do odblokowanego urządzenia może podejrzeć dane osobowe właściciela konta (np. imię, nazwisko, PESEL z mDowodu) bez uwierzytelniania 14. Zakres danych zależy od ostatniego widoku w aplikacji 15.
  • Kogo dotyczy: Użytkownicy wszystkich wersji aplikacji mObywatel na iOS poniżej 4.71.0 1. Podatność nie dotyczy innych platform (np. Android) 16.
  • Pierwszy ruch: Natychmiastowa aktualizacja aplikacji mObywatel do wersji 4.71.0 9 lub nowszej poprzez App Store.

Wektor ataku

Podatność ma swoje źródło w mechanizmie działania przełącznika aplikacji (App Switcher) w systemie iOS. Gdy aplikacja jest minimalizowana, system operacyjny tworzy jej zrzut ekranu (snapshot), aby wyświetlić podgląd w karuzeli otwartych aplikacji 17. Standardową praktyką dla aplikacji przetwarzających dane wrażliwe jest zastąpienie tego zrzutu ekranu rozmytym obrazem lub generycznym logo, aby uniemożliwić podgląd zawartości.

W podatnych wersjach aplikacji mObywatel ten mechanizm ochronny nie został zaimplementowany poprawnie. W rezultacie, jeśli użytkownik miał na ekranie widok z danymi osobowymi – na przykład mDowód, Prawo Jazdy czy Legitymację Studencką – i zminimalizował aplikację, zrzut ekranu z tymi danymi pozostawał widoczny w App Switcherze 18. Co istotne, podgląd ten był dostępny nawet po wylogowaniu się z aplikacji 4 11.

Scenariusz ataku wymaga, aby osoba nieuprawniona uzyskała fizyczny dostęp do odblokowanego iPhone’a ofiary 3 14. Nie są potrzebne żadne zaawansowane techniki ani specjalistyczne oprogramowanie 19 – wystarczy otworzyć App Switcher (przesuwając palcem od dołu ekranu w górę) i przejrzeć miniatury aplikacji. Mimo że atakujący nie może wejść w interakcję z samą aplikacją bez ponownego zalogowania, może odczytać dane z miniatury.

Zakres ujawnionych informacji jest ściśle powiązany z ostatnim ekranem, który był aktywny przed minimalizacją aplikacji 15 20 21. Jeśli był to ekran główny, ryzyko jest minimalne. Jeśli jednak był to widok mDowodu, osoba trzecia mogła odczytać pełne dane z dokumentu. Należy podkreślić, że podatność dotyczy wyłącznie poufności danych na urządzeniu klienckim i nie ma wpływu na integralność danych ani bezpieczeństwo systemów backendowych Centralnego Ośrodka Informatyki 22.

Oficjalna ocena powagi luki w skali CVSS (Common Vulnerability Scoring System) 4.0 wynosi zaledwie 1.0 23, co klasyfikuje ją jako niską. Wynika to z faktu, że eksploatacja wymaga fizycznego dostępu do odblokowanego urządzenia. Mimo to, w kontekście aplikacji będącej cyfrowym portfelem dokumentów tożsamości używanym w Polsce na masową skalę 24, każdy, nawet teoretyczny, wektor wycieku danych osobowych powinien być traktowany poważnie.

Wskaźniki kompromitacji

Ta podatność ma charakter lokalny i nie generuje typowych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak hashe plików, adresy IP czy domeny serwerów C2 (Command and Control). Atak nie pozostawia śladów w logach systemowych czy sieciowych. Jedynym sposobem na weryfikację, czy urządzenie jest podatne, jest sprawdzenie wersji zainstalowanej aplikacji mObywatel.

Co zrobić w 24-48h

Zalecane kroki są proste i powinny zostać podjęte przez wszystkich użytkowników aplikacji mObywatel na urządzeniach Apple.

  1. Natychmiastowa aktualizacja (krytyczne): Najważniejszym i jedynym w pełni skutecznym krokiem jest aktualizacja aplikacji mObywatel do wersji 4.71.0 9 25 26 lub nowszej. W tym celu należy otworzyć aplikację App Store, przejść do sekcji aktualizacji i zainstalować nową wersję. Jeśli aktualizacja nie jest widoczna, można wyszukać mObywatel ręcznie i wybrać opcję „Uaktualnij”.

  2. Weryfikacja wersji: Aby upewnić się, że na urządzeniu zainstalowana jest bezpieczna wersja, można to sprawdzić w ustawieniach telefonu. Przejdź do Ustawienia > Ogólne > iPhone (pamięć masowa), a następnie znajdź na liście aplikację mObywatel. System wyświetli numer zainstalowanej wersji.

  3. Wdrożenie dobrych praktyk: Niezależnie od tej konkretnej luki, rekomendowanym podejściem jest wyrobienie sobie nawyku zamykania aplikacji operujących na danych wrażliwych (bankowość, tożsamość, zdrowie) natychmiast po zakończeniu ich używania. W tym celu należy otworzyć App Switcher i przesunąć miniaturę aplikacji w górę, aby zamknąć ją całkowicie. Minimalizuje to ryzyko przypadkowego ujawnienia danych osobom postronnym, które mogą zerkać na ekran, lub w podobnych scenariuszach jak opisany w tym alercie.

  4. Przegląd uprawnień i ustawień bezpieczeństwa: Warto przy tej okazji zweryfikować ustawienia bezpieczeństwa samego urządzenia. Upewnij się, że masz ustawioną silną blokadę ekranu (kod, Face ID lub Touch ID) oraz krótki czas automatycznej blokady. To podstawowa linia obrony przed nieautoryzowanym dostępem fizycznym.

Atrybucja

Podatność została odpowiedzialnie zgłoszona do zespołu CERT Polska 5, który jest częścią państwowego instytutu badawczego NASK. Zespół ten pełni kluczową rolę w polskim ekosystemie cyberbezpieczeństwa, koordynując obsługę incydentów i podatności. W tym przypadku CERT Polska podjął współpracę z producentem oprogramowania, Centralnym Ośrodkiem Informatyki (COI) 7 8, w celu przygotowania i wydania poprawki. Proces ten jest standardową procedurą tzw. „odpowiedzialnego ujawniania” (responsible disclosure), gdzie informacja o luce jest wstrzymywana publicznie do czasu udostępnienia łatki, aby nie narażać użytkowników na ataki. Według dostępnych informacji, nie odnotowano aktywnego wykorzystywania tej luki w atakach 27.

Źródła

Zobacz też

Przypisy

  1. Podatne są wszystkie wersje aplikacji mObywatel na iOS poniżej 4.71.0. — cert.pl › CVE 2025 11598 ↩ ↩2

  2. Podatność CVE-2025-11598 została opublikowana 3 lutego 2026 roku. — cert.pl › CVE 2025 11598 ↩ ↩2

  3. Podatność umożliwia nieautoryzowanemu użytkownikowi z fizycznym dostępem do urządzenia przeglądanie danych osobowych właściciela konta za pośrednictwem funkcji iOS App Switcher. — sentinelone.com › cve 2025 11598 ↩ ↩2

  4. W aplikacji mObywatel na iOS nieuprawniony użytkownik może, korzystając z funkcji App Switcher, podejrzeć dane osobowe właściciela konta wyświetlane w zminimalizowanym oknie aplikacji po zakończeniu sesji logowania. — cert.pl › CVE 2025 11598 ↩ ↩2 ↩3

  5. Źródłem zgłoszenia podatności było zgłoszenie do CERT Polska. — cert.pl › CVE 2025 11598 ↩ ↩2

  6. CERT Polska koordynował proces ujawniania informacji o podatności. — cert.pl › CVE 2025 11598 ↩

  7. Producentem podatnego oprogramowania jest Centralny Ośrodek Informatyki. — cert.pl › CVE 2025 11598 ↩ ↩2

  8. Podatność dotyczy aplikacji mObywatel na iOS, która jest cyfrową aplikacją tożsamości zarządzaną przez Centralny Ośrodek Informatyki w Polsce. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩ ↩2

  9. Problem został naprawiony w wersji 4.71.0 aplikacji mObywatel. — cert.pl › CVE 2025 11598 ↩ ↩2 ↩3

  10. Nazwa podatnego oprogramowania to mObywatel. — cert.pl › CVE 2025 11598 ↩

  11. W aplikacji mObywatel na iOS nieautoryzowany użytkownik może użyć App Switcher do przeglądania danych osobowych właściciela konta w zminimalizowanym oknie aplikacji, nawet po zakończeniu sesji logowania. — nvd.nist.gov › CVE 2025 11598 ↩ ↩2

  12. Typ podatności to Exposure of Private Personal Information to an Unauthorized Actor (CWE-359). — cert.pl › CVE 2025 11598 ↩

  13. Podatność CVE-2025-11598 jest klasyfikowana jako CWE-359 (Exposure of Private Personal Information to an Unauthorized Actor). — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  14. Nieautoryzowana osoba z fizycznym dostępem do urządzenia może przeglądać dane osobowe bez konieczności uwierzytelniania lub odblokowywania aplikacji. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩ ↩2

  15. Zakres ujawnianych informacji zależy od ostatniego widoku aplikacji wyświetlanego przed jej zminimalizowaniem. — cert.pl › CVE 2025 11598 ↩ ↩2

  16. Podatność jest specyficzna dla urządzeń iOS z podatnymi wersjami mObywatel i nie dotyczy innych platform ani aplikacji. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  17. Podatność wynika z tego, że po zminimalizowaniu aplikacji na urządzeniach iOS, interfejs App Switcher wyświetla migawkę ostatniego aktywnego ekranu aplikacji. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  18. Jeśli użytkownik miał widoczne wrażliwe dane osobowe przed minimalizacją, dane te pozostają widoczne w App Switcher, nawet po wylogowaniu. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  19. Wymaga interakcji użytkownika (minimalizacja aplikacji) i fizycznego dostępu do urządzenia, ale nie wymaga uprzywilejowanego dostępu ani złożonych technik eksploatacji. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  20. Ujawnione dane zależą od ostatniego widoku aplikacji wyświetlonego przed jej zminimalizowaniem. — nvd.nist.gov › CVE 2025 11598 ↩

  21. Ujawnione dane zależą od tego, który widok aplikacji był wyświetlany przed minimalizacją. — sentinelone.com › cve 2025 11598 ↩

  22. Podatność nie wpływa na backend aplikacji ani integralność danych, ale narusza poufność. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  23. CVSS 4.0 wynosi 1.0, co odzwierciedla niską wagę ze względu na ograniczony wpływ i złożoność eksploatacji. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  24. Dla organizacji europejskich, zwłaszcza w Polsce, gdzie mObywatel jest szeroko używany jako rządowa aplikacja tożsamości cyfrowej, podatność stanowi ryzyko prywatności. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  25. Ten problem został naprawiony w wersji 4.71.0. — nvd.nist.gov › CVE 2025 11598 ↩

  26. Podatność została naprawiona w wersji 4.71.0 lub nowszej aplikacji mObywatel na iOS. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩

  27. Nie ma znanych aktywnych exploitów ani szeroko zakrojonych ataków wykorzystujących tę podatność. — radar.offseq.com › cve 2025 11598 cwe 359 exposure of private perso… ↩