Aktualizacje central a cyberbezpieczeństwo

Czy aktualizacja centrali telefonicznej służy wyłącznie dodawaniu nowych funkcji? Coraz częściej jej najważniejszą rolą jest poprawa bezpieczeństwa i usuwanie pojawiających się podatności.

Centrala telefoniczna czy serwer PBX są obecnie elementem szerszej infrastruktury teleinformatycznej. Komunikują się z siecią lokalną, Internetem, współpracującymi urządzeniami IP, analogowymi i cyfrowymi oraz oprogramowaniem wykorzystywanym w firmie lub instytucji.

Ze względów bezpieczeństwa systemy telekomunikacyjne powinny być utrzymywane z podobną dbałością jak serwery, komputery czy inne urządzenia sieciowe. Dotyczy to również regularnego aktualizowania oprogramowania.

Dłuższy cykl życia dzięki aktualizacjom

Jedną z zalet profesjonalnych systemów telekomunikacyjnych jest ich długi okres eksploatacji. Centrale telefoniczne często pracują u klientów przez wiele lat, a dzięki aktualizacjom oprogramowania mogą dostosowywać się do zmieniających się technologii, wymagań użytkowników i zasad bezpieczeństwa.

Dotyczy to również systemów Platan projektowanych z myślą o wieloletnim użytkowaniu. Najstarsza działająca centrala, o której wie nasz serwis, miała aż… 29 lat! 

Długi cykl życia nie oznacza jednak, że system może przez cały ten czas pozostać niezmieniony. W międzyczasie rozwijają się technologie, zmieniają się sposoby komunikacji, pojawiają się nowe zagrożenia i identyfikowane są kolejne podatności bezpieczeństwa.

Podatności to zidentyfikowane luki i błędy w systemach, które mogą zostać wykorzystane do uzyskania nieuprawnionego dostępu, zakłócenia działania systemu lub przejęcia wybranych jego funkcji.

System PBX, podobnie jak inne urządzenia IT, również jest narażony na występowanie takich podatności. Mogą one dotyczyć zarówno samego oprogramowania (firmware), jak i wykorzystywanych bibliotek, komponentów czy usług sieciowych.

Jest jeszcze jedna istotna kwestia. W świecie IT użytkownicy są przyzwyczajeni do sytuacji, w której zakończenie wsparcia dla systemu operacyjnego oznacza konieczność migracji do nowej platformy, często wraz z wymianą sprzętu i aktualizacją współpracujących aplikacji. W przypadku profesjonalnych systemów telekomunikacyjnych cykl życia urządzeń jest zwykle znacznie dłuższy.

To właśnie dlatego tak ważne jest regularne aktualizowanie oprogramowania. Pozwala ono nie tylko wprowadzać nowe funkcje czy rozszerzać możliwości systemu, jak np. dodanie wsparcia technologii VoIP w centralce Prima mini, wcześniej obsługującej wyłącznie telefonię analogową. Służy również usuwaniu błędów, ograniczaniu ryzyka związanego z wykrytymi podatnościami i dostosowywaniu systemu do zmieniającego się otoczenia technologicznego.

Jak monitorujemy podatności w centralach

Nawet autorskie rozwiązania wykorzystują komponenty programowe rozwijane przez innych producentów lub społeczności (open source). Każdy taki komponent wymaga dodatkowego monitorowania pod kątem nowych podatności oraz regularnego aktualizowania.

Jak reagujemy na zidentyfikowane podatności? Pokażmy to na przykładzie z życia wziętym. Jeden z naszych klientów z sektora finansowego korzysta z serwera PBX Libra wdrożonego w 2021 r. System był aktualizowany jeszcze w 2025 r. i w tamtym czasie spełniał obowiązujące wymagania bezpieczeństwa.

W marcu 2026 r. klient przeprowadził kolejne testy penetracyjne swojej infrastruktury teleinformatycznej. Wyniki wykazały między innymi podatność sklasyfikowaną jako średnią, dotyczącą jednej z bibliotek wykorzystywanych przez serwer PBX. Informacja została przekazana do naszej analizy. Po jej przeprowadzeniu zaktualizowaliśmy bibliotekę jQuery, a zmiana eliminująca wskazaną podatność została uwzględniona również w wersji 3.4.9 oprogramowania serwerów PBX Libra i Proxima opublikowanej w lipcu 2026 r.

Ten przykład pokazuje, że cyberbezpieczeństwo nie jest stanem osiąganym jednorazowo. Nawet system regularnie aktualizowany i utrzymywany zgodnie z zaleceniami producenta może po pewnym czasie wymagać kolejnych aktualizacji wynikających z nowych odkryć dotyczących wykorzystywanych komponentów lub metod ataku.

Nie jest to jedyny przykład zmian związanych z bezpieczeństwem. We wcześniejszych aktualizacjach systemów serii Prima, Proxima i Libra ograniczyliśmy także zakres informacji technicznych ujawnianych przez serwer HTTP.

Użytkownik centrali może nie zauważyć takiej zmiany podczas codziennej pracy. Nie pojawi się nowa funkcja ani nowy sposób realizacji połączeń. Mimo to aktualizacja może mieć istotne znaczenie dla bezpieczeństwa całego systemu.

Kogo obejmują nowe wymagania cyberbezpieczeństwa?

Temat aktualizacji oprogramowania zyskuje dodatkowe znaczenie w związku z wdrażaniem przepisów wynikających z dyrektywy NIS2 oraz nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

Wymagania wynikające z KSC i NIS2 dotyczą nie tylko dużych przedsiębiorstw i infrastruktury krytycznej. W praktyce mogą objąć również wiele podmiotów publicznych, takich jak:

• urzędy miast i gmin,
• starostwa powiatowe,
• szpitale i inne podmioty ochrony zdrowia,
• spółki komunalne,
• przedsiębiorstwa wodociągowe i kanalizacyjne,
• firmy energetyczne,
• podmioty z sektora transportu,
• instytucje finansowe.

Oznacza to, że nowe wymagania w wielu przypadkach obejmą również organizacje średniej wielkości, a także jednostki samorządowe i podmioty publiczne działające w mniejszych miejscowościach.

Organizacje wpisane do rejestru jako podmioty kluczowe lub podmioty ważne są zobowiązane do wdrożenia określonych środków organizacyjnych i technicznych służących zarządzaniu cyberbezpieczeństwem, w tym Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), do 3 kwietnia 2027 r. 

Wiele organizacji należących do tych grup wykorzystuje systemy telekomunikacyjne w codziennej pracy. Oznacza to, że również centrale telefoniczne powinny zostać uwzględnione w procesach związanych z zarządzaniem bezpieczeństwem.

Aktualizacja nie gwarantuje zgodności z przepisami

Sama aktualizacja oprogramowania nie oznacza automatycznie zgodności z wymaganiami KSC lub NIS2, ale stanowi element znacznie szerszej polityki bezpieczeństwa. Organizacje objęte ustawą powinny uwzględniać także działania związane z:

• zarządzaniem ryzykiem,
• zarządzaniem incydentami,
• kontrolą dostępu,
• wykonywaniem kopii zapasowych,
• zapewnieniem ciągłości działania,
• zarządzaniem podatnościami.

Regularne aktualizacje elementów infrastruktury, w tym central telefonicznych, stanowią jednak jeden z ważnych punktów tego procesu.

Bezpieczeństwo wymaga regularnych działań

Nowe podatności mogą być identyfikowane przez cały okres eksploatacji urządzenia. Dlatego warto okresowo sprawdzać dostępność nowych wersji oprogramowania i utrzymywać system w wersji rekomendowanej przez producenta.

Wsparciem w dbałości o aktualizację systemu telekomunikacyjnego służą nasi instalatorzy, Partnerzy i Autoryzowani Instalatorzy. Jeśli centrala jest po gwarancji lub nie ma kontaktu z dotychczasowym instalatorem, proponujemy zwrócić się do wybranego Partnera lub Autoryzowanego Instalatora Platan. 

Instalatorzy sprawdzą aktualną wersję oprogramowania, ocenią możliwość wykonania aktualizacji i pomogą dobrać zakres wsparcia. Przeprowadzą odpowiednie testy i w razie potrzeby potwierdzą zgodność oprogramowania z aktualnymi zaleceniami producenta.