Security news 44/2026

PHP

Chybné ošetření stavu při nedostatku paměti (OOM) nechává paměť požadavku neinicializovanou, což lze opakovaně vyvolat a dosáhnout vzdáleného spuštění kódu (RCE) bez přihlášení. Chyba je součástí útoků PHP2Shell, při nichž útočníci získali root na serverech i firewallech Palo Alto (PAN-OS).

Co udělat: Neprodleně aktualizujte PHP na všech serverech a hostingových uzlech podle výrobce a zkontrolujte dostupnost oprav pro PAN-OS.

PHP

Globální stav PHP může po uvolnění paměti požadavku dál odkazovat na neplatnou paměť, kterou další požadavky čtou, což vede ke vzdálenému spuštění kódu. Zneužívá se spolu s CVE-2026-109618 v kampani PHP2Shell.

Co udělat: Aktualizujte PHP spolu s opravou CVE-2026-109618 a prověřte servery na známky kompromitace.

GitLab CE/EE

Nedostatečná kontrola regulárních výrazů v konfiguraci CI/CD umožňuje nepřihlášenému útočníkovi spustit libovolný kód na serveru GitLab (CVSS 10). Chyba se už zneužívá, útoky zasáhly mimo jiné Alpine Linux.

Co udělat: Aktualizujte GitLab na 19.2.8, 19.3.5 nebo 19.4.2 a novější a omezte přístup k instanci z internetu.

Google Brotli (a závislé produkty)

Přetečení bufferu v dekodéru Brotli (Broccoli2Shell) umožňuje upraveným komprimovaným proudem poškodit paměť, číst citlivá data, shodit službu nebo potenciálně spustit kód. Knihovnu používají mj. Node.js, .NET, Envoy, Istio a Debian; objevuje se už útočný provoz.

Co udělat: Aktualizujte knihovny a binárky Brotli na verze 1.0.10, 1.1.1 nebo 1.2.1 a nasaďte opravy závislých produktů a distribucí.

Linux kernel (RHEL, OpenShift a další)

Při slučování síťových paketů se ztrácí příznak sdílené paměti, takže dešifrování IPsec (ESP) může přepsat data ve stránkové cache. Lokální přihlášený útočník tak může získat plná práva na systému.

Co udělat: Nainstalujte opravené jádro podle své distribuce a servery restartujte.

Cisco Secure Firewall ASA / FTD

Logická chyba ve službě Remote Access SSL VPN při nastavené sekundární autentizaci umožňuje nepřihlášenému útočníkovi upraveným požadavkem restartovat zařízení (DoS).

Co udělat: Aktualizujte ASA/FTD podle doporučení Cisco a do té doby zvažte omezení přístupu k SSL VPN.

Ivanti Connect Secure

Služba dsinvoked důvěřuje konfiguračním datům DSCache, což umožňuje eskalaci oprávnění na root. Útočníci ji řetězí s dalšími chybami a získávají root bez přihlášení.

Co udělat: Aktualizujte Ivanti Connect Secure podle výrobce a prověřte bránu na známky kompromitace.

Adobe Commerce (Magento)

Neomezené nahrávání nebezpečných souborů umožňuje spustit kód a převzít účet či relaci, pokud oběť otevře upravenou URL. V kampani PolyShell byly takto napadeny stovky e-shopů.

Co udělat: Aktualizujte Adobe Commerce podle výrobce a zkontrolujte hostované e-shopy na podezřelé nahrané soubory.

VMware ESXi / vSphere / Cloud Foundation

Nedostatečné logování umožňuje zlomyslnému administrátorovi provádět některé operace, aniž by se zaznamenaly. Samotná chyba má nízké hodnocení, ale je zneužívána ke skrývání aktivity.

Co udělat: Aktualizujte ESXi podle VMware a omezte a kontrolujte administrátorské účty.

PHP2Shell: útočníci získali root na 25 serverech a firewallech Palo Alto

Útočníci podezřelí z vazeb na Čínu si sestavili vlastní exploit chyb v PHP a získali root na 25 serverech, k síti spojené s americkou vládou mají pravděpodobně stále přístup. Útoky běží přes týden, zasahují i firewally Palo Alto a potenciálně ohroženo je přes 22,6 milionu vystavených instancí. Proti WordPressu zatím nebyly úspěšné, PHP je přesto nutné aktualizovat okamžitě.

Nová RCE chyba v jádru WordPressu: 63 000 pokusů o útok za 24 hodin

Útočníci zkoušejí zneužít race condition v jádru WordPressu 4.7 až 7.1.3, která bez přihlášení vede ke vzdálenému spuštění kódu (CVSS 8,1, bez CVE). Během 24 hodin po vydání oprav bylo zaznamenáno téměř 63 000 pokusů. Provozovatelé hostingu by měli ověřit, že weby zákazníků mají aktualizovaný WordPress.

Útočníci zneužívají kritickou chybu v Drupal Commerce Core

Drupal varuje před aktivním zneužíváním chybějící autorizace v modulu Commerce Core ve verzích do 2.41 a 3.0.0–3.3.13 (CVE-2026-118539). Týká se e-shopů postavených na Drupalu; modul je nutné aktualizovat podle bezpečnostního oznámení Drupalu.

APT skupina zneužívá Cisco SD-WAN k nasazení malwaru KeyDrift

Nově sledovaná skupina UAT-11473 zneužívá obejití autentizace v Cisco Catalyst SD-WAN Controllers (CVE-2026-20127) a nasazuje vlastní malware KeyDrift. Správci SD-WAN by měli ověřit stav oprav a prověřit kontrolery na známky kompromitace.

Řetězení tří chyb Ivanti Connect Secure dává útočníkům root bez přihlášení

Útočníci kombinují tři chyby Ivanti Connect Secure včetně CVE-2026-111357 a CVE-2026-118527 a získávají root přístup k VPN bráně bez autentizace. Provozovatelé těchto bran by měli aktualizovat a zkontrolovat zařízení na známky průniku.

Kampaň PolyShell napadla stovky e-shopů na Adobe Commerce

Útoky PolyShell zneužívající CVE-2026-48356 kompromitovaly stovky obchodů na Adobe Commerce/Magento. Současně se objevuje útočný provoz cílící na chybu v knihovně Brotli. Hostingy s e-shopy na Magentu by měly zkontrolovat aktualizace a nahrané soubory.

CSIRT.CZ: kritická chyba linuxového jádra ohrožuje Ubuntu, RHEL a další

Zranitelnost CVE-2026-98432 (CVSS 9,8) typu use-after-free vzniká při navazování TCP spojení přes IPv4. Podle výzkumníků Anthropicu umožňuje nepřihlášenému útočníkovi spustit příkazy jako root na serverech s naslouchajícím Multipath TCP (MPTCP). Správci linuxových serverů by měli sledovat a nasadit opravená jádra své distribuce.

CSIRT.CZ: zranitelnost Broccoli2Shell v knihovně Brotli ohrožuje HTTP aplikace

Chyba CVE-2026-111497 v kompresní knihovně Brotli může umožnit vzdálené spuštění kódu přes upravená komprimovaná data. Týká se aplikací a proxy, které Brotli používají; je potřeba aktualizovat knihovnu i závislé produkty.

Fortinet FortiSandbox / FortiSandbox PaaS

Obejití autentizace alternativní cestou umožňuje útočníkovi upravenými HTTP požadavky spustit neautorizovaný kód nebo příkazy. Týká se verzí 5.0.0–5.0.6, 4.4.0–4.4.9 a všech 4.2.

Co udělat: Aktualizujte FortiSandbox podle Fortinetu a omezte přístup k jeho webovému rozhraní.

AjaxLoadMore Cache

Neautentizované vzdálené spuštění kódu ve verzích do 3.1.1 (CVSS 10); útočník může převzít web.

Co udělat: Na hostovaných webech vyhledejte toto rozšíření a aktualizujte jej podle výrobce, případně jej deaktivujte.

Progress WS_FTP Server (Windows)

OS command injection umožňuje za určitých konfigurací spustit libovolné příkazy na serveru; související CVE-2026-90865 umožňuje spuštění s vyššími oprávněními.

Co udělat: Aktualizujte WS_FTP Server na 2024.0.7 nebo 2025.0.4 a novější.

Dell PowerProtect Data Domain

Chybná autentizace umožňuje nepřihlášenému vzdálenému útočníkovi spouštět příkazy s právy root a převzít zálohovací systém. Současně byla opravena i řada dalších chyb, např. přetečení zásobníku CVE-2026-103780.

Co udělat: Aktualizujte Data Domain co nejdříve podle doporučení Dell a omezte síťový přístup ke správě.

Yamaha NWR100 (Wi-Fi router)

OS command injection umožňuje nepřihlášenému útočníkovi upraveným požadavkem spustit libovolné příkazy na routeru.

Co udělat: Aktualizujte firmware podle výrobce a nezpřístupňujte správu routeru z internetu.

TOTOLINK A950RG

Command injection přes parametr MAC adresy umožňuje vzdáleně spouštět příkazy na routeru; exploit je veřejný. Stejný model má i další kritické chyby (CVE-2026-116504, CVE-2026-116506).

Co udělat: Pokud tyto routery provozujete u zákazníků, zablokujte vzdálenou správu a sledujte dostupnost opravy od výrobce.

Juniper Session Smart Router / Conductor

OS command injection v AccessManager umožňuje útočníkovi s právem zápisu konfigurace spouštět příkazy jako root; příbuzná CVE-2026-103403 umožňuje mazání souborů a spouštění příkazů.

Co udělat: Aktualizujte podle Juniperu a zkontrolujte, kdo má právo měnit konfiguraci.

Asterisk

Při použití LDAP realtime ovladače res_config_ldap lze přes SIP uživatelské jméno vložit LDAP filtr a bez přihlášení číst informace z LDAP. Modul není ve výchozím stavu aktivní.

Co udělat: Aktualizujte na Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 nebo Certified 20.7-cert11/22.8-cert3.

Dolibarr ERP CRM

Přihlášený administrátor může obejít seznam povolených příkazů v exportu a spouštět systémové příkazy pod účtem webového serveru.

Co udělat: Aktualizujte Dolibarr na verzi 24.0.0 a novější.

OnCell G3150A-LTE

Při zapnuté správě přes SMS může útočník s potřebnými oprávněními spouštět libovolné příkazy na zařízení.

Co udělat: Aktualizujte firmware podle výrobce a nepotřebnou SMS správu vypněte.