Security news 44/2026

PHP

Chyba v práci s pamětí při chybách z nedostatku paměti (OOM) umožňuje útočníkovi bez přihlášení vzdáleně spustit kód (RCE) a převzít webový server. Postiženy jsou i produkty s vestavěným PHP, např. Palo Alto PAN-OS a Siemens RUGGEDCOM APE1808.

Co udělat: Okamžitě aktualizujte PHP na všech serverech a hostingových platformách podle distribuce nebo výrobce a ověřte dostupnost oprav pro PAN-OS.

PHP

Globální stav PHP může po uvolnění paměti požadavku dál odkazovat na tuto uvolněnou paměť (use-after-free). Útočník to může zneužít ke vzdálenému spuštění kódu. Spolu s CVE-2026-109618 jde o chyby zneužívané v útocích PHP2Shell.

Co udělat: Nasaďte opravenou verzi PHP spolu s opravou CVE-2026-109618 a do té doby omezte přístup k nepotřebným PHP aplikacím z internetu.

GitLab CE/EE

Kvůli nedostatečné kontrole regulárních výrazů v konfiguraci CI/CD může útočník bez přihlášení spustit libovolný kód na serveru GitLab. Postiženy jsou verze 19.2 až 19.4 před opravami.

Co udělat: Aktualizujte na 19.2.8, 19.3.5 nebo 19.4.2 a u instancí dostupných z internetu prověřte známky kompromitace.

Google Brotli (Node.js, .NET, Envoy, Istio, Debian a další)

Přetečení bufferu v dekodéru Brotli ve verzích 1.0.3 až 1.2.0 může vzdálený útočník vyvolat podvrženým komprimovaným datovým proudem. Získá tím přístup k citlivé paměti, může shodit službu, nebo potenciálně spustit kód.

Co udělat: Aktualizujte knihovnu Brotli na 1.0.10, 1.1.1 nebo 1.2.1 a nasaďte opravy výrobců produktů, které Brotli obsahují.

Cisco Secure Firewall ASA / FTD

Logická chyba ve službě Remote Access SSL VPN se projeví, když je u tunnel group nastavena sekundární autentizace. Útočník bez přihlášení pak může upraveným požadavkem vyvolat restart zařízení a tím výpadek (DoS).

Co udělat: Aktualizujte ASA/FTD podle doporučení Cisco a prověřte, zda u SSL VPN používáte sekundární autentizaci.

Linux kernel (RHEL, OpenShift a další)

Při slučování TCP paketů jádro ztrácí příznak sdílených fragmentů, takže zpracování ESP (IPsec) může dešifrovat data přímo do stránek page cache. Lokální útočník s běžným účtem tak může zapisovat do paměti mimo povolené hranice a ohrozit celý systém.

Co udělat: Nainstalujte opravené jádro z vaší distribuce a servery restartujte.

Adobe Commerce (Magento)

Chyba umožňuje nahrát nebezpečný soubor a spustit kód, pokud oběť navštíví podvrženou URL nebo kompromitovanou stránku. Útoky PolyShell, které ji zneužívají, už napadly stovky obchodů.

Co udělat: Nasaďte opravy Adobe na všechny instalace Commerce/Magento a zkontrolujte, zda se na nich neobjevily neznámé nahrané soubory.

Ivanti Connect Secure

Služba dsinvoked chybně důvěřuje konfiguračním datům DSCache, což umožňuje eskalaci oprávnění až na root. Útočníci tuto chybu řetězí s dalšími a získávají root přístup bez přihlášení.

Co udělat: Aktualizujte Ivanti Connect Secure podle pokynů výrobce a omezte přístup ke správě zařízení.

VMware ESXi

Kvůli nedostatečnému logování může škodlivý administrátor provádět některé operace, aniž by se zaznamenaly. Chyba má sama o sobě nízkou závažnost, přesto se v útocích zneužívá.

Co udělat: Aktualizujte ESXi podle VMware a omezte a sledujte administrátorské účty.

PHP2Shell: útočníci získali root na 25 serverech a na firewallech Palo Alto

Útočníci podezřelí z vazeb na Čínu si sestavili vlastní exploit na chyby v PHP a získali root přístup na 25 serverech; v síti napojené na americkou vládu mají pravděpodobně přístup dosud. Útoky probíhají déle než týden, úspěšně kompromitují firewally Palo Alto, proti WordPressu zatím selhávají. Potenciálně ohroženo je přes 22,6 milionu vystavených instancí, proto je aktualizace PHP nejvyšší prioritou.

Chyba v GitLabu zneužita proti infrastruktuře Alpine Linux

Útočníci se 20.–21. října pokusili zneužít chybu CVE-2026-97229 na vývojovém serveru GitLab projektu Alpine Linux. Projekt kvůli možné kompromitaci server znovu sestavil a resetoval všechna hesla. Kdo měl neopravený GitLab dostupný z internetu, měl by zvážit podobný postup.

Útoky PolyShell napadly stovky obchodů na Adobe Commerce

Útoky PolyShell zneužívající chybu CVE-2026-48356 už prolomily stovky e-shopů na Adobe Commerce/Magento. Zároveň se objevuje provoz zneužívající chybu v Brotli (CVE-2026-111497). Týká se to hostingů a provozovatelů e-shopů, kteří by měli neprodleně nasadit opravy a prověřit své instalace.

APT skupina zneužívá Cisco SD-WAN k nasazení malwaru KeyDrift

Nově sledovaná APT skupina UAT-11473 zneužívá chybu obejití autentizace CVE-2026-20127 v řadičích Cisco Catalyst SD-WAN a nasazuje na ně vlastní malware KeyDrift. Správci Cisco SD-WAN by měli ověřit, že mají nasazené opravy, a hledat známky kompromitace.

Útočníci zneužívají kritickou chybu v Drupal Commerce Core

Drupal varuje před aktivním zneužíváním vysoce kritické chyby chybějící autorizace v modulu Commerce Core (CVE-2026-118539). Postiženy jsou verze do 2.41 a 3.0.0 až 3.3.13. Hostingy s e-shopy na Drupalu by měly modul urychleně aktualizovat podle bezpečnostního upozornění Drupalu.

Útočníci řetězí tři chyby Ivanti Connect Secure a získávají root

Útočníci kombinují tři chyby v Ivanti Connect Secure a získávají root přístup k VPN bráně bez přihlášení. CISA zařadila mezi aktivně zneužívané chyby CVE-2026-111357 a CVE-2026-118527. Provozovatelé Ivanti VPN by měli zařízení neprodleně aktualizovat a zkontrolovat.

Kritická zranitelnost linuxového jádra ohrožuje Ubuntu, RHEL a další distribuce

CSIRT.CZ upozorňuje na chybu CVE-2026-98432 (CVSS 9,8) typu use-after-free, která vzniká při navazování TCP spojení přes IPv4. Výzkumníci Anthropic k ní vytvořili exploit, který vzdálenému útočníkovi bez přihlášení umožňuje spouštět příkazy jako root. Sledujte aktualizace jádra své distribuce a nasaďte je co nejdříve.

Zranitelnost Broccoli2Shell v knihovně Brotli ohrožuje HTTP aplikace

CSIRT.CZ varuje před chybou Broccoli2Shell (CVE-2026-111497) v kompresní knihovně Brotli, která umožňuje vzdálené spuštění kódu. Ohroženy jsou aplikace a služby, které Brotli používají pro kompresi HTTP. Chyba se už aktivně zneužívá, proto je nutné aktualizovat knihovnu i produkty, které ji obsahují.

Fortinet FortiSandbox

Obejitím autentizace alternativní cestou může vzdálený útočník upravenými HTTP požadavky spustit neautorizovaný kód nebo příkazy. Postiženy jsou FortiSandbox 4.2, 4.4.0–4.4.9 a 5.0.0–5.0.6, včetně verzí PaaS.

Co udělat: Aktualizujte podle pokynů Fortinetu a omezte přístup k webovému rozhraní na důvěryhodné sítě.

Dell PowerProtect Data Domain

Chyba v autentizaci umožňuje vzdálenému útočníkovi bez přihlášení spouštět příkazy s právy root a převzít celý zálohovací systém. Stejný dopad má i přetečení zásobníku CVE-2026-103780.

Co udělat: Aktualizujte co nejdříve podle doporučení Dellu a správu zařízení nevystavujte do internetu.

Progress WS_FTP Server (Windows)

Chyba typu OS command injection umožňuje za určitých konfigurací spustit libovolné příkazy na serveru. Související chyba CVE-2026-90865 umožňuje spouštět příkazy i se zvýšenými oprávněními.

Co udělat: Aktualizujte na verzi 2024.0.7 nebo 2025.0.4.

WordPress plugin Acadlix LMS

Ve verzích do 1.1.9 lze mazat libovolné soubory na serveru, např. wp-config.php, což snadno vede ke vzdálenému spuštění kódu. Ochranný nonce je veřejně v kódu stránky, takže útok fakticky nevyžaduje přihlášení.

Co udělat: Na hostingu vyhledejte weby s tímto pluginem a do nasazení opravené verze jej deaktivujte.

TOTOLINK A950RG

Útočník může přes podvrženou MAC adresu v DHCP záznamech vložit a spustit příkazy na routeru. Exploit je veřejný a stejný firmware trpí i dalšími command injection chybami (CVE-2026-116504, CVE-2026-116506).

Co udělat: Zjistěte, zda tyto routery provozujete vy nebo vaši zákazníci, omezte přístup ke správě a sledujte firmware od výrobce.

D-Link DIR-505

Webové rozhraní správy obsahuje zadní vrátka (backdoor) v /secmark1524.cgi, přes která lze zařízení vzdáleně ovládnout. Exploit je veřejně dostupný.

Co udělat: Zablokujte přístup ke správě zařízení z nedůvěryhodných sítí a ověřte u výrobce dostupnost opravy.

OPNsense

Uživatel s oprávněním System: Firmware může uložit škodlivou URL zrcadla firmwaru a spustit příkazy jako root. Může tím také vypnout ověřování podpisů balíčků.

Co udělat: Aktualizujte na OPNsense 26.7.8 a oprávnění k firmwaru přidělujte jen nezbytným účtům.

Juniper Session Smart Router / Conductor

Útočník s právem zápisu konfigurace může přes YANG konfiguraci spustit příkazy jako root. Související chyba CVE-2026-103403 umožňuje mazat soubory a spouštět příkazy.

Co udělat: Aktualizujte podle Juniperu a omezte počet účtů s právem zápisu konfigurace.

Asterisk

Při použití modulu res_config_ldap může útočník bez přihlášení podvrženým SIP jménem vložit LDAP filtr a vyčítat data z LDAP. Modul není ve výchozím stavu aktivní.

Co udělat: Pokud používáte res_config_ldap, aktualizujte na 20.20.1, 21.12.3, 22.10.1, 23.4.1 nebo Certified 20.7-cert11 či 22.8-cert3.

Dell OpenManage Enterprise

Chyba typu OS command injection umožňuje vzdálenému útočníkovi s nízkými oprávněními spouštět příkazy na serveru pro správu hardwaru. Verze před 4.8.0 obsahují i další podobné chyby.

Co udělat: Aktualizujte na verzi 4.8.0 a omezte přístup ke konzoli na správcovskou síť.