Security news 44/2026

PHP

Při chybě nedostatku paměti (OOM) může PHP ponechat paměť požadavku neinicializovanou a následný úklid s ní dál pracuje. Útočník bez přihlášení tak může vzdáleně spustit kód na serveru (RCE). Podle zpráv chybu zneužili útočníci podezřelí z napojení na Čínu ve vlastním exploitu PHP2Shell.

Co udělat: Neprodleně aktualizujte PHP na všech webových serverech podle výrobce či distribuce a zkontrolujte, zda servery nejeví známky kompromitace.

PHP

Globální stav PHP může i po uvolnění dál ukazovat do paměti předchozího požadavku a další požadavky z ní čtou neplatná data. Útočník tak může vzdáleně spustit kód bez přihlášení. Chyba se zneužívá společně s CVE-2026-109618.

Co udělat: Nasaďte opravené verze PHP zároveň s opravou CVE-2026-109618 a po aktualizaci restartujte PHP-FPM a webové služby.

GitLab CE/EE

Kvůli nedostatečné kontrole regulárních výrazů v konfiguraci CI/CD může útočník bez přihlášení spustit libovolný kód na serveru GitLab. Postiženy jsou verze 19.2 před 19.2.8, 19.3 před 19.3.5 a 19.4 před 19.4.2.

Co udělat: Aktualizujte na 19.2.8, 19.3.5, 19.4.2 nebo novější, omezte přístup k GitLabu z internetu a prověřte server kvůli možné kompromitaci.

Google Brotli (Node.js, .NET, Envoy, Istio, Debian a další)

Přetečení bufferu v dekodéru Brotli ve verzích 1.0.3 až 1.2.0 umožňuje útočníkovi bez přihlášení pomocí upraveného komprimovaného proudu číst paměť, shodit službu a potenciálně spustit kód. Knihovnu používá řada HTTP serverů, proxy a běhových prostředí.

Co udělat: Aktualizujte knihovny a programy s Brotli na verzi 1.0.10, 1.1.1 nebo 1.2.1 a nasaďte opravené balíčky distribuce i závislých aplikací.

Linux kernel (RHEL, OpenShift a další)

Při slučování síťových paketů v jádře se ztrácí příznak sdílené paměti. Dešifrování ESP (IPsec) pak může přepsat data v page cache. Lokální uživatel s běžnými oprávněními může ohrozit důvěrnost i integritu systému.

Co udělat: Nasaďte opravené jádro od výrobce distribuce a restartujte servery, zejména ty s IPsec a s přístupem více uživatelů.

Cisco Secure Firewall ASA / FTD

Když je na tunnel group nastavená sekundární autentizace, může útočník bez přihlášení jedním upraveným požadavkem na SSL VPN pro vzdálený přístup restartovat zařízení. Výsledkem je výpadek služby (DoS).

Co udělat: Aktualizujte ASA/FTD podle doporučení Cisco a do té doby zvažte omezení přístupu k SSL VPN.

Ivanti Connect Secure

Ve verzi 22.8R2.4 služba dsinvoked nesprávně důvěřuje konfiguračním datům DSCache, což umožňuje povýšení oprávnění na root. Útočníci ji řetězí s další zero-day chybou CVE-2026-118527 nejméně od 1. října.

Co udělat: Nainstalujte bezpečnostní aktualizace Ivanti a prověřte bránu kvůli známkám kompromitace.

Adobe Commerce / Magento

Neomezené nahrávání nebezpečných souborů může vést ke spuštění kódu, pokud oběť navštíví podvrženou URL. V kampani PolyShell už byly takto napadeny stovky e-shopů.

Co udělat: Aktualizujte Adobe Commerce podle výrobce a zkontrolujte adresáře pro nahrávané soubory, zda neobsahují webshelly.

VMware ESXi

Kvůli nedostatečnému logování může škodlivý administrátor provádět některé operace, aniž by se zaznamenaly. Chyba sama přístup nedává, ale pomáhá útočníkovi skrýt stopy.

Co udělat: Aktualizujte ESXi podle výrobce a omezte a auditujte administrátorské účty.

Chyba GitLabu se zneužívá, Alpine Linux přestavěl svůj server

Útočníci 20.–21. října zkusili zneužít CVE-2026-97229 na vývojové infrastruktuře Alpine Linux. Projekt kvůli riziku kompromitace přestavěl server GitLab a resetoval všechna hesla. Přes 1 000 serverů GitLab dostupných z internetu je stále bez opravy, proto po aktualizaci prověřte i možnou kompromitaci.

Exploit PHP2Shell: útočníci získali root na 25 serverech

Útočníci podezřelí z napojení na Čínu vytvořili vlastní exploit pro chyby PHP a ovládli 25 serverů. Podle zprávy mají pravděpodobně stále přístup do sítě napojené na americkou státní správu. V souvislosti s útokem se uvádějí i chyby jádra Linuxu a VMware ESXi, proto je třeba patchovat celou sestavu.

Rozbit botnet XCPE z 1,3 milionu Android TV boxů

Google s partnery a policií odřízl botnet více než 1,3 milionu Android TV boxů od řídicích serverů. Výrobce Videostrong podle Googlu do zařízení záměrně vložil zadní vrátka a prodával přístup zločincům. Ti boxy používali k reklamním podvodům a k přeposílání cizího provozu přes domácí přípojky, takže ISP by měli sledovat podezřelý provoz z koncových zařízení zákazníků.

APT skupina zneužívá Cisco SD-WAN k nasazení malwaru KeyDrift

Nově popsaná skupina UAT-11473 zneužívá obejití autentizace CVE-2026-20127 v kontrolérech Cisco Catalyst SD-WAN a nasazuje vlastní malwarový framework KeyDrift. Provozovatelé Cisco SD-WAN by měli ověřit stav oprav a zkontrolovat kontroléry.

Synology varuje před ransomwarem C3RB3R na NAS

Synology zaznamenala nárůst útoků ransomwaru C3RB3R na svá úložiště NAS a vyzývá zákazníky k okamžité aktualizaci. Týká se to firem i zákazníků, kteří mají NAS dostupný z internetu.

Kampaň PolyShell napadla stovky e-shopů Adobe Commerce

Útoky přes chybu nahrávání souborů CVE-2026-48356 kompromitovaly stovky obchodů na Adobe Commerce a Magento. Zároveň se objevuje provoz zneužívající chybu v Brotli (CVE-2026-111497). Hostingy s e-shopy by měly zkontrolovat nahrané soubory a nasadit opravy.

CSIRT.CZ: kritická chyba jádra Linuxu v Ubuntu, RHEL a dalších

CSIRT.CZ upozorňuje na zranitelnost CVE-2026-98432 (CVSS 9,8) typu use-after-free při navazování TCP spojení přes IPv4. Chybu lze podle CSIRT.CZ zneužít vzdáleně. Týká se prakticky všech linuxových serverů, proto sledujte opravy jádra od své distribuce a nasaďte je spolu s opravou CVE-2026-46300.

CSIRT.CZ: chyba Broccoli2Shell v Brotli ohrožuje HTTP aplikace

CSIRT.CZ varuje před kritickou zranitelností Broccoli2Shell (CVE-2026-111497) v kompresní knihovně Brotli, která může útočníkovi umožnit vzdálené spuštění kódu. Chyba se už aktivně zneužívá a týká se aplikací a proxy, které zpracovávají komprimovaný HTTP provoz.

Progress WS_FTP Server (Windows)

Injekce příkazů OS ve verzích před 2024.0.7 a 2025.0.4 umožňuje za určitých konfigurací spustit libovolné příkazy. Související chyba CVE-2026-90865 umožňuje spouštět příkazy se zvýšenými oprávněními.

Co udělat: Aktualizujte na 2024.0.7 nebo 2025.0.4 a omezte přístup k FTP serveru.

Dell PowerProtect Data Domain

Chybná autentizace umožňuje vzdálenému útočníkovi bez přihlášení spouštět příkazy s právy roota a převzít systém zálohování. Stejné verze trpí i přetečením zásobníku CVE-2026-103780.

Co udělat: Aktualizujte podle doporučení Dell co nejdříve a nevystavujte správu Data Domain do nedůvěryhodných sítí.

WordPress plugin AjaxLoadMore Cache

Verze do 3.1.1 obsahují chybu, kterou může útočník bez přihlášení zneužít ke vzdálenému spuštění kódu na webu.

Co udělat: Na hostovaných webech vyhledejte plugin a aktualizujte ho, nebo ho do vydání opravy deaktivujte.

WordPress plugin Acadlix LMS

Ve verzích do 1.1.9 lze kvůli chybné kontrole cesty mazat libovolné soubory na serveru, například wp-config.php, což může vést k převzetí webu. Ochranu fakticky obejde i nepřihlášený útočník.

Co udělat: Plugin aktualizujte na novější verzi než 1.1.9, případně ho deaktivujte.

Yamaha NWR100 (Wi-Fi router)

Injekce příkazů OS umožňuje útočníkovi bez přihlášení spustit na routeru libovolné příkazy pomocí upraveného požadavku.

Co udělat: Aktualizujte firmware podle výrobce a nevystavujte správu routeru do internetu.

D-Link DIR-505

Webová správa ve firmwaru 1.10B02 obsahuje zadní vrátka, která umožňují vzdálené převzetí zařízení. Exploit je veřejně dostupný a stejný firmware trpí i přetečením zásobníku v TFTP (CVE-2026-120189).

Co udělat: Zařízení vyřaďte nebo izolujte od internetu a zablokujte přístup k jeho správě.

OPNsense

Ve verzích před 26.7.8 může uživatel s oprávněním System: Firmware uložit škodlivou URL zrcadla a spouštět příkazy jako root. Může také vypnout ověřování podpisů balíčků.

Co udělat: Aktualizujte na 26.7.8 nebo novější a prověřte, kdo má oprávnění ke správě firmwaru.

Juniper Session Smart Router / Conductor

Útočník s právem zápisu konfigurace může přes AccessManager spouštět příkazy jako root. Podobná chyba CVE-2026-103403 navíc umožňuje mazat soubory.

Co udělat: Aktualizujte podle Juniper a omezte účty s právem zápisu konfigurace.

Dell OpenManage Enterprise

Verze před 4.8.0 obsahují injekci příkazů OS, kterou může zneužít i vzdálený uživatel s nízkými oprávněními. Další podobné chyby vyžadují vysoká oprávnění.

Co udělat: Aktualizujte na 4.8.0 a zpřístupněte správu jen ze správcovské sítě.

Tenda W18E

Funkce zachytávání paketů v diagnostice umožňuje přihlášenému uživateli spouštět příkazy jako root. Pokud je zařízení v továrním nastavení, nepotřebuje útočník ani přihlášení.

Co udělat: Nová zařízení před připojením do sítě hned zabezpečte heslem, aktualizujte firmware podle výrobce a omezte přístup ke správě.