Security news 45/2026

WordPress Core

Jádro WordPressu ve verzích 4.7 až 7.1.3 při úplné aktualizaci používá předvídatelné a z webu dostupné dočasné cesty, takže neověřený útočník může v okamžiku aktualizace spustit na serveru vlastní kód. Chyba je aktivně zneužívána a samotná instalace opravy ještě probíhá starým, zranitelným kódem, takže web může být naposledy ohrožen právě během ní.

Co udělat: Aktualizujte WordPress na všech hostovaných webech a po dobu aktualizace omezte webový přístup k dočasným adresářům, které aktualizace používá.

SonicWall SonicOS SSL-VPN

Chyba ve vynucování autentizace umožní uživateli s platnými údaji pro jinou metodu přihlášení obejít SAML a tím i MFA vynucované přes SAML. Útočník tak získá přístup do VPN bez druhého faktoru; chyba je zneužívána v útocích a SonicWall ji opravil spolu s dalšími šesti chybami.

Co udělat: Nainstalujte aktuální aktualizace SonicOS a zkontrolujte logy SSL-VPN na podezřelá přihlášení přes alternativní metody autentizace.

Apple Safari, iOS/iPadOS, macOS, tvOS, watchOS; WebKitGTK/WPE WebKit

Starší chyba, která útočníkovi se schopností libovolně číst a zapisovat paměť umožní obejít ochranu Pointer Authentication. Nově je zneužívána k šíření malwaru kradoucího data.

Co udělat: Ověřte, že firemní zařízení Apple mají aktuální systém a Safari, a aktualizujte WebKitGTK/WPE WebKit na linuxových stanicích.

Útoky na chybu OpenSSH SSHole začaly během pár hodin po zveřejnění

Chyba CVE-2026-123158 v OpenSSH na Linuxu s knihovnou musl bez PAM (typicky Alpine) umožní přihlášení k účtům bez hesla, např. jen s SSH klíčem, zadáním hesla dlouhého 257–1024 bajtů. Útočníci ji začali zkoušet během hodin a na honeypotu získali root. OpenSSH vydal verzi 10.6p2 a Alpine opravené balíčky – aktualizujte všechny kontejnery a servery na Alpine.

Ivanti opravuje další dvě zero-day chyby Connect Secure zneužívané od října

Ivanti vydal opravy dvou chyb VPN brány Connect Secure (CVE-2026-111357, CVE-2026-118527), které útočníci řetězí nejméně od 1. října. Kdo Connect Secure provozuje, měl by okamžitě aktualizovat a prověřit bránu na známky kompromitace za uplynulé týdny.

Útočníci instalují zadní vrátka na Siemens SIMATIC IoT2050

Kritická chyba CVE-2026-58115 (CVSS 10.0) v zařízeních SIMATIC IoT2050 Advanced umožní neověřenému útočníkovi spustit kód; je aktivně zneužívána k instalaci zadních vrátek pro vzdálené příkazy. Týká se firem s průmyslovými brankami – zařízení nevystavujte do internetu a aktualizujte podle výrobce.

Útok přes poskytovatele služeb umožnil podvodné transakce za 133 mil. USD

Francouzská banka Crédit Mutuel Arkéa čelila útoku, který přes poskytovatele služeb umožnil podvodné transakce až za 133 milionů dolarů, a musela odstavit část systémů. Případ připomíná nutnost hlídat přístupy externích dodavatelů do vlastní infrastruktury.

Únik z cloudové služby třetí strany zasáhl 7,7 milionu zákazníků Iris Ohyama

Japonský výrobce Iris Ohyama oznámil, že po neoprávněném přístupu do cloudové služby externího dodavatele mohly uniknout osobní údaje asi 7,7 milionu lidí. Jde o další případ, kdy slabým místem je dodavatelská služba, nikoli vlastní systémy firmy.

Ransomware vyřadil Wi-Fi, výpůjčky i web knihovny v Queensu

Veřejnou knihovnu v newyorském Queensu zasáhl ransomware, který vyřadil Wi-Fi, výpůjční systém i web. K útoku se zatím žádná skupina nepřihlásila.

NÚKIB varuje před útoky na vzdálenou správu chladicích zařízení

NÚKIB shrnuje informace a doporučení k aktivním útokům na systémy pro vzdálenou správu komerčních a průmyslových chladicích zařízení v několika evropských zemích. V Česku zatím případ neeviduje, ale důrazně doporučuje preventivní opatření všem provozovatelům. Pokud ve své síti máte řídicí jednotky chlazení zákazníků, ověřte, zda nejsou dostupné z internetu.

CSIRT.CZ: útoky na chlazení supermarketů umožnilo nedodržení pokynů výrobce

Po útocích na chladicí systémy stovek francouzských supermarketů CSIRT.CZ upozorňuje, že útoky umožnilo nedodržování pokynů výrobce a tisíce zařízení zůstávají ohroženy. Správci by měli zkontrolovat nastavení těchto zařízení podle doporučení výrobce.

FreeSWITCH

Ve verzích před 1.11.3 může protistrana přes zprávu SIP MESSAGE spouštět API příkazy FreeSWITCH včetně příkazů operačního systému s právy démona; stačí libovolný ověřený účet profilu a inbound chat je ve výchozích profilech zapnutý. Útočník získá konfiguraci a přihlašovací údaje, kontrolu nad hovory a spuštění kódu – zneužití už bylo pozorováno.

Co udělat: Aktualizujte FreeSWITCH na 1.11.3 a do té doby omezte přístup k SIP profilům jen na důvěryhodné protistrany.

ManageEngine Key Manager Plus

Ve verzích před 7151 může ověřený uživatel s právem nasazovat certifikáty vložit příkazy při konfiguraci cíle nasazení a spustit je na serveru. Chyba má vysoké EPSS, tedy zvýšenou pravděpodobnost zneužití.

Co udělat: Aktualizujte Key Manager Plus na verzi 7151 nebo novější a prověřte, kdo má oprávnění k nasazování certifikátů.

Edimax BR-6208AC

Router ve verzi 1.32 obsahuje vzdáleně zneužitelné vkládání příkazů přes /goform/mp bez nutnosti přihlášení, útočník tak převezme zařízení. Exploit je veřejný a výrobce na upozornění nereagoval.

Co udělat: Zjistěte, zda tyto routery provozujete vy nebo zákazníci, zablokujte přístup k jejich správě z internetu a zvažte jejich výměnu.

Linksys E5350

Firmware 1.0.00.037 umožňuje vzdálené vkládání příkazů přes parametry ping_ip/traceroute_ip v /wizard/apply.cgi; související chyba CVE-2026-121933 dovoluje bez ověření měnit nastavení v průvodci. Exploity jsou veřejné a výrobce nereagoval; podobné chyby se týkají i nepodporovaného WRT54GL.

Co udělat: Omezte přístup ke správě těchto routerů jen z vnitřní sítě a nepodporované kusy vyměňte.

ELEX WordPress HelpDesk & Customer Ticketing System (plugin)

Ve verzích do 3.3.8 může neověřený útočník dvoukrokovým postupem smazat libovolný soubor na serveru. Smazáním např. wp-config.php lze dosáhnout spuštění kódu a převzetí webu.

Co udělat: Aktualizujte plugin podle výrobce, případně ho do vydání opravy deaktivujte.

s2Member (plugin pro WordPress)

Ve verzích do 260927 nedostatečné čištění parametru item_name umožní vložit PHP kód do e-mailové šablony. Ověřený útočník s úrovní custom a vyšší tak spustí kód na serveru.

Co udělat: Aktualizujte plugin podle výrobce a na hostingu vyhledejte weby, které ho používají.

Control Web Panel (CWP)

Ve verzích před webpanel_version 1.16 lze v modulu protected_directory uživatelského panelu vložit příkazy do shell_exec. Přihlášený uživatel hostingu tak spustí libovolné příkazy v kontextu uživatelského panelu; podobná chyba CVE-2026-73697 v modulu phpini_editor navíc umožní zápis souborů do libovolných cest.

Co udělat: Aktualizujte CWP na verzi 1.16 nebo novější.

Usermin

Ve verzích do 2.570 lze přes název IMAP složky s metaznaky shellu spustit příkazy pod systémovým účtem uživatele, čímž obejde omezení jen na webmail. Stačí vytvořit složku externím IMAP klientem a pak ji smazat v Usermin.

Co udělat: Sledujte opravu od výrobce a do té doby omezte přístup k Usermin jen pro uživatele, kteří ho potřebují.

Nagios XI

Ve verzích před 2026R2 může přihlášený administrátor přes upravený název nahrávaného MIB souboru spustit příkazy jako uživatel webového serveru. Riziko roste při kompromitaci administrátorského účtu.

Co udělat: Aktualizujte Nagios XI na 2026R2 a omezte přístup k administraci monitoringu.

Irontec sngrep

Ve verzích do 1.9.0 může upravený SIP paket přes UDP nebo TCP, případně pcap soubor, shodit sngrep nebo vyzradit část paměti zásobníku do zobrazených SIP polí. Týká se těch, kdo sngrep používají k ladění VoIP provozu.

Co udělat: Aktualizujte sngrep podle výrobce a nespouštějte ho trvale na rozhraních vystavených cizímu SIP provozu.