Souhrnná zpráva za tento týden teprve vznikne — v pondělí
26. 10. ráno, až týden skončí.
Níže alespoň průběžně se vyvíjející podklady, ze kterých bude zpráva vycházet.
Nenechte si ji ujít a
přihlaste se k odběru!
Nejsilnější signál týdne
Záznamy, o kterých během týdne psaly aspoň dva zdroje, záznamy s CVE v katalogu KEV a varování NÚKIB, CSIRT.CZ a SK-CERT.
Aktivně zneužívaná zranitelnost v Siemens Software Center (CVE-2026-110936)
CISA: Ransomware SafePay zasáhl přes 600 organizací kritické infrastruktury (3 zdroje)
Aktivní zneužívání řetězce zranitelností Plex2Shell v Plex Media Serveru (3 zdroje)
Kód má své limity: strmý nárůst počtu zranitelností
Aktivní zneužívání zranitelnosti PAN-OS CVE-2026-0257
Aktivně zneužívaná chyba v SiteGuard Server Edition umožňuje spouštění příkazů (CVE-2026-106931)
Analýza BlueHammer: zneužitelnost eskalace privilegií ve Windows Defenderu
Kritické RCE zranitelnosti php2shell v PHP (CVE-2026-109618 a CVE-2026-109619) (34 zdrojů)
Kritická zranitelnost v GitLab CE/EE umožňuje vzdálené spuštění kódu (9 zdrojů)
Kompromitace osmi privátních klíčů certifikační autority eMudhra (6 zdrojů)
Bezpečnostní aktualizace pro Roundcube Webmail řeší řadu zranitelností (4 zdroje)
Zranitelnost typu 'DLL sideloading' (CVE-2026-110936) v Siemens Software Center před verzí V4.0.9.8 umožňuje autentizovanému lokálnímu útočníkovi spustit libovolný kód s právy aplikace. Podle výrobce i agentury CISA je chyba aktivně zneužívána a Siemens pro ni vydal opravnou verzi V4.0.9.8.
Útočníci aktivně zneužívají řetězec zranitelností Plex2Shell v aplikaci Plex Media Server, přičemž na síti je k dispozici také exploitační kód (PoC). Podle agentury CISA i italského CSIRT jde o čtyři již opravené chyby, které byly zařazeny do katalogu aktivně zneužívaných zranitelností CISA KEV.
Pokročilé modely umělé inteligence analyzují starší knihovny a dramaticky navyšují počty hlášených zranitelností, což přetěžuje správce open-source a tradiční 90denní model koordinovaného zveřejňování. Podle analýzy však drtivá většina těchto chyb není prakticky zneužívána a jejich počet by se měl po vyřešení historického technického dluhu stabilizovat.
Bezpečnostní tým Unit 42 informuje o aktivním zneužívání zranitelnosti CVE-2026-0257 v systému PAN-OS. Součástí zprávy jsou indikátory aktivity a doporučená opatření ke zmírnění rizik.
Útočníci aktivně zneužívají zranitelnost typu 'OS command injection' v produktu SiteGuard Server Edition, která jim umožňuje spouštět příkazy s oprávněními root nebo SYSTEM. Americká agentura CISA zařadila tuto chybu vedenou pod CVE-2026-106931 do svého katalogu známých zneužívaných zranitelností.
Bezpečnostní tým analyzoval řetězec BlueHammer (CVE-2026-33825), který umožňuje lokální eskalaci privilegií v platformě Windows Defender Antimalware před verzí 4.18.26030.3011. Podle zdroje útok nevyužívá poškození paměti, ale kombinuje mechanismy CloudFilter, oplocks, RPC a offline analýzu SAM k získání oprávnění SYSTEM a kompromitaci domény. Úspěšnost zneužití však závisí na specifických podmínkách prostředí, jako je přítomnost čekající aktualizace signatur.
V jádře PHP byly odhaleny dvě kritické chyby CVE-2026-109618 a CVE-2026-109619 (CVSS v4.0 9,2) označované jako 'php2shell', které neautentizovanému útočníkovi umožňují vzdálené spuštění libovolného kódu prostřednictvím webového požadavku. Zranitelnosti byly opraveny ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35, přičemž výzkumníci z Amazonu i Cloudflare již zaznamenali pokusy o jejich zneužití v praxi.
GitLab vydal bezpečnostní aktualizace opravující 12 chyb v GitLab Community Edition a Enterprise Edition, včetně kritické zranitelnosti CVE-2026-110264 s CVSS 10.0. Tato chyba typu integer overflow v kompilátoru regulárních výrazů umožňuje neautentizovanému útočníkovi za určitých podmínek vzdáleně spustit libovolný kód na serveru.
Certifikační autorita eMudhra vytvořila při chybě generování osm zprostředkujících certifikátů s extrémně slabými privátními klíči, což útočníkům umožňuje podvrhovat důvěryhodné certifikáty pro TLS či podpis kódu. Velcí dodavatelé i ekosystém Go pod CVE-2026-111943 dotčené klíče zablokovali a eMudhra certifikáty revokovala.
V aplikaci Roundcube Webmail ve verzích před 1.6.20 a 1.7.5 bylo opraveno více zranitelností, z nichž část dosahuje vysoké závažnosti. Chyby mohou vzdáleným útočníkům umožnit například spuštění libovolného kódu, SSRF, XSS, obcházení bezpečnostních mechanismů či provádění libovolných IMAP příkazů po přihlášení.
Společnost Oracle vydala čtvrtletní aktualizaci Critical Patch Update pro říjen 2026, která obsahuje přes 1200 bezpečnostních oprav napříč desítkami produktových řad. Zasaženy jsou například Oracle Fusion Middleware, E-Business Suite či MySQL, přičemž nejvyšší hodnocení CVSS dosahuje 10.0 a řadu chyb lze zneužít vzdáleně bez nutnosti autentizace.
Mezi dubnem a červencem 2026 útočníci sledovaní jako UNC7017 opakovaně upravovali konfigurační soubory na serverech AOMEI. Úpravy trvaly vždy jen 5 až 10 minut, během nichž stahoval software Backupper do zasažených systémů downloader CROSSROAD a následně zadní vrátka SHINYROAD. Společnost AOMEI potvrdila narušení i přijetí nápravných opatření k zabezpečení své infrastruktury.
Organizace ISC vydala bezpečnostní aktualizace pro DNS software BIND 9 a BIND Supported Preview Edition, které opravují čtyři zranitelnosti s vysokou závažností. Chyby mohou umožnit spuštění libovolného kódu nebo narušení dostupnosti služby v důsledku vyčerpání prostředků, poškození paměti či neočekávaného ukončení procesu named.
Bezpečnostní aktualizace pro platformu SolarWinds Observability Self-Hosted ve verzích před 2026.4 řeší čtyři zranitelnosti včetně chyby CVE-2026-28328 s vysokou závažností. Tato zranitelnost spočívající v porušeném schématu autorizace může přihlášenému útočníkovi s nízkými oprávněními umožnit přístup k citlivým informacím a jejich úpravu.
Neautentizovaný vzdálený útočník může odesláním speciálně upravených VBA dat vyvolat přetečení zásobníku v dekompresním enginu systému Cisco Snort 3. Zatímco Cisco uvádí střední závažnost s dopadem na odepření služby (DoS) a vydalo opravy i alternativní řešení, Zero Day Initiative hodnotí zranitelnost se skóre CVSS 8.1 s rizikem vzdáleného spuštění kódu.
Knihovna RingRTC pro hlasové a video hovory v aplikaci Signal obsahovala ve verzích starších než 2.72.0 kritickou chybu CVE-2026-113380 s CVSS 9,3, která mohla druhému účastníkovi umožnit pokračovat v odposlechu i po položení hovoru. Zranitelnost byla opravena v samotné knihovně a podle dostupných informací není známo její aktivní zneužívání.
Zranitelnost CVE-2026-115253 s vysokou závažností a CVSS 7,3 spočívá v nesprávném nastavení oprávnění v adresáři logů aplikace WatchGuard Agent pro Windows. Místní autentizovaný uživatel bez administrátorských oprávnění může vytvářet, upravovat či mazat logy nebo do adresáře zapisovat jiné soubory, čímž lze manipulovat se záznamy či připravit další lokální útoky; výrobce již vydal opravu.
Společnost Arista Networks vydala bezpečnostní aktualizace pro kritickou zranitelnost CVE-2026-114625 v on-premise nasazeních VeloCloud Orchestrator. Tato zero-day chyba je podle zdrojů aktivně zneužívána v síťových útocích.
Útočníci kompromitovali vydávací proces projektu LiteLLM a ve verzi 1.107.0 na PyPI i v dockerových obrazech distribuovali infostealer a RAT. Škodlivý kód slouží ke krádeži přihlašovacích údajů, tajemství a proměnných prostředí, přičemž PyPI již zasažený balíček umístil do karantény.
Útočník pronikl na web vývojáře TeamUpdraft, což mohlo vést k přístupu k databázi zákazníků a kompromitaci propojovacích klíčů služby UpdraftCentral. Podle zdrojů mohou tyto klíče sloužit k odesílání příkazů do připojených webů a byly využity k vytvoření zadních vrátků na webech běžících na WordPressu.
Neznámý útočník pomocí zcizených přihlašovacích údajů neoprávněně přistupoval k SFTP serveru organizace ETS a zkopíroval osobní údaje milionů současných i bývalých kalifornských studentů. Podle ministerstva školství CDE se incident týká žáků zapsaných v posledních třech školních letech a zahrnuje jména, data narození, adresy či výsledky testů, zatímco rodná čísla a hesla zasažena nebyla.
Nadnárodní maloobchodní řetězec Ahold Delhaize potvrdil, že v reakci na kybernetický útok musel odstavit některé své systémy. Incident narušil služby a zasáhl obchody v USA, Nizozemsku a Belgii.
Útočníci zneužili identitu aplikace a přihlašovací údaje dodavatele služby ConnectWise Cloud Backup (dříve SkyKick) k neoprávněnému přístupu do tenantů Microsoft 365 a získávání Microsoft Graph tokenů. Společnost ConnectWise v reakci na potvrzený neautorizovaný přístup pozastavila zákaznický přístup k této zálohovací službě.