Přehled zranitelností pokrývá týden od 12. do 16. října 2026. Byl to hutný týden: katalog CISA KEV (Known Exploited Vulnerabilities) se během pěti dnů zvětšil o jedenáct položek, a mezi nimi je pět chyb, které se týkají produktů běžně používaných i ve středních českých firmách.
Společné téma týdne je jasné. Čtyři z pěti chyb sedí na strojích, které mají primárně na starosti správu něčeho jiného, VPN brána, firewall, e-mailová brána nebo zálohovací server, a útočníkovi dávají rovnou práva administrátora nebo roota. U dvou z nich, Ivanti a Ahsay, navíc první vydaná oprava útok nezastavila a výrobce musel vydat další.
V přehledu najdete pět zranitelností s postupem, co udělat a do kdy, souhrnnou tabulku priorit a jednu zprávu ze světa bezpečnosti o rozsáhlém zásahu proti síti, která prodávala nástroje na phishing.
1. Ivanti Connect Secure, útočníci obešli ověření ještě před tím, než záplata dorazila všude
CVE-2026-104935 · CVSS 8,6 · aktivně zneužíváno jako zero-day · záplata k dispozici (částečná)
Ivanti Connect Secure je VPN brána pro vzdálený přístup zaměstnanců do firemní sítě. Nasazují ji firmy, které potřebují, aby se lidé z domova nebo z cesty bezpečně přihlásili k interním systémům.
Chyba spočívá v tom, jak brána zpracovává požadavky na veřejně dostupném koncovém bodu /dana-na/auth/url_default/welcome.cgi. Útočník do požadavku vloží hlavičku X-DSCGI-PATH, kterou bránu přesměruje na zdroj, jenž by normálně vyžadoval přihlášení, a spustí příkazy s právy nízko privilegovaného účtu cgi-server. Podle společnosti Volexity, která incident vyšetřovala, útočník tuto chybu následně zřetězil s další, dosud neopravenou chybou pro zvýšení oprávnění a získal tak práva roota i na plně aktualizovaném zařízení.
Horší je to proto, že šlo o zero-day: Ivanti část opravy vydala už v červenci 2026 ve verzi 25.1.3.0, ale do ostatních podporovaných řad se dostávala postupně, a útočníci mezeru využili dřív, než záplata dorazila všude. Nástroj Integrity Checker Tool navíc nemusí kompromitaci odhalit, protože příkazy útočníka běží jen v paměti a nezanechávají stopu na disku.
Co dělat: Aktualizujte na verzi 25.1.1.2, 25.1.3.0 nebo 25.1.3.1 podle řady, případně na 22.8R2.5. Dotčené jsou verze 25.1.1.1 a starší, 25.1.2.2 a starší a 22.8R2.4 a starší, verze 22.7R2.14 a starší nejsou zasaženy. Kde aktualizaci nejde nasadit hned, omezte přístup k VPN bráně jen na známé IP adresy a spusťte síťovou a paměťovou forenzní kontrolu, ne jen Integrity Checker Tool. CISA zařadila chybu do katalogu KEV 13. října 2026 s termínem pro federální úřady 16. října 2026.
2. PAN-OS od Palo Alto Networks, správa firewallu jde zneužít ke spuštění kódu jako root
CVE-2026-0322 · CVSS 8,6 (CVSS 4.0) · aktivně zneužíváno v omezeném rozsahu · záplata k dispozici
PAN-OS je operační systém firewallů Palo Alto Networks řady PA a VM a platformy pro jejich správu Panorama. Používají ho firmy k řízení provozu a pravidel na perimetru sítě.
Chyba je injekce kódu (CWE-94) ve správcovském rozhraní. Útočník, který už má platné přihlašovací údaje s vysokými oprávněními a síťový přístup ke správcovskému rozhraní, může tímto rozhraním spustit vlastní kód s právy roota na celém firewallu.
Zranitelnost tedy není neautentizovaná, ale to riziko nesnižuje tolik, jak by se zdálo: správcovská rozhraní firewallů bývají v praxi dostupná odkudkoli z internetu, protože je tak nastavil dodavatel nebo integrátor a nikdo to později nezkontroloval. Palo Alto Networks potvrdila omezené zneužití v cílených útocích na takto vystavená rozhraní a přidělila chybě nejvyšší stupeň naléhavosti.
Co dělat: Nainstalujte opravu pro svou řadu PAN-OS, nejnovější jsou 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 a 10.2.18-h12, přesný seznam podle aktuálního sestavení má poradna výrobce. Kde aktualizaci nejde nasadit hned, okamžitě omezte přístup ke správcovskému rozhraní jen na důvěryhodné vnitřní adresy, ideálně přes vyhrazený jump box, jiný workaround podle výrobce neexistuje. CISA zařadila chybu do katalogu KEV 14. října 2026 s termínem pro federální úřady 17. října 2026.
3. Cisco Secure Email Gateway, jedna příloha e-mailu vedla až k právům roota
CVE-2026-76519 · CVSS 9,8 · aktivně zneužíváno · záplata k dispozici
Cisco Secure Email Gateway je e-mailová brána, která filtruje příchozí a odchozí poštu a kontroluje přílohy v modulu Advanced Malware Protection, než zprávu doručí do schránky.
Chyba je path traversal (CWE-23) v tom, jak modul pro reputaci souborů zpracovává přílohy. Útočník pošle e-mail s upraveným souborem, který po zpracování zapíše vlastní soubor na libovolné místo v operačním systému brány, a protože poštovní linka běží s vysokými právy, zápis proběhne jako root.
K útoku stačí jediný e-mail, bez přihlášení a bez jakékoli akce uživatele, brána útok spustí sama v rámci kontroly přílohy. Cisco navíc chybu poprvé opravilo už v září 2026 pod jiným číslem, CVE-2026-76440, teprve 14. října ji přeznačilo na CVE-2026-76519 poté, co potvrdilo aktivní zneužívání v praxi.
Co dělat: Zranitelné jsou brány s povoleným File Reputation, součástí AMP, na poštovní politice a s verzí Content Scanner Tools starší než 25.3.0.5525. Aktualizujte AsyncOS 15.5 na sestavení 15.5.5-014 nebo 16.5 na 16.5.0-780, řada 16.0 opravu nemá a vyžaduje přechod na 16.5. Workaround podle Cisco neexistuje, dokud aktualizaci nenasadíte, zvažte dočasné vypnutí File Reputation u příchozí politiky. CISA zařadila chybu do katalogu KEV 14. října 2026 s termínem pro federální úřady 17. října 2026.
4. Windows Shell, obejití varování Mark of the Web se letos zneužívá už potřetí
CVE-2026-96951 · CVSS 8,8 · aktivně zneužíváno jako zero-day · záplata k dispozici
Mark of the Web je značka, kterou Windows přidá každému souboru staženému z internetu, a na jejím základě systém zobrazí varování před otevřením rizikového obsahu.
Chyba ve Windows Shellu umožňuje speciálně vytvořenému souboru toto varování obejít, takže se otevře bez upozornění, jako by šlo o soubor vytvořený lokálně. Microsoft chybu klasifikuje jako command injection, která útočníkovi umožní přes síť porazit bezpečnostní funkci.
Je to už třetí zero-day tohoto typu v roce 2026, po CVE-2026-21510 v únoru a CVE-2026-32202 v dubnu. Obejití samo o sobě soubor nespustí, ale je klíčovým krokem v běžném řetězci: uživatel otevře přílohu nebo stažený soubor, Windows nevaruje, a další fáze útoku, makro, skript nebo instalátor, proběhne bez zádrhelu.
Co dělat: Nainstalujte kumulativní aktualizaci z 13. října 2026 pro svou verzi Windows, jiný workaround Microsoft neuvádí. Dotčené jsou Windows 10 1607, 1809, 21H2 a 22H2, Windows 11 23H2 až 26H2 a Windows Server 2012 R2 až 2025, konkrétní označení aktualizace se liší podle verze a najdete ho v MSRC Security Update Guide. CISA zařadila chybu do katalogu KEV 13. října 2026 s termínem pro federální úřady 16. října 2026, tedy dnes.
5. AhsayCBS, zálohovací server zůstal zranitelný i po první opravě
CVE-2026-105133 a CVE-2026-105134 · CVSS 7,3 a 9,3 · aktivně zneužíváno · záplata k dispozici po dvou pokusech
AhsayCBS je centrální server, přes který poskytovatelé a MSP firmy spravují zálohování desítek až stovek zákaznických prostředí najednou.
CVE-2026-105133 je chyba v ověřování: funkce, která má kontrolovat heslo administrátora v API, se podle analýzy firmy Horizon3.ai přeskočí, pokud požadavek obsahuje příznak FromServlet se zápornou hodnotou Y. CVE-2026-105134 je následná chyba command injection ve funkci replikace, kterou útočník po obejití přihlášení použije ke spuštění příkazů s právy systému. Skóre CVSS se u první chyby mezi zdroji liší, podle CVSS 3.1 je 7,3, podle novější metodiky CVSS 4.0 jen 5,5 až 6,9.
Horší je to proto, že první vydaná oprava, verze 10.3.4.0 ze 4. srpna 2026, respektive hotfix 9.15.2.59, podle vlastního vyjádření výrobce z 10. října obě chyby nezacelila úplně. Firma Huntress mezitím potvrdila útoky na nejméně pět organizací do 8. října 2026, útočníci přes zranitelné servery instalovali webshelly a těžaře kryptoměn maskované jako proces Microsoft Edge. Protože jde o centrální správu zálohování, úspěšný útok ohrožuje nejen samotný server, ale i zálohy všech připojených klientů.
Co dělat: Na AhsayCBS v10 nasaďte hotfix 10.3.4.45, na v9 hotfix 9.15.2.70, na v7 a v8 nejprve přejděte na v9.15.0.0 a poté nasaďte stejný hotfix. Starší verze a samotná verze 10.3.4.0 podle výrobce nestačí. Zkontrolujte také, zda na serveru nejsou neočekávané soubory JSP ve složce webapps, neznámí replikační příjemci nebo noví administrátorští účty, a přístup ke správě omezte na důvěryhodné adresy nebo VPN. CISA zařadila obě chyby do katalogu KEV 14. října 2026.
Souhrn priorit
| Zranitelnost | Dopad | Zneužíváno | Záplata | Priorita |
|---|---|---|---|---|
| Ivanti Connect Secure (CVE-2026-104935) | Neautentizované spuštění příkazů na VPN bráně | Ano | K dispozici, částečně | Okamžitě |
| Palo Alto PAN-OS (CVE-2026-0322) | Spuštění kódu jako root přes správu firewallu | Ano, omezeně | K dispozici | Okamžitě |
| Cisco Secure Email Gateway (CVE-2026-76519) | Zápis souborů a příkazy jako root přes e-mail | Ano | K dispozici | Okamžitě |
| Windows Shell (CVE-2026-96951) | Obejití varování před rizikovým staženým souborem | Ano | K dispozici | Vysoká |
| AhsayCBS (CVE-2026-105133, CVE-2026-105134) | Obejití přihlášení a spuštění příkazů na zálohovacím serveru | Ano | K dispozici, po dvou pokusech | Okamžitě |
Ze světa kybernetické bezpečnosti
Microsoft a Health-ISAC rozebraly síť na prodej phishingových nástrojů
Microsoft a nezisková organizace Health-ISAC podle oznámení Microsoftu z 14. října 2026 na základě příkazu soudu pro jižní Floridu zabavily domény tří služeb, YAM Store, CoGUI a Iron Man, které si útočníci pronajímali jako stavebnici pro phishing, hotové účty, šablony napodobující firmy a instituce i infrastrukturu pro rozesílání zpráv. Microsoft uvedl, že síť od ledna 2026 stála za více než miliardou podvodných zpráv a útočníci ji využívali proti organizacím ve více než 150 zemích, včetně finančních institucí a zdravotnických organizací. Health-ISAC se k žalobě připojil poté, co útočníci infrastrukturu opakovaně nasadili proti nemocnicím.
Microsoft podle svého oznámení zablokoval přes 20 000 účtů napojených na YAM Store a přes 100 000 domén používaných k podvodům, službu Iron Man popsal jako nabídku více než 2 300 šablon napodobujících banky, dopravce, obchody a úřady. Zásah je civilní žalobou, ne trestním řízením, a cílí jen na část širší zločinecké sítě. Útočníkům ale na čas ztíží sehnat hotové šablony a účty pro další kampaně.
Co si z tohoto týdne odnést
Čtyři z pěti chyb tento týden sedí na strojích, které firma obvykle neřeší, dokud fungují, na správě firewallu, VPN brány, e-mailové brány nebo zálohovacího serveru, a útočníkovi dávají rovnou práva roota nebo administrátora. U dvou případů, Ivanti a Ahsay, navíc první vydaná záplata útok nezastavila, proto má smysl po instalaci aktualizace ověřit přímo u výrobce, že jde o finální opravenou verzi, ne jen o první reakci.
Tento týden si ověřte, že správa VPN brány, firewallu a e-mailové brány ve vaší firmě není dostupná z veřejného internetu, a pokud ano, omezte ji jen na vybrané IP adresy nebo VPN.
Nestíháte to sledovat?
Přehled vydáváme každý týden. Sledovat ho je ale jen první krok. Těžší je vědět, které zranitelnosti se týkají konkrétně vás, v jakém pořadí je řešit a kdo za to ve firmě odpovídá.
S tím pomáháme: posouzení bezpečnosti a řízení zranitelností · externí manažer bezpečnosti · výběr a nasazení technologií
Nezávazná konzultace · Řešíte právě incident?
Řekneme vám na rovinu, co má smysl řešit jako první. Úvodní konzultace je bezplatná.
Zdroje: CISA, katalog Known Exploited Vulnerabilities · CISA, upozornění k Ivanti Connect Secure · CISA, přidání čtyř zranitelností do katalogu · Palo Alto Networks, bezpečnostní poradna k CVE-2026-0322 · Cisco, bezpečnostní poradna k CVE-2026-76519 · Ahsay, oznámení k zranitelnosti AhsayCBS · Microsoft, Security Update Guide k CVE-2026-96951 · Microsoft, oznámení o narušení sítě YAM Store, CoGUI a Iron Man