FortiSIEM, GitLab a Oracle Access Manager: útočník nepotřebuje přihlášení

Tento přehled pokrývá 19. až 23. října 2026. Sešly se v něm čtyři chyby v nástrojích, které si firmy spravují samy a které vidí do zbytku prostředí: v SIEM od Fortinetu, v samostatně hostovaném GitLabu, v Oracle Access Manageru a v databázi Redis. Tři z nich jde zneužít bez přihlášení.

Na dvě věci jsme upozorňovali už během týdne zvlášť. Kritické chyby v PHP, kterým se říká PHP2Shell, jsme popsali v článku o opravách PHP a stav podnikových produktů jsme doplnili v článku o firewallech a konzolích. Zneužívání chyby v GlobalProtect od Palo Alto Networks jsme rozebrali v článku o průnicích přes VPN. Celý rozbor tady neopakujeme.

Do katalogu CISA KEV, tedy do seznamu chyb, u kterých je zneužívání prokázané, přibylo 20. října šest položek: čtyři chyby v Plex Media Serveru, lokální chyba v Siemens Software Center a chyba v japonském webovém firewallu SiteGuard. Pro českou střední firmu jsou okrajové. Dál čtete čtyři položky, které mají smysl řešit, v pořadí podle dopadu.

1. FortiSIEM od Fortinetu, veřejný exploit zapíše soubor na server bez přihlášení

CVE-2026-106173 · CVSS 9,8 (Fortinet v oznámení uvádí 9,4) · veřejný ukázkový exploit · záplata k dispozici

FortiSIEM je systém pro správu bezpečnostních informací a událostí (SIEM). Sbírá logy ze serverů, sítí a aplikací, hledá v nich podezřelé vzorce a posílá výstrahy bezpečnostnímu týmu.

Chyba je v průchodu cestou (path traversal) ve službě gRPC phQueryMaster, která naslouchá na portu TCP 27918. Služba je určená pro dotazy mezi uzly FortiSIEM, ale podle společnosti Horizon3.ai přijímá spojení i bez klientského certifikátu. Útočník proto může bez přihlášení zapsat soubor na libovolné místo, přepsat skript, který se spouští plánovanou úlohou, a tím spustit vlastní kód.

Je to horší, než vypadá, protože SIEM je místo, kam firma posílá logy z celého prostředí a kde má přihlašovací údaje ke sběru dat. Kdo ovládne SIEM, získá přehled o prostředí a současně obrany zbaví očí. Horizon3.ai zveřejnila 20. října funkční ukázkový exploit. Fortinet uvádí, že o zneužívání neví, a v katalogu KEV chyba není. Pozor na rozpor v dotčených verzích: oznámení FG-IR-26-180 uvádí jen FortiSIEM 7.5.0, záznam CVE od stejného výrobce i větve 7.0.0 až 7.4.2 s řešením 7.6.0. Fortinet rozdíl nevysvětlil.

Co dělat: aktualizujte na FortiSIEM 7.5.1 nebo vyšší. Pokud běžíte na větvi 7.0 až 7.4, berte ji jako možná zasaženou a přejděte na 7.6.0 nebo vyšší. FortiSIEM 7.6 a FortiSIEM Cloud podle výrobce zasažené nejsou. Když aktualizace hned nejde, omezte přístup na port TCP 27918 jen na adresy vlastních uzlů FortiSIEM a zkontrolujte časy poslední změny u souborů redishb.sh a phLicenseTool.

2. GitLab opravil chybu se skóre 10, útočník k ní nepotřebuje účet

CVE-2026-110264 · CVSS 10,0 · bez důkazů o zneužívání · záplata k dispozici

GitLab je nástroj pro správu zdrojového kódu a pro automatické sestavení a nasazení aplikací. Tato chyba se týká jen instalací, které si firma provozuje sama (self-managed), v edici Community i Enterprise.

Jde o přetečení celého čísla v překladači regulárních výrazů. GitLab uvádí, že za určitých podmínek mohl nepřihlášený uživatel spustit na serveru GitLabu vlastní kód. Chyba je v kódu od verze 7.0 z roku 2014 a zmírnění, které by ji obešlo, neexistuje.

Je to horší, než vypadá, protože v GitLabu bývá zdrojový kód, pipeline pro nasazení a tokeny do cloudu a do produkce. Útočník se tak nedostane jen k datům, ale k cestě, kterou firma do produkce nasazuje. Veřejný ukázkový exploit zatím není a zneužívání nikdo nepotvrdil. Důležitý detail pro ty, kdo tento měsíc už aktualizovali: verze vydané 12. října (19.2.8, 19.3.5 a 19.4.2) jsou touto chybou zranitelné, takže je potřeba jít do údržby znovu. Služba GitLab.com a prostředí GitLab Dedicated jsou podle výrobce opravené.

Co dělat: aktualizujte na 19.5.1, 19.4.3 nebo 19.3.6 podle své větve. Pro starší větve vydal GitLab opravy 19.2.9, 19.1.9, 19.0.10 a 18.11.13. Když údržbu hned naplánovat nejde, omezte přístup k instanci na firemní síť nebo VPN, zrušte registraci nových uživatelů a sledujte logy webové vrstvy. Po aktualizaci zvažte výměnu tokenů a klíčů, které měl server uložené.

3. Oracle vydal čtvrtletní balík, nejvyšší skóre mají Access Manager a SOA Suite

CVE-2026-87337, CVE-2026-91216 a CVE-2026-91221 · CVSS 10,0 · bez důkazů o zneužívání · záplata k dispozici

Oracle Access Manager zajišťuje přihlašování k podnikovým aplikacím na jedno přihlášení (single sign-on). Oracle SOA Suite propojuje aplikace mezi sebou a přenáší mezi nimi data. Oba produkty bývají ve větších firmách a ve finančních institucích součástí jádra provozu.

Oracle vydal 20. října čtvrtletní balík opravy (Critical Patch Update). Podle analýzy společnosti Tenable obsahuje 1 295 záplat k 1 209 různým chybám ve 33 produktových rodinách. Nejvyšší skóre mají tři z nich. CVE-2026-87337 je v ověřovací komponentě Access Manageru ve verzích 12.2.1.4.0 a 14.1.2.1.0 a Oracle u ní uvádí, že nepřihlášený útočník přes HTTP může získat plné čtení a zápis všech dat Access Manageru, a to s dopadem i na navázané aplikace. CVE-2026-91216 a CVE-2026-91221 jsou ve vrstvě Fabric v SOA Suite ve verzích 12.2.1.4.0 a 14.1.2.0.0 a jde o převzetí produktu útočníkem bez přihlášení přes protokoly T3 nebo IIOP.

Je to horší, než vypadá, protože Access Manager stojí na vstupu do ostatních aplikací. Kdo ho ovládne, nemusí hádat hesla, protože si identitu vystaví sám. U SOA Suite je riziko v tom, že protokoly T3 a IIOP bývají otevřené v interní síti v podobě, jakou nikdo roky nekontroloval. Zneužívání ani veřejný exploit u těchto tří chyb nikdo nepotvrdil.

Co dělat: nasaďte balík Critical Patch Update z 20. října 2026 pro svou verzi. Oracle u těchto produktů neuvádí nové číslo verze, oprava má podobu balíku záplat k dané verzi. Začněte instancemi dostupnými z internetu. Když údržba hned nejde, omezte síťový přístup ke správcovským rozhraním middleware a k portům T3 a IIOP. U Oracle E-Business Suite nestačí opravit aplikační část, komponenty z databáze a z Fusion Middleware se opravují zvlášť.

4. Redis, chybu z května někdo zkouší zneužívat

CVE-2026-25243 · CVSS 8,8 podle NVD, část zdrojů uvádí 7,7 · aktivně zneužíváno · záplata k dispozici

Redis je databáze, která drží data v paměti. Firmy v něm mívají cache, fronty úloh a přihlašovací sezení uživatelů.

Příkaz RESTORE umí z binárního zápisu vytvořit klíč zpět. Redis u něj dostatečně nekontroloval strukturu a délky v předaných datech, takže podvržený zápis poškodí haldu a může vést ke spuštění kódu v procesu redis-server. Útočník k tomu potřebuje přihlášení a právo příkaz RESTORE spustit.

Je to horší, než vypadá, ze dvou důvodů. Honeypoty společnosti Defused zaznamenaly 16. a 17. října opakované skriptované pokusy o zneužití, jeden útočník navíc po sobě mazal obsah databáze. A oprava je přitom z 5. května 2026, takže se to nyní týká instancí, na které firmy zapomněly. V katalogu CISA KEV chyba není, firma VulnCheck ji ve svém vlastním katalogu zneužívaných chyb vede. Druhý důvod je způsob provozu: Redis bývá v interní síti bez ověřování a jedny přihlašovací údaje k němu sdílí víc aplikací.

Co dělat: aktualizujte na Redis 8.6.3, nebo na 7.2.14, 7.4.9, 8.2.6 a 8.4.3 podle své větve. Kdo Redis instaloval z distribuce, nasadí balíček od dodavatele, Red Hat vydal opravy RHSA-2026:14316 a RHSA-2026:23229. Když aktualizace hned nejde, zakažte příkaz RESTORE pravidlem ACL pro všechny kromě účtů, které ho opravdu potřebují, zapněte ověřování a Redis nevystavujte mimo aplikační síť.

Souhrn priorit

Ze světa kybernetické bezpečnosti

Útok přes dodavatele zasáhl přes čtyřicet firem z námořní dopravy

Podle newsletteru Risky Bulletin uvedla vyděračská skupina n0n 12. října na svém webu najednou více než čtyřicet přístavních správ, rejdařů a logistických firem z osmnácti zemí a termín pro platbu jim vypršel 19. října. Bezpečnostní firma CyDome uvádí, že polovina firem ze seznamu jsou známí zákazníci jihokorejské společnosti CyberLogitec, která pro námořní dopravu dodává IT platformy, a že web CyberLogitecu je týdny mimo provoz. To podle ní ukazuje na dodavatele jako na vstupní bod. Potvrzení ze strany CyberLogitecu k dispozici není a ani skupinu n0n nikdo z úřadů s konkrétním zdrojem průniku nespojil.

Projděte si, kteří dodavatelé mají přístup do vašich systémů, a u každého si odpovězte, co se ve vaší firmě stane, když ten dodavatel vypadne nebo bude napadený.

Do balíčku LiteLLM se dostal zloděj přihlašovacích údajů

Projekt LiteLLM, tedy knihovna, přes kterou aplikace volají jazykové modely, 21. října sám zveřejnil, že do jeho vydání 1.107.0 na PyPI a na Docker Hub se dostal škodlivý kód. Balíčky obsahovaly tři soubory navíc, které se spustí při každém startu Pythonu v daném prostředí, i když knihovnu nikdo nenaimportuje, a sbíraly přihlašovací údaje do cloudu, privátní klíče a tokeny k vývojářským nástrojům. Podle hlášení projektu byla vydání sestavena z podvržené kopie repozitáře, nikoli z oficiální značky na GitHubu. Nakažená verze byla na PyPI dostupná od 11:39 do 13:23 UTC a na Docker Hubu od 11:46 do 14:20 UTC. Verze 1.106.2 je v pořádku. Pro tento incident neexistuje číslo CVE.

Pokud jste v tom okně v daném prostředí instalovali nebo spouštěli LiteLLM, vyměňte přihlašovací údaje a klíče, které v něm byly, a stroj postavte znovu.

Co si z tohoto týdne odnést

Všechny čtyři položky mají společné to, že jde o nástroje, které si firma provozuje sama a které vidí do zbytku prostředí. Právě u nich se záplaty odkládají nejčastěji, protože aktualizace znamená odstávku monitoringu, sestavování nebo cache. Útočníkovi se přitom vyplatí nejvíc: jeden server mu dá přehled, přístupy a důvěru ostatních systémů.

Druhé pozorování se týká cesty dovnitř. Dvě z událostí tohoto týdne nepřišly přes hranu sítě, ale přes dodavatele a přes závislost v kódu. Na obojí se obvykle nedívá nikdo, komu to v organizaci jmenovitě patří.

Úkol na tento týden: sepište si správcovské a vývojové nástroje, které ve firmě běží na vlastních serverech, a u každého doplňte verzi, kdo ho spravuje a odkud je dostupný. U položek z tohoto přehledu pak hned uvidíte, jestli se vás týkají. Seznam se vyplatí držet dál, ne ho dělat při každém přehledu znovu.

Nestíháte to sledovat?

Přehled vydáváme každý týden. Sledovat ho je ale jen první krok. Těžší je vědět, které zranitelnosti se týkají konkrétně vás, v jakém pořadí je řešit a kdo za to ve firmě odpovídá.

S tím pomáháme: posouzení bezpečnosti a řízení zranitelností · externí manažer bezpečnosti · výběr a nasazení technologií

Nezávazná konzultace · Řešíte právě incident?

Řekneme vám na rovinu, co má smysl řešit jako první. Úvodní konzultace je bezplatná.

Zdroje: CISA, katalog zneužívaných zranitelností KEV · CISA, bezpečnostní oznámení · Fortinet, oznámení FG-IR-26-180 k FortiSIEM · CSA Singapur, výstraha AL-2026-153 k FortiSIEM · NVD, záznam k chybě v GitLabu · Oracle, Critical Patch Update z října 2026 · NVD, záznam k chybě v Redisu · securityonline.info, zneužívání příkazu RESTORE v Redisu · Risky Bulletin, útok na námořní dopravu přes dodavatele · LiteLLM, hlášení incidentu z 21. října 2026 · Socket, analýza škodlivého vydání LiteLLM