V období od 31. marca do 7. apríla 2026 bol zaznamenaný sofistikovanýútok na dodávateľský reťazec zameraný na populárny npm balík Axios. Útok je pripisovaný severokórejskej skupine UNC1069, ktorá kompromitovala účet správcu balíka a publikovala škodlivé verzie knižnice. Útočníci použili verzie 1.14.0 a 0.30.3 Axios, v ktorých pridali škodlivú závislosť plain-crypto-js do súboru package.json.

Falošná závislosť po inštalácii automaticky nasadzovala malvér typu Remote Access Trojan (RAT), ktorý umožňoval útočníkom vzdialený prístup k napadnutým systémom a exfiltráciu citlivých údajov.

Napriek krátkemu trvaniu incidentu predstavuje tento útok vysoké riziko vzhľadom na masové využitie knižnice Axios.

Časová os útoku

30.3.2026 – Príprava

Do registri NPM bola pridaná knižnica plain-crypto-js@4.2.0, ktorá obsahovala funkcionalitu pre nasadenie malvéru RAT. O niekoľko hodín bola publikovaná jej nová verzia plain-crypto-js@4.2.1. Do knižnice Axios ju pridali ako falošnú závislosť, ktorá imituje legitímnu crypto-js@4.2.0.

31.3.2026 – Začiatok incidentu

Útočníci získali prístup k účtu udržiavateľa jasonsaayman na platforme NPM a publikovali škodlivé verzie knižnice Axios 1.14.1 a 0.30.4. Inštaláciou podvrhnutých verzií došlo k nasadeniu malvéru RAT, funkčného na operačných systémoch macOS, Windows aj Linux. Knižnice boli dostupné na NPM iba niekoľko hodín.

2.4.2026 – Atribúcia

Tím Google Threat Intelligence Group atribuoval útok severekórejskej skupine UNC1069. Skupinu prezradil malvér identifikovaný ako WAVESHAPER.V2, tvoriaci zadné vrátka, ktorý útočníci nasadili s pomocou falošnej závislosti plain-crypto-js. Tiež použili rovnakého poskytovateľa pripojenia ASN a uzol služby AstrillVPN, ktoré v minulosti využil tím UNC1069.

Odporúčania:

• Bezodkladne vymeňte infikované verzie knižnice Axios (1.14.1 a 0.30.4) za bezpečné verzie.
• Overte prítomnosť závislosti plain-crypto-js v spojitosti s knižnicou Axios vo vašej infraštruktúre a odstráňte ju z priečinka node_modules. Závislosť plain-crypto-js nie je legitímnou súčasťou žiadnej verzie Axios.
• Overte prítomnosť indikátorov kompromitácie vo Vašej infraštruktúre (tu a tu).
• Vykonajte audit svojej CI/CD infraštruktúry.
• Pravidlo YARA pre detekciu hrozby nájdete tu.

Zdroje:

• https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
• https://thehackernews.com/2026/03/axios-supply-chain-attack-pushes-cross.html
• https://opensourcemalware.com/blog/axios-compromised
• https://www.endorlabs.com/learn/npm-axios-compromise
• https://cloud.google.com/blog/topics/threat-intelligence/north-korea-threat-actor-targets-axios-npm-package

Upozorňujeme organizácie, aby preverili, či sa pri vzdialenom prístupe do interných systémov nepoužívajú zraniteľné alebo nepodporované smerovače SOHO. Podľa varovania FBI a partnerov útočníci zneužívali kompromitované smerovače na zmenu DHCP a DNS nastavení, čím presmerovali DNS dopyty na vlastné prekladače a následne vedeli cielene podvrhnúť odpovede pre vybrané služby. Takto mohli zachytávať prihlasovacie údaje, tokeny a ďalšie citlivé údaje, najmä ak používateľ pokračoval aj po upozornení na chybu certifikátu. Medzi zneužívané zariadenia patrili aj smerovače TP-Link obsahujúce zraniteľnosť CVE-2023-50224.

IC3 vo varovaní neuvádza jeden konkrétny model, iba všeobecne „smerovače TP-Link zraniteľné na CVE-2023-50224“. Výrobca TP-Link následne spresnil, že ide o viaceré staršie modely po ukončení podpory, pričom medzi explicitne uvádzané patria napríklad TL-WR841N / TL-WR841ND a Archer C7.  V novšom bezpečnostnom oznámení TP-Link sú medzi dotknutými zariadeniami uvedené aj ďalšie zastarané (angl. legacy) modely, napríklad TL-MR6400, Archer C5, TL-WDR3600, TL-WDR4300, TL-WR740N, TL-WR741ND, TL-WR840N, TL-WR941ND, TL-WA801ND a TL-WA901ND.

Dopad na Slovensko:

Riziko je relevantné najmä pre organizácie, ktorých zamestnanci pristupujú k e-mailu, VPN alebo interným webovým aplikáciám z domácich alebo malých kancelárskych sietí. Pri tomto type útoku nemusí byť prvým prejavom kompromitácie malvér na stanici, ale zmena sieťových parametrov na okraji siete, preto je dôležité pozerať sa na DNS a DHCP ako na detekčné body.

Odporúčania:

Pokiaľ organizácia používa na vstup do danej siete predsa len modely obsahujúce danú zraniteľnosť, odporúčame z pohľadu bezpečnostného monitoringu sledovať anomálie v DNS premávke. Prakticky to znamená overiť, či stanice neposielajú DNS požiadavky na iné IP adresy, než povoľuje politika organizácie (organizácia využíva konkrétne DNS servery), či sa neobjavili nové externé prekladače (angl. resolver), alebo či sa nemení smer DNS komunikácie po pripojení používateľa z domácej siete prostredníctvom daného zariadenia. Tento prístup je primeraný práve preto, že podstatou útoku je práve zmena DNS servera za DNS server útočníka.

Odporúčame tiež cielene preveriť varovania na certifikáty pri prihlásení do webmailu, VPN portálov a interných webových aplikácií. IC3 konkrétne uvádza, že podvodné DNS odpovede boli používané aj pre Microsoft Outlook Web Access a že útok bol účinný vtedy, keď používateľ pokračoval aj napriek chybnému certifikátu. Preto je potrebné v prípade výskytu zariadenia korelovať výskyt premávky DNS s chybami v rámci certifikátov.

Ak chce organizácia tento problém preveriť rýchlo, mala by začať tromi krokmi:

1. Najprv zistiť, či vzdialení používatelia alebo pobočky nepoužívajú zraniteľné modely TP-Link a iné nepodporované SOHO smerovače.
2. Potom overiť, aké DNS nastavenia dostávajú klienti cez DHCP.
3. Skontrolovať v logoch firewallu, DNS alebo EDR, či sa neobjavila komunikácia na neautorizované DNS servery alebo zvýšený výskyt upozornení pri zmene certifikátoch pri prístupe k firemným službám.

Ak sa takáto odchýlka potvrdí, je vhodné dotknutý smerovač považovať za kompromitovaný alebo minimálne nedôveryhodný a ďalej preveriť jeho konfiguráciu a incident nahlásiť svojej jednotke CSIRT.

Zdroje:

https://nvd.nist.gov/vuln/detail/cve-2023-50224

https://www.cisa.gov/news-events/alerts/2025/09/03/cisa-adds-two-known-exploited-vulnerabilities-catalog

https://www.ic3.gov/PSA/2026/PSA260407

https://www.tp-link.com/us/support/faq/5058/

https://www.tp-link.com/us/support/faq/4365/

Vývojári opravili vysoko závažnú zraniteľnosť v open-source serveri Apache ActiveMQ Classic, ktorá umožňuje vzdialené vykonávanie kódu. Chyba sa v serveri nachádzala 13 rokov.

Zraniteľné systémy:

• Apache ActiveMQ / Broker, verzie staršie ako 5.19.4
• Apache ActiveMQ / Broker, verzie 6.x.x staršie ako 6.2.3

Opis činnosti:

CVE-2026-34197 (CVSS skóre 8,8)

Populárny server pre message brokering, Apache ActiveMQ Classic, obsahuje 13 rokov starú zraniteľnosť, ktorá po úspešnom zneužití umožňuje vzdialenému útočníkovi s nízkymi oprávneniami vykonávať ľubovoľné príkazy operačného systému.

Chyba vyplýva z neošetrenej kooperácie medzi nezávisle vyvíjanými komponentmi. Rozhranie API komponentu Jolokia je dostupné z webovej manažmentovej konzoly (Jetty web server). To umožňuje v rámci funkcie BrokerService.addNetworkConnector nahrávať konfiguráciu z externých zdrojov. Autentifikovaný útočník môže vďaka tomu vytvoriť špeciálnu požiadavku s využitím parametru brokerConfig protokolu VM a nahrať súbor Spring XML. Vzhľadom na to, že funkcia Spring ResourceXmlApplicationContext iniciuje jeho obsah ešte pred kontrolou konfigurácie, ktorú vykonáva súčasť BrokerService, vzniká priestor kde je možné vykonať ľubovoľný kód.

Verzie Apache ActiveMQ Classic 6.0.0 až 6.1.1 zvyšujú nebezpečenstvo zneužitia, pretože obsahujú zraniteľnosť CVE-2024-32114. Jej zreťazením s CVE-2026-34197 môže útočník obísť potrebu autentifikácie.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia Apache ActiveMQ a Apache ActiveMQ Broker aspoň na verziu 5.19.4 alebo 6.2.3.

Pre overenie prítomnosti pokusov o zneužitie zraniteľnosti preverte v broker logu podozrivé spojenia, ktoré využívajú protokol VM (vm://) a dopytový parameter „brokerConfig=xbean:http://“.

Odkazy:

• https://horizon3.ai/attack-research/disclosures/cve-2026-34197-activemq-rce-jolokia/
• https://www.bleepingcomputer.com/news/security/13-year-old-bug-in-activemq-lets-hackers-remotely-execute-commands/
• https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Vývojári Docker Engine opravili vysoko závažnú zraniteľnosť modulov AuthZ, ktorá dovoľuje útočníkom obchádzať kontroly autorizácie a vytvárať napríklad privilegované kontajnery.

Zraniteľné systémy:

• Docker Engine, verzie staršie ako 29.3.1

Opis činnosti:

CVE-2026-34040 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť Docker Engine umožňuje obchádzať autorizačné moduly AuthZ, ktoré vykonávajú rozhodnutia na základe inšpekcie tela požiadavky API. Chybu zabezpečenia je možné zneužiť zaslaním špeciálne vytvorenej požiadavky s dostatočne veľkým telom (nad 1MB). Middleware AuthZ ju pošle na kontrolu autentifikačnému modulu AuthZ kvôli spôsobu narábania s nadrozmernými požiadavkami bez tela. Ten ju následne povolí, pretože neobsahuje žiaden nepovolený prvok. Celá požiadavka aj s telom následne smeruje z middleware na Docker daemon, ktorý ju prečíta a vykoná.

Útočník tak môže napríklad vytvárať privilegované kontajnery, aj keď je taká možnosť v rámci infraštruktúry zakázaná.

Možné škody:

• Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia Docker Engine aspoň na verziu 29.3.1.

Pokiaľ aktualizácia nie je možná, zraniteľnosť môžete mitigovať obmedzením prístupu k Docker API len z dôveryhodných zdrojov. Môžete tiež prestať používať moduly AuthZ, ktoré rozhodujú na základe inšpekcie tela požiadavky. Ďalšie kontroly a opatrenia vykonajte podľa informácií tu.

Odkazy:

• https://github.com/moby/moby/security/advisories/GHSA-x744-4wpc-v9h2
• https://www.cyera.com/research/one-megabyte-to-root-how-a-size-check-broke-dockers-last-line-of-defense

Internetom sa opakovane šíri phishingová kampaň zameraná na imitovanie webových formulárov VšZP (Všeobecná zdravotná poisťovňa). Podvodníci rozposielajú e-maily s informáciou o údajnom vrátení peňazí. Súčasťou správy je aj odkaz vedúci na podvrhnutú stránku, ktorá sa vydáva za web zdravotnej poisťovne.

Podozrivé stránky : 

• hxxps://ralsinternationaltrade[.]com/next
• hxxps://qubestores[.]com/uploads/home/pages/step-one[.]php
• hxxps://stracetech[.]com/images
• hxxps://epobocka-vszp[.]ebnak-kh[.]com/home

Vzhľadom na dynamický charakter phishingových kampaní, pri ktorých dochádza k častej zmene podvodných webových stránok, nie je postačujúce orientovať sa výlučne podľa konkrétnych príkladov uvedených vo varovaniach.

Hlavné znaky, na základe ktorých je webová stránka považovaná za podozrivú, zahŕňajú najmä vizuálne spracovanie napodobňujúce dizajn legitímnych služieb VšZP. Stránka sa snaží vzbudiť dôveryhodnosť u používateľa zahrňujúc dôveryhodné farebné prevedenie a odkazy, v spojení s hlásením prostredníctvom mailovej komunikácie.

Venujte preto zvýšenú pozornosť adrese webovej stránky (URL) pred prihlásením sa, či zadaním osobných alebo platobných údajov a pri komunikácii s poisťovňou využívajte výhradne oficiálne kontaktné kanály. 

Ak narazíte na podozrivý web, neposkytujte žiadne údaje a nahláste udalosť na incident@csirt.sk.

Po zadaní požadovaných informácií pre vyplatenie preplatku z poistného Vás web presmeruje na stránku, kde je potrebné zadať bankové údaje, na ktoré bude sľúbený preplatok vyplatený.

Následne web imituje správanie štandardnej platobnej brány, kedy sa pokúša vytvoriť spojenie s bankovým subjektom, ako aj overenie pomocou „druhého faktora“.

Po „overení“ bankového spojenia web požaduje ešte zadanie dodatočného bezpečnostného faktora.

Ďalšie (neaktívne) weby

Nižšie prikladáme zoznam ďalších webov, ktoré obsahovali rovnaký phishingový obsah, avšak už sú neaktívne:

hxxp://vszp-obnova[.]com/

hxxp://infosk-vszp[.]com/

hxxps://vakafetzi[.]sites[.]sch[.]gr/wordpress/wp/slovakia/index.php

hxxp://mkto-ab690062[.]com/NDQyLVhMQy0zMjAAAAGdz_iBE9FzyYkLWqndch2du4m_AURIUhaqBUeQk75dg4nItKVJN5_OuR0yEVSS_AkXq6N79cQ=

hxxp://mkto-ab690062[.]com/NDQyLVhMQy0zMjAAAAGdz_iBE7c7MfUCI1wuZDtROWuh70uV6sRtK2Zo1TLn2pQqFYr5w83cvs0OZ5x7d1twW7HkG3M=

hxxp://mkto-ab690062[.]com/NDQyLVhMQy0zMjAAAAGdz_iBE37piY4CqW4MeryeKyFxV1WmjrHFWjFQNg05IVkyhYQbEgsmvyHaz3teMsG_rPl1J2E=

hxxp://mkto-ab690062[.]com/NDQyLVhMQy0zMjAAAAGdz_iBE_rrzmIXDMqWJBOAVsXgUgzCZGuZJnnirEXe2iGpZFoY1XMahkBxegT2Iy3LbDWSUys=

hxxps://www[.]faduae[.]com/vs-mext

hxxps://canaldirecto[.]com/next

hxxps://chaingapp[.]com/coredeux/

hxxps://uk5aside[.]com/web/home/pages/step-one.php

hxxps://kvn.reality[.]com/app1/pages/step-one.php

hxxps://canaldirecto[.]com/beta

hxxps://cassardi[.]com/app-login/pages/step-one.php

hxxps://mefaticaret[.]com/cookie

hxxps://madenacarspareparts[.]com/plugins/home/pages/step-one.php

Vývojári populárneho modulu pre WordPress, Ninja Forms – File Uploads, vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú aktívne zneužívanú kritickú zraniteľnosť.  Jej zneužitie umožňuje nahrávanie ľubovoľných súborov na server.

Zraniteľné systémy:

• Ninja Forms – File Uploads vo verziách 3.3.26 a starších

Opis zraniteľností:

CVE-2026-0740 (CVSS skóre 9,8)

Kritická zraniteľnosť modulu Ninja Forms – File Uploads pre WordPress spočíva v absencii overovania súborových typov a prípon cieľových názvov súborov vo funkcii NF_FU_AJAX_Controllers_Uploads::handle_upload. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na nahratie ľubovoľných súborov na webserver. Funkcia neoveruje v rámci názvov súborov ani súborové cesty, teda útočník dokáže nahrať súbor aj do iného priečinku, ako na to určeného. To umožňuje napríklad nahrať PHP skripty do koreňového priečinku a vykonávať ich.

Predmetná zraniteľnosť je aktívne zneužívaná.

Možné škody:

• Vzdialené vykonávanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Bezodkladná aktualizácia modulu Ninja Forms – File Uploads aspoň na verziu 3.3.27. Odporúčame tiež vykonať kontrolu integrity súborového systému webstránky.

Zdroje:

• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ninja-forms-uploads/ninja-forms-file-upload-3326-unauthenticated-arbitrary-file-upload
• https://www.wordfence.com/blog/2026/04/50000-wordpress-sites-affected-by-arbitrary-file-upload-vulnerability-in-ninja-forms-file-upload-wordpress-plugin/
• https://nvd.nist.gov/vuln/detail/CVE-2026-0740

Spoločnosť Fortinet opravila kritickú aktívne zneužívanú zraniteľnosť svojho produktu FortiClientEMS, ktorá umožňuje obísť autentifikáciu a vzdialene vykonávať kód.

Zraniteľné systémy:

• FortiClientEMS 7.4.5 – 7.4.6

Opis činnosti:

CVE-2026-35616 (CVSS skóre 9,8)

Kritická zraniteľnosť FortiClientEMS súvisí s nedostatočnou kontrolou prístupov. Vzdialený neautentifikovaný útočník ju môže zneužiť na obídenie API autentifikácie a vykonanie kódu alebo príkazov pomocou špeciálne vytvorených požiadaviek.

Spoločnosť Fortinet sa vyjadrila, že zraniteľnosť je aktívne zneužívaná. Americká agentúra CISA ju zaradila do svojho katalógu zneužívaných zraniteľností KEV.

Možné škody:

• Obídenie bezpečnostných prvkov
• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia aspoň na verziu FortiClientEMS 7.4.7. Alternatívne môžete nainštalovať hotfix podľa postupu pre zraniteľnú verziu 7.4.5 a 7.4.6.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2026-35616
• https://fortiguard.fortinet.com/psirt/FG-IR-26-099
• https://thehackernews.com/2026/04/fortinet-patches-actively-exploited-cve.html

Popis hrozby:

Skupina TeamPCP vedie niekoľkofázovú, eskalujúcu kampaň zameranú na kompromitáciu softvérového dodávateľského reťazca. Útočníci zneužívajú dôveryhodné distribučné kanály (PyPI, GitHub, NPM, Docker Hub) a kompromitujú populárne nástroje a knižnice (Trivy, KICS, LiteLLM, Telnyx), čím obchádzajú tradičné bezpečnostné mechanizmy.

Cieľom skupiny je distribúcia malvéru, ktorý následne umožňuje krádež prihlasovacích údajov, kompromitáciu prostredí CI/CD a krádež kryptomien. V niektorých prípadoch vykonáva aj deštruktívne útoky, aktuálne zamerané proti Iránu.

Kampane skupiny TeamPCP predstavujú vysoké riziko pre organizácie využívajúce open-source nástroje a knižnice.

Kampane:

1. Kampaň proti Docker API, Kubernetes, REDIS  React Server (december 2025): Skupina TeamPCP viedla v decembri 2025 kampaň, v ktorej zneužívala nedostatočne zabezpečené Docker API, klastre Kubernetes, dashboardy RAY, servery REDIS a zraniteľnosť React2Shell (CVE-2025-55182) nástroja React Server Components na vytváranie škodlivej infraštruktúry. Kompromitované uzly boli zneužívané na široké spektrum škodlivých aktivít vrátane zapojenia do proxy sietí, skenovania a ďalšieho šírenia, ťažby kryptomien, exfiltráciu citlivých údajov, nasadenie ransomvéru a následné vydieranie obetí. Skupina exfiltrované dáta zverejňovala na svojom telegramovom kanáli.
2. Trivy – útok na dodávateľský reťazec (marec 2026): Skupina kompromitovala populárny bezpečnostný nástroj na skenovanie zraniteľností Trivy. Útočníci zneužili chybu v GitHub Actions workflow (konkrétne pull_request_target), cez ktorú získali privilegovaný token GitHub (PAT). Následne prevzali kontrolu nad repozitárom, mazali vydania a publikovali škodlivé rozšírenie VS Code obsahujúce infostealer. Útok bol súčasťou širšej automatizovanej kampane hackerbot-claw, ktorá skenovala tisíce projektov na zraniteľné konfigurácie CI/CD. Kampaň prebiehala aj v marci 2026, kedy skupina rozšírila útok na dodávateľský reťazec cez infikované inštancie Trivy publikované na Docker Hub.
3. Checkmarx KICS – útok na dodávateľský reťazec (marec 2026): TeamPCP kompromitovala bezpečnostný skenovací nástroj KICS spoločnosti Checkmarx pre GitHub Action, prostredníctvom ktorého následne šírila infostealer.
4. Knižnice PyPI – útok na dodávateľský reťazec (marec 2026): Skupina infikovala knižnice Telnyx a LiteLLM distribuované nástrojom PyPI pre programovací jazyk Python škodlivým kódom, ktorý vytvára v infikovaných systémoch zadné vrátka a kradne prihlasovacie údaje a iné citlivé údaje. Exfiltrované dáta ukryla v audio súboroch.
5. CanisterWorm a deštruktívna kampaň voči Iránu (marec 2026): Skupina vykonávala útoky na dodávateľský reťazec v rámci kampani nesúcej podobné znaky, ako kampaň šíriaca infostealer CanisterWorm. Tento malvér napríklad využíva rovnaký ICP kanister pre C2. Nová kampaň sa zameriava na odhaľovanie iránskych systémov. Malvér na základe časovej zóny a locale cieľový systém klastrov Kubernetes buď infikuje malvérom CanisterWorm a vytvorí zadné vrátka, alebo v prípade indikácie, že sa jedná o iránsky systém, pristúpi k deštruktívnemu mazaniu klastrov Kubernetes.
6. Krádež zdrojového kódu spoločnosti Cisco (marec 2026): Spoločnosť Cisco zasiahol kybernetický incident, keď viacero útočných skupín zneužilo ukradnuté prihlasovacie údaje získané v rámci kampane kompromitujúcej nástroj Trivy. Prenikli do jej interného vývojového prostredia, kde pomocou škodlivého modulu GitHub Actions získali prístup ku prostrediam CI/CD. Odtiaľ odcudzili zdrojový kód a AWS kľúče firmy aj jej zákazníkov. Útočníci skopírovali stovky repozitárov. Incident zasiahol viacero zariadení vrátane vývojárskych staníc spoločnosti. Cisco izolovala zasiahnuté systémy a začala rotovať prihlasovacie údaje.
7. Útok na cloudové účty AWS Európskej komisie (marec 2025): jednotka CERT‑EU informovala, že útočníci zo skupiny TeamPCP zneužili kompromitovaný API kľúč na prístup ku cloudovým účtom v službe Amazon AWS patriacim Európskej komisii, ktorý získali pravdepodobne v rámci kampane proti Trivy. Ukradli desiatky gigabajtov dát obsahujúcich mená, e‑mailové adresy a ďalšie súbory a ovplyvnili údaje minimálne 30 ďalších subjektov EÚ, ktoré používajú rovnakú infraštruktúru. Časť ukradnutých dát sa objavila online a CERT‑EU pokračuje vo vyšetrovaní, analýze a notifikácii dotknutých organizácií.

Dopad na Slovensko:

Vzhľadom na obľúbenosť kompromitovaných knižníc a nástrojov medzi vývojármi sa malvér šírený v rámci kampane skupiny TeamPCP mohol rozšíriť aj do produktov a repozitárov slovenských softvérových developerov, resp. ich zákazníkov.

Odporúčania:

• Ak používate nástroj Trivy vo verzii 0.69.4, 0.69.5 alebo 0.69.6, Trivy-action s tagom 0.34.2 alebo starším a Setup-trivy verzie nižšej ako 0.2.6, vymeňte verziu na Trivy 0.69.3, Trivy-action na 0.35.0 a Setup-trivy na 0.2.6, alebo novšiu nekompromitovanú verziu. Preverte tiež prítomnosť indikátorov kompromitácie.
• Ak používate skener Chceckmarx KICS (kics-github-action) verzie 1.1, zmeňte používanú verziu. Preverte tiež prítomnosť indikátorov kompromitácie.
• Ak používate knižnicu Telnyx verzie 4.87.1 alebo 4.87.2, aktualizujte na vyššiu verziu, alebo vykonajte downgrade na verziu 4.87.0. Preverte tiež prítomnosť indikátorov kompromitácie.
• Ak používate knižnicu LiteLLM vo verziách 1.82.7 alebo 1.82.8, aktualizujte na vyššiu verziu, alebo vykonajte downgrade na verziu 1.82.6. Návod na mitigáciu hrozby a indikátory kompromitácie nájdete tu.
• Ak využívate infraštruktúru Kubernetes, preverte prítomnosť indikátorov kompromitácie kampane CanisterWorm.

• Venujte pozornosť aj spôsobu, akým váš kód definuje používané verzie knižníc. Ak napríklad  používate „un/pinned“ verzie v requirements.txt, skontrolujte, či sú striktne definované len overené verzie bez kompromitácie.
• Odrotujte relačné tokeny a API kľúče.

Zdroje:

• https://telnyx.com/resources/telnyx-python-sdk-supply-chain-security-notice-march-2026
• https://www.ox.security/blog/telnyx-malware-teampcp-strikes-again-following-litellm-compromise/
• https://www.ox.security/blog/litellm-malware-malicious-pypi-versions-steal-cloud-and-crypto-credentials/
• https://www.endorlabs.com/learn/teampcp-isnt-done
• https://socket.dev/blog/trivy-under-attack-again-github-actions-compromise
• https://socket.dev/blog/trivy-docker-images-compromised
• https://flare.io/learn/resources/blog/teampcp-cloud-native-ransomware
• https://www.wiz.io/blog/teampcp-attack-kics-github-action
• https://www.aikido.dev/blog/teampcp-stage-payload-canisterworm-iran
• https://www.bleepingcomputer.com/news/security/cisco-source-code-stolen-in-trivy-linked-dev-environment-breach/
• https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci marec 2026.

Mesačný prehľad – 03/2026 PDF (675 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

VJ CSIRT získala informácie o nových podvodných webstránkach, ktoré sa snažia napodobniť vzhľad a funkcie oficiálnych elektronických služieb štátu.
Ide o novú phishingovú / smishingovú kampaň, ktorá sa môže v nasledujúcich dňoch objavovať plošne.

Útočníci používajú dôveryhodne vyzerajúce domény, platené certifikáty, aj funkčné odkazy na skutočné informácie a služby, čím sa snažia zvýšiť dôveryhodnosť falošných stránok a zvýšiť tak šancu vylákania osobných údajov, prihlasovacích údajov alebo platobných informácií, či priamo podvodom docieliť prevod finančných prostriedkov.

Ku dňu 30.03.2026 evidujeme nahlásenia súvisiace s predmetnou kampaňou vo forme zatiaľ dvoch identifikovaných webových stránok

• platbymvsr[.]sk
• platby-mvsr[.]sk

Kampaň sa podľa dostupných informácií šíri tak, že občania si na zaparkovaných motorových vozidlách nachádzajú nálepky alebo letáky, ktoré ich upozorňujú na potencionálne spáchanie priestupku proti bezpečnosti a plynulosti cestnej premávky.

Naskenovaním QR kódu je obeť presmerovaná na jednu z vyššie uvedených škodlivých stránok, kde sa od neho vyžaduje vyplnenie osobných údajov a následne verifikácia cez SMS. V ďalšom kroku sa zobrazí požiadavka uhradiť pokutu za údajný priestupok.

Venujte preto zvýšenú pozornosť adrese webovej stránky (URL) pred prihlásením sa, či zadaním osobných alebo platobných údajov. Oficiálne vládne portály sa vždy nachádzajú na doménach:

• .gov.sk
• .minv.sk
• .slovensko.sk

Ak narazíte na podozrivý web, neposkytujte žiadne údaje a nahláste udalosť na incident@csirt.sk.

Bezpečnostní výskumníci upozornili na kritickú zraniteľnosť v doplnku Smart Slider 3 pre WordPress, ktorý je aktívny na viac ako 800 000 webových stránkach. Zraniteľnosť umožňuje akémukoľvek autentifikovanému používateľovi vrátane úrovne subscriber čítať ľubovoľné súbory na serveri.

Zraniteľné systémy:

• WordPress Smart Slider 3, verzia 3.5.1.33 a staršie  

Opis činnosti:

CVE-2026-3098 (CVSS skóre 6,5)

Zraniteľnosť sa nachádza vo funkcii actionExportAll(), ktorá súvisí s exportom súborov. Funkcia nekontroluje formát a zdroj vyžiadaného súboru. To umožňuje akémukoľvek autentifikovanému používateľovi vrátane úrovne subscriber prečítať ľubovoľné súbory na serveri, vrátane citlivých dát vo wp‑config.php.

Možné škody:

• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia modulu Smart Slider 3 aspoň na verziu 3.5.1.34.

Odkazy:

• https://www.wordfence.com/blog/2026/03/800000-wordpress-sites-affected-by-arbitrary-file-read-vulnerability-in-smart-slider-3-wordpress-plugin/
• https://nvd.nist.gov/vuln/detail/CVE-2026-3098

Spoločnosť F5 opravila kritickú chybu zabezpečenia na zariadeniach BIG-IP APM, ktorá môže viesť ku vykonaniu kódu na diaľku za nešpecifikovaných podmienok.

Zraniteľné systémy:

• BIG-IP APM 15.1.0 – 15.1.10
• BIG-IP APM 16.1.0 – 16.1.6
• BIG-IP APM 17.1.0 – 17.1.2
• BIG-IP APM 17.5.0 – 17.5.1

Opis činnosti:

CVE-2025-53521 (CVSS 4.0 skóre 9,3)

Americká organizácia CISA pridala do katalógu aktívne zneužívaných zraniteľností kritickú chybu zabezpečenia v produkte F5 BIG-IP APM, ktorá umožňuje vzdialené vykonávanie kódu. Chyba sa nachádza v procese apmd na dátovej úrovni, keď prístupová politika nakonfigurovaná na virtuálnom serveri. Zneužiť ju môže neautentifikovaný útočník pomocou nešpecifikovanej škodlivej premávky.

Spoločnosť F5 v marci 2026 prekategorizovala pôvodnú zraniteľnosť z DDoS na RCE a zvýšila jej závažnosť.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia BIG-IP APM aspoň na verziu 17.5.1.3, 17.1.3, 16.1.6.1 alebo 15.1.10.8.

Odkazy:

• https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog
• https://my.f5.com/manage/s/article/K000156741
• https://nvd.nist.gov/vuln/detail/CVE-2025-53521

Spoločnosť Citrix na základe interných kontrol objavila a opravila kritickú zraniteľnosť produktov Citrix NetScaler ADC a Gateway, ktorá umožňuje čítanie pamäte mimo povolené hodnoty. Zároveň opravila vysoko závažnú zraniteľnosť vedúcu ku zámene relácií používateľov.

Zraniteľné systémy:

• NetScaler ADC a NetScaler Gateway 14.1 verzie staršie ako 14.1-66.59
• NetScaler ADC a NetScaler Gateway 13.1 verzie staršie ako 13.1-62.23
• NetScaler ADC FIPS a NDcPP verzie staršie ako 13.1-37.262

Opis činnosti:

CVE-2026-3055 (CVSS skóre 9,3)

Kritická zraniteľnosť v Citrix NetScaler ADC a NetScaler Gateway vzniká, pokiaľ je zariadenie nakonfigurované ako SAML IDP. Vyplýva z nedostatočného overovania vstupov. Vzdialený neautorizovaný útočník získa jej zneužitím možnosť čítať pamäť zraniteľného zariadenia mimo povolené hodnoty.

CVE-2026-4368 (CVSS skóre 7,7)

Vysoko závažná zraniteľnosť v Citrix NetScaler ADC a NetScaler Gateway vzniká, pokiaľ je zariadenie nakonfigurované ako Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) alebo virtuálny AAA server. Vyplýva zo súbehu procesov. Vzdialený útočník s nízkymi oprávneniami môže jej zneužitím spôsobiť zámenu používateľských relácií.

Možné škody:

• Únik citlivých informácií
• Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia aspoň na verzie

• NetScaler ADC a NetScaler Gateway 14.1-66.59
• NetScaler ADC a NetScaler Gateway 13.1-62.23
• NetScaler ADC FIPS a NDcPP 13.1-37.262

Cloudové inštancie výrobca opravil automaticky a nie je pre ne potrebné vykonať ďalšie kroky.

Pre overenie, či máte zariadenie nakonfigurované ako SAML IDP, vyhľadajte v NetScaler Configuration reťazec „add authentication samlIdPProfile .*“.

Pre overenie, či máte zariadenie nakonfigurované ako virtuálny AAA server, vyhľadajte v NetScaler Configuration reťazec „add authentication vserver .*“.

Pre overenie, či máte zariadenie nakonfigurované ako Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy), vyhľadajte v NetScaler Configuration reťazec „add vpn vserver .*“.

Odkazy:

• https://www.rapid7.com/blog/post/etr-cve-2026-3055-citrix-netscaler-adc-and-netscaler-gateway-out-of-bounds-read/
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696300
• https://nvd.nist.gov/vuln/detail/CVE-2026-3055
• https://nvd.nist.gov/vuln/detail/CVE-2026-4368

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci február 2026. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 02/2026 PDF (1 747 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Spoločnosť ConnectWise opravila kritickú zraniteľnosť v produkte ScreenConnect, ktorá umožňuje útočníkom získať prístup ku kryptografickému materiálu inštancie, a spolu s ním k aktívnym reláciám. Útočník môže tiež získať zvýšené oprávnenia. Spoločnosť pozorovala pokusy o zneužitie zraniteľnosti.

Zraniteľné systémy:

• ScreenConnect, verzie staršie ako 26.1

Opis činnosti:

CVE-2026-3564 (CVSS skóre 9,0)

Aplikácia ScreenConnect obsahuje kritickú zraniteľnosť, ktorá umožňuje vzdialenému neautorizovanému útočníkovi získať prístup ku autentifikačnému kryptografickému materiálnu inštancie (kľúče ASP.NET) a s vyššími oprávneniami získať tak prístup k aktívnym reláciám.

Kryptografické kľúče ukladala aplikácia ku konfiguračným súborom servera. Po aktualizácii sú uložené v šifrovanom úložisku. Spoločnosť ConnectWise zaviedla tiež možnosť obmeniť kryptografický materiál na vyžiadanie administrátora inštancie.

Spoločnosť ConnectWise informovala o pokusoch o zneužitie zraniteľnosti.

Možné škody:

• Eskalácia oprávnení
• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia ScreenConnect aspoň na verziu 26.1.

Cloudové inštancie spoločnosť zabezpečila automaticky a netreba vykonať ďalšie kroky.

Odkazy:

• https://www.connectwise.com/company/trust/advisories
• https://www.connectwise.com/company/trust/security-bulletins/2026-03-17-screenconnect-bulletin
• https://nvd.nist.gov/vuln/detail/CVE-2026-3564

CISA pridala do katalógu aktívne zneužívaných zraniteľností (KEV) vysoko závažnú zraniteľnosť Zimbra Collaboration Suite. CVE-2025-66376 umožňuje neautentifikovanému útočníkovi vykonávať útoky typu XSS cez e-maily vo formáte HTML.

Zraniteľné systémy:

• Zimbra Collaboration Suite verzie staršej ako 10.0.18
• Zimbra Collaboration Suite verzie staršej ako 10.1.13

Opis činnosti:

CVE-2025-66376 (CVSS skóre 7,2)

Organizácia CISA pridala do svojho katalógu aktívne zneužívaných zraniteľností (KEV) vysoko závažnú chybu zabezpečenia v produkte v Zimbra Collaboration Suite. Zraniteľnosť sa nachádza v komponente Classic UI a umožňuje vykonávať útoky typu uloženého/perzistentného XSS. Vzdialený neautorizovaný útočník na to môže zneužiť direktívu CSS @import pri príprave škodlivých e-mailov vo formáte HTML.

Vývojári spoločnosti Synacor zraniteľnosť opravili v novembri 2025.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonanie kódu

Odporúčania:

Bezodkladná aktualizácia Zimbra Collaboration Suite aspoň na verziu 10.0.18 alebo 10.1.13.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-66376
• https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

Bezpečnostní výskumníci zverejnili informácie o kritickej zraniteľnosti v GNU InetUtils telnetd. CVE-2026-32746 sa nachádza v handleri LINEMODE SLC (Set Local Characters) a umožňuje zápis do pamäte mimo povolených hodnôt.

Zraniteľné systémy:

• GNU InetUtils telnetd vo verzii 2.7 a staršie

Opis zraniteľnosti:

CVE-2026-32746 (CVSS skóre: 9,8)

Kritická zraniteľnosť s označením CVE-2026-32746 sa nachádza v handleri LINEMODE SLC (Set Local Characters). Súvisí s pretečením vyrovnávacej pamäte kvôli chýbajúcej kontrole jej obsadenia vo funkcii add_slc a umožňuje zápis do pamäte mimo povolených hodnôt. Vzdialený neautentifikovaný útočník ju môže zneužiť zaslaním špeciálne vytvorených správ počas  fázy inicializovania pripájania (handshake) pred aktivovaním prihlasovacieho okna. Tým získa možnosť vzdialene vykonať kód s oprávneniami používateľa root a môže získať úplnú kontrolu nad systémom.

Na uvedenú zraniteľnosť je dostupný proof-of-concept kód demonštrujúci mechanizmus jej zneužitia.

Možné škody:

• Vzdialené vykonanie kódu
• Eskalácia oprávnení
• Narušenie dôvernosti, integrity a dostupnosti systému

Odporúčania:

Bezpečnostné aktualizácie by mali byť dostupné najneskôr 1. apríla 2026. Do vydania aktualizácií odporúčame zraniteľnosť mitigovať limitovaním prístupu cez telnet len na zoznam dôveryhodných IP adries, prípadne úplné blokovanie komunikácie na port 23 alebo deaktiváciu telnetd, ak nie je využívaná.

Zdroje:

• https://dreamgroup.com/vulnerability-advisory-pre-auth-remote-code-execution-via-buffer-overflow-in-telnetd-linemode-slc-handler/#
• https://nvd.nist.gov/vuln/detail/CVE-2026-32746

Spoločnosť Apple vydala bezpečnostné aktualizácie svojich operačných systémov iOS, iPadOS a macOS, ktoré opravujú zraniteľnosť komponentu WebKit. Zraniteľnosť spočíva v chybe mechanizmu CORS, ktorá vyplýva z nedostatočného overovania vstupov v rámci Navigation API.

Zraniteľné systémy:

• Zariadenia s operačným systémom verzie iOS 26.3.1
• Zariadenia s operačným systémom verzie iPadOS 26.3.1
• Zariadenia s operačným systémom verzie macOS 26.3.1
• Zariadenia s operačným systémom verzie macOS 26.3.2

Opis zraniteľnosti:

CVE-2026-20643 (CVSS skóre: 5,4)

Zraniteľnosť s označením CVE-2026-20643 sa nachádza v komponente WebKit a spočíva v chybnom nastavení mechanizmu CORS, resp. nedostatočnom overovaní vstupov v rámci Navigation API. Vzdialený neautentifikovaný útočník by ju podvrhnutím špeciálne vytvoreného webového obsahu mohol zneužiť na obídenie politiky Same Origin.

Spoločnosť Apple zraniteľnosť opravila záplatou cez službu Background Security Improvements, pri ktorej inštalácii sa po vzore Microsoft HotPatch nevyžaduje reštart zariadenia. Ide o zdôraznenie potreby operatívneho aktualizovania za účelom rýchlej reakcie na hrozby a zraniteľnosti. Apple uviedla, že sa zároveň jedná o prvú aktualizáciu vydanú týmto spôsobom.

Možné škody:

• Kompromitácia zariadenia
• Únik citlivých údajov

Odporúčania:

Spoločnosť Apple odporúča využiť službu Background Security Improvements na bezodkladnú aktualizáciu operačných systémov iOS, iPadOS  a macOS. Zapnúť ju možno v aplikácii Settings v časti Privacy and Security.

Pokiaľ danú službu nechcete využiť, zraniteľnosti opraví spoločnosť v nasledujúcej aktualizácii zasiahnutých operačných systémov.

Zdroje:

• https://support.apple.com/en-us/126604
• https://thehackernews.com/2026/03/apple-fixes-webkit-vulnerability.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-20643

Spoločnosť Google vydala bezpečnostné aktualizácie svojho webového prehliadača Chrome, ktoré opravujú dve aktívne zneužívané vysoko závažné zraniteľnosti. Neautorizovanému útočníkovi po ich zneužití umožňujú zapisovať do pamäte a vzdialene vykonávať kód.

Zraniteľné systémy:

• Google Chrome pre Windows verzie staršej ako 146.0.7680.75/76
• Google Chrome pre Mac verzie staršej ako 146.0.7680.75/76
• Google Chrome pre Linux verzie staršej ako 146.0.7680.75

Opis činnosti:

Vývojári spoločnosti Google opravili dve aktívne zneužívané zero-day zraniteľnosti v internetovom prehliadači Chrome.

CVE-2026-3909 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť sa nachádza v grafickej knižnici Skia. Vyplýva z možnosti zapisovania do pamäte mimo povolené hodnoty. Vzdialený neautorizovaný útočník ju môže zneužiť pomocou špeciálne vytvorenej webstránky.

CVE-2026-3910 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť sa nachádza v nástroji V8. Vyplýva z nešpecifikovanej nevhodnej implementácie. Vzdialený neautorizovaný útočník ju môže zneužiť pomocou špeciálne vytvorenej webstránky, čím získa možnosť vykonávať ľubovoľný kód v sandboxe prehliadača.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia Chrome pre Windows a Mac aspoň na verziu 146.0.7680.75/76 a Linux aspoň na verziu 146.0.7680.75.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2026-3909
• https://nvd.nist.gov/vuln/detail/CVE-2026-3910
• https://thehackernews.com/2026/03/google-fixes-two-chrome-zero-days.html

Spoločnosť Veeam vydala bezpečnostné aktualizácie zálohovacieho riešenia Backup & Replication, ktoré opravujú 7 zraniteľností, z čoho 5 je označených ako kritické. Vzdialenému autentifikovanému útočníkovi umožňujú vykonávanie kódu, obídenie bezpečnostných prvkov a manipuláciu so súbormi, eskaláciu privilégií a získanie prihlasovacích údajov.

Zraniteľné systémy:

• Veeam Backup & Replication 12.3.2.4165 a staršie verzie 12.x.x.x
• Veeam Backup & Replication 13.0.1.1071 a staršie verzie 13.x.x.x

Opis činnosti:

CVE-2026-21666, CVE-2026-21667, CVE-2026-21669 (CVSS skóre 9,9)

Kritické zraniteľnosti komponentu Backup Server umožňujú autentifikovanému doménovému používateľovi vzdialene vykonávať kód.

CVE-2026-21668 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť komponentu Backup Repository umožňuje autentifikovanému doménovému používateľovi obísť zabezpečenie a manipulovať s ľubovoľnými súbormi.

CVE-2026-21670 (CVSS skóre 7,7)

Vysoko závažná zraniteľnosť umožňujúca útočníkovi s nízkymi oprávneniami získať prihlasovacie údaje k SSH.

CVE-2026-21671 (CVSS skóre 9,1)

Kritická zraniteľnosť inštancií Backup & Replication s vysokou dostupnosťou (HA) umožňuje autentifikovanému doménovému používateľovi s oprávneniami Backup Administrator vzdialene vykonávať kód.

CVE-2026-21672 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť Windowsových serverov Backup & Replication umožňuje lokálnemu útočníkovi navýšenie oprávnení.

CVE-2026-21708 (CVSS skóre 9,9)

Kritická zraniteľnosť komponentu umožňuje útočníkovi s rolou Backup Viewer vzdialene vykonávať kód v kontexte používateľa postgres.

Možné škody:

• Vzdialené vykonávanie kódu
• Obchádzanie bezpečnostných prvkov
• Únik citlivých informácií
• Eskalácia privilégií

Odporúčania:

Bezodkladná aktualizácia Veeam Backup & Replication aspoň na verziu 12.3.2.4465 alebo 13.0.1.2067.

Odkazy:

• https://www.veeam.com/kb4830
• https://www.veeam.com/kb4831

Spoločnosť HPE (Hewlett Packard Enterprise) vydala balík aktualizácií operačného systému prepínačov série Aruba CX, ktorý okrem iných opravuje jednu kritickú zraniteľnosť. CVE‑2026‑23813 umožňuje útočníkovi bez akýchkoľvek prihlasovacích údajov obísť autentifikáciu webového manažmentového rozhrania.

Zraniteľné systémy:

• AOS-CX vo verzii 10.17.0001 a starších
• AOS-CX vo verzii 10.16.1020 a starších
• AOS-CX vo verzii 10.13.1160 a starších
• AOS-CX vo verzii 10.10.1170 a starších

Opis zraniteľností:

CVE‑2026‑23813 (CVSS 3.1 skóre 9,8)

Kritická bezpečnostná zraniteľnosť vo webovom manažmentovom rozhraní prepínačov Aruba CX, v systéme AOS-CX, umožňuje vzdialenému útočníkovi obísť autentifikačný mechanizmus zariadenia. V niektorých prípadoch môže viesť k resetu administrátorského hesla, čím môže útočník získať plný prístup a úplnú kontrolu nad systémom.

Možné škody:

• Obídenie bezpečnostných prvkov
• Eskalácia privilégií
• Neoprávnená zmena v systéme

Odporúčania:

Administrátorom sa odporúča čo najskôr vykonať aktualizáciu zasiahnutých systémov aspoň na verziu:

• AOS-CX vo verzii 10.17.1001
• AOS-CX vo verzii 10.16.1030
• AOS-CX vo verzii 10.13.1161
• AOS-CX vo verzii 10.10.1180

Ak aktualizáciu nie je možné realizovať, zraniteľnosť je možné zmierniť obmedzením prístupu k manažmentovému rozhraniu zariadení len z dôveryhodných zdrojov a deaktivováciou rozhraní HTTP(S) na SVI (Switched Virtual Interfaces) a na routovaných portoch, kde nie je potrebný manažmentový prístup. Zároveň je vhodné nastaviť kontrolu prístupov (Control Plane Access Control List) pre manažmentové rozhrania REST/HTTP. Odporúča sa tiež zaviesť logovanie a priebežné monitorovanie aktivity zariadení.

Zdroj:

• https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05027en_us&docLocale=en_US
• https://nvd.nist.gov/vuln/detail/CVE-2026-23813

Spoločnosť WPEverest vydala bezpečnostnú aktualizáciu svojho modulu User Registration & Membership pre WordPress, ktorá opravuje aktívne zneužívanú kritickú zraniteľnosť CVE-2026-1492. Vzdialený neautentifikovaný útočník ju môže zneužiť na vytvorenie administrátorského účtu.

Zraniteľné systémy:

• User Registration & Membership pre WordPress, verzia 5.1.2 a staršie

Opis činnosti:

CVE-2026-1492 (CVSS skóre 9,8)

Kritická chyba modulu User Registration & Membership pre WordPress vyplýva z nevhodného manažmentu oprávnení. Používateľ môže pri registrácii zadať svoju rolu, ktorú systém akceptuje bez overenia na strane servera. Neautentifikovaný útočník si tak môže vytvoriť účet s administrátorskými oprávneniami, s ktorým môže napríklad vykonávať zmeny na webstránke, pristupovať k jej databázam, inštalovať moduly, zasahovať do PHP kódu, či meniť bezpečnostné nastavenia.

Spoločnosť Defiant informovala o aktívnom zneužívaní zraniteľnosti.

Možné škody:

• Eskalácia oprávnení
• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia modulu User Registration & Membership pre WordPress aspoň na verziu 5.1.3.

Taktiež odporúčame vykonať audit používateľských kont kvôli prítomnosti neautorizovaných účtov, prípadne logoch kvôli stopám poukazujúcim na pokus o zneužitie zraniteľnosti.

Odkazy:

• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-512-unauthenticated-privilege-escalation-via-membership-registration
• https://nvd.nist.gov/vuln/detail/CVE-2026-1492
• https://www.bleepingcomputer.com/news/security/wordpress-membership-plugin-bug-exploited-to-create-admin-accounts/

Spoločnosť Cisco opravila 5 závažných zraniteľností v Catalyst SD‑WAN Manager. Tieto útočníkom umožňujú manipulovať so súbormi, získavať informácie, obchádzať prihlásenie, či eskalovať svoje oprávnenia. Cisco potvrdila, že útočníci aktívne zneužívajú dve z opravených zraniteľností.

Zraniteľné systémy:

• Cisco Catalyst SD-WAN Manager staršie ako 20.9
• Cisco Catalyst SD-WAN Manager 20.9, verzie staršie ako 20.9.8.2
• Cisco Catalyst SD-WAN Manager 20.11 a 20.12, verzie staršie ako 20.12.5.3 a 20.12.6.1
• Cisco Catalyst SD-WAN Manager 20.13, 20.14, 20.15, verzie staršie ako 20.15.4.2
• Cisco Catalyst SD-WAN Manager 20.16, 20.18, verzie staršie ako 20.18.2.1

Opis činnosti:

CVE-2026-20122 (CVSS skóre 7,1)

Zraniteľnosť v rozhraní API súvisiaca so spôsobom narábania so súbormi. Vzdialený autentifikovaný útočník s oprávneniami „read-only“ ju môže zneužiť na prepísanie ľubovoľných súborov na lokálnom súborovom systéme a získanie oprávnení „vmanage“. Na to potrebuje nahrať do systému škodlivý súbor.

Zraniteľnosť je aktívne zneužívaná.

CVE-2026-20126 (CVSS skóre 7,8)

Zraniteľnosť autentifikačného mechanizmu REST API umožňuje navýšiť oprávnenia na úroveň používateľa root. Autentifikovaný útočník s nízkymi oprávneniami ju môže zneužiť zaslaním špeciálne vytvorenej požiadavky na REST API.

CVE-2026-20128 (CVSS skóre 5,5)

Zraniteľnosť v komponente Data Collection Agent (DCA) vyplýva z prítomnosti súboru s prihlasovacími údajmi pre používateľa DCA v systéme. Lokálny autentifikovaný útočník s oprávneniami „vmanage“ tak môže získať oprávnenia DCA.

Zraniteľnosť je aktívne zneužívaná.

CVE-2026-20129 (CVSS skóre 9,8)

Zraniteľnosť súvisiaca s nevhodnou autentifikáciou požiadaviek na rozhranie API. Vzdialený neautentifikovaný útočník dokáže jej zneužitím vykonávať príkazy s oprávneniami používateľa „netadmin“.

CVE-2026-20133 (CVSS skóre 7,5)

Zraniteľnosť vyplývajúca z nedostatočných obmedzení prístupu k súborovému systému. Vzdialený neautentifikovaný útočník získa po jej zneužití cez rozhranie API možnosť čítať citlivé informácie zo systému.

Možné škody:

• Únik citlivých informácií
• Eskalácia oprávnení
• Obídenie bezpečnostného prvku

Odporúčania:

Bezodkladná aktualizácia Cisco Catalyst SD-WAN Manager aspoň na verziu 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 alebo 20.18.2.1.

Odkazy:

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-authbp-qwCX8D4v

Spoločnosť Cisco vydala bezpečnostné aktualizácie nástroja pre manažment firewallov Secure Firewall Management Center (FMC) a Security Cloud Control (SCC) Firewall Management, ktoré opravujú 2 kritické zraniteľnosti umožňujúce obídenie prihlásenia, eskaláciu oprávnení a vzdialené vykonanie kódu.
[Aktualizácia 19.3.2026] jedna zo zraniteľností bola zneužívaná ako zero-day od januára.

Zraniteľné systémy:

• Cisco Secure Firewall Management Center (FMC) 6.4.0.13 staršie ako 7.0.9
• Cisco Secure Firewall Management Center (FMC) 7.0.0 staršie ako 7.0.9
• Cisco Secure Firewall Management Center (FMC) 7.1.0 staršie ako 7.2.11
• Cisco Secure Firewall Management Center (FMC) 7.3.0 staršie ako 7.4.6
• Cisco Secure Firewall Management Center (FMC) 7.6.0 staršie ako  7.6.5
• Cisco Secure Firewall Management Center (FMC) 7.7.0 staršie ako  7.7.12
• Cisco Secure Firewall Management Center (FMC) 10.0.0 staršie ako  10.0.1
• Cisco Security Cloud Control (SCC) Firewall Management

Opis zraniteľnosti:

CVE-2026-20079 (CVSS 3.1 skóre 10.0)

Kritická zraniteľnosť CVE-2026-20079 spočíva v existencii nesprávneho systémového procesu, ktorý sa vytvorí pri bootovaní zariadenia. Vzdialený neautentifikovaný útočník by ju mohol zneužiť zaslaním špeciálne vytvorených HTTP požiadaviek na obídenie autentifikácie a vykonanie skriptov a príkazov umožňujúcich získanie administrátorského prístupu do systému.

CVE-2026-20131 (CVSS 3.1 skóre 10.0)

Kritická zraniteľnosť s označením CVE-2026-20131 spočíva v nezabezpečenej deserializácii používateľských vstupov. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na vzdialené vykonanie kódu Java s oprávneniami používateľa root. Na to potrebuje poslať špeciálne vytvorený serializovaný objekt Java na webové manažmentové rozhranie zraniteľného zariadenia.

[Aktualizácia 19.3.2026]
Ransomvérová skupina Interlock aktívne zneužívala kritickú zero-day zraniteľnosť CVE-2026-20131 v softvéri Cisco Secure Firewall Management Center už od konca januára 2026, približne mesiac pred jej zverejnením a opravou.

Možné škody:

• Vzdialené vykonanie kódu
• Obídenie bezpečnostných prvkov
• Eskalácia oprávnení

Odporúčania:

Výrobca administrátorom odporúča bezodkladnú aktualizáciu zraniteľných verzií Cisco Secure Firewall Management Center (FMC) aspoň na verzie 7.0.9, 7.2.11, 7.4.6, 7.6.5, 7.7.12 alebo 10.0.1.

Zraniteľnosti v službe Cisco Security Cloud Control (SCC) Firewall Management opravila spoločnosť automaticky.

Zdroje:

• https://www.cve.org/CVERecord?id=CVE-2026-20079
• https://nvd.nist.gov/vuln/detail/CVE-2026-20131
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-rce-NKhnULJh
• https://threatprotect.qualys.com/2026/03/05/cisco-patches-secure-firewall-management-center-software-vulnerabilities-cve-2026-20079-cve-2026-20131/
• https://aws.amazon.com/blogs/security/amazon-threat-intelligence-teams-identify-interlock-ransomware-campaign-targeting-enterprise-firewalls/

Bezpečnostní analytici CSIRT.SK objavili chybu v dizajne tiketovacieho systému OTRS Community. Táto bezpečnostná chyba umožňuje vykonávanie ľubovoľného kódu.

Úvod

Väčšina moderných webových aplikácií funguje na základe predpokladu, že nikomu nemožno úplne dôverovať, ani administrátorom. Niektoré architektonické rozhodnutia však administrátorom stále poskytujú možnosti, ktoré efektívne stierajú hranicu medzi správou a vykonávaním ľubovoľného kódu.

V tomto príspevku budem analyzovať rozhodnutie týkajúce sa dizajnu v tiketovacom nástroji OTRS Community: možnosť administrátorov inštalovať balíky rozšírení (.opm), ktoré môžu počas inštalácie vykonávať ľubovoľný kód Perl.

Nejedná sa o zraniteľnosť v klasickom zmysle. Neexistuje žiadne obídenie overovania, žiadna chyba umožňujúca injektovanie a žiadny únik zo sandboxu.

Je to však nebezpečný dizajnový vzorec, ktorý mení prístup administrátora na vykonávanie príkazov na serveri, pričom operátori si často neuvedomujú bezpečnostné dôsledky.

Príklad demonštrujúci toto správanie (PoC) si môžete pozrieť v mojom repozitári GitHub: [OTRS Community PoC Repository]
(https://github.com/Habuon/exploits/tree/main/otrs)

Pozadie: OTRS Community Package Management

OTRS Community podporuje formát balíkov (.opm), ktoré slúžia na rozšírenie systému o nové funkcie. Tieto balíky môžu definovať logiku inštalácie pomocou blokov <CodeInstall>:

```xml
<CodeInstall><![CDATA[
    use strict;
    use warnings;
    # arbitrary Perl code
]]></CodeInstall>
```

Tento kód sa automaticky vykoná, keď správca nainštaluje balík prostredníctvom webového rozhrania.

Z hľadiska funkčnosti to dáva zmysel:

• Balíky musia modifikovať konfiguráciu
• Môžu potrebovať inštalovať súbory
• Môžu potrebovať interagovať so systémom

Z hľadiska bezpečnosti to však znamená:

• Inštalácia balíka = vykonanie ľubovoľného kódu na strane servera.

Detaily konceptu

Škodlivý balík môže do svojej inštalačnej rutiny vložiť vykonanie príkazov operačného systému:

```perl
my $content = `id`;
```

Tento príkaz sa vykonáva v kontexte používateľa spúšťajúceho službu OTRS Community.

S minimálnym kódom dokáže:

• Vykonávať ľubovoľné príkazy shellu
• Zapisovať výstup do koreňového adresára webu
• Vytvoriť perzistenciu
• Exfiltrovať tajomstvá
• Nasadzovať zadné vrátka

Ukážkový kód Python (PoC) automatizuje tento proces:

1. Prihlásením sa ako správca
2. Nahratím upraveného súboru .opm
3. Spustením inštalácie
4. Načítaním výstupu príkazu

Úplný ukážkový kód si môžete pozrieť v mojom repozitári GitHub tu: [OTRS Community PoC Repository]
(https://github.com/Habuon/exploits/tree/main/otrs)

Nie sú potrebné žiadne reťazce exploitov. Žiadne poškodenie pamäte. Žiadna chyba deserializácie. Len zamýšľaná funkcia.

Prečo to nie je CVE

Toto správanie je:

• Autentifikované
• Zamýšľané
• Súčasťou dizajnu systému

Preto podľa väčšiny definícií nejde o zraniteľnosť.

„Nie je to zraniteľnosť“ však neznamená „bezpečný dizajn“.

Dopad na bezpečnosť

Tento dizajn spôsobuje zrútenie vrstiev privilégií:

Tým, že umožňujú vykonávanie ľubovoľného kódu v rámci rutiny inštalácie balíka, sa tieto dve vrstvy stávajú ekvivalentnými.

V praxi to znamená:

• Kompromitovanie administrátora OTRS Community = kompromitovanie servera.

Tým sa porušuje kľúčový bezpečnostný princíp:

Administrátorské oprávnenie ≠ vykonávanie ľubovoľného kódu.

Porovnanie s inými platformami

Moderné modulové systémy (WordPress, prehliadače, IDE) čoraz viac:

• Obmedzujú rozšírenia (sandboxing)
• Obmedzujú prístup k súborovému systému
• Zakazujú hooky na vykonávanie surového kódu
• Používajú deklaratívne kroky inštalácie

Model OTRS Community má bližšie k:

• „Spustite tento skript Perl ako súčasť inštalácie.“

Čo je výkonné, ale extrémne nebezpečné.

Získané poučenie

1. Podpísané alebo dôveryhodné rozšírenia nie sú štandardne bezpečné – dôvera by sa mala minimalizovať, nie maximalizovať.
2. Administrátorské panely by nemali byť shellovými rozhraniami – účet webového administrátora by nemal implicitne povoľovať vykonávanie príkazov operačného systému.
3. Systémy rozšírení by mali byť deklaratívne, nie imperatívne – inštalácia by mala popisovať, čo treba urobiť, nie ako vykonávať kód.
4. Dopad po overení je dôležitý – mnohé kompromitácie začínajú odcudzením prihlasovacích údajov.

Odporúčanie pre obranu

Ak prevádzkujete inštanciu OTRS: Community

• Prísne obmedzte administrátorské účty
• Kompromitáciu administrátorského účtu považujte za úplnú kompromitáciu servera
• Nevystavujte administrátorské rozhranie OTRS Community do verejného internetu
• Používajte izoláciu na úrovni operačného systému (kontajnery, chroot, SELinux, AppArmor)
• Monitorujte aktivitu inštalácie balíkov
• Zvážte použitie súborového systému len na čítanie pre webové procesy, kde je to možné

Záver

Táto prípadová štúdia sa netýka zraniteľnosti. Týka sa voľby dizajnu, ktorá vedie k nebezpečnému narušeniu bezpečnostných princípov.

Keď systémy rozšírení umožňujú vykonávanie ľubovoľného kódu počas inštalácie, správcovia už nie sú len správcami – stávajú sa používateľmi shellu.

V kontrolovaných prostrediach to môže byť prijateľné, ale malo by to byť explicitne dané a zrozumiteľné riziko.

Najnebezpečnejšie chyby nie sú niekedy vôbec chybami – sú to funkcie.

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci február 2026.

Mesačný prehľad – 02/2026 PDF (606 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Spoločnosť Juniper Networks opravila kritickú zraniteľnosť platformy On-Box Anomaly Detection vo svojich routeroch série PTX. Zraniteľnosť umožňuje bez autentifikácie vzdialene vykonávať kód s oprávneniami používateľa root.

Zraniteľné systémy:

• Junos OS Evolved 25.4 PTX Series staršie ako 25.4R1-S1-EVO, 25.4R2-EVO

Opis činnosti:

CVE-2026-21902 (CVSS v4.0 skóre 9,3)

Spoločnosť Juniper Networks vydala bezpečnostné aktualizácie pre kritickú zraniteľnosť Junos OS Evolved PTX Series. Chyba zabezpečenia sa nachádza v súčasti On-Box Anomaly Detection a súvisí s nevhodným prideľovaním oprávnení. Neautentifikovanému útočníkovi umožňuje vzdialene vykonávať kód s oprávneniami používateľa root.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia Junos OS Evolved 25.4 PTX Series aspoň na verziu 25.4R1-S1-EVO, 25.4R2-EVO alebo 26.2R1-EVO.

Pre mitigovanie zraniteľnosti povoľte prístup k On-Box Anomaly Detection len z dôveryhodných sietí a zariadení, prípadne zakážte službu príkazom „request pfe anomalies disable“.

Odkazy:

• https://supportportal.juniper.net/s/article/2026-02-Out-of-Cycle-Security-Bulletin-Junos-OS-Evolved-PTX-Series-A-vulnerability-allows-a-unauthenticated-network-based-attacker-to-execute-code-as-root-CVE-2026-21902
• https://www.bleepingcomputer.com/news/security/critical-juniper-networks-ptx-flaw-allows-full-router-takeover/

Spoločnosť TrendAI (nové meno vetvy spoločnosti Trend Micro enterprise business) vydalo bezpečnostné aktualizácie pre svoje riešenie advanced endpoint security Apex One. Tie opravujú 8 zraniteľností z ktorých 2 sú vyhodnotené ako kritické.

Zraniteľné systémy:

• Apex One 2019 (On-prem) pre Windows
• Apex One SaaS pre Windows
• Trend Vision One Endpoint – Standard Endpoint Protection SaaS pre Windows
• Apex One SaaS pre Mac

Opis zraniteľnosti:

CVE-2025-71210 (CVSS 3 skóre 9,8)

Zraniteľnosť v správcovskej konzole Trend Micro Apex One umožňuje neprivilegovaným útočníkom prechádzať cestami, nahrať a spustiť škodlivý kód. Pre jej zneužitie potrebuje útočník prístup ku konzole.

CVE-2025-71211 (CVSS 3 skóre 9,8)

Zraniteľnosť rovnakého typu ako CVE-2025-71210 ale pre odlišný spustiteľný súbor správcovskej konzoly Trend Micro Apex One.

CVE-2025-71212 (CVSS 3 skóre 7,8)

Zraniteľnosť typu link following v skenovacom prvku riešenia Trend Micro Apex One umožňuje lokálnemu útočníkovi eskalovať oprávnenia.

CVE-2025-71213 (CVSS 3 skóre 7,8)

Zraniteľnosť spôsobená chybou validácie pôvodu v riešení Trend Micro Apex One môže umožniť lokálnemu útočníkovi eskalovať oprávnenia.

CVE-2025-71214 (CVSS 3 skóre 7,2)

Zraniteľnosť spôsobená chybou validácie pôvodu v službe iCore agenta Trend Micro Apex One pre macOS dovoľuje lokálnemu útočníkovi eskalovať oprávnenia.

CVE-2025-71215 (CVSS 3 skóre 7,8)

Zraniteľnosť typu time-of-check to time-of-use (TOCTOU) pri overovaní podpisu v službe iCore agenta Trend Micro Apex One pre Mac umožňuje lokálnemu útočníkovi eskalovať oprávnenia.

CVE-2025-71216 (CVSS 3 skóre 7,8)

Zraniteľnosť typu time-of-check to time-of-use (TOCTOU) v mechanizme vyrovnávacej pamäte agenta Trend Micro Apex One pre Mac môže umožniť lokálnemu útočníkovi eskalovať oprávnenia.

CVE-2025-71217 (CVSS 3 skóre 7,8)

Zraniteľnosť spôsobená chybou validácie pôvodu v mechanizme sebaochrany agenta Trend Micro Apex One pre Mac dovoľuje lokálnemu útočníkovi eskalovať oprávnenia.

Zraniteľnosti CVE-2025-71212 až CVE-2025-71217 vyžadujú pre zneužitie schopnosť vykonávať kód s nízkymi oprávneniami.

Možné škody:

• Vzdialené vykonávanie kódu
• Eskalácia privilégií
• Narušenie dôveryhodnosti systému
• Únik citlivých dát a informácií

Odporúčania:

Systémovým administrátorom odporúčame bezodkladne aplikovať bezpečnostné aktualizácie (Critical Patch Build 14136 pre riešenia on-prem a Security Agent Build 14.0.20315 pre SaaS), dostupné priamo v aplikácii výrobcu. Zároveň sa odporúča pred každou aktualizáciou preveriť nutnosť inštalácie dodatočného softvéru (ako napríklad servisných balíčkov) priamo na stránke výrobcu v sekcii „Download Center“.

Zákazníci, ktorí majú IP adresu svojej konzoly vystavenú do verejného prostredia, by mali zvážiť zavedenie nápravných opatrení, ako sú napríklad obmedzenia zdrojových adries.

Zdroje:

• https://success.trendmicro.com/en-US/solution/KA-0022458
• https://www.bleepingcomputer.com/news/security/trend-micro-warns-of-critical-apex-one-rce-vulnerabilities/

Spoločnosť Cisco opravila kritickú zraniteľnosť vo svojom produkte Catalyst SD-WAN Controller/Manager. Chybu zabezpečenia aktívne zneužívajú útočníci na obídenie autentifikácie a získanie prístupu ku konfiguračnému rozhraniu.

Zraniteľné systémy:

• Cisco Catalyst SD-WAN Controller a Manager verzií starších ako 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 a 20.18.2.1

Opis činnosti:

CVE-2026-20127 (CVSS skóre 10,0)

Aktívne zneužívaná kritická zraniteľnosť Cisco Catalyst SD-WAN Controller / Manager sa nachádza v autentifikačnom mechanizme. Vzdialenému útočníkovi umožňuje obísť autentifikáciu a získať administrátorské oprávnenia pomocou špeciálne vytvorených požiadaviek, ktoré pošle na zraniteľný systém. Po získaní prístupu do účtu môže následne pristupovať ku konfiguračnému rozhraniu siete NETCONF.

Možné škody:

• Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia Cisco Catalyst SD-WAN na verziu 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2, alebo 20.18.2.1.

Ak aktualizáciu nie je možné vykonať v krátkom čase, zraniteľnosť na lokálne nasadených inštanciách je možné dočasne mitigovať nasadením kontroly prístupov (ACL), skupinových bezpečnostných pravidiel a obmedziť prístup na port 22 a 830 iba z dôveryhodných IP adries. Výrobca tiež odporúča nakonfigurovať zariadenia podľa jeho manuálu.

Vzhľadom na možné zneužitie zraniteľnosti odporúčame preveriť podozrivé prihlásenia, zaznamenané relácie z podozrivých IP adries, a podobne.

Odkazy:

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk
• https://www.rapid7.com/blog/post/etr-critical-cisco-catalyst-vulnerability-exploited-in-the-wild-cve-2026-20127/

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci január 2026. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 01/2026 PDF (1 730 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Výskumníci zo spoločnosti Ox Security identifikovali viaceré závažné zraniteľnosti v populárnych rozšíreniach pre Visual Studio Code (VSCode). Útočníci ich môžu zneužiť na kradnutie lokálnych súborov a vzdialené vykonávanie kódu priamo v prostredí vývojára.

Zraniteľné systémy:

• Visual Studio Code Live Server verzia 5.7.9 a staršie
• Visual Studio Code Code Runner verzia 0.12.2 a staršie
• Visual Studio Code Markdown Preview Enhanced verzia 0.8.18 a staršie
• Visual Studio Code Live Preview vo verziách starších ako 0.4.16

Opis zraniteľnosti:

CVE-2025-65715 (CVSS 3.1 skóre: 7.8)

Zraniteľnosť s označením CVE-2025-65715 sa nachádza v rozšírení Code Runner pre Visual Studio Code. Súvisí s absenciou validácie používateľsky definovaných premenných v konfiguračnom súbore settings.json, konkrétne hodnoty code-runner.executorMap, ktorú rozšírenie bez kontroly preberá do Node.js child_process.spawn() so zapnutým shell: true. Ak útočník dokáže presvedčiť vývojára, aby otvoril škodlivý workspace alebo vložil upravené nastavenie do súboru settings.json, môže pri spustení vyvíjaného kódu dôjsť k vykonaniu ľubovoľného príkazu shell v kontexte používateľa (napr. vytvoreniu reverzného shellu).

CVE-2025-65716 (CVSS 3.1 skóre: 8.8)

Vysoko závažná zraniteľnosť CVE-2025-65716 sa nachádza v rozšírení Markdown Preview Enhanced pre Visual Studio Code. Súvisí s neošetreným vykresľovaním náhľadu HTML tagov v súboroch .md. Útočník dokáže pri náhľade upraveného dokumentu typu Markdown pomocou iframe vykonať ľubovoľný kód JavaScript v súlade s politikou same-origin. Výskumníci z Ox Security týmto spôsobom dokázali enumerovať porty na zariadení obete a exfiltrovať získané dáta.

CVE-2025-65717 (CVSS 3.1 skóre: 9.1)

Kritická zraniteľnosť CVE-2025-65717 sa nachádza v rozšírení Live Server pre Visual Studio Code a súvisí s absentujúcou ochranou CORS. Pri spustenom lokálnom HTTP serveri umožňuje vzdialenému útočníkovi bez autentifikácie exfiltrovať súbory z vývojárskeho počítača. Stačí, aby obeť otvorila odkaz na škodlivú webstránku útočníka, ktorá následne zneužije prístup k portu localhost:5500 na prehliadanie a odosielanie citlivých dát na server pod kontrolou útočníka.

Okrem vyššie popísaných zraniteľností našli výskumníci spoločnosti Ox Security zraniteľnosť v rozšírení Microsoft Live Preview, ktorá nedostala číslo CVE. Jedná sa o chybu zabezpečenia, ktorá súvisí s možnosťou neužiť neošetrený parameter relativePathFormatted, čo útočníkovi umožňuje vykonávať útoky typu XSS a bez autentifikácie enumerovať a pristupovať k súborom obete.  Útočník môže získať tajomstvá, prístupové kľúče a iné citlivé informácie zo zariadenia obete.

Možné škody:

• Vzdialené vykonanie kódu
• Únik citlivých údajov
• Získanie úplnej kontroly nad systémom

Odporúčania:

Organizáciám odporúčame aktualizovať všetky rozšírenia pre Visual Studio Code na opravené verzie a povoliť iba pre projekt nevyhnutné doplnky z dôveryhodných zdrojov.

Zdroje:

• https://www.ox.security/blog/xssinlivepreview/?_gl=1*1ydb6pv*_up*MQ..*_ga*NTIzNzI0NDU1LjE3NzEzNTQ2Mjg.*_ga_BEXTPVWPX8*czE3NzEzNTQ2MjYkbzEkZzAkdDE3NzEzNTQ2MjYkajYwJGwwJGgw
• https://www.ox.security/blog/cve-2025-65717-live-server-vscode-vulnerability/?_gl=1*13zfoyu*_up*MQ..*_ga*NTIzNzI0NDU1LjE3NzEzNTQ2Mjg.*_ga_BEXTPVWPX8*czE3NzEzNTQ2MjYkbzEkZzAkdDE3NzEzNTQ2MjYkajYwJGwwJGgw
• https://www.ox.security/blog/cve-2025-65715-code-runner-vscode-rce/?_gl=1*13zfoyu*_up*MQ..*_ga*NTIzNzI0NDU1LjE3NzEzNTQ2Mjg.*_ga_BEXTPVWPX8*czE3NzEzNTQ2MjYkbzEkZzAkdDE3NzEzNTQ2MjYkajYwJGwwJGgw
• https://www.ox.security/blog/cve-2025-65716-markdown-preview-enhanced-vscode-vulnerability/?_gl=1*13zfoyu*_up*MQ..*_ga*NTIzNzI0NDU1LjE3NzEzNTQ2Mjg.*_ga_BEXTPVWPX8*czE3NzEzNTQ2MjYkbzEkZzAkdDE3NzEzNTQ2MjYkajYwJGwwJGgw
• https://nvd.nist.gov/vuln/detail/CVE-2025-65715
• https://nvd.nist.gov/vuln/detail/CVE-2025-65716
• https://nvd.nist.gov/vuln/detail/CVE-2025-65717
• https://www.bleepingcomputer.com/news/security/flaws-in-popular-vscode-extensions-expose-developers-to-attacks/

Pripravili sme si pre Vás interaktívnu kyberbezpečnostnú hru „Fakt alebo Mýtus“, ktorá zábavnou formou preverí Vaše znalosti a zároveň Vám priblíži reálne kybernetické hrozby a spôsoby ochrany pred nimi.

Prostredníctvom 30 krátkych otázok sa dozviete, ako fungujú útoky, aké chyby útočníci najčastejšie zneužívajú a ako Vám môže Vládna jednotka CSIRT pomôcť zvýšiť úroveň Vašej kybernetickej bezpečnosti.

Otestujte sa a zistite, ako ste pripravení čeliť vybraným kybernetickým hrozbám: https://csirt.sk/kyberbezpecnostna-hra.html

Vývojári spoločnosti Google opravili vysoko závažnú aktívne zneužívanú zraniteľnosť v prehliadači Chrome, ktorá umožňuje vzdialené vykonanie kódu.

Zraniteľné systémy:

• Chrome pre Windows/macOS verzie staršie ako 145.0.7632.75/76
• Chrome pre Linux verzie staršie ako 144.0.7559.75

Opis činnosti:

CVE-2026-2441 (CVSS 3.1 skóre 8,8)

Spoločnosť Google opravila vysoko závažnú zraniteľnosť v prehliadači Google Chrome, ktorá umožňuje vzdialenému útočníkovi spustiť ľubovoľný kód v sandboxe prostredníctvom špeciálne vytvorenej HTML stránky. Zraniteľnosť sa nachádza v komponente CSS a súvisí s možnosťou použitia dealokovanej pamäte. Pre jej zneužitie potrebuje útočník presvedčiť obeť, aby navštívila špeciálne vytvorenú webstránku.

Zraniteľnosť je aktívne zneužívaná. Objavil ju bezpečnostný výskumník Shaheen Fazim.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Používateľom odporúčame bezodkladne aktualizovať prehliadač Google Chrome na verziu 145.0.7632.75/76 (Windows, macOS), resp. 144.0.7559.75 (Linux) alebo novšiu.

Zdroj:

• https://nvd.nist.gov/vuln/detail/cve-2026-2441
• https://chromereleases.googleblog.com/2026/02/stable-channel-update-for-desktop_13.html
• https://thehackernews.com/2026/02/new-chrome-zero-day-cve-2026-2441-under.html

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci január 2026.

Mesačný prehľad – 01/2026 PDF (632 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Vývojári BeyondTrust Remote Support a Privileged Remote Access opravili kritickú zraniteľnosť, ktorá umožňuje vzdialenému neautentifikovanému útočníkovi vykonávať systémové príkazy na zraniteľnom systéme.

Zraniteľné systémy:

• BeyondTrust Remote Support (RS) 25.3.1 a staršie
• BeyondTrust Privileged Remote Access (PRA) 24.3.4 a staršie

Opis činnosti:

CVE-2026-1731 (CVSS skóre 9,9)

Spoločnosť BeyondTrust opravila kritickú zraniteľnosť v produktoch Remote Support a Privileged Remote Access. CVE-2026-1731 umožňuje neautentifikovanému útočníkovi odoslať špeciálne upravené klientske požiadavky pre vzdialené vykonanie systémových príkazov na cieľovom systéme v kontexte „site user“. Úspešné zneužitie zraniteľnosti môže viesť ku kompromitácii zraniteľného systému, krádeži dát a zneprístupneniu služby.

Možné škody:

• Vzdialené vykonávanie kódu
• Únik citlivých údajov
• Zneprístupnenie služby (DoS)

Odporúčania:

Administrátorom lokálnych inštancií odporúčame bezodkladnú aktualizáciu aspoň na verzie RS 25.3.2 a PRA 25.1.1, resp. inštaláciu záplat Patch BT26-02-RS (v21.3 – 25.3.1) a Patch BT26-02-PRA (v22.1 – 24.X).

Pokiaľ používate verziu RS staršiu ako 21.3 a/alebo verziu PRA staršiu ako 22.1, potrebujete pre ošetrenie zraniteľnosti prejsť na podporovanú verziu.

Cloudové inštancie spoločnosť aktualizovala automaticky a používatelia nepotrebujú vykonať žiadne opatrenia.

Odkazy:

• https://www.beyondtrust.com/trust-center/security-advisories/bt26-02
• https://nvd.nist.gov/vuln/detail/CVE-2026-1731
• https://arcticwolf.com/resources/blog/cve-2026-1731/
• https://socradar.io/blog/cve-2026-1731-rce-beyondtrust-rs-pra/

Vývojári modulu WPvivid Backup & Migration pre WordPress opravili kritickú zraniteľnosť, ktorá umožňuje útočníkom zneužiť proces výmeny šifrovacích kľúčov na podvrhnutie ľubovoľného škodlivého súboru a jeho nahratie do ľubovoľného verejne dostupného adresáru.

Zraniteľné systémy:

• WPvivid Backup & Migration verzie 0.9.123 a staršie

Opis činnosti:

CVE-2026-1357 (CVSS skóre 9,8)

Bezpečnostní výskumníci upozorňujú na kritickú zraniteľnosť v doplnku WPvivid Backup & Migration pre WordPress. Zraniteľnosť s označením CVE-2026-1357 umožňuje neautentifikovanému útočníkovi nahrať ľubovoľné súbory a vzdialene vykonať kód na zasiahnutých webových stránkach.

Chyba zabezpečenia vyplýva z nevhodného postupu aplikácie po chybnom dešifrovaní šifrovacieho kľúča relácie vo funkcii openssl_private_decrypt(), kde nedochádza k ukončeniu procesu. Vygenerovanú chybovú hodnotu (boolean false) preberie mechanizmus pre šifrovanie AES ako reťazec/kľúč nulových bajtov. To umožňuje útočníkovi a podvrhnúť ľubovoľný súbor šifrovaný kľúčom z nulových bajtov. Modul tiež po dešifrovaní obsahu neošetruje používateľom dodané názvy súborov, čo umožňuje útočníkovi zneužiť parameter wpvivid_action=send_to_site a prechádzať verejne dostupnými adresármi mimo ošetrené úložisko, kam môže uložiť ľubovoľný súbor.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia modulu WPvivid Backup & Migration aspoň na verziu 0.9.124.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2026-1357
• https://gbhackers.com/wordpress-backup-plugin-vulnerability/

Spoločnosť Apple vydala bezpečnostné aktualizácie svojich operačných systémov iOS, iPadOS, macOS, tvOS, watchOS a visionOS, ktoré opravujú viacero zraniteľností, z čoho jedna je označená ako aktívne zneužívaná zero-day.

Zraniteľné systémy:

• Zariadenia s operačným systémom watchOS starším ako 26.3
• Zariadenia s operačným systémom tvOS starším ako 26.3
• Zariadenia s operačným systémom macOS Tahoe starším ako 26.3
• Zariadenia s operačným systémom visionOS starším ako 26.3
• Zariadenia s operačným systémom iOS starším ako 26.3
• Zariadenia s operačným systémom iPadOS starším ako 26.3

Opis zraniteľnosti:

CVE-2026-20700

Aktívne zneužívaná zero-day zraniteľnosť s označením CVE-2026-20700 sa nachádza v komponente Dynamic Link Editor (dyld) a vedie ku poškodeniu pamäte. Útočník schopný zapisovať do pamäte by ju mohol zneužiť na vykonanie ľubovoľného kódu. 

Predmetná zraniteľnosť bola spoločne s CVE-2025-14174 a CVE-2025-43529 v decembri 2025 zneužitá v rámci sofistikovaných útokov na používateľov iOS.

Možné škody:

• Vzdialené vykonanie kódu

Odporúčania:

Spoločnosť Apple odporúča bezodkladnú aktualizáciu operačných systémov aspoň na verzie

• iOS 26.3
• iPadOS 26.3
• macOS Tahoe 26.3
• tvOS 26.3
• watchOS 26.3
• visionOS 26.3

Zdroje:

• https://www.bleepingcomputer.com/news/security/apple-fixes-zero-day-flaw-used-in-extremely-sophisticated-attacks/
• https://thehackernews.com/2026/02/apple-fixes-exploited-zero-day.html
• https://support.apple.com/en-us/126346
• https://nvd.nist.gov/vuln/detail/CVE-2026-20700

Spoločnosť Microsoft v rámci Patch Tuesday vo februári 2026 opravila vysoko závažnú bezpečnostnú zraniteľnosť v textovom editore Windows Notepad.  CVE-2026-20841 umožňuje vzdialené vykonanie kódu prostredníctvom dokumentu Markdown.

Zraniteľné systémy:

• Windows Notepad

Opis zraniteľnosti:

CVE-2026-20841 (CVSS skóre 8,8)

Vysoko závažná zraniteľnosť aplikácie Notepad s označením CVE-2026-20841 spočíva v nesprávnej neutralizácii špeciálnych prvkov. Vzdialený neautorizovaný útočník by ju mohol zneužiť podvrhnutím špeciálne vytvorených súborov typu Markdown na vzdialené vykonanie kódu v kontexte obete.

Zneužitie zraniteľnosti vyžaduje interakciu zo strany obete, ktorá musí kliknúť na URL odkaz v dokumente typu Markdown, otvorenom v aplikácii Notepad.

Na uvedenú zraniteľnosť je dostupný tzv. návod Proof-of-Concept demonštrujúci princíp jej zneužitia.

Možné škody:

• Vzdialené vykonanie kódu

Odporúčania:

Administrátorom a používateľom odporúčame vykonať bezodkladnú aktualizáciu aplikácie Windows Notepad.

Zdroje:

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20841
• https://nvd.nist.gov/vuln/detail/CVE-2026-20841
• https://www.bleepingcomputer.com/news/microsoft/windows-11-notepad-flaw-let-files-execute-silently-via-markdown-links/

Fortinet FortiClientEMS verzie 7.4.4 obsahuje zraniteľnosť, ktorá umožňuje vykonávať SQL injekciu prostredníctvom nesanitizovaných HTTP požiadaviek. Vzdialený neautorizovaný útočník môže získať schopnosť vykonávať kód a príkazy.

Zraniteľné systémy:

• FortiClientEMS 7.4.4

Opis činnosti:

CVE-2026-21643 (CVSS skóre 9,8)

Vývojári spoločnosti Fortinet opravili kritickú zraniteľnosť FortiClientEMS, ktorá súvisí s nedostatočnou sanitizáciou používateľských dát, resp. absentujúcou neutralizáciou špeciálnych znakov. Zraniteľnosť umožňuje injektovať do HTTP požiadaviek príkazy SQL. Vzdialený neautorizovaný útočník tak môže vykonávať pomocou SQL injekcie príkazy a kód.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia FortiClientEMS aspoň na verziu 7.4.5

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2026-21643
• https://fortiguard.fortinet.com/psirt/FG-IR-25-1142
• https://thehackernews.com/2026/02/fortinet-patches-critical-sqli-flaw.html

Spoločnosť Microsoft vydala vo februári 2026 balík opráv pre portfólio svojich produktov opravujúci 54 zraniteľností, z ktorých 2 spoločnosť označila ako kritické. Tieto umožňujú získať citlivé informácie a eskalovať oprávnenia. Šesť opravených zraniteľností je aktívne zneužívaných a umožňujú eskalovať oprávnenia útočníka, obchádzať bezpečnostné prvky a zneprístupniť službu.

Zraniteľné systémy:

• .NET 10.0 installed on Linux
• .NET 10.0 installed on Mac OS
• .NET 10.0 installed on Windows
• .NET 8.0 installed on Linux
• .NET 8.0 installed on Mac OS
• .NET 8.0 installed on Windows
• .NET 9.0 installed on Linux
• .NET 9.0 installed on Mac OS
• .NET 9.0 installed on Windows
• Azure AI Language Authoring
• Azure DevOps Server 2022
• Azure HDInsight
• Azure IoT Explorer
• Azure Local
• GitHub Copilot Plugin for JetBrains IDEs
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft ACI Confidential Containers
• Microsoft Defender for Endpoint for Linux
• Microsoft Excel 2016 (32-bit edition)
• Microsoft Excel 2016 (64-bit edition)
• Microsoft Exchange Server 2016 Cumulative Update 23
• Microsoft Exchange Server 2019 Cumulative Update 14
• Microsoft Exchange Server 2019 Cumulative Update 15
• Microsoft Exchange Server Subscription Edition RTM
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions
• Microsoft Office LTSC 2024 for 32-bit editions
• Microsoft Office LTSC 2024 for 64-bit editions
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC for Mac 2024
• Microsoft Outlook 2016 (32-bit edition)
• Microsoft Outlook 2016 (64-bit edition)
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server Subscription Edition
• Microsoft Visual Studio 2022 version 17.14
• Microsoft Visual Studio 2022 version 18.3
• Microsoft Word 2016 (32-bit edition)
• Microsoft Word 2016 (64-bit edition)
• Office Online Server
• Power BI Report Server
• Visual Studio Code
• Windows 10 Version 1607 for 32-bit Systems
• Windows 10 Version 1607 for x64-based Systems
• Windows 10 Version 1809 for 32-bit Systems
• Windows 10 Version 1809 for x64-based Systems
• Windows 10 Version 21H2 for 32-bit Systems
• Windows 10 Version 21H2 for ARM64-based Systems
• Windows 10 Version 21H2 for x64-based Systems
• Windows 10 Version 22H2 for 32-bit Systems
• Windows 10 Version 22H2 for ARM64-based Systems
• Windows 10 Version 22H2 for x64-based Systems
• Windows 11 Version 23H2 for ARM64-based Systems
• Windows 11 Version 23H2 for x64-based Systems
• Windows 11 Version 24H2 for ARM64-based Systems
• Windows 11 Version 24H2 for x64-based Systems
• Windows 11 Version 25H2 for ARM64-based Systems
• Windows 11 Version 25H2 for x64-based Systems
• Windows 11 Version 26H1 for ARM64-based Systems
• Windows 11 version 26H1 for x64-based Systems
• Windows App for Mac
• Windows Notepad
• Windows Server 2012
• Windows Server 2012 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2022 (Server Core installation)
• Windows Server 2022, 23H2 Edition (Server Core installation)
• Windows Server 2025
• Windows Server 2025 (Server Core installation)

Opis činnosti:

V rámci februárového balíka Patch Tuesday opravila spoločnosť Microsoft vo svojich produktoch 54 zraniteľností. Z nich 2 zaradila spoločnosť Microsoft do kategórie kritické a 51 bolo vyhodnotených ako vysoko závažné („Important“). Šesť zraniteľností je aktívne zneužívaných. Kritické zraniteľnosti umožňujú získať citlivé informácie a eskalovať oprávnenia.

CVE-2025-21510 (CVSS skóre 8,8)

Aktívne zneužívaná vysoko závažná zraniteľnosť sa nachádza v bezpečnostnom mechanizme Windows Shell. Vzdialený neautorizovaný útočník by ju mohol zneužiť podvrhnutím špeciálne vytvorených URL odkazov alebo súborov na obídenie Windows SmartScreen a bezpečnostných výziev. Zneužitie zraniteľnosti vyžaduje interakciu zo strany obete, ktorá musí otvoriť špeciálne vytvorený súbor alebo URL odkaz.

CVE-2026-21513 (CVSS skóre 8,8)

Aktívne zneužívaná zraniteľnosť bezpečnostného mechanizmu MSHTML Framework. Vzdialený neautorizovaný útočník ju môže zneužiť na jeho obídenie a prípadne môže získať schopnosť vykonávať kód. Zneužitie zraniteľnosti vyžaduje interakciu zo strany obete, ktorá musí otvoriť špeciálne vytvorený súbor alebo URL odkaz.

CVE-2025-21514 (CVSS skóre 7,8)

Aktívne zneužívaná zraniteľnosť v Microsoft Word spočíva v závislosti bezpečnostných rozhodovaní na nedôveryhodných vstupoch. Neautorizovaný útočník ju môže lokálne zneužiť podvrhnutím špeciálne vytvorených súborov Office na obídenie bezpečnostných mechanizmov na ochranu pred zraniteľnými komponentami COM/OLE. Zneužitie zraniteľnosti vyžaduje interakciu zo strany obete, ktorá musí škodlivý súbor otvoriť.

CVE-2025-21519 (CVSS skóre 7,8)

Aktívne zneužívaná zraniteľnosť v komponente Desktop Window Manager môže lokálny útočník s nízkymi oprávneniami zneužiť na eskaláciu oprávnení na úroveň SYSTEM. Zraniteľnosť súvisí so zámenou typu premennej.

CVE-2025-21525 (CVSS skóre 6,2)

Aktívne zneužívaná zraniteľnosť vo Windows Remote Access Connection Manager spočíva v dereferencii nulového ukazovateľa. Lokálny neautorizovaný útočník by ju mohol zneužiť na zneprístupnenie služby.

CVE-2025-21533 (CVSS skóre 7,8)

Aktívne zneužívaná zraniteľnosť vo Windows Remote Desktop by lokálny autorizovaný útočník mohol zneužiť na pridanie nových používateľských kont do skupiny Administrator. Útočník môže eskalovať svoje privilégiá až na úroveň SYSTEM.

Zraniteľnosti CVE-2026-21522 a CVE-2026-23655 v Azure Compute Gallery, ktoré spoločnosť označila ako kritické, možno zneužiť na eskaláciu privilégií, neoprávnený prístup k citlivým údajom, vrátane tokenov a kľúčov.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu
• Eskalácia oprávnení
• Nedostupnosť služby (DoS)
• Obídenie bezpečnostného prvku
• Spoofing

Odporúčania:

Administrátorom a používateľom zraniteľných verzií odporúčame bezodkladne vykonať aktualizácie dostupné priamo zo systému alebo zo stránky výrobcu. Pre konkrétny prehľad si treba vo filtroch zvoliť mesiac február a Mode „Update Tuesday“. Bližšie informácie nájdete aj tu.

Odkazy:

• https://www.bleepingcomputer.com/news/microsoft/microsoft-february-2026-patch-tuesday-fixes-6-zero-days-58-flaws/
• https://msrc.microsoft.com/update-guide/en-us
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21510
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21513
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21514
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21519
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21525
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21533

Spoločnosť Ivanti vydala bezpečnostné aktualizácie pre Ivanti Endpoint Manager Mobile, ktoré opravujú dve aktívne zneužívané kritické zero-day zraniteľnosti. CVE-2026-1281 a CVE-2026-1340 umožňujú injekciu kódu. Vzdialený neautentifikovaný útočník by ich mohol zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Ivanti Endpoint Manager Mobile 12.5.0.0 a staršie  
• Ivanti Endpoint Manager Mobile 12.6.0.0 a staršie
• Ivanti Endpoint Manager Mobile 12.7.0.0 a staršie
• Ivanti Endpoint Manager Mobile 12.5.1.0 a staršie
• Ivanti Endpoint Manager Mobile 12.6.1.0 a staršie

Opis zraniteľnosti:

CVE-2026-1281, CVE-2026-1340  (CVSS 3.1 skóre 9.8)

Kritické zraniteľnosti  s identifikátormi CVE-2026-1281 a CVE-2026-1340 súvisia s nedostatočným zabezpečením premenných, čo umožňuje plniť ich používateľským vstupom. Vzdialený neautentifikovaný útočník by ich mohol zneužiť na vykonanie kódu zaslaním špeciálne vytvorených požiadaviek HTTP GET.

Zraniteľnosti sú aktívne zneužívané.

Možné škody:

• Vzdialené vykonanie kódu
• Úplné narušenie dôvernosti, integrity a dostupnosti systému

Odporúčania:

Spoločnosť Ivanti odporúča bezodkladnú aplikáciu záplat RPM_12.x.0.x alebo RPM_12.x.1.x na zraniteľné systémy, podľa používanej verzie. Tieto však treba opätovne aplikovať po každej ďalšej aktualizácii.

Permanentná oprava bude implementovaná v pripravovanej verzii 12.8.0.0.

Odporúča aj kontrolu dostupných logov na prítomnosť pokusov o zneužitie zraniteľnosti podľa návodu na svojej stránke. V prípade podozrenia na kompromitáciu zariadení sa odporúča rollback na overenú zálohu alebo úplná reinštalácia systému, zmena prihlasovacích údajov a kryptografického materiálu. 

Zdroje:

• https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340?language=en_US
• https://nvd.nist.gov/vuln/detail/CVE-2026-1281
• https://nvd.nist.gov/vuln/detail/CVE-2026-1340
• https://labs.watchtowr.com/someone-knows-bash-far-too-well-and-we-love-it-ivanti-epmm-pre-auth-rces-cve-2026-1281-cve-2026-1340/

Spoločnosť Fortinet vydala bezpečnostné aktualizácie FortiOS, FortiManager, FortiProxy a FortiAnalyzer, ktoré opravujú aktívne zneužívanú kritickú zraniteľnosť vo FortiCloud SSO. CVE-2026-24858 by vzdialený neautentifikovaný útočník mohol zneužiť na obídenie autentifikácie na zraniteľné zariadenia.

Zraniteľné systémy:

• FortiAnalyzer 7.6.0 až 7.6.5
• FortiAnalyzer 7.4.0 až 7.4.9
• FortiAnalyzer 7.2.0 až 7.2.11
• FortiAnalyzer 7.0.0 až 7.0.15
• FortiManager 7.6.0 až 7.6.5
• FortiManager 7.4.0 až 7.4.9
• FortiManager 7.2.0 až 7.2.11
• FortiManager 7.0.0 až 7.0.15
• FortiOS 7.6.0 až 7.6.5
• FortiOS 7.4.0 až 7.4.10
• FortiOS 7.2.0 až 7.2.12
• FortiOS 7.0.0 až 7.0.18
• FortiProxy 7.6.0 až 7.6.4
• FortiProxy 7.4.0 až 7.4.12
• FortiProxy 7.2.0 až 7.2.15
• FortiProxy 7.0.0 až 7.0.22
• FortiWeb 8.0.0 až 8.0.3
• FortiWeb 7.6.0 až 7.6.6
• FortiWeb 7.4.0 až 7.4.11

Opis zraniteľností:

CVE-2026-24858 (CVSS 3.0 skóre 9,8)

Aktívne zneužívanú kritickú zraniteľnosť FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb s identifikátorom CVE-2026-24858 by vzdialený neautentifikovaný útočník mohol zneužiť na získanie prístupu do zariadení registrovaných na cudzie účty, ktoré majú povolenú autentifikáciu FortiCloud SSO. Na to potrebuje účet na službe FortiCloud a registrované zariadenie od spoločnosti Fortinet.

Prihlasovanie pomocou FortiCloud SSO nie je štandardne predkonfigurované, no aktivuje sa po zaregistrovaní zariadenia do služby FortiCare cez grafické rozhranie.

Možné škody:

• Obídenie bezpečnostných prvkov

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu firmvéru zraniteľných zariadení aspoň na verziu:

• FortiAnalyzer 7.6.6, 7.4.10, 7.2.12 alebo 7.0.16
• FortiManager 7.6.6, 7.4.10, 7.2.12 alebo 7.0.16
• FortiOS 7.6.6, 7.4.11, 7.2.13 alebo 7.0.19
• FortiProxy 7.6.6, 7.4.13, 7.2.16 alebo 7.0.23
• FortiWeb 8.0.4, 7.6.7 alebo 7.4.12

V prípade, že aktualizáciu nie je možné vykonať, zraniteľnosť možno pre FortiManager a FortiAnalyzer mitigovať deaktiváciou prihlasovania prostredníctvom FortiCloud SSO a limitovaním prístupu k manažmentovému rozhraniu zariadenia len na zoznam dôveryhodných IP adries. Služba FortiCloud SSO nepodporuje pokusy o prihlásenie zo zraniteľných klientov, preto pre ne netreba vykonať žiadnu aktivitu.

Odporúčame tiež skontrolovať logy na prítomnosť IOC a pokusy o zneužitie zraniteľnosti. V prípade ich detekcie možno zariadenie považovať za kompromitované.

IOC:

E-mail
cloud-init[at]mail[.]io
cloud-noc[at]mail[.]io
IP address
104.28.244[.]115
104.28.212[.]114
104.28.195[.]105
104.28.195[.]106
104.28.212[.]115
104.28.227[.]106
104.28.227[.]105
104.28.244[.]114
37.1.209[.]19
217.119.139[.]50
Account name
audit
backup
itadmin
secadmin
support
backupadmin
deploy
remoteadmin
security
svcadmin
system

Zdroje:

• https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios 
• https://fortiguard.fortinet.com/psirt/FG-IR-26-060
• https://nvd.nist.gov/vuln/detail/CVE-2026-24858

Vývojári knižnice vm2 pre Node.js s funkcionalitou sandboxingu opravili kritickú chybu, ktorá útočníkom umožňuje uniknúť zo sandboxu a vykonávať ľubovoľný kód.

Zraniteľné systémy:

• Node.js vm2 verzia 3.10.0 a staršie

Opis činnosti:

CVE-2026-22709 (CVSS skóre 9,8)

Kritická zraniteľnosť knižnice Node.js vm2 pre sandboxing nedôveryhodného obsahu umožňuje obchádzať sanitizáciu volaní Promise.prototype.then a Promise.prototype.catch. Lokálne volania funkcií sú ošetrené, avšak globálne nie. Útočníci tak môžu obísť hlavnú funkciu knižnice, uniknúť zo sandboxu a vykonávať ľubovoľný kód.

Možné škody:

• Obídenie bezpečnostných prvkov
• Vykonávanie ľubovoľného kódu

Odporúčania:

Bezodkladná aktualizácia Node.js vm2 aspoň na verziu 3.10.2.

Odkazy:

• https://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8
• https://nvd.nist.gov/vuln/detail/CVE-2026-22709
• https://www.bleepingcomputer.com/news/security/critical-sandbox-escape-flaw-discovered-in-popular-vm2-nodejs-library/

[Aktualizované 4.2.2026] Spoločnosť Microsoft vydala mimoriadne bezpečnostné aktualizácie kancelárskeho balíka Microsoft Office, ktoré opravujú aktívne zneužívanú zero-day zraniteľnosť. CVE-2026-21509 možno zneužiť podvrhnutím špeciálne vytvorených súborov na obídenie bezpečnostných mechanizmov pre ochranu pred zneužitím niektorých funkcií COM/OLE a získanie úplnej kontroly nad systémom. Zraniteľnosť zneužíva skupina APT28 v rámci rozsiahlej kampane.

Zraniteľné systémy:

• Microsoft Office 2016
• Microsoft Office 2019
• Microsoft Office LTSC 2021
• Microsoft Office LTSC 2024
• Microsoft 365 Apps for Enterprise

Opis zraniteľnosti:

CVE-2026-21509  (CVSSv3 skóre 7,8)

Vysoko závažná zero-day zraniteľnosť s identifikátorom CVE-2026-21509 spočíva v nedostatočnej implementácii bezpečnostných mechanizmov pre ochranu pred zneužitím zraniteľných funkcií COM/OLE. Neautorizovaný útočník by ju mohol zneužiť lokálne na obídenie bezpečnostných mechanizmov. Potrebuje na to zaslať obeti špeciálne vytvorený súbor MS Office a presvedčiť ju, aby ho otvorila.

Americká CISA pridala zraniteľnosť na svoj zoznam aktívne zneužívaných zraniteľností KEV (Known Exploited Vulnerabilities).

Zraniteľnosť zneužíva ruská štátom sponzorovaná skupina APT28 v rámci rozsiahlej kampane šíriacej malvér prostredníctvom špeciálne vytvorených dokumentov MS Word. Po ich otvorení sa vytvorí pripojenie cez protokol WebDAV k útočníckej infraštruktúre a stiahnu sa ďalšie komponenty. Tie zahŕňajú škodlivú verziu DLL knižnice EhStoreShell.dll a PNG obrázok SplashScreen.png obsahujúci shellcode. Cieľom je nainštalovať malvér MiniDoor (kradne e-maily) a PixyNetLoader, ktorý nainštaluje útočný nástroj Covenant. Súvisiace útoky boli zaznamenané aj na Slovensku.

Možné škody:

• Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia zraniteľných verzií MS Office 2016 aspoň na verziu 16.0.5539.1001 a MS Office 2019 aspoň na verziu 16.0.10417.20095.

Zraniteľnosť je možné mitigovať aj podľa odporúčaní výrobcu spočívajúcich v úprave registrov Windows.

Odporúčame preveriť vo Vašich systémoch prítomnosť indikátorov kompromitácie zhrnutých tu.

Zdroje:

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509
• https://nvd.nist.gov/vuln/detail/CVE-2026-21509
• https://www.cisa.gov/news-events/alerts/2026/01/26/cisa-adds-five-known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/01/microsoft-issues-emergency-patch-for.html
• https://www.zscaler.com/blogs/security-research/apt28-leverages-cve-2026-21509-operation-neusploit
• https://cert.gov.ua/article/6287250

Nástroj telnetd v balíku GNU InetUtils nesanitizuje používateľské vstupy v niektorých premenných. Tým umožňuje injektovať hodnoty vedúce k obídeniu autentifikácie a získanie prístupu s oprávneniami používateľa root. V nástroji sa nachádza vyše 10 rokov.

Zraniteľné systémy:

• GNU InetUtils verzie 1.9.3 až 2.7

Opis činnosti:

CVE-2026-24061 (CVSS skóre 9,8)

Nástroj telnetd v balíku GNU Inetutils obsahuje kritickú zraniteľnosť, ktorá umožňuje obídenie autentifikácie na diaľku. Zraniteľnosť súvisí s nedostatočnou kontrolou používateľských vstupov na serveri telnetd v rámci premennej prostredia USER. Ak útočník poskytne jej hodnotu ako “-f root“, získa prístup na zraniteľný server s administrátorskými oprávneniami.

Spoločnosť Greynoise zaznamenala pokusy o zneužitie tejto zraniteľnosti.

Možné škody:

• Obídenie bezpečnostných prvkov
• Eskalácia privilégií

Odporúčania:

Bezodkladná aktualizácia zraniteľných systémov, napríklad tu a tu. V prípade, že aktualizáciu nie je možné vykonať, zraniteľnosť možno mitigovať deaktiváciou servera telnetd alebo použitím vlastnej upravenej funkcie login(1), ktorá nepovoľuje použitie príznaku -f.

Odporúčame limitovanie prístupu cez telnet len z dôveryhodných IP adries a kontrolu dostupných logov na prítomnosť pokusov o zneužitie zraniteľnosti.

Odkazy:

• https://seclists.org/oss-sec/2026/q1/89
• https://nvd.nist.gov/vuln/detail/CVE-2026-24061
• https://viz.greynoise.io/tags/inetutils-telnetd–f-auth-bypass-attempt?days=1

Spoločnosť Cisco opravila kritickú aktívne zneužívanú zraniteľnosť CVE-2026-20045 vo viacerých svojich produktoch. Zraniteľnosť umožňuje neautentifikovanému útočníkovi vzdialene vykonávať systémové príkazy a získať oprávnenia používateľa root.

Zraniteľné systémy:

• Unified CM (CSCwr21851)
• Unified CM SME (CSCwr21851)
• Unified CM IM&P (CSCwr29216)
• Unity Connection (CSCwr29208)
• Webex Calling Dedicated Instance (CSCwr21851)

Opis činnosti:

CVE-2026-20045 (CVSS skóre 9,8)

Spoločnosť Cisco vydala bezpečnostné aktualizácie pre viacero produktov, ktoré opravujú aktívne zneužívanú kritickú zraniteľnosť, spočívajúcu v nesprávnom overovaní používateľských vstupov v rámci HTTP požiadaviek. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na vzdialené vykonanie príkazov operačného systému zariadenia, získanie neoprávneného prístupu do jeho systému a eskaláciu privilégií na úroveň používateľa root. Na to potrebuje poslať špeciálne vytvorenú HTTP požiadavku na webové manažmentové rozhranie zraniteľného zariadenia.

Americká CISA zraniteľnosť pridala do svojho zoznamu aktívne zneužívaných zraniteľností KEV (Known Exploited Vulnerabilities).

Možné škody:

• Vzdialené vykonávanie kódu
• Eskalácia privilégií

Odporúčania:

Spoločnosť Cisco odporúča bezodkladnú aktualizáciu zasiahnutých produktov aspoň na verziu 14SU5 alebo 15SU4, alebo inštaláciu záplaty pre podporované verzie podľa informácií na webstránke.

Odkazy:

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b
• https://nvd.nist.gov/vuln/detail/CVE-2026-20045
• https://www.cisa.gov/news-events/alerts/2026/01/21/cisa-adds-one-known-exploited-vulnerability-catalog

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci december 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 12/2025 PDF (1 471 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Vývojári modulu Advanced Custom Fields: Extended pre WordPress vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú kritickú zraniteľnosť. CVE‑2025‑14533 spočíva v nesprávnej reštrikcii rolí v rámci formulára pre tvorbu a editáciu používateľov. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na získanie administrátorského prístupu a úplnej kontroly nad systémom.

Zraniteľné systémy:

• Advanced Custom Fields: Extended verzia 0.9.2.1 a staršie

Opis zraniteľností:

CVE‑2025‑14533 (CVSS 3.1 skóre 9.8)

Kritická zraniteľnosť modulu WordPress Advanced Custom Fields: Extended sa nachádza vo funkcii insert_user, ktorá nekontroluje správnym spôsobom aké používateľské role môže pri registrácii zadať používateľ. Vďaka tomu neautentifikovaný útočník môže pri registrácii zadať rolu „administrator“ a získať administrátorský prístup k celej stránke, čo vedie k úplnému kompromitovaniu inštancie WordPress.

Pozn.: Zraniteľnosť je možné zneužiť len pri použití formulárov Create User alebo Update User, ktoré majú sprístupnené pole rolí.

Možné škody:

• Eskalácia privilégií
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu modulu ACF: Extended na verziu 0.9.2.2 alebo novšiu, a taktiež aktualizáciu redakčného systému a všetkých modulov. Rovnako odporúčame aj kontroly používateľských kont a logov za účelom identifikácie podozrivej aktivity súvisiacej so zneužitím zraniteľnosti.

Zdroje:

• https://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/
• https://nvd.nist.gov/vuln/detail/CVE-2025-14533

Vývojári NPM knižnice pre parsovanie binárnych dát binary-parser vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú kritickú zraniteľnosť CVE‑2026‑1245. Táto spočíva v nedostatočnom overovaní používateľských vstupov, čo by mohol vzdialený neautentifikovaný útočník zneužiť na vzdialené vykonanie kódu JavaScript s privilégiami procesu Node.js.

Zraniteľné systémy:

• binary-parser Node.js vo verziách starších ako 2.3.0

Opis zraniteľností:

CVE‑2026‑1245 (CVSS 3.1 skóre 6.5)

Zraniteľnosť v knižnici binary-parser pre Node.js súvisí s preberaním nesanitizovaných používateľských hodnôt názvov polí a parametrov kódovania priamo do dynamicky generovaného kódu JavaScript. Vzdialený neautentifikovaný útočník tak môže injektovať a spustiť ľubovoľný kód JavaScript v kontexte procesu Node.js, čo môže viesť k úniku dát, manipulácii s aplikáciou alebo vykonaniu systémových príkazov.

Zraniteľnosť nie je možné zneužiť v aplikáciách používajúcich iba napevno kódované definície parserov.

Možné škody:

• Vzdialené vykonanie kódu
• Únik citlivých informácií

Odporúčania:

Administrátorom a vývojárom odporúčame uistiť sa, či ich produkty a služby nevyužívajú predmetnú knižnicu v zraniteľnej verzii. V prípade, že áno, odporúčame bezodkladnú aktualizáciu knižnice na verziu 2.3.0.

Zdroje:

• https://nvd.nist.gov/vuln/detail/CVE-2026-1245
• https://github.com/keichi/binary-parser
• https://kb.cert.org/vuls/id/102648

Spoločnosť Fortinet opravila kritickú zraniteľnosť FortiSIEM, ktorá umožňuje kontrolovať obsah požiadaviek TCP a následne vykonávať kód a príkazy s oprávneniami administrátora, bez potreby autentifikácie.

Zraniteľné systémy:

• FortiSIEM 7.4 – 7.4.0
• FortiSIEM 7.3 – 7.3.0 až 7.3.4
• FortiSIEM 7.2 – 7.2.0 až 7.2.6
• FortiSIEM 7.1 – 7.1.0 až 7.1.8
• FortiSIEM 7.0 – 7.0.0 až 7.0.4
• FortiSIEM 6.7 – 6.7.0 až 6.7.10

Opis činnosti:

CVE-2025-64155 (CVSS skóre 9,8)

Kritická zraniteľnosť FortiSIEM sa nachádza v službe phMonitor, konkrétne vo funkcii phMonitorProcess::initEventHandler. Vyplýva z možnosti prístupu ku jej správcom príkazov bez overenia používateľa a nevhodnej sanitizácie špeciálnych znakov používaných v príkazoch. Vzdialenému neautentifikovanému útočníkovi umožňuje vzdialene vykonávať kód a príkazy s administrátorskými oprávneniami, pomocou špeciálne vytvorených požiadaviek TCP.

Možné škody:

• Vzdialené vykonávanie kódu
• Eskalácia oprávnení

Odporúčania:

Bezodkladná aktualizácia FortiSIEM aspoň na verziu 7.4.1, 7.3.5, 7.2.7 alebo 7.1.9.

Pokiaľ aktualizácia nie je možná, v rámci mitigácie zraniteľnosti môžete obmedziť prístup na port služby phMonitor, TCP/7900.

Spoločnosť Fortinet odporúča umiestniť FortiSIEM na izolovanú časť siete za firewall, bez prístupu z internetu.

Odkazy:

• https://fortiguard.fortinet.com/psirt/FG-IR-25-772
• https://horizon3.ai/attack-research/disclosures/cve-2025-64155-three-years-of-remotely-rooting-the-fortinet-fortisiem/
• https://arcticwolf.com/resources/blog/cve-2025-64155/

Bezpečnostní výskumníci našli kritické zraniteľnosti vo dvoch knižniciach NPM – jsPDF na generovanie PDF dokumentov a MVC knižnici AdonisJS. Ide o často využívané knižnice, ktoré majú spolu viac ako 3,5 milióna stiahnutí týždenne.

Zraniteľné systémy:

• @adonisjs/bodyparser 10.1.1 a staršie
• @adonisjs/bodyparser 11.0.0-next.5 a staršie
• jsPDF dist/jspdf.node.js verzie staršie ako 4.0.0
• jsPDF dist/jspdf.node.min.js verzie staršie ako 4.0.0

Opis zraniteľnosti:

CVE-2026-21440 (CVSS 4.0 skóre 9,2)

Kritická zraniteľnosť balíčka NPM @adonisjs/bodyparser umožňuje prechádzanie súborovou cestou. Nachádza sa v mechanizme spracovania súborov zložených z viacerých častí, konkrétne vo funkcii MultipartFile.move(). Problém nastáva v prípade, keď parameter name nie je odovzdaný ako vstup. Aplikácia vtedy použije neošetrený názov súboru poskytnutý klientom. Vzdialenému neautorizovanému útočníkovi môže umožniť zapisovať ľubovoľné súbory na ľubovoľné miesta v súborovom systéme servera, vrátane prepisovania aktuálnych súborov.

CVE-2025-68428 (CVSS 4.0 skóre 9,2)

Kritická zraniteľnosť knižnice jsPDF umožňuje používateľovi ovplyvniť prvý argument metódy loadFile, čo umožňuje lokálne načítanie súborov (LFI) a prechádzanie súborovou cestou. Vložením neošetrenej cesty má útočník možnosť získať obsah ľubovoľných súborov zo súborového systému, v ktorom beží proces Node.js. Obsah týchto súborov následne bez úprav vloží jsPDF priamo do generovaného PDF dokumentu. Podobne zraniteľné sú aj metódy addImage, html a addFont.

Zraniteľnosti našli Hunter Wodzenski (@wodzen) a výskumníci Endor Labs.

Možné škody:

• Únik citlivých dát
• Kompromitácia systému
• Vzdialené vykonávanie kódu

Odporúčania:

Developerom a systémovým administrátorom, ktorí využívajú zraniteľné knižnice, odporúčame bezodkladnú aktualizáciu na verzie:

• jsPDF 4.0.0
• @adonisjs/bodyparser 10.1.2
• @adonisjs/bodyparser 11.0.0-next.6

Zdroje:

• https://nvd.nist.gov/vuln/detail/CVE-2026-21440
• https://nvd.nist.gov/vuln/detail/CVE-2025-68428
• https://github.com/adonisjs/core/security/advisories/GHSA-gvq6-hvvp-h34h
• https://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2
• https://www.bleepingcomputer.com/news/security/critical-jspdf-flaw-lets-hackers-steal-secrets-via-generated-pdfs/
• https://thehackernews.com/2026/01/critical-adonisjs-bodyparser-flaw-cvss.html

Spoločnosť Trend Micro vydala bezpečnostné aktualizácie svojho produktu Apex Central pre Windows, ktoré opravujú 3 zraniteľnosti, z čoho 1 je označená ako kritická. Kritická zraniteľnosť umožňuje neautentifikovanému útočníkovi vykonávať vzdialene kód s oprávneniami úrovne SYSTEM. Ďalšie dve zraniteľnosti by mohol vzdialený neautentifikovaný útočník zneužiť na zneprístupnenie služby.

Zraniteľné systémy:

• Apex Central, verzie staršie ako Build 7190

Opis činnosti:

CVE-2025-69258 (CVSS skóre 9,8)

Kritická zraniteľnosť sa nachádza v komponente LoadLibraryEX. Vzdialený neautentifikovaný útočník ju môže zneužiť na nahranie škodlivej knižnice DLL zaslaním špeciálne vytvorenej správy na rozhranie MsgReceiver.exe. Tým získa možnosť vzdialeného vykonania kódu s oprávneniami úrovne SYSTEM.

Pre uvedenú zraniteľnosť je voľne dostupný proof-of-concept kód demonštrujúci spôsob jej zneužitia.

CVE-2025-69259 (CVSS skóre 7,5)

Zraniteľnosť vysokej závažnosti spočíva v absencii kontroly návratovej hodnoty NULL pri zasielaní správ na rozhranie MsgReceiver.exe. Vzdialený neautentifikovaný útočník ju môže zneužiť na zneprístupnenie služby pomocou špeciálne vytvorenej správy. Táto navráti hodnotu NULL a spôsobí prístup k neplatnej pamäti.

CVE-2025-69260 (CVSS skóre 7,5)

Zraniteľnosť vysokej závažnosti v MsgReceiver.exe umožňuje čítanie pamäte mimo povolených hodnôt. Chyba sa nachádza v knižnici msgHandlerLogReceiver.dll, ktorá nekontroluje veľkosť premennej x_astring, zodpovednej za vytvorenie ukazovateľa na dáta správy, voči veľkosti vyhradenej pamäte. Vzdialený neautentifikovaný útočník môže hodnotu premennej upraviť tak, že vzniknutý ukazovateľ bude smerovať na neplatnú pamäť. Tým spôsobí nedostupnosť služby.

Možné škody:

• Vzdialené vykonávanie kódu
• Nedostupnosť služby (DoS)

Odporúčania:

Bezodkladná aktualizácia Apex Central aspoň na Build 7190.

V prípade, že aktualizácia nie je možná, zraniteľnosť je možné mitigovať limitovaním prístupu k zraniteľným systémom len na dôveryhodné IP.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-69258
• https://nvd.nist.gov/vuln/detail/CVE-2025-69259
• https://nvd.nist.gov/vuln/detail/CVE-2025-69260
• https://www.tenable.com/security/research/tra-2026-01
• https://success.trendmicro.com/en-US/solution/KA-0022071

Vývojári open-source platformy pre manažovanie serverov, aplikácií a databáz Coolify opravili 11 kritických chýb, ktoré môžu viesť k obídeniu autentifikácie, vzdialenému vykonaniu kódu a úplnému kompromitovaniu hostiteľského systému. Chyby zabezpečenia súvisia najmä s neošetrenými parametrami, nad ktorými má kontrolu používateľ. Tieto aplikácia preberá priamo do príkazov pre shell.

Zraniteľné systémy:

• Coolify 4.0.0-beta.450 a staršie

Opis činnosti:

CVE-2025-66209 (CVSS skóre 9,9)

Zraniteľnosť vo funkcionalite zálohovania databázy dovoľuje autentifikovanému útočníkovi s príslušnými právami injektovať a vykonávať príkazy na hostiteľskom serveri a získať k nemu plný prístup. Útočník môže zneužiť parameter názvu databázy, ktorý aplikácia preberá do príkazov pre shell bez sanitizácie.

CVE-2025-66210 (CVSS skóre 9,4)

Zraniteľnosť vo funkcionalite importu databázy dovoľuje autentifikovanému útočníkovi injektovať a vykonávať príkazy na spravovanom serveri a získať plný prístup ku infraštruktúre obete. Útočník môže zneužiť parameter názvu databázy, ktorý aplikácia preberá do príkazov pre shell bez sanitizácie.

CVE-2025-66211 (CVSS skóre 9,4)

Zraniteľnosť v narábaní s názvom inicializačného súboru PostgreSQL dovoľuje autentifikovanému útočníkovi s prístupovými právami k databáze injektovať a vykonávať ľubovoľné príkazy na serveri s oprávneniami používateľa root. Aplikácia tento názov preberá do príkazov pre shell bez sanitizácie.

CVE-2025-66212 (CVSS skóre 9,4)

Zraniteľnosť v narábaní s názvom konfiguračného súboru pre dynamickú proxy dovoľuje autentifikovanému útočníkovi s manažmentovými právami k serveru injektovať a vykonávať príkazy na spravovanom serveri s oprávneniami používateľa root. Aplikácia tento názov preberá do príkazov pre shell bez sanitizácie.

CVE-2025-66213 (CVSS skóre 9,4)

Zraniteľnosť vo funkcionalite File Storage Directory Mount Path dovoľuje autentifikovanému útočníkovi s manažmentovými právami k aplikácii alebo službe injektovať a vykonávať príkazy na spravovanom serveri s oprávneniami používateľa root. Aplikácia preberá parameter file_storage_directory_source do príkazov pre shell bez sanitizácie.

CVE-2025-64419 (CVSS skóre 9,6)

Zraniteľnosť súvisí s neošetrenými vstupmi z docker-compose.yaml, ktoré aplikácia používa v príkazoch. Útočníkovi dovoľuje injektovať a vykonávať ľubovoľné systémové príkazy na zraniteľnej inštancii Coolify s oprávneniami používateľa root.

CVE-2025-64420 (CVSS skóre 9,9)

Zraniteľnosť umožňuje útočníkovi s nízkymi oprávneniami získať privátny kľúč používateľa root pre Coolify, čím získa administrátorský prístup na server cez SSH.

CVE-2025-64424 (CVSS skóre 9,4)

Zraniteľnosť gitových nešpecifikovaných polí pre používateľské vstupy, ktorá umožňuje útočníkovi s nízkymi oprávneniami injektovať a vykonávať ľubovoľné systémové príkazy na zraniteľnej inštancii Coolify s oprávneniami používateľa root.

CVE-2025-59156 (CVSS skóre 9,4)

Zraniteľnosť, ktorá umožňuje útočníkovi s nízkymi oprávneniami injektovať ľubovoľné direktívy Docker Compose a získať schopnosť vykonávať príkazy na hostiteľskom systéme s oprávneniami používateľa root. Tým efektívne unikne z kontajnera.

CVE-2025-59157 (CVSS skóre 9,9)

Zraniteľnosť, ktorá umožňuje útočníkovi s používateľskými oprávneniami pri nasádzaní injektovať cez pole Git Repository ľubovoľné príkazy pre shell a vykonávať ich na hostiteľskom systéme.

CVE-2025-59158 (CVSS skóre 9,4)

Zraniteľnosť súvisí s nevhodným spôsobom sanitizácie používateľských vstupov. Útočníkovi s nízkymi oprávneniami umožňuje vykonať útok typu stored XSS pri vytváraní projektu. Pre uloženie škodlivého kódu JavaScript môže zneužiť názov projektu. Keď ku projektu pristúpi administrátor, napríklad aby ho zmazal, uložený skript sa vykoná v kontexte jeho prehliadača.

Možné škody:

• Vzdialené vykonávanie kódu
• Obídenie bezpečnostných prvkov
• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia Coolify aspoň na verziu 4.0.0-beta.451.

Odkazy:

• https://thehackernews.com/2026/01/coolify-discloses-11-critical-flaws.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-66209
• https://nvd.nist.gov/vuln/detail/CVE-2025-66210
• https://nvd.nist.gov/vuln/detail/CVE-2025-66211
• https://nvd.nist.gov/vuln/detail/CVE-2025-66212
• https://nvd.nist.gov/vuln/detail/CVE-2025-66213
• https://nvd.nist.gov/vuln/detail/CVE-2025-64419
• https://nvd.nist.gov/vuln/detail/CVE-2025-64420
• https://nvd.nist.gov/vuln/detail/CVE-2025-64424
• https://nvd.nist.gov/vuln/detail/CVE-2025-59156
• https://nvd.nist.gov/vuln/detail/CVE-2025-59157
• https://nvd.nist.gov/vuln/detail/CVE-2025-59158

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci december 2025.

Mesačný prehľad – 12/2025 PDF (554 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Vývojári MongoDB Server opravili vysoko závažnú zraniteľnosť umožňujúcu vzdialenému neautentifikovanému útočníkovi manipulovať premenné v hlavičkách požiadaviek a získavať tak citlivé informácie z pamäte na halde (angl. heap) v rámci operačnej pamäte. Zraniteľnosť je aktívne zneužívaná.

Zraniteľné systémy:

• MongoDB Server v8.2 staršie ako 8.2.3
• MongoDB Server v8.0 staršie ako 8.0.17
• MongoDB Server v7.0 staršie ako 7.0.28
• MongoDB Server v6.0 staršie ako 6.0.27
• MongoDB Server v5.0 staršie ako 5.0.32
• MongoDB Server v4.4 staršie ako 4.4.30
• MongoDB Server v4.2, všetky verzie
• MongoDB Server v4.0, všetky verzie
• MongoDB Server v3.6, všetky verzie

Opis činnosti:

CVE-2025-14847 (CVSS v4 skóre 8,7)

Aplikácia MongoDB Server obsahuje vysoko závažnú zraniteľnosť, ktorá umožňuje vzdialenému neautentifikovanému útočníkovi čítať neinicializovanú pamäť na halde, priradenú databáze. Chyba zabezpečenia súvisí s neošetrenou dĺžkou polí protokolových hlavičiek správ, ktoré boli skomprimované pomocou nástroja Zlib. V správe OP_COMPRESSED môže útočník manipulovať hodnotu premennej „uncompressedSize“ a prepísať ju na väčšiu ako je veľkosť obsahu správy. Aplikácia následne bez kontroly na základe hodnoty tejto premennej alokuje vyrovnávaciu pamäť. Server následne v rámci chybového hlásenia vypíše obsah správy spolu s obsahom nadbytočnej pamäte.

Zraniteľnosť dostala názov MongoBleed a je aktívne zneužívaná. Existuje pre ňu verejne dostupný kód demonštrujúci možnosti jej zneužitia.

Možné škody:

• Únik citlivých informácií

Odporúčania:

Odporúčame bezodkladnú aktualizáciu aplikácie MongoDB Server aspoň na verziu 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, alebo 4.4.30.

Pre mitigáciu zraniteľnosti do doby aktualizácie aplikácie môžete zakázať komprimovanie požiadaviek nástrojom zlib. Odporúča sa tiež zakázať komunikáciu z internetu na port TCP 27017 a povoliť prístup iba z dôveryhodných zdrojov.

Taktiež odporúčame vykonať kontrolu logov na prítomnosť pokusov o zneužitie zraniteľnosti, na čo možno použiť, napríklad aj špeciálne vytvorený nástroj MONGOBLEED DETECTOR. Dôležité je vykonať aj zmenu hesiel a kryptografického materiálu, ktorý mohol uniknúť.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-14847
• https://www.akamai.com/blog/security-research/cve-2025-14847-all-you-need-to-know-about-mongobleed
• https://www.mongodb.com/company/blog/news/mongodb-server-security-update-december-2025
• https://github.com/Neo23x0/mongobleed-detector

Spoločnosť HPE varuje pred kritickou zraniteľnosťou manažmentovej platformy OneView, ktorá umožňuje vzdialené vykonávanie kódu.

Zraniteľné systémy:

• HPE OneView všetky verzie po 10.20 vrátane

Opis činnosti:

CVE-2025-37164 (CVSS v3.1 skóre 10,0)

Spoločnosť Hewlett Packard Enterprise (HPE) opravila zraniteľnosť s maximálnou závažnosťou v manažmentovom softvéri OneView. Chyba zabezpečenia umožňuje neautentifikovanému útočníkovi vzdialené vykonávanie kódu.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia HPE OneView aspoň na verziu 11.00.

Alternatívne môžete pre verzie 5.20 až 10.20 zraniteľnosť mitigovať aplikáciou hotfixu. Pri upgrade verzie 6.60.xx na 7.00.00 a pri reimaging HPE Synergy Composer je potrebné hotfix aplikovať znovu. Pre HPE Synergy Composer nájdete hotfix tu.

Odkazy:

• https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04985en_us&docLocale=en_US#vulnerability-summary-1
• https://www.bleepingcomputer.com/news/security/hpe-warns-of-maximum-severity-rce-flaw-in-oneview-software/
• https://nvd.nist.gov/vuln/detail/CVE-2025-37164

Spoločnosť SonicWall vydala bezpečnostné aktualizácie pre zariadenia SonicWall SMA1000, ktoré opravujú aktívne zneužívanú zraniteľnosť. Zraniteľnosť strednej závažnosti CVE‑2025‑40602 spočíva v nedostatočnej autorizácii v rámci konzoly AMC (Application Management Console) a lokálny útočník by ju mohol zneužiť na eskaláciu privilégií.

Zraniteľné systémy:

• SonicWall SMA1000 verzie 12.4.3-03093 a staršie
• SonicWall SMA1000 verzie 12.5.0-02002 a staršie

Opis činnosti:

CVE-2025-40602 (CVSS skóre 6,6)

Aktívne zneužívaná zraniteľnosť zariadení SonicWall Secure Mobile Access série 1000 strednej závažnosti sa nachádza v manažmentovej konzole (AMC). Súvisí s nesprávne implementovaným spôsobom autorizácie. Útočníkom umožňuje lokálne eskalovať svoje oprávnenia.

Zraniteľnosť je aktívne zneužívaná v tandeme s kritickou CVE-2025-23006, čo útočníkom umožňuje vzdialene vykonávať kód s oprávneniami používateľa root.

Možné škody:

• Eskalácia oprávnení

Odporúčania:

Bezodkladná aktualizácia SonicWall SMA1000 aspoň na verzie 12.4.3-03245 a 12.5.0-02283.

Pokiaľ aktualizácia nie je možná, mitigovať zraniteľnosť môžete obmedzením prístupu k zariadeniu len na dôveryhodné IP adresy, cez VPN.

Odkazy:

• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html

Spoločnosť Cisco varovala pred aktívnym zneužívaním kritickej zero‑day zraniteľnosti v produktoch Cisco SEG (Secure Email Gateway) a SEWM (Secure Email and Web Manager). Zraniteľnosť s identifikátorom CVE‑2025‑20393 v operačnom systéme AsyncOS umožňuje vzdialene vykonávať systémové príkazy a kompromitovať zraniteľný systém.

Zraniteľné systémy:

• Cisco Secure Email Gateway (predtým Cisco Email Security Appliance)
• Cisco Secure Email and Web Manager (predtým Cisco Content Security Management Appliance)

Opis činnosti:

CVE-2025-20393 (CVSS skóre 10,0)

Kritická zero-day zraniteľnosť zariadení Cisco SEG a Cisco SEWM je aktívna, keď má zariadenie povolenú a do internetu vystavenú funkcionalitu Spam Quarantine. Zraniteľnosť sa nachádza v operačnom systéme Cisco AsyncOS a vzdialený neautentifikovaný útočník by ju mohol zneužiť na vzdialené vykonanie systémových príkazov s oprávneniami root.

Zraniteľnosť je aktívne zneužívaná minimálne od konca novembra 2025. Podľa skupiny Cisco Talos zraniteľnosť zneužíva čínska skupina UAT‑9686 pri nasadzovaní perzistentných zadných dvierok AquaShell, nástrojov pre vytváranie reverzných tunelov SSH AquaTunnel a TPC/UDP Chisel a nástroja pre čistenie logov AquaPurge.

Možné škody:

• Vzdialené vykonávanie systémových príkazov
• Získanie kontroly nad zariadením

Odporúčania:

Na uvedenú zraniteľnosť v súčasnosti nie sú dostupné aktualizácie. Výrobca administrátorom odporúča:

• limitovať prístup k zariadeniam na dôveryhodné IP adresy
• chrániť zariadenia firewallom,
• používať bezpečnú autentifikáciu, napríklad prostredníctvom SAML alebo LDAP,
• zmeniť predvolené heslá,
• používať SSL/TLS certifikáty na zabezpečenie manažmentovej prevádzky,
• pre Cisco SEG oddeliť funkcie pre spracovanie e‑mailov a manažment na nezávislé sieťové rozhrania,
• monitorovať logy sieťovej prevádzky na prítomnosť podozrivých prístupov a pokusov o zneužitie zraniteľnosti a prítomnosť indikátorov kompromitácie.

V prípade potvrdenej kompromitácie je potrebná obnova zariadenia do pôvodného stavu / továrenských nastavení. O pomoc s preverením vášho zariadenia môžete požiadať Cisco na oficiálnych stránkach.

Indikátory kompromitácie:

Hashe

2db8ad6e0f43e93cc557fbda0271a436f9f2a478b1607073d4ee3d20a87ae7ef
145424de9f7d5dd73b599328ada03aa6d6cdcee8d5fe0f7cb832297183dbe4ca
85a0b22bd17f7f87566bd335349ef89e24a5a19f899825b4d178ce6240f58bfc
2D89FB7455FF3EBF6B965D8B1113857607F7FBDA4C752CCB591DBC1DC14BA0DA
47EC51B5F0EDE1E70BD66F3F0152F9EB536D534565DBB7FCC3A05F542DBE4428
be1037fac396cf54fb9e25c48e5b0039b3911bb8426cbf52c9433ba06c0685ce
3cd5703d285ed2753434f14f8da933010ecfdc1e5009d0e438188aaf85501612
3c1b9df801b9abbb3684670822f367b5b8cda566b749f457821b6481606995b3

IP adresy

172[.]233[.]67[.]176
172[.]237[.]29[.]147
38[.]54[.]56[.]95

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-20393
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-attack-N9bf4
• https://www.bleepingcomputer.com/news/security/cisco-warns-of-unpatched-asyncos-zero-day-exploited-in-attacks/
• https://blog.talosintelligence.com/uat-9686/

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci november 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 11/2025 PDF (1 994 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Vývojári FreePBX opravili jednu kritickú a dve vysoko závažné zraniteľnosti v aplikácii FreePBX Endpoint Manager. Kritická zraniteľnosť umožňuje obísť autentifikáciu, zatiaľ čo ostatné dve dovoľujú získavať a meniť dáta v SQL databáze a nahrávať ľubovoľné súbory.

Zraniteľné systémy:

• FreePBX 16, verzie staršie ako 16.0.44 a 16.0.92
• FreePBX 17, verzie staršie ako 17.0.6 a 17.0.23

Opis činnosti:

Bezpečnostní výskumníci spoločnosti Horizon3.ai odhalili tri závažné zraniteľnosti v open‑source platforme FreePBX. Ich zreťazením môže neautentifikovaný útočník čítať a zapisovať v SQL databáze a nahrávať súbory vrátane webshellov do zraniteľnej aplikácie.

CVE-2025-66039 (CVSSv4.0 skóre 9,3)

Kritická zraniteľnosť umožňujúca obídenie autentifikácie sa nachádza v komponente FreePBX Endpoint Manager. Útočník ju môže zneužiť manipuláciou hlavičky Authorization, v ktorej nastaví hodnotu typu autentifikácie na „webserver“. Nemusí pritom disponovať platnými prihlasovacími údajmi.

Zraniteľnosť nie je možné zneužiť pri štandardnej konfigurácii FreePBX.

CVE-2025-61675 (CVSSv4.0 skóre 8,6)

Vysoko závažná zraniteľnosť v komponente FreePBX Endpoint Manager, ktorá zahŕňa chyby umožňujúce injektovanie SQL dopytov autentifikovanému útočníkovi vo viacerých častiach aplikácie. Tak môže čítať a manipulovať citlivé informácie v databáze.

CVE-2025-61678 (CVSSv4.0 skóre 8,6)

Vysoko závažná zraniteľnosť v komponente FreePBX Endpoint Manager, ktorá umožňuje autentifikovanému útočníkovi zneužiť koncový bod pre nahrávanie firmvéru a nahrávať ľubovoľné súbory. Chyba zabezpečenia sa nachádza v parametri „fwbrand“, ktorý umožňuje meniť súborové cesty. Útočník môže získať prístup ku zraniteľnému systému nahratím webshellu alebo môže vzdialene vykonávať kód.

Možné škody:

• Únik citlivých informácií
• Obídenie bezpečnostných prvkov
• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia FreePBX aspoň na verziu 16.0.44, 16.0.92, 17.0.6, alebo 17.0.23.

Pre mitigáciu zraniteľnosti CVE-2025-66039 nastavte “Authorization Type” na “usermanager”, vypnite v pokročilých nastaveniach parametre „Display Friendly Name“, „Display Readonly Settings“ a „Override Readonly Settings“ a reštartujte systém. Podrobnejší návod nájdete tu.

Odkazy:

• https://horizon3.ai/attack-research/the-freepbx-rabbit-hole-cve-2025-66039-and-others/
• https://thehackernews.com/2025/12/freepbx-authentication-bypass-exposed.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-66039
• https://nvd.nist.gov/vuln/detail/CVE-2025-61675
• https://nvd.nist.gov/vuln/detail/CVE-2025-61678

Apple vydala aktualizácie na opravu dvoch zero-day zraniteľností, ktoré sa nachádzajú v nástroji WebKit prehliadača Safari a ďalších prehliadačov na iOS a knižnici ANGLE pre Google Chrome pre Mac. CVE-2025-43529 umožňuje vykonávanie ľubovoľného kódu a možno ju zneužiť spracovaním škodlivého webového obsahu. CVE-2025-14174 môže viesť k poškodeniu pamäte.

Zraniteľné systémy:

• iOS 26.2, iPadOS 26.2 – iPhone 11 a novšie, iPad Pro 12.9-inch 3rd generation a novšie, iPad Pro 11-inch 1st generation a novšie, iPad Air 3rd generation a novšie, iPad 8th generation a novšie, iPad mini 5th generation a novšie
• iOS 18.7.3, iPadOS 18.7.3 – iPhone XS a novšie, iPad Pro 13-inch, iPad Pro 12.9-inch 3rd generation a novšie, iPad Pro 11-inch 1st generation a novšie, iPad Air 3rd generation a novšie, iPad 7th generation a novšie, iPad mini 5th generation a novšie
• macOS Tahoe 26.2 – zariadenia Mac s macOS Tahoe
• tvOS 26.2 – Apple TV HD a Apple TV 4K (všetky modely)
• watchOS 26.2 – Apple Watch Series 6 a novšie
• visionOS 26.2 – Apple Vision Pro (všetky modely)
• Safari 26.2 – zariadenia Mac s macOS Sonoma a Sequoia
• Google Chrome pre Mac verzie staršej ako 143.0.7499.110

Opis činnosti:

Spoločnosť Apple opravila dve vysoko závažné zraniteľnosti v nástroji WebKit, ktoré útočníci aktívne zneužívajú. Jedna z nich je obsiahnutá aj v grafickej knižnici ANGLE verzie prehliadača Google Chrome pre Mac. Zraniteľnosti zasahujú široké spektrum operačných systémov a zariadení Apple.

CVE-2025-14174 (CVSS skóre 8,8)

Zraniteľnosť nástroja WebKit umožňuje pristupovať k pamäti mimo povolené hodnoty. Útočník ju môže zneužiť pomocou špeciálne vytvorenej HTML webovej stránky.

CVE-2025-43529

Zraniteľnosť nástroja WebKit vyplýva z možnosti použitia dealokovaného miesta v pamäti. Umožňuje vykonávať ľubovoľný kód pri spracúvaní škodlivého webového obsahu.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia zasiahnutých systémov a zariadení aspoň na verzie:

• iOS 26.2, iPadOS 26.2
• iOS 18.7.3, iPadOS 18.7.3
• macOS Tahoe 26.2
• tvOS 26.2
• watchOS 26.2
• visionOS 26.2
• Safari 26.2
• Google Chrome pre Mac 143.0.7499.110

Odkazy:

• https://support.apple.com/en-us/125884
• https://thehackernews.com/2025/12/apple-issues-security-updates-after-two.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-14174

Vývojári Apache Tika vydali opravné aktualizácie pre viacero modulov, do ktorých je možné injektovať externé entity XML. Zneužitím opravenej zraniteľnosti môže útočník získať schopnosť čítať citlivé dáta alebo vzdialene vykonávať kód.

Zraniteľné systémy:

• Apache Tika core (org.apache.tika:tika-core) 1.13 až 3.2.1
• Apache Tika parsers (org.apache.tika:tika-parsers) 1.13 až 1.28.5
• Apache Tika PDF parser module (org.apache.tika:tika-parser-pdf-module) 2.0.0 až 3.2.1

Opis činnosti:

CVE-2025-66516 (CVSSv4 skóre 10,0)

Vývojári Apache Tika opravili kritickú zraniteľnosť umožňujúcu injektovanie externého XML (útoky typu XXE) pomocou špeciálne vytvoreného súboru XFA vloženého v PDF. Útočník tak získa schopnosť čítať citlivé dáta, pristupovať ku interným zdrojom, a v najzávažnejšom prípade aj vzdialene vykonávať kód.

Zraniteľnosť je rozšírením predošlej CVE-2025-54988 o ďalšie zraniteľné moduly.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia Apache Tika-core a Tika-parser-pdf-module na verziu 3.2.2 a Tika-parsers na 2.0.0.

Odkazy:

• https://lists.apache.org/thread/s5x3k93nhbkqzztp1olxotoyjpdlps9k
• https://www.cve.org/CVERecord?id=CVE-2025-54988
• https://www.cve.org/CVERecord?id=CVE-2025-66516
• https://thehackernews.com/2025/12/critical-xxe-bug-cve-2025-66516-cvss.html

Vývojári platformy JavaScript React opravili kritickú zraniteľnosť v React Server Components, ktorá umožňuje vzdialené vykonávanie kódu na serveri. Zasiahnuté sú viaceré balíčky npm, vrátane platformy Next.js. Zraniteľnosť dostala pomenovanie React2Shell.

Zraniteľné systémy:

• React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js verzie 15.0.4, 15.1.8, 15.2.5, 15.3.5, 15.4.7, 15.5.6, 16.0.6 a staršie
• Next.js verzie canary, od 14.3.0-canary.77
• Platformy react-router, waku, @parcel/rsc, @vitejs/plugin-rsc, rwsdk, expo, …

Opis činnosti:

CVE-2025-55182 (CVSS skóre 10,0)

Vývojári platformy React opravili kritickú zraniteľnosť v React Server Components, ktorá vyplýva z nezabezpečenej deserializácie dát z klientskych požiadaviek HTTP na koncové body React Server Function. Zraniteľnosť dostala názov React2Shell. Zraniteľné sú balíčky react-server-dom-parcel, react-server-dom-turbopack a react-server-dom-webpack. Neautentifikovaný útočník môže vzdialene vykonávať kód na serveri. K tomu nepotrebuje interakciu obete.

Pre zraniteľnosť existuje verejne dostupný kód ukážky jej zneužitia.

Vývojári publikovali zoznam zraniteľných platforiem a bundlerov na báze React: next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc a rwsdk. Spoločnosť Tenable pridala platformu expo. Zraniteľnosť zasahuje prakticky všetky platformy využívajúce protokol React Flight.

Aplikácie s podporou React Server Components sú pravdepodobne zraniteľné, aj keď nepoužívajú Server Functions. Zraniteľnosť sa netýka aplikácií postavených na React, pokiaľ nepoužívajú server, platformu, bundler, alebo bundler plugin, ktoré podporujú React Server Components.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia React aspoň na verzie 19.0.1, 19.1.2, alebo 19.2.1. Alternatívne, návrat ku najnovšej stabilnej verzii 14.x z verzií canary.

Pre aktualizáciu jednotlivých balíčkbov npm spojených z React, resp. platforiem, ktoré majú pribalené React Server Components , vrátane Next.js, nájdete návod na stránke vývojára.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-55182
• https://react2shell.com/
• https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• https://www.tenable.com/blog/react2shell-cve-2025-55182-react-server-components-rce
• https://www.aikido.dev/blog/react-nextjs-cve-2025-55182-rce

Spoločnosť Microsoft opravila v rámci novembrového Patch Tuesday vysoko závažnú zraniteľnosť súborov .LNK. Chyba umožňuje útočníkom zaviesť obeť a ukryť do súboru odkazu .LNK príkaz na vykonanie škodlivého kódu alebo skript. Zraniteľnosť je aktívne zneužívaná minimálne od roku 2017.

Zraniteľné systémy:

• Operačné systémy Microsoft Windows

Opis činnosti:

CVE-2025-9491 (CVSSv3.1 skóre 7,8)

Spoločnosť Microsoft opravila v rámci novembrového Patch Tuesday vysoko závažnú zraniteľnosť súborov .LNK. Chybu umožňujúcu zaviesť obeť a ukryť do odkazu príkaz na vykonanie škodlivého kódu zneužívajú útočníci aspoň od roku 2017, vrátane minimálne 11tich štátmi sponzorovaných skupín z Číny, Ruska, Iránu a Severnej Kórei.

Chyba súvisí so skutočnosťou, že v rámci UI pole premennej Target vo vlastnostiach súboru .LNK zobrazuje maximálne 260 znakov, pričom samotná premenná môže mať dĺžku rádovo v desiatkach tisíc znakov. Útočníkovi tak umožňuje využiť napríklad „prázdne“ znaky (medzery, …) pre vizuálne ukrytie odkazu na škodlivý súbor, alebo aj celý škodlivý skript. Používateľ uvidí vo vlastnostiach súboru .LNK v premennej Target iba časť odkazu smerujúcu na legitímny súbor a prázdne znaky. Keď obeť takýto súbor otvorí, útočník získa schopnosť vzdialene vykonať kód s oprávneniami obete.

Chybu nahlásilo spoločnosti Microsoft v posledných rokoch viacero výskumníkov, naposledy v marci 2025 tím Trend Micro Zero Day Initiative spolu s informáciou o jej aktívnom zneužívaní.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná inštalácia novembrového balíka opráv Patch Tuesday.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2025-9491
• https://thehackernews.com/2025/12/microsoft-silently-patches-windows-lnk.html
• https://msrc.microsoft.com/update-guide/advisory/ADV25258226
• https://blog.0patch.com/2025/12/microsoft-silently-patched-cve-2025.html

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci november 2025.

Mesačný prehľad – 11/2025 PDF (523 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Spoločnosť Microsoft plánovane ukončila 14. októbra 2025 podporu pre Exchange Server verzie 2016 a 2019. Tieto produkty nebudú ďalej dostávať aktualizácie zabezpečenia, opravy chýb, technickú podporu a ani aktualizácie časových zón. Spoločnosť však od júla 2025 poskytuje verziu Exchange Server Subscription Edition (SE), ktorá umožňuje zachovať podporovaný lokálny mailový server Exchange.

Koexistencia verzie SE so staršími nepodporovanými verziami v rámci organizácie bude obmedzená v závislosti od nainštalovanej kumulatívnej aktualizácie. Tieto podmienky sa týkajú lokálnych a hybridných inštancií, ako aj inštancií využívajúcich iba manažmentové nástroje. Bližšie informácie nájdete na stránkach Microsoftu.

Pokiaľ používate verziu Exchange Server 2019 CU15, verziu SE (RTM) budete môcť nainštalovať formou kumulatívnej aktualizácie bez potreby migrácie (tzv. in-place upgrade). Nebudete potrebovať nový licenčný kľúč. Ak používate staršie verzie, potrebujete vykonať tzv. legacy upgrade, teda mailový server premigrovať.

Exchange Server SE je po 14. októbri jediná podporovaná verzia Microsoft Exchange Server. Spoločnosť sa zaviazala udržiavať ju aspoň do roku 2035.

Odporúčania:

Administrátorom a používateľom verzií Exchange Server, ktorých podpora skončila, odporúča spoločnosť Microsoft prejsť na verziu Exchange Server Subscription Edition (SE), Exchange Online, alebo platformu Microsoft 365.

Ak používate Exchange Server 2019, pre hladší prechod na verziu SE môžete najprv aktualizovať na CU15.

Zdroje:

• https://techcommunity.microsoft.com/blog/exchange/t-6-months-exchange-server-2016-and-exchange-server-2019-end-of-support/4403017
• https://techcommunity.microsoft.com/blog/exchange/exchange-server-roadmap-update/4132742
• https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924
• https://techcommunity.microsoft.com/blog/exchange/why-%E2%80%9Cin-place-upgrade%E2%80%9D-from-exchange-2019-to-exchange-se-is-low-risk/4410173

Spoločnosť Google vydala bezpečnostné aktualizácie pre svoj webový prehliadač Chrome, ktoré opravujú 2 vysoko závažné zraniteľnosti, z čoho 1 je označená ako aktívne zneužívaná. CVE-2025-13223 by vzdialený neautentifikovaný útočník mohol zneužiť na vzdialené vykonanie kódu.

Zraniteľné systémy:

• Chrome pre Windows vo verziách starších ako 142.0.7444.175/.176
• Chrome pre Linux vo verziách starších ako 142.0.7444.175
• Chrome pre Mac vo verziách starších ako 142.0.7444.176

Opis zraniteľnosti:

CVE-2025-13223, CVE-2025-13224  (CVSSv3 skóre 8,8)

Vysoko závažné zraniteľnosti s identifikátormi CVE-2025-13223 a CVE-2025-13224 sa nachádzajú v nástroji V8 pre JavaScript a WebAssembly a spočívajú v nesprávnom rozpoznávaní dátových typov. Vzdialený neautentifikovaný útočník by ich podvrhnutím špeciálne vytvoreného webového obsahu mohol zneužiť na vykonanie ľubovoľného kódu alebo zneprístupnenie služby.

Pozn.: Zero-day CVE-2025-13223 je aktívne zneužívaná útočníkmi a predstavuje siedmu aktívne zneužívanú zero-day zraniteľnosť Chrome opravenú v roku 2025.CVE-2025-13224 bola objavená AI modelom Google Big Sleep.

Možné škody:

• Vykonanie ľubovoľného kódu
• Zneprístupnenie služby (DoS)

Odporúčania:

Administrátorom a používateľom odporúčame bezodkladnú aktualizáciu prehliadača Chrome aspoň na verzie 142.0.7444.175/.176 (Windows), 142.0.7444.176 (Mac) a 142.0.7444.175 (Linux).

Zdroje:

• https://chromereleases.googleblog.com/2025/11/stable-channel-update-for-desktop_17.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-13223
• https://nvd.nist.gov/vuln/detail/CVE-2025-13224
• https://thehackernews.com/2025/11/google-issues-security-fix-for-actively.html

Spoločnosť ASUS vydala bezpečnostné aktualizácie firmvéru routerov série DSL, ktoré opravujú kritickú zraniteľnosť. CVE-2025-59367 možno zneužiť na získanie neoprávneného prístupu do systému a úplné narušenie dôvernosti, integrity a dostupnosti zariadenia.

Zraniteľné systémy:

• Routre ASUS DSL-AC51 s firmvérom vo verzii staršej ako 1.1.2.3_1010
• Routre ASUS DSL-N16 s firmvérom vo verzii staršej ako 1.1.2.3_1010
• Routre ASUS DSL-AC750 s firmvérom vo verzii staršej ako 1.1.2.3_1010

Opis zraniteľností:

CVE-2025-59367  (CVSS 4.0 skóre 9,3)

Kritická zraniteľnosť spočíva v nedostatočnej implementácii mechanizmov autentifikácie a vzdialený neautentifikovaný útočník by ju mohol zneužiť na neoprávnený prístup do systému a úplné narušenie dôvernosti, integrity a dostupnosti zariadenia.

Možné škody:

• Neoprávnený prístup do systému
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom a používateľom odporúčame vykonať bezodkladnú aktualizáciu firmvéru zraniteľných routerov na verziu 1.1.2.3_1010. Detailné návody na aktualizáciu firmvéru a odporúčania pre hardening môžete nájsť na stránke výrobcu. V prípade, že aktualizáciu nie je možné vykonať, výrobca odporúča neprevádzkovať manažmentové rozhrania, port forwarding, DDNS, VPN server, DMZ, port triggering a FTP voľne dostupné z internetu.

Zdroje:

• https://www.asus.com/security-advisory
• https://www.cve.org/CVERecord?id=CVE-2025-59367
• https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-dsl-series-routers/
• https://www.asus.com/support/faq/1008000/
• https://www.asus.com/support/faq/1039292/

Spoločnosť Fortinet vydala bezpečnostné aktualizácie svojho webového aplikačného firewallu FortiWeb, ktoré opravujú 2 aktívne zneužívané zero day zraniteľnosť. Zraniteľnosti s identifikátormi CVE-2025-64446 a CVE-2025-58034 možno zneužiť na získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Fortinet FortiWeb 8.0.0 až 8.0.1
• Fortinet FortiWeb 7.6.0 až 7.6.5
• Fortinet FortiWeb 7.4.0 až 7.4.10
• Fortinet FortiWeb 7.2.0 až 7.2.11
• Fortinet FortiWeb 7.0.0 až 7.0.11

Opis zraniteľností:

CVE-2025-64446  (CVSSv3 skóre 9,4)

Aktívne zneužívaná kritická zraniteľnosť grafického rozhrania FortiWeb umožňujúca prechod medzi relatívnymi cestami sa nachádza v grafickom používateľskom rozhraní produktu. Vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených požiadaviek HTTP/S mohol zneužiť na vykonávanie administratívnych príkazov.

Fortinet zraniteľnosť opravil už 28. októbra 2025, avšak bez pridelenia identifikátora CVE. Po zverejnení informácií o jej aktívnom zneužití a  kódu demonštrujúceho mechanizmus jej zneužitia bol zraniteľnosti dodatočne pridelený CVE-2025-64446.

CVE-2025-58034  (CVSSv3 skóre 6,7)

Aktívne zneužívaná CVE-2025-58034 spočíva v nesprávnej neutralizácii špeciálnych prvkov používaných v rámci príkazov operačného systému. Vzdialený autentifikovaný útočník by ju zaslaním špeciálne vytvorených HTTP požiadaviek alebo príkazov CLI mohol zneužiť na vzdialené vykonanie kódu.

Možné škody:

• Vzdialené vykonanie príkazov
• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu FortiWeb na verzie 8.0.2, 7.6.6, 7.4.11, 7.2.12, 7.0.12 alebo novšie. Okrem aktualizácie je potrebné vykonať kontrolu logov na prítomnosť pokusov o zneužitie zraniteľnosti a audit používateľských kont za účelom identifikácie neznámych účtov vytvorených útočníkom. Rovnako odporúčame administratívne rozhrania prevádzkovať úplne oddelene od internetu.

Zdroje:

• https://fortiguard.fortinet.com/psirt/FG-IR-25-910
• https://www.cve.org/CVERecord?id=CVE-2025-64446
• https://www.bleepingcomputer.com/news/security/fortinet-confirms-silent-patch-for-fortiweb-zero-day-exploited-in-attacks/
• https://fortiguard.fortinet.com/psirt/FG-IR-25-513
• https://nvd.nist.gov/vuln/detail/CVE-2025-58034
• https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-fortiweb-zero-day-exploited-in-attacks/

Vývojári modulu WordPress W3 Total Cache vydali bezpečnostné aktualizácie, ktoré opravujú kritickú zraniteľnosť. CVE-2025-9501 možno zneužiť na vzdialené vykonanie PHP príkazov a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• WordPress plugin W3 Total Cache vo verziách starších ako 2.8.13

Opis zraniteľnosti:

CVE-2025-9501  (CVSSv3 skóre 9,0)

Kritická zraniteľnosť spočíva v nedostatočnom overovaní používateľských vstupov v rámci funkcie _parse_dynamic_mfunc(). Vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvoreného komentára mohol zneužiť na vzdialené vykonanie PHP príkazov a získanie úplnej kontroly nad systémom.

Pozn.: Výrobca vydal aktualizácie 27. októbra 2025. Kód demonštrujúci mechanizmus zneužitia zraniteľnosti bude zverejnený 24. novembra 2025.

Možné škody:

• Vzdialené vykonanie príkazov
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu modulu W3 Total Cache na verziu 2.8.13. Rovnako odporúčame preveriť integritu databázy a súborov redakčného systému WordPress a logy CMS, sieťových a bezpečnostných prvkov na podozrivých komentárov a prítomnosť pokusov o zneužitie zraniteľnosti.

Zdroje:

• https://wpscan.com/vulnerability/6697a2c9-63ae-42f0-8931-f2e5d67d45ae/
• https://nvd.nist.gov/vuln/detail/CVE-2025-9501
• https://www.bleepingcomputer.com/news/security/w3-total-cache-wordpress-plugin-vulnerable-to-php-command-injection/

Spoločnosť Microsoft vydala v novembri 2025 balík opráv pre portfólio svojich produktov opravujúci 63 zraniteľností, z ktorých 5 spoločnosť označila ako kritické. Tieto umožňujú vzdialene vykonávať kód, získať citlivé informácie a eskalovať oprávnenia. Jedna vysoko závažná zraniteľnosť je aktívne zneužívaná a umožňuje eskalovať oprávnenia útočníka.

Zraniteľné systémy:

• Azure Monitor
• Dynamics 365 Field Service (online)
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft Configuration Manager 2403
• Microsoft Configuration Manager 2409
• Microsoft Configuration Manager 2503
• Microsoft Dynamics 365 (on-premises) version 9.1
• Microsoft Excel 2016 (32-bit edition)
• Microsoft Excel 2016 (64-bit edition)
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office for Android
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions
• Microsoft Office LTSC 2024 for 32-bit editions
• Microsoft Office LTSC 2024 for 64-bit editions
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC for Mac 2024
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server Subscription Edition
• Microsoft SQL Server 2016 for x64-based Systems Service Pack 3 (GDR)
• Microsoft SQL Server 2016 for x64-based Systems Service Pack 3 Azure Connect Feature Pack
• Microsoft SQL Server 2017 for x64-based Systems (CU 31)
• Microsoft SQL Server 2017 for x64-based Systems (GDR)
• Microsoft SQL Server 2019 for x64-based Systems (CU 32)
• Microsoft SQL Server 2019 for x64-based Systems (GDR)
• Microsoft SQL Server 2022 for x64-based Systems (CU 21)
• Microsoft SQL Server 2022 for x64-based Systems (GDR)
• Microsoft Visual Studio 2022 version 17.14
• Microsoft Visual Studio Code CoPilot Chat Extension
• Nuance PowerScribe 360 version 4.0.1
• Nuance PowerScribe 360 version 4.0.2
• Nuance PowerScribe 360 version 4.0.3
• Nuance PowerScribe 360 version 4.0.4
• Nuance PowerScribe 360 version 4.0.5
• Nuance PowerScribe 360 version 4.0.6
• Nuance PowerScribe 360 version 4.0.7
• Nuance PowerScribe 360 version 4.0.8
• Nuance PowerScribe 360 version 4.0.9
• Nuance PowerScribe One version 2019.1
• Nuance PowerScribe One version 2019.10
• Nuance PowerScribe One version 2019.2
• Nuance PowerScribe One version 2019.3
• Nuance PowerScribe One version 2019.4
• Nuance PowerScribe One version 2019.5
• Nuance PowerScribe One version 2019.6
• Nuance PowerScribe One version 2019.7
• Nuance PowerScribe One version 2019.8
• Nuance PowerScribe One version 2019.9
• Office Online Server
• OneDrive for Android
• PowerScribe One version 2023.1 SP2 Patch 7
• Visual Studio Code
• Windows 10 for 32-bit Systems
• Windows 10 for x64-based Systems
• Windows 10 Version 1607 for 32-bit Systems
• Windows 10 Version 1607 for x64-based Systems
• Windows 10 Version 1809 for 32-bit Systems
• Windows 10 Version 1809 for x64-based Systems
• Windows 10 Version 21H2 for 32-bit Systems
• Windows 10 Version 21H2 for ARM64-based Systems
• Windows 10 Version 21H2 for x64-based Systems
• Windows 10 Version 22H2 for 32-bit Systems
• Windows 10 Version 22H2 for ARM64-based Systems
• Windows 10 Version 22H2 for x64-based Systems
• Windows 11 Version 22H2 for ARM64-based Systems
• Windows 11 Version 22H2 for x64-based Systems
• Windows 11 Version 23H2 for ARM64-based Systems
• Windows 11 Version 23H2 for x64-based Systems
• Windows 11 Version 24H2 for ARM64-based Systems
• Windows 11 Version 24H2 for x64-based Systems
• Windows 11 Version 25H2 for ARM64-based Systems
• Windows 11 Version 25H2 for x64-based Systems
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
• Windows Server 2012
• Windows Server 2012 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2022 (Server Core installation)
• Windows Server 2022, 23H2 Edition (Server Core installation)
• Windows Server 2025
• Windows Server 2025 (Server Core installation)
• Windows Subsystem for Linux GUI

Opis činnosti:

V rámci októbrového balíka Patch Tuesday opravila spoločnosť Microsoft vo svojich produktoch 63 zraniteľností. Z nich 5 zaradila spoločnosť Microsoft do kategórie kritické a 58 bolo vyhodnotených ako vysoko závažné („Important“). Jedna z vysoko závažných je aktívne zneužívaná. Kritické zraniteľnosti umožňujú vzdialene vykonávať kód, získať citlivé informácie a eskalovať oprávnenia.

CVE-2025-62215 (CVSS skóre 7,0)

Aktívne zneužívaná vysoko závažná zraniteľnosť v kerneli Windows súvisí s dvojitým uvoľnením pamäte a vzniku súbehu procesov. Umožňuje eskalovať oprávnenia na úroveň SYSTEM. Lokálny autorizovaný útočník ju môže zneužiť po výhre súbehu. Nepotrebuje interakciu obete.

CVE-2025- 30398 (CVSS skóre 8,1)

Zraniteľnosť sa nachádza v produkte Nuance PowerScribe 360. Kvôli chýbajúcej kontrole autorizácie dovoľuje vzdialenému neautorizovanému útočníkovi získať prístup k citlivým používateľským informáciám a schopnosť modifikovať ich. Pre jej úspešné zneužitie potrebuje útočník počkať, kým obeť iniciuje spojenie. Následne môže vykonať volanie API za zraniteľný koncový bod.

CVE-2025-60716 (CVSS skóre 7,0)

Zraniteľnosť v jadre Windows DirectX umožňuje eskalovať oprávnenia na úroveň SYSTEM. Vyplýva z možnosti opätovného použitia dealokovanej pamäte. Lokálny útočník s nízkymi oprávneniami ju môže zneužiť po výhre súbehu. Nepotrebuje interakciu obete.

CVE-2025-60724 (CVSS skóre 9,8)

Kritická zraniteľnosť Microsoft Graphics Component (GDI+) dovoľuje vzdialené vykonávanie kódu. Súvisí s pretečením vyrovnávacej pamäte na halde, ktoré môže zneužiť vzdialený útočník bez oprávnení v systéme, bez interakcie obete. Náhľad (Preview Pane) nie je vektorom útoku.

CVE-2025-62199 (CVSS skóre 7,8)

Zraniteľnosť Microsoft Office umožňuje vykonávanie ľubovoľného kódu. Vyplýva z možnosti opätovného použitia dealokovanej pamäte. Lokálny neautorizovaný útočník ju môže zneužiť s pomocou obete, ktorá otvorí škodlivý súbor. Náhľad (Preview Pane) je tiež vektorom útoku.

CVE-2025-62214 (CVSS skóre 6,7)

Zraniteľnosť produktu Visual Studio umožňuje lokálnemu útočníkovi s nízkymi oprávneniami vykonávať ľubovoľný kód. Vyplýva z nevhodnej sanitizácie používateľských príkazov. Útočník potrebuje interakciu obete, musí injektovať prompt do agenta Copilot a vyvolať kompiláciu kódu.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu
• Eskalácia oprávnení

Odporúčania:

Administrátorom a používateľom zraniteľných verzií odporúčame bezodkladne vykonať aktualizácie dostupné priamo zo systému alebo zo stránky výrobcu. Pre konkrétny prehľad si treba vo filtroch zvoliť mesiac október a Mode „Update Tuesday“. Bližšie informácie nájdete aj tu.

Odkazy:

• https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2025-patch-tuesday-fixes-1-zero-day-63-flaws/
• https://msrc.microsoft.com/update-guide/en-us
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-62215
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-30398
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60716
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60724
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-62199
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-62214

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci október 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 10/2025 PDF (1 732 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Bezpečnostný výskumník zo spoločnosti SUSE objavil tri zraniteľnosti, ktoré umožňujú lokálnemu útočníkovi za určitých podmienok uniknúť z izolovaného prostredia softvérového kontajneru a získať administrátorské (root) oprávnenia v hostiteľskom systéme.

Zraniteľné systémy podľa jednotlivých CVE:

• CVE-2025-31133 – všetky verzie runC
• CVE-2025-52881 – všetky verzie runC
• CVE-2025-52565 – runC verzie 1.0.0-rc3 a vyššie

Opis zraniteľnosti:

CVE-2025-31133 (CVSS 4.0 skóre 7,3)

Zraniteľnosť spočíva v nedostatočnej verifikácii cez funkciu maskedPaths, ktorá je navrhnutá na ochranu citlivých súborov hostiteľa pred prístupom z kontajnerov. Zraniteľnosť umožňuje útočníkovi podvrhnúť nelegitímny kód pomocou symbolického odkazu (symlink) za cestu /dev/null, čím vie pripojiť ľubovoľnú cestu z hostiteľa do kontajnera.

CVE-2025-52881 (CVSS 4.0 skóre 7,3)

Zraniteľnosť umožňuje presmerovať výstup zápisu z cesty /proc cez symbolické odkazy. Týmto spôsobom môže útočník obísť štítky Security Linux Module tým, že presmerujú zápisy runC do podvrhnutých súborov procfs. Zneužitie zraniteľnosti pripomína historickú CVE-2019-19921.

CVE-2025-52565 (CVSS 4.0 skóre 8,4)

Táto zraniteľnosť cieli na operáciu pripojenia (mount) /dev/pts/$n na /dev/console počas inicializácie kontejnera. Nedostatočná validácia umožňuje útočníkom presmerovať toto pripojenie a získať zápisový prístup k chráneným súborom v procfs. Pripojenie /dev/console prebieha pred aplikovaním ochrán maskedPaths a readonlyPaths, čo útočníkom umožňuje manipulovať s cieľom pripojenia a obísť bezpečnostné obmedzenia.

Možné škody:

• Odopretie služby hostiteľského systému (DoS)
• Únik citlivých informácií z hostiteľského systému
• Získanie úplnej kontroly nad hostiteľským zariadením

Odporúčania:

Administrátorom a developerom odporúčame aktualizovať runC na verziu 1.2.8, 1.3.3, alebo 1.4.0-rc.3 alebo novšiu, podľa produkčných požiadaviek. Ďalej odporúčame aktivovať množiny mien (namespaces) pre všetky kontajnery, čím zamedzia prístup k súborom procfs. Všeobecným odporúčaním je aj využívať tzv. „rootless“ kontajnery ktoré nevyžadujú administrátorské právomoci.

Zdroje:

• https://nvd.nist.gov/vuln/detail/CVE-2025-31133
• https://nvd.nist.gov/vuln/detail/CVE-2025-52881
• https://nvd.nist.gov/vuln/detail/CVE-2025-52565
• https://github.com/opencontainers/runc/security/advisories/GHSA-9493-h29p-rfm2
• https://github.com/opencontainers/runc/security/advisories/GHSA-qw9x-cqr3-wc7r
• https://github.com/opencontainers/runc/security/advisories/GHSA-cgrx-mc8f-2prm
• https://seclists.org/oss-sec/2025/q4/138
• https://www.sysdig.com/blog/runc-container-escape-vulnerabilities

Aktuálna situácia:

Qilin je v roku 2025 jednou z najaktívnejších ransomvérových skupín s viac ako 40 úspešnými útokmi mesačne. Celkovo bolo v roku 2025 zdokumentovaných viac ako 700 útokov, pričom najviac zasiahnutý sektor je výroba (23%). Nasledujú profesionálne a vedecké služby (18%) a veľkoobchod (10%).

Opis útoku:

Útok začína najčastejšie cez ukradnuté administrátorské prihlasovacie údaje (VPN/RDP), ktoré útočníci získavajú z dark webu.

Pre pohyb na sieti používajú viaceré legitímne nástroje ako PsExec, Cobalt Strike, SystemBC, AnyDesk, WinSCP, Splashtop Remote. Na exfiltráciu dát využívajú nástroj Cyberduck. Na vytvorenie perzistencie v systéme útočníci tiež vytvárajú podvrhnuté plánované úlohy (scheduled tasks) a modifikujú registre.

Ako ochranu pred detekciou využívajú techniky BYOVD (Bring Your Own Vulnerable Driver), obfuskáciu PowerShell kódu, vypnutie AMSI, deaktiváciu overovania TLS certifikátov a termináciu bezpečnostného softvéru pomocou nástrojov ako dark-kill a HRSword.

Dopad na Slovensko:

Na území Slovenskej Republiky evidujeme útoky tejto ransomvérovej skupiny v oblasti energetiky  a verejnej správy. Upozorňujeme aj na to, že jej primárny cieľ (výrobný sektor) tvorí značnú súčasť nášho hospodárstva. Práve západné priemyselné spoločnosti, ktoré sú častými cieľmi tejto skupiny, majú svoje pobočky aj na Slovensku.

Odporúčania:
Administrátorom odporúčame zvýšenú pozornosť na neobvyklé prístupy cez VPN/RDP, segmentáciu siete a obmedzenie prístupu k citlivým systémom. Ďalej odporúčame pravidelné aktualizácie systémov a aplikácií a následnú kontrolu verzií ovládačov, obzvlášť s ohľadom na zneužívanie zraniteľností a techniky BYOVD.

Zdroje:

• https://blog.talosintelligence.com/uncovering-qilin-attack-methods-exposed-through-multiple-cases/
• https://thehackernews.com/2025/10/qilin-ransomware-combines-linux-payload.html
• https://therecord.media/qilin-ransomware-gang-hits-hundreds-of-orgs-2025
• https://github.com/Cisco-Talos/IOCs/blob/main/2025/10/uncovering-qilin-attack-methods-exposed-through-multiple-cases.txt

Bezpečnostní výskumníci zo spoločnosti Tenable zverejnili informácie o siedmich zraniteľnostiach v systéme OpenAI ChatGPT, ktoré mohli útočníkom umožniť realizáciu tzv. indirect prompt injection útokov. Tieto útoky umožňujú získať prístup k citlivým informáciám používateľov prostredníctvom manipulácie vstupov, ktoré model následne spracováva.

Ako útok fungoval

Na rozdiel od klasických injekčných útokov, kde útočník zadáva príkazy priamo do rozhrania AI, indirect prompt injection využíva nepriamy vstup – napríklad text vložený do webovej stránky, ktorú si model načíta pre sumarizáciu. Takto môžu byť do prostredia modelu podvrhnuté skryté inštrukcie, ktoré AI vykoná bez vedomia používateľa.

Podľa Tenable išlo konkrétne o tieto typy zraniteľností:

• Tri zraniteľnosti umožňovali podvrhnúť škodlivé príkazy prostredníctvom obsahu sumarizovanej webovej stránky.
• Ďalšia zraniteľnosť využívala načítavanie príkazov z výsledkov indexovaných vyhľadávačmi (napr. Bing či crawlerom OpenAI).
• Jedna zraniteľnosť spočívala v priamom vložení promptu do URL chatgpt.com/?q={prompt}, čo mohlo viesť k manipulácii vstupu používateľa.
• Zneužitie whitelisting vyhľadávača Bing mohlo umožniť útočníkom podvrhnúť škodlivé presmerovanie na externé stránky.

Tieto techniky dokázali obísť bežné bezpečnostné opatrenia a získať údaje z histórie konverzácií alebo interného kontextu modelu.

Záver

Článok referencuje nedávno zverejnené zraniteľnosti v AI vyhľadávačoch, platformách a agentových prehliadačoch, čím poukazuje na vysoké riziká vyplývajúce z využitia týchto technológií. Zverejnené boli aj výsledky výskumu ohľadom manipulácie myslenia modelov AI podvrhnutím veľkého množstva falošných informácií. Kým spoločnosť OpenAI už reagovala opravami, odborníci varujú, že ofenzívne techniky prompt injection a data poisoning zostávajú otvorenými výzvami pre celý AI ekosystém.

Zdroje:

• https://www.tenable.com/blog/hackedgpt-novel-ai-vulnerabilities-open-the-door-for-private-data-leakage

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci október 2025.

Mesačný prehľad – 10/2025 PDF (565 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Služba Windows Server Update Services obsahuje kritickú zraniteľnosť umožňujúcu vzdialene vykonávať kód. Útočníci posielajú upravené požiadavky na porty 8530 a 8531 služby WSUS, čím získavajú kontrolu nad serverom. Microsoft vydal núdzovú aktualizáciu a odporúča zakázať službu WSUS, pokiaľ opravná aktualizácia nie je možná.

Zraniteľné systémy:

• Windows Server 2012
• Windows Server 2012 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2022 (Server Core installation)
• Windows Server 2022, 23H2 Edition (Server Core installation)
• Windows Server 2025
• Windows Server 2025 (Server Core installation)

Opis činnosti:

CVE-2025-59287 (CVSS skóre 9,8)

Kritická zraniteľnosť vo Windows Server Update Services (WSUS) súvisí s nezabezpečenou deserializáciou objektov AuthorizationCookie zaslaných na koncový bod GetCookie(). Absentujúca kontrola typu dát po deserializácii umožňuje neautentifikovanému útočníkovi vzdialene vykonávať kód s právami SYSTEM.

Hackeri aktívne útočia na servery s otvorenými portmi 8530 a 8531 s cieľom zneužiť zraniteľné verzie. Vektorom útoku sú volania POST so špeciálne upravenými AuthorizationCookie. Pri zaznamenaných prípadoch boli zneužité procesy w3wp.exe a wsusservice.exe na spustenie cmd.exe a powershell.exe.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia služby WSUS na verzie, ktoré uvádza Microsoft na svojom webe. Servery je potrebné po aktualizácii reštartovať.

Pokiaľ aktualizácia nie je možná, zraniteľnosť sa dá mitigovať blokovaním prichádzajúcej sieťovej premávky na porty 8530 s 8531, okrem legitímnych zdrojov ako serverov Microsoft Update.

Pokiaľ je rola WSUS vypnutá (štandardné nastavenie), server nie je zraniteľný.

Indikátory kompromitácie:

Logy

• C:\Program Files\Update Services\Logfiles\SoftwareDistribution.log
  • System.Data.DataSet.DeserializeDataSetSchema (SerializationInfo, StreamingContext)
  • System.Runtime.Serialization.ObjectManager.DoFixups()
  • System.Runtime.Serialization.ObjectManager.CompleteISerializableObject
  • System.Reflection.TargetInvocationException: Exception has been thrown by the target of an invocation.
  • ErrorWsusService.9HmtWebServices.CheckReportingWebServiceReporting WebService WebException:System.Net.WebException: Unable to connect to the remote server
• C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.log
  • POST /ReportingWebService/ReportingWebService.asmx (get_server_id)
  • POST /SimpleAuthWebService/SimpleAuth.asmx (get_auth_cookie)
  • POST /ClientWebService/Client.asmx (get_reporting_cookie)
  • POST /ReportingWebService/ReportingWebService.asmx (send_malicious_event)
  • POST /ApiRemoting30/WebService.asmx
  • POST /ReportingWebService/ReportingWebService.asmx – 8530 – <IPv4> Windows-Update-Agent – 200

Príkazy

• whoami;net user /domain
• net user /domain; ipconfig /all

Pre detekciu zneužitia zraniteľnosti existuje verejne dostupné pravidlo Sigma.

Odkazy:

• https://www.huntress.com/blog/exploitation-of-windows-server-update-services-remote-code-execution-vulnerability
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59287
• https://hawktrace.com/blog/CVE-2025-59287-UNAUTH

Spoločnosť TP-Link vydala bezpečnostné aktualizácie svojich brán Omada, ktoré opravujú 4 zraniteľnosti, z čoho 2 sú označené ako kritické. Kritické zraniteľnosti s identifikátormi CVE-2025-6542 a CVE-2025-7850 možno zneužiť na vzdialené vykonanie príkazov operačného systému a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Omada ER8411 vo verziách starších ako 1.3.3 Build 20251013 Rel.44647
• Omada ER7412-M2 vo verziách starších ako 1.1.0 Build 20251015 Rel.63594
• Omada ER707-M2 vo verziách starších ako 1.3.1 Build 20251009 Rel.67687
• Omada ER7206 vo verziách starších ako 2.2.2 Build 20250724 Rel.11109
• Omada ER605 vo verziách starších ako 2.3.1 Build 20251015 Rel.78291
• Omada ER706W vo verziách starších ako 1.2.1 Build 20250821 Rel.80909
• Omada ER706W-4G vo verziách starších ako 1.2.1 Build 20250821 Rel.82492
• Omada ER7212PC vo verziách starších ako 2.1.3 Build 20251016 Rel.82571
• Omada G36 vo verziách starších ako 1.1.4 Build 20251015 Rel.84206
• Omada G611 vo verziách starších ako 1.2.2 Build 20251017 Rel.45512
• Omada FR365 vo verziách starších ako 1.1.10 Build 20250626 Rel.81746
• Omada FR205 vo verziách starších ako 1.0.3 Build 20251016 Rel.61376
• Omada FR307-M2 vo verziách starších ako 1.2.5 Build 20251015 Rel.76743

Opis zraniteľností:

Kritické zraniteľnosti:

CVE-2025-6542 (CVSS 4.0 skóre 9.3)

CVE-2025-6542 by vzdialený neautentifikovaný útočník mohol zneužiť na injekciu príkazov operačného systému a získanie úplnej kontroly nad systémom.

CVE-2025-7850 (CVSS 4.0 skóre 9.3)

Kritickú zraniteľnosť by autentifikovaný útočník s administrátorským prístupom do webového rozhrania brán mohol zneužiť na injekciu príkazov a získanie úplnej kontroly nad systémom.

Vysoko závažné zraniteľnosti:

CVE-2025-6541 (CVSS 4.0 skóre 8.6)

Vysoko závažná zraniteľnosť umožňuje útočníkovi prihlásenému do webového administratívneho rozhrania vykonať injekciu príkazov operačného systému.

CVE-2025-7851 (CVSS 4.0 skóre 8.7)

Zraniteľnosť umožňuje získanie neoprávneného prístupu k systémovému shellu s privilégiami používateľa root, obmedzenému oprávneniami zraniteľnej brány.

Možné škody:

• Vzdialené vykonanie príkazov
• Únik citlivých informácií
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu zraniteľných systémov na verzie špecifikované výrobcom. Konkrétne verzie môžete nájsť na stránke výrobcu alebo v časti „Zraniteľné systémy“ tohto varovania. Po aktualizácii systémov taktiež odporúčame vykonať kontrolu konfigurácie zariadení.

Zdroje:

• https://support.omadanetworks.com/en/document/108455/
• https://support.omadanetworks.com/us/document/108456/
• https://www.bleepingcomputer.com/news/security/tp-link-warns-of-critical-command-injection-flaw-in-omada-gateways/

Bezpečnostní výskumníci spoločnosti Ox Security upozornili na prítomnosť veľkého množstva známych zraniteľností v aktuálnych verziách vývojových prostredí Cursor a Windsurf, z dôvodu implementácie starých verzií nástrojov Chromium a V8. Výskumníci varujú, že ignorovanie či neaktualizovanie takýchto chýb predstavuje vážnu bezpečnostnú hrozbu.

Zraniteľné systémy:

• Cursor 0.47.6 až 1.7.46 (minimálne)
• Windsurf, najnovšia verzia

Opis činnosti:

Bezpečnostní výskumníci spoločnosti Ox Security testovali aktuálne verzie vývojových prostredí Cursor a Windsurf. Zistili, že obsahujú viac ako 94 známych a odstránených zraniteľností v prehliadačovom nástroji Chromium a JavaScript V8, pretože obe prostredia používajú staršie verzie platformy Electron. Približne 1,8 milióna vývojárov, ktorí tieto vývojové prostredia používajú, sa vystavuje riziku útokov prostredníctvom zneužitia niektorej z nich.

Výskumníci problém demonštrovali zneužitím zraniteľnosti CVE-2025-7656 kompilátora Maglev JIT v nástroji V8, keď prostredníctvom škodlivého deeplinku dokázali vykonať príkaz presmerúvajúci prehliadač prostredia (Simple Browser) na zdroj škodlivého kódu. Ten sa vykonal bez detekcie, pretože nebol prítomný priamo v príkaze. Autori Cursor sa vyjadrili, že tento problém je mimo ich záujmu, Windsurf na informáciu nereagoval.

Ako ďalšie praktické scenáre útokov uvádzajú nahratie škodlivého rozšírenia, injektovanie škodlivého kódu do dokumentácie a súborov README, ktorý sa v prostrediach vykoná v rámci vykreslenia náhľadu, alebo spearphishing.

Popísaný problém môže vyústiť do útoku na dodávateľský reťazec s významným dopadom, vrátane úniku citlivých podnikových informácií, ktoré majú vývojári uložené na svojich zariadeniach.

Možné škody:

• Vykonanie ľubovoľného kódu
• Nedostupnosť aplikácie (DoS)
• Únik citlivých údajov

Odporúčania:

Jedná o problém na strane vývojárov, autori článku však odporúčajú v rámci bezpečnosti infraštruktúry mať prehľad o používaných vývojových prostrediach a monitorovať sieťovú premávku z cieľom odhaliť únik informácií.

Odkazy:

• https://www.ox.security/blog/94-Vulnerabilities-in-Cursor-and-Windsurf-Put-1-8M-Developers-at-Risk/
• https://www.bleepingcomputer.com/news/security/cursor-windsurf-ides-riddled-with-94-plus-n-day-chromium-vulnerabilities/

Výrobca modulárnych notebookov a desktopov Framework vydal bezpečnostné aktualizácie firmvéru svojich produktov, ktoré opravujú zraniteľnosť zneužiteľnú na inštaláciu bootkitov a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Framework 13 (11th Gen Intel) s firmvérom vo verzii staršej ako 3.24 (výrobca pracuje na aktualizácii)
• Framework 13 (12th Gen Intel) s firmvérom vo verzii staršej ako 3.18 (3.19 pre verziu s DBX)
• Framework 13 (13th Gen Intel) s firmvérom vo verzii staršej ako 3.08
• Framework 13 (Intel Core Ultra) s firmvérom vo verzii staršej ako 3.06
• Framework 13 (AMD Ryzen 7040) s firmvérom vo verzii staršej ako 3.16
• Framework 13 (AMD Ryzen AI 300) s firmvérom vo verzii staršej ako 3.04 (3.05 pre verziu s DBX)
• Framework 16 (AMD Ryzen 7040) s firmvérom vo verzii staršej ako 3.06 (Beta) (3.07 pre verziu s DBX)
• Framework Desktop (AMD Ryzen AI 300 MAX) s firmvérom vo verzii staršej ako 3.01 (3.03 pre verziu s DBX)

Opis zraniteľnosti:

CVE identifikátor nebol pridelený (CVSSv3.1 skóre 7,1)

Zraniteľnosť firmvéru spočíva v možnosti prístupu k diagnostickému a debugovaciemu príkazu mm (memory modify), ktorý poskytuje priamy prístup k systémovej pamäti umožňujúci čítanie a zápis. Tento príkaz by útočník s fyzickým prístupom k zariadeniu mohol zneužiť na nastavenie premennej gSecurity2 na hodnotu NULL, čo by viedlo k deaktivácii mechanizmov overovania podpisov firmvéru (Secure Boot). Útočník by následne mohol vykonať modifikáciu firmvéru, inštaláciu bootkitov a získať tak úplnú kontrolu nad systémom.

Pozn.: Zraniteľnosť objavili bezpečnostní výskumníci zo spoločnosti Eclypsium, ktorá ju eviduje pod aliasom BombShell.

Možné škody:

• Obídenie bezpečnostného prvku
• Neoprávnená zmena v systéme
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom a používateľom odporúčame vykonať aktualizáciu firmvéru zariadení na verzie špecifikované v časti „Zraniteľné systémy“ tohto varovania. V prípade, že aktualizáciu nie je možné vykonať, odporúčame limitovať fyzický prístup k zariadeniu alebo odstránenie DB kľúča prostredníctvom BIOS.

Zdroje:

• https://eclypsium.com/blog/bombshell-the-signed-backdoor-hiding-in-plain-sight-on-framework-devices/
• https://www.bleepingcomputer.com/news/security/secure-boot-bypass-risk-on-nearly-200-000-linux-framework-sytems/

Výskumníci z VulnCheck zverejnili informácie o aktívne zneužívanej kritickej zraniteľnosti v softvéri ICTBroadcast spoločnosti ICT Innovations, ktorý slúži na správu call centier a automatické vytáčanie hovorov. CVE-2025-2611 možno zneužiť na injekciu shellových príkazov a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• ICT Innovations ICTBroadcast vo všetkých verziách až po 7.4 (vrátane)

Opis zraniteľností:

CVE-2025-2611(CVSSv4.0 skóre 9,3)

Kritická zraniteľnosť CVE-2025-2611 spočíva v nedostatočnom overovaní vstupov a vzdialený neautentifikovaný útočník by ich mohol zneužiť na vzdialenú injekciu shellových príkazov do relačných cookies BROADCAST, ktoré sa vykonajú na serveri. To môže viesť ku schopnosti vzdialene vykonávať kód bez autentifikácie.

Na uvedenú zraniteľnosť je dostupný proof of concept kód demonštrujúci mechanizmus jej zneužitia.

Zraniteľnosť objavil bezpečnostný výskumník Valentin Lobstein v marci 2025 a je aktívne zneužívaná minimálne od 11. októbra 2025. Útoky začínajú preverovaním prítomnosti zraniteľnosti, následne dochádza k jej zneužitiu na vytvorenie reverzného shellu. Škodlivý payload využíva príkazy mkfifo, nc, awk kódované v Base64 alebo príkazy Python kódované Base64 a komprimované prostredníctvom zlib. Súvisiace indikátory kompromitácie (IOC) v máji 2025 spoločnosť Fortinet asociovala s e-mailovou kampaňou cielenou na Španielsko, Taliansko a Portugalsko, ktorá šírila malvér Ratty RAT.

Možné škody:

• Vzdialená injekcia príkazov
• Vzdialené vykonanie kódu
• Získanie plnej kontroly nad systémom

Odporúčania:

Na uvedenú zraniteľnosť v súčasnosti nie sú dostupné aktualizácie. Výskumníci do vydania záplat odporúčajú limitovať sieťový prístup k produktu len na dôveryhodné IP adresy alebo zaviesť sanitizáciu a overovanie obsahu session cookies. Taktiež odporúčame vykonať kontrolu logov sieťových a bezpečnostných prvkov na prítomnosť IOC.

Indikátory kompromitácie (IOC):

• *.localto[.]net
• 85sp9bexj.localto[.]net
• 143.47.53[.]106
• 86.104.249[.]106

Zdroje:

• https://www.vulncheck.com/blog/ictbroadcast-kev
• https://nvd.nist.gov/vuln/detail/CVE-2025-2611
• https://thehackernews.com/2025/10/hackers-target-ictbroadcast-servers-via.html
• https://www.fortinet.com/blog/threat-research/multilayered-email-attack-how-a-pdf-invoice-and-geofencing-led-to-rat-malware

Spoločnosť F5 potvrdila, že sa stala obeťou kybernetického útoku, v rámci ktorého sa bližšie nešpecifikovanej štátom sponzorovanej skupine podarilo získať dlhodobý prístup do ich systémov a exfiltrovať citlivé údaje, vrátane zdrojového kódu a konfigurácií časti zákazníkov.

Sumarizácia dostupných informácií:

Útočníci získali zdrojový kód a informácie o nahlásených zraniteľnostiach v produktoch BIG-IP, ktoré ešte neboli opravené ani zverejnené, a taktiež konfiguráciu a implementačné detaily obmedzeného počtu zákazníkov. Podľa dostupných informácií tieto údaje neboli zo strany útočníka zneužité ani zverejnené. Ku kompromitácii dodávateľského reťazca nedošlo, neboli zasiahnuté ani CRM, finančné systémy, zákaznícka podpora, systémy iHealth a systémy asociované s ostatnými produktovými radmi.

F5 sa o incidente dozvedela 9. augusta 2025. Rieši ho v spolupráci s externými špecialistami zo spoločností Mandiant a Crowdstrike. Vykonala rotáciu kryptografického materiálu a prijala dodatočné opatrenia na zabezpečenie systémov. V spolupráci s NCC Group a IOActive bola vykonaná aj analýza rizík a zdrojového kódu.

Podľa portálu Bloomberg systémy F5 kompromitovala čínska štátom sponzorovaná skupina UNC5221 malvérom BrickStorm a zotrvala v sieti vyše 12 mesiacov. Na aktivity tejto skupiny súvisiace so šírením BrickStorm koncom septembra 2025 upozornila GTIG (Google Threat Intelligence Group). Spoločnosť Mandiant sprístupnila skener pre vyhľadávanie známych signatúr indikujúcich prítomnosť BrickStorm v systéme.

F5 v súvislosti s útokom vydala bezpečnostné aktualizácie pre svoje produkty BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ a APM klientov, ktoré opravujú 44 zraniteľností, vrátane tých uniknutých. 27 z nich bolo označených ako vysoko závažné. Konkrétne verzie zraniteľných produktov a odkazy na príslušné aktualizácie môžete nájsť na stránke výrobcu.

Zraniteľné systémy:

• BIG-IP (všetky moduly)
• BIG-IP AFM
• BIG-IP APM, APM with SWG
• BIG-IP ASM
• BIG-IP PEM
• BIG-IP SSL Orchestrator, SSL Orchestrator with SWG
• BIG-IP Advanced WAF/ASM
• BIG-IP Next CNF, Next SPK, Next for Kubernetes
• F5OS-A
• F5OS-C
• F5 Silverline (všetky služby)
• NGINX App Protect WAF

Možné škody:

• Eskalácia privilégií
• Zneprístupnenie služby (DoS)
• Obídenie bezpečnostných prvkov

Odporúčania:

Administrátorom odporúčame bezodkladne:

• aplikovať dodatočné odporúčania F5 súvisiace s:
  • hardeningom zariadení
  • kontrolou integrity pomocou diagnostického nástroja F5 iHealth
  • zavedením detailného logovania a monitoringu
  • threat huntingom a analýzou dostupných logov na identifikáciu pokusov o zneužitie zraniteľností alebo útokov na produkty F5. Použite aj BrickStorm scanner od Mandiant a SIGMA pravidlá od CIRCL.LU.
• vykonať aktualizáciu všetkých identifikovaných produktov na verzie špecifikované výrobcom
• v prípade produktov s ukončenou podporou urýchlene zmigrovať na alternatívne produktys platnou podporou
• limitovať dostupnosť administratívnych rozhraní produktov len z dôveryhodných IP adries

Zdroje:

• https://my.f5.com/manage/s/article/K000154696
• https://my.f5.com/manage/s/article/K000157005
• https://my.f5.com/manage/s/article/K000156572
• https://www.f5.com/support/f5-ihealth
• https://my.f5.com/manage/s/article/K13080
• https://my.f5.com/manage/s/article/K13426
• https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices
• https://www.sec.gov/Archives/edgar/data/1048695/000104869525000149/ffiv-20251015.htm
• https://www.bloomberg.com/news/articles/2025-10-16/potentially-catastrophic-breach-of-cyber-firm-blamed-on-china
• https://cloud.google.com/blog/topics/threat-intelligence/brickstorm-espionage-campaign
• https://github.com/mandiant/brickstorm-scanner
• https://rulezet.org/bundle/detail/5

Aktuálna situácia:

Kumulatívna aktualizácia 2025-10, 64-bitového operačného systému WINDOWS 11 znemožňuje vytvorenie HTTP spojenia s LOCALHOST adresou 127.0.0.1, čo narúša činnosť viacerých aplikácií. Nie je možné napríklad lokálne ladenie v nástroji Visual Studio, autentifikovať sa prostredníctvom SSMS Entra ID a Cisco Duo Desktop, ktoré počas svojej činnosti vyžadujú komunikáciu s komponentmi dostupnými prostredníctvom LOCALHOST.

Zraniteľné systémy:

• Windows 11 24H2 aktualizácia KB5066835

Odporúčania:

Pre dočasné odstránenie problému sa odporúča odinštalovanie aktualizácie KB5066835. V prípade, že odstránenie spomínanej aktualizácie nebude možné, odporúča sa odinštalovať aj aktualizáciu KB5065789 spolu s KB5066835.

POZOR: Spoločnosť Microsoft sa zatiaľ k problematickej aktualizácii nevyjadrila a navrhované riešenia problému sú zatiaľ provizórne, pretože pochádzajú od užívateľov zasiahnutých verzií operačného systému, preto môžu mať aj značný dopad na kybernetickú bezpečnosť. Administrátorom odporúčame vykonať kroky na mitigáciu iba ak to je nevyhnutné, a naďalej sledovať aktualizáciu celej situácie od spoločnosti Microsoft.

Zdroje

• https://stackoverflow.com/questions/79790827/localhost-applications-failing-after-installing-2025-10-cumulative-update-for-w
• https://help.duo.com/s/article/9527?language=en_US
• https://learn.microsoft.com/en-us/answers/questions/5585563/localhost-not-working-anymore-after-2025-10-cumula

Spoločnosť Juniper Networks opravila zhruba 220 zraniteľností vo svojich produktoch Junos OS, Junos Space a Junos Space Security Director. 9 z nich je kritických.

Zraniteľné systémy:

• Junos OS, verzie staršie ako 23.4R2-S5, 24.2R2-S1, 24.4R1-S3, 24.4R2 a 25.2R1
• Junos OS Evolved, verzie staršie ako 23.4R2-S5-EVO, 24.2R2-S1-EVO, 24.4R1-S3-EVO, 24.4R2-EVO, 25.2R1-EVO
• Junos Space, verzie staršie ako 24.1R4
• Junos Space Security Director, verzie staršie ako 24.1R4

Opis činnosti:

Spoločnosť Juniper Networks vydala bezpečnostné aktualizácie pre svoje produkty Junos OS, Junos OS Evolved, Junos Space a Junos Space Security Director, ktoré opravujú zhruba 220 zraniteľností, z čoho 9 v Junos Space je označených ako kritické. Popis niektorých z najzávažnejších nájdete nižšie.

Junos Space:

CVE-2025-59978 (CVSS skóre 9,0)

Kritická zraniteľnosť v Junos Space, ktorá umožňuje ukladanie skriptových tagov v rámci textu na stránkach. Útočník tak môže vykonávať útoky typu XSS a spôsobiť vykonanie skriptov a príkazov na zariadení návštevníka škodlivej alebo kompromitovanej stránky, s oprávneniami administrátora.

CVE-2019-12900, CVE-2023-38408, CVE-2024-3596, CVE-2024-27280, CVE-2024-35845, CVE-2024-47538, CVE-2024-47607, CVE-2024-47615

Ostatné kritické zraniteľnosti opravené v októbri.

Medzi ďalšími opravených zraniteľnosťami bola vysoko závažná umožňujúca narušiť dostupnosť služby a stredne závažná dovoľujúca sťahovanie ľubovoľných súborov.

Junos OS:

CVE-2025-59964, CVE-2025-60004 (CVSS skóre 7,5)

V systémoch Junos OS a Junos OS Evolved boli okrem iného opravené dve vysoko závažné zraniteľnosti umožňujúce narušenie dostupnosti služby. Prvá súvisí s použitím neinicializovaného zdroja v komponente Packet Forwarding Engine (PFE). Druhú spôsobuje nevhodná kontrola výnimočných podmienok v komponente routing protocol daemon (rpd).

Junos Space Security Director:

CVE-2025-59968 (CVSS skóre 8,6)

Vysoko závažná zraniteľnosť súvisí s chýbajúcou autorizáciou. Neautentifikovaný útočník na sieti tak môže cez webové rozhranie čítať a upravovať metadáta.

CVE-2025-59974 (CVSS skóre 8,4)

Vysoko závažná zraniteľnosť vzniká kvôli nevhodnej sanitizácii používateľských vstupov. To dovoľuje injektovať a ukladať skripty do aplikácie, ktoré sa vykonajú v kontexte prehliadača obete (uložené XSS).

Možné škody:

• Únik citlivých informácií
• Nedostupnosť služby (DoS)
• Vzdialené vykonávanie kódu
• Kompromitácia systému

Odporúčania:

Bezodkladná aktualizácia aspoň na verzie:

• Junos OS 23.4R2-S5, 24.2R2-S1, 24.4R1-S3, 24.4R2 alebo 25.2R1
• Junos OS Evolved 23.4R2-S5-EVO, 24.2R2-S1-EVO, 24.4R1-S3-EVO, 24.4R2-EVO alebo 25.2R1-EVO
• Junos Space 24.1R4
• Junos Space Security Director 24.1R4

Odkazy:

• https://www.securityweek.com/juniper-networks-patches-critical-junos-space-vulnerabilities/
• https://supportportal.juniper.net/s/global-search/%40uri#sortCriteria=date%20descending&f-sf_primarysourcename=Knowledge&f-sf_articletype=Security%20Advisories&numberOfResults=25

Spoločnosť Microsoft vydala v októbri 2025 balík opráv pre portfólio svojich produktov opravujúci 172 zraniteľností, z ktorých 8 spoločnosť označila ako kritické. Tieto umožňujú vzdialene vykonávať kód a eskalovať oprávnenia. Šesť zraniteľností je aktívne zneužívaných.

Zraniteľné systémy:

• .NET 8.0 installed on Linux
• .NET 8.0 installed on Mac OS
• .NET 8.0 installed on Windows
• .NET 9.0 installed on Linux
• .NET 9.0 installed on Mac OS
• .NET 9.0 installed on Windows
• Arc Enabled Servers – Azure Connected Machine Agent
• ASP.NET Core 2.3
• ASP.NET Core 8.0
• ASP.NET Core 9.0
• Azure Compute Gallery
• Azure Monitor Agent
• Microsoft .NET Framework 2.0 Service Pack 2
• Microsoft .NET Framework 3.0 Service Pack 2
• Microsoft .NET Framework 3.5
• Microsoft .NET Framework 3.5 AND 4.7.2
• Microsoft .NET Framework 3.5 AND 4.8
• Microsoft .NET Framework 3.5 AND 4.8.1
• Microsoft .NET Framework 3.5.1
• Microsoft .NET Framework 4.6.2
• Microsoft .NET Framework 4.6.2/4.7/4.7.1/4.7.2
• Microsoft .NET Framework 4.8
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft Access 2016 (32-bit edition)
• Microsoft Access 2016 (64-bit edition)
• Microsoft Configuration Manager 2403
• Microsoft Configuration Manager 2409
• Microsoft Configuration Manager 2503
• Microsoft Defender for Endpoint for Linux
• Microsoft Excel 2016 (32-bit edition)
• Microsoft Excel 2016 (64-bit edition)
• Microsoft Exchange Server 2016 Cumulative Update 23
• Microsoft Exchange Server 2019 Cumulative Update 14
• Microsoft Exchange Server 2019 Cumulative Update 15
• Microsoft Exchange Server Subscription Edition RTM
• Microsoft JDBC Driver 10.2 for SQL Server
• Microsoft JDBC Driver 11.2 for SQL Server
• Microsoft JDBC Driver 12.10 for SQL Server
• Microsoft JDBC Driver 12.2 for SQL Server
• Microsoft JDBC Driver 12.4 for SQL Server
• Microsoft JDBC Driver 12.6 for SQL Server
• Microsoft JDBC Driver 12.8 for SQL Server
• Microsoft JDBC Driver 13.2 for SQL Server
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office for Android
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions
• Microsoft Office LTSC 2024 for 32-bit editions
• Microsoft Office LTSC 2024 for 64-bit editions
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC for Mac 2024
• Microsoft PowerPoint 2016 (32-bit edition)
• Microsoft PowerPoint 2016 (64-bit edition)
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server Subscription Edition
• Microsoft Visual Studio 2017 version 15.9 (includes 15.0 – 15.8)
• Microsoft Visual Studio 2019 version 16.11 (includes 16.0 – 16.10)
• Microsoft Visual Studio 2022 version 17.10
• Microsoft Visual Studio 2022 version 17.12
• Microsoft Visual Studio 2022 version 17.14
• Microsoft Word 2016 (32-bit edition)
• Microsoft Word 2016 (64-bit edition)
• microsoft/playwright
• Office Online Server
• PowerShell 7.4
• PowerShell 7.5
• Remote Desktop client for Windows Desktop
• Windows 10 for 32-bit Systems
• Windows 10 for x64-based Systems
• Windows 10 Version 1607 for 32-bit Systems
• Windows 10 Version 1607 for x64-based Systems
• Windows 10 Version 1809 for 32-bit Systems
• Windows 10 Version 1809 for x64-based Systems
• Windows 10 Version 21H2 for 32-bit Systems
• Windows 10 Version 21H2 for ARM64-based Systems
• Windows 10 Version 21H2 for x64-based Systems
• Windows 10 Version 22H2 for 32-bit Systems
• Windows 10 Version 22H2 for ARM64-based Systems
• Windows 10 Version 22H2 for x64-based Systems
• Windows 11 Version 22H2 for ARM64-based Systems
• Windows 11 Version 22H2 for x64-based Systems
• Windows 11 Version 23H2 for ARM64-based Systems
• Windows 11 Version 23H2 for x64-based Systems
• Windows 11 Version 24H2 for ARM64-based Systems
• Windows 11 Version 24H2 for x64-based Systems
• Windows 11 Version 25H2 for ARM64-based Systems
• Windows 11 Version 25H2 for x64-based Systems
• Windows App Client for Windows Desktop
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
• Windows Server 2012
• Windows Server 2012 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2022 (Server Core installation)
• Windows Server 2022, 23H2 Edition (Server Core installation)
• Windows Server 2025
• Windows Server 2025 (Server Core installation)
• Xbox Gaming Services

Opis činnosti:

V rámci októbrového balíka Patch Tuesday opravila spoločnosť Microsoft vo svojich produktoch 172 zraniteľností. Z nich 8 bolo zaradených do kategórie kritické a 162 bolo vyhodnotených ako vysoko závažné („Important“). Kritické zraniteľnosti umožňujú vzdialene vykonávať kód a eskalovať oprávnenia.

Microsoft opravil aj nasledovných 6 aktívne zneužívaných zraniteľností.

CVE-2025-24052 a CVE-2025-24990 (CVSS skóre 7,8)

Vysoko závažné zraniteľnosti natívneho ovládača Windows pre zariadenia Agere Modem súvisia s pretečením medzipamäte na zásobníku a dereferenciou nedôveryhodného ukazovateľa. Umožňujú eskalovať oprávnenia na úroveň administrátora. Zneužiť ich možno, aj keď systém nepoužíva daný modem. Microsoft odstránil tento ovládač (súbor ltmdm64.sys) zo systému.

CVE-2025-59230 (CVSS skóre 7,8)

Vysoko závažná zraniteľnosť sa nachádza v komponente Windows Remote Access Connection Manager. Kvôli nedostatočnej kontrole prístupov dovoľuje lokálnemu autorizovanému útočníkovi eskalovať svoje oprávnenia na úroveň SYSTEM.

CVE-2025-47827 (CVSS skóre 4,6)

Zraniteľnosť strednej závažnosti vo verziách IGEL OS starších ako 11 umožňuje obísť prvok Secure Boot. Chyba sa nachádza v ovládači igel-flash-driver, ktorý nesprávne overuje kryptografický podpis, bez ohľadu na jeho expiráciu. Jej zneužitím by útočník mohol napríklad úspešne načítať neoverený image SquashFS.

CVE-2025-0033 (CVSS skóre 8,2)

Vysoko závažná zraniteľnosť procesorov AMD EPYC využívajúcich technológiu Secure Encrypted Virtualization – Secure Nested Paging (SEV-SNP) dovoľuje vzdialené vykonávanie kódu. Súvisí so vznikom súbehu pri inicializácii RMP (Reverse Map Table), ktorý môže lokálny útočník s vysokými oprávneniami zneužiť cez virtuálny stroj na manipuláciu vstupov RMP a integrity hosťovskej pamäte SEV-SNP. Spoločnosť Microsoft pracuje aj na opravách zraniteľnosti pre Azure Confidential Computing.

CVE-2025-2884 (CVSS skóre 5,3)

Zraniteľnosť v špecifikácii TCG TPM2.0 umožňuje prístup k citlivým informáciám. Nachádza sa v implementácii pomocnej funkcie CryptHmacSign, kde je možné čítať obsah pamäte mimo povolené hodnoty.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu
• Eskalácia oprávnení

Odporúčania:

Administrátorom a používateľom zraniteľných verzií odporúčame bezodkladne vykonať aktualizácie dostupné priamo zo systému alebo zo stránky výrobcu. Pre konkrétny prehľad si treba vo filtroch zvoliť mesiac október a Mode „Update Tuesday“. Bližšie informácie nájdete aj tu.

Odkazy:

• https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2025-patch-tuesday-fixes-6-zero-days-172-flaws/
• https://msrc.microsoft.com/update-guide/en-us
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-24990
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-59230
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47827
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-0033
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-24052
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-2884

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci september 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 09/2025 PDF (1 776 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Spoločnosť Oracle vydala bezpečnostnú aktualizáciu na svoj produkt E-Business Suite, ktorá opravuje vysoko závažnú zraniteľnosť. CVE-2025-61884 by vzdialený neautentifikovaný útočník zaslaním špeciálne vytvorených HTTP požiadaviek mohol zneužiť na kompromitáciu Oracle Configurator a získanie neoprávneného prístupu k citlivým údajom.
[aktualizácia 21.10.2025] zraniteľnosť CVE-2025-61884 bola pridaná do zoznamu aktívne zneužívaných

Zraniteľné systémy:

• Oracle E-Business Suite 12.2.3-12.2.14

Opis činnosti:

CVE-2025-61884 (CVSS v3.1 skóre 7,5)

Vysoko závažná zraniteľnosť v komponente Runtime UI aplikácie Oracle Configurator, ktorá je súčasťou Oracle E-Business Suite. Neautentifikovaný útočník so sieťovým prístupom môže jej zneužitím cez protokol HTTP získať prístup k citlivým informáciám, resp. všetkým dátam dostupným pre Oracle Configurator. Bližšie informácie o zraniteľnosti neboli zverejnené.

[Aktualizácia] Aktuálne prebieha kampaň skupiny Clop zameraná na krádež údajov zákazníkov Oracle. Skupina Clop potvrdila, že v rámci útokov zneužíva zraniteľnosť CVE-2025-61884.

Možné škody:

• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia na opravené verzie podľa dokumentácie spoločnosti Oracle.

Odkazy:

• https://www.oracle.com/security-alerts/alert-cve-2025-61884.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-61884
• https://arcticwolf.com/resources/blog/cve-2025-61884/
• https://www.bleepingcomputer.com/news/security/oracles-silently-fixes-zero-day-exploit-leaked-by-shinyhunters/

Spoločnosť Western Digital vydala aktualizácie firmvéru viacerých modelov zariadení NAS (Network Attached Storage) série My Cloud, ktoré opravujú kritickú zraniteľnosť. CVE-2025-30247 možno zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• NAS zariadenia Western Digital My Cloud PR2100, My Cloud PR4100, My Cloud EX4100, My Cloud EX2 Ultra, My Cloud Mirror Gen 2, My Cloud EX2100, My Cloud WDBCTLxxxxxx-10, My Cloud s firmvérom vo verziách starších ako 5.31.108
• NAS zariadenia Western Digital My Cloud DL2100, My Cloud DL4100 vo všetkých verziách firmvéru (jedná sa o produkty s ukončenou podporou)

Opis zraniteľnosti:

CVE-2025-30247 (CVSSv4.0 skóre 9,3)

Kritická zraniteľnosť sa nachádza v používateľskom rozhraní a spočíva v nedostatočnom overovaní používateľských vstupov. Vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených požiadaviek HTTP POST mohol zneužiť na injekciu príkazov operačného systému a získanie úplnej kontroly nad systémom.

Možné škody:

• Vzdialené vykonanie príkazov
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom a používateľom odporúčame bezodkladnú aktualizáciu firmvéru NAS na verziu 5.31.108. Medzi zraniteľnými modelmi sú aj dva s ukončenou technickou podporou (My Cloud DL4100, My Cloud DL2100). V prípade týchto zariadení odporúčame urýchlenú migráciu na alternatívne produkty s platnou podporou. Zraniteľnosť je možné dočasne mitigovať aj odpojením zariadenia od internetu.

Zdroje:

• https://www.westerndigital.com/support/product-security/wdc-25006-western-digital-my-cloud-os-5-firmware-5-31-108
• https://nvd.nist.gov/vuln/detail/cve-2025-30247
• https://www.bleepingcomputer.com/news/security/critical-wd-my-cloud-bug-allows-remote-command-injection/

Vývojári in-memory NoSQL úložiska Redis vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú kritickú zraniteľnosť. CVE-2025-49844 by vzdialený autentifikovaný útočník mohol zneužiť na vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Redis Software, vo všetkých verziách
• Redis OSS/CE/Stack with Lua scripting, vo všetkých verziách

Opis zraniteľnosti:

CVE-2025-49844 (CVSSv3.1 skóre 9,9)

Kritická zraniteľnosť s identifikátorom CVE-2025-49844 (alias RediShell) sa nachádza v rámci interpretera Lua a spočíva v použití odalokovaného miesta v pamäti. Vzdialený autentifikovaný útočník by ju prostredníctvom špeciálne vytvorených skriptov Lua mohol zneužiť na únik z Lua sandboxu, vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom. Zraniteľnosť odhalili bezpečnostní výskumníci z WIZ na hackerskej súťaži Pwn2Own v Berlíne.

Zraniteľnosť možno zneužiť len na inštanciách, na ktorých je povolené vykonávanie skriptov Lua. Skripty Lua sú v predvolenej konfigurácii zapnuté. Z dôvodu nesprávnej konfigurácie je veľké množstvo inštancií dostupných z internetu prevádzkovaných bez autentifikácie, čo ich vystavuje priamemu riziku zneužitia tejto zraniteľnosti.

Možné škody:

• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu

• Redis Software na verzie 7.22.2-12, 7.8.6-207, 7.4.6-272, 7.2.4-138, 6.4.2-131 alebo novšie
• Redis OSS/CE so skriptovaním Lua na verzie 8.2.2, 8.0.4, 7.4.6, 7.2.11. alebo novšie
• Redis Stack so skriptovaním Lua na verzie 7.4.0-v7, 7.2.0-v19 alebo novšie

V prípade, že aktualizáciu nie je možné vykonať, zraniteľnosť možno mitigovať zavedením ACL (Access Control List) zakazujúceho vykonanie príkazov EVAL a EVALSHA.

Rovnako odporúčame na inštanciách vyžadovať autentifikáciu a neprevádzkovať ich voľne prístupné z internetu. Ak systémy musia byť prístupné, použite VPN alebo prostredníctvom sieťových a bezpečnostných prvkov limitujte prístup len na dôveryhodné siete.  

Zdroje:

• https://github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9q
• https://nvd.nist.gov/vuln/detail/CVE-2025-49844
• https://redis.io/blog/security-advisory-cve-2025-49844/
• https://www.wiz.io/blog/wiz-research-redis-rce-cve-2025-49844
• https://www.bleepingcomputer.com/news/security/redis-warns-of-max-severity-flaw-impacting-thousands-of-instances/

Spoločnosť DrayTek vydala bezpečnostné aktualizácie, ktoré opravujú vysoko závažnú zraniteľnosť viacerých routerov Vigor. CVE-2025-10547 možno zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Routery DrayTek Vigor1000B s firmvérom vo verzii staršej ako 4.4.3.6
• Routery DrayTek Vigor2962, Vigor3910 a Vigor3912 s firmvérom vo verzii staršej ako 4.4.3.6 alebo 4.4.5.1
• Routery DrayTek Vigor2135, Vigor2763, Vigor2765, Vigor2766, Vigor2865 Series, Vigor2865 LTE Series, Vigor2865L-5G Series, Vigor2866 Series, Vigor2866 LTE Series, Vigor2927 Series, Vigor2927 LTE Series a Vigor2927L-5G Series s firmvérom vo verzii staršej ako 4.5.1
• Routery DrayTek Vigor2915 Series s firmvérom vo verzii staršej ako 4.4.6.1
• Routery DrayTek Vigor2862 Series, Vigor2862 LTE Series, Vigor2926 Series a Vigor2926 LTE Series s firmvérom vo verzii staršej ako 3.9.9.12
• Routery DrayTek Vigor2952, Vigor2952P a Vigor3220 s firmvérom vo verzii staršej ako 3.9.8.8
• Routery DrayTek Vigor2860 Series, Vigor2860 LTE Series, Vigor2925 Series a Vigor2925 LTE Series s firmvérom vo verzii staršej ako 3.9.8.6
• Routery DrayTek Vigor2133 Series, Vigor2762 Series aVigor2832 Series s firmvérom vo verzii staršej ako 3.9.9.4
• Routery DrayTek Vigor2620 Series a VigorLTE 200n s firmvérom vo verzii staršej ako 3.9.9.5

Opis zraniteľnosti:

CVE-2025-10547 (CVSSv3.1 skóre 8,8)

Vysoko závažná zraniteľnosť CVE-2025-10547 sa nachádza vo webovom používateľskom rozhraní (WebUI) a vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených HTTP/HTTPS požiadaviek mohol zneužiť na poškodenie obsahu pamäte, zneprístupnenie služby a vzdialené vykonanie kódu. Chyba súvisí s neinicializovanou hodnotou na zásobníku a dovoľuje použiť funkciu free() na ľubovoľnom mieste pamäte.

Pozn.: Routery DrayTek Vigor sú rozšírené najmä v infraštruktúre malých a stredných podnikov a telekomunikačných operátorov.

Možné škody:

• Zneprístupnenie služby (DoS)
• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu firmvéru Vigor routerov na verzie špecifikované výrobcom, ktoré môžete nájsť aj v časti „Zraniteľné systémy“ tohto varovania. Výrobca okrem aktualizácie systémov odporúča limitovať prístup k webovému rozhraniu len na dôveryhodné IP adresy. Používateľské a administrátorské rozhrania sieťových prvkov by nemali byť prevádzkované voľne prístupné z internetu.

Zdroje:

• https://www.draytek.com/about/security-advisory/use-of-uninitialized-variable-vulnerabilities
• https://kb.cert.org/vuls/id/294418
• https://www.bleepingcomputer.com/news/security/draytek-warns-of-remote-code-execution-bug-in-vigor-routers/

Spoločnosť Broadcom vydala bezpečnostné aktualizácie VMware NSX a VMware vCenter, ktoré opravujú 3 vysoko závažné zraniteľnosti. Zraniteľnosti v NSX možno zneužiť na enumeráciu používateľov a následnú realizáciu brute-force alebo slovníkových útokov. Zraniteľnosť vo VMware vCenter umožňuje injektovať hlavičky SMTP.

Zraniteľné systémy:

vCenter:

• VMware vCenter 8.0 bez bezpečnostnej záplaty 8.0 U3g
• VMware vCenter 7.0 bez bezpečnostnej záplaty 7.0 U3w
• VMware Cloud Foundation, VMware vSphere Foundation 9.X.X.X vo verziách starších ako 9.0.1.0
• VMware Cloud Foundation 5.X vo verziách starších ako 5.2.2
• VMware Cloud Foundation 4.5.X bez upgradu na 7.0 U3w
• VMware Telco Cloud Platform 5.X, 4.X, 3.x, 2.X bez bezpečnostnej záplaty KB411508
• VMware Telco Cloud Infrastructure 3.X, 2.X bez bezpečnostnej záplaty KB411508

NSX:

• VMware NSX 4.2.X vo verziách starších ako 4.2.2.2, 4.2.3.1
• VMware NSX 4.1.X, 4.0.X vo verziách starších ako 4.1.2.7
• NSX-T 3.X vo verziách starších ako 3.2.4.3
• VMware Cloud Foundation, VMware vSphere Foundation 9.X.X.X vo verziách starších ako 9.0.1.0
• VMware Cloud Foundation 5.X bez bezpečnostnej záplaty KB88287
• VMware Cloud Foundation 4.5.X bez bezpečnostnej záplaty KB88287
• VMware Telco Cloud Infrastructure 3.X, 2.X bez bezpečnostnej záplaty KB411518
• VMware Telco Cloud Platform 5.X, 4.X, 3.X bez bezpečnostnej záplaty KB411518

Pozn.: NSX a vCenter sú súčasťou VMware Cloud Foundation, VMware vSphere Foundation a VMware Telco Cloud, ktoré umožňuje prevádzkovanie aplikácií v privátnych alebo hybridných cloudoch.

Opis zraniteľnosti:

• Centralizovaná platforma VMware vCenter:

CVE-2025-41250  (CVSSv3.1 skóre 8,5)

Nedostatočné overovaní SMTP hlavičiek by vzdialený autentifikovaný útočník s oprávneniami na vytváranie plánovaných úloh mohol zneužiť na modifikáciu notifikačných e-mailov zasielaných ohľadne plánovaných úloh.

• Sieťová virtualizačná platforma VMware NSX:

CVE-2025-41251  (CVSSv3.1 skóre 8,1)

CVE-2025-41251 spočíva v nedostatočnom zabezpečení mechanizmu pre obnovu hesla, ktorú by vzdialený neautentifikovaný útočník mohol zneužiť na enumeráciu používateľských účtov.

CVE-2025-41252   (CVSSv3.1 skóre 7,5)

Bližšie nešpecifikovanú vysoko závažnú zraniteľnosť v NSX taktiež možno bez autentifikácie zneužiť na enumeráciu používateľských účtov.

Útočník by používateľské účty identifikované enumeráciou mohol zneužiť v rámci brute-force alebo slovníkových útokov, ktoré by v prípade úspešnosti viedli k získaniu neoprávneného prístupu do systému. Zraniteľnosti vo VMware NSX boli odhalené americkou NSA.

Možné škody:

• Neoprávnená zmena v systéme
• Neoprávnený prístup k citlivým údajom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu zraniteľných systémov na verzie:

• VMware vCenter 7.0 U3w, 8.0 U3g alebo 9.0.1.0
• VMware Cloud Foundation, VMware vSphere Foundation 9.0.1.0
• VMware Cloud Foundation 5.2.2 alebo 7.0 U3w
• VMware Telco Cloud Platform 5.X, 4.X, 3.x, 2.X s bezpečnostnou záplatou KB411508
• VMware Telco Cloud Infrastructure 3.x, 2.X s bezpečnostnou záplatou KB411508
• VMware NSX 4.2.2.2, 4.2.3.1 alebo 4.1.2.7
• NSX-T 3.X vo verziách starších ako 3.2.4.3
• VMware Cloud Foundation 5.X s bezpečnostnou záplatou KB88287
• VMware Cloud Foundation 4.5.X s bezpečnostnou záplatou KB88287
• VMware Telco Cloud Infrastructure 3.X, 2.X s bezpečnostnou záplatou KB411518
• VMware Telco Cloud Platform 5.X, 4.X, 3.X s bezpečnostnou záplatou KB411518

Zdroje:

• https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36150
• https://www.bleepingcomputer.com/news/security/broadcom-fixes-high-severity-vmware-nsx-bugs-reported-by-nsa/

Spoločnosť One Identity vydala bezpečnostné aktualizácie svojho IAM (Identity and Access Management) riešenia OneLogin, ktoré opravujú zraniteľnosť vysokej závažnosti. CVE-2025-59363 umožňuje enumeráciu aplikácií a získanie tajných hodnôt OIDC (OpenID Connect). Tie možno následne zneužiť na získanie neoprávneného prístupu do systému.

Zraniteľné systémy:

• One Identity OneLogin vo verziách starších ako 2025.3.0

Opis zraniteľnosti:

CVE-2025-59363 (CVSSv3.1 skóre 7,7)

Vysoko závažná zraniteľnosť s identifikátorom CVE-2025-59363 spočíva v nedostatočnej implementácii bezpečnostných mechanizmov v rámci API rozhrania. Vzdialený autentifikovaný útočník by ju zaslaním špeciálne vytvorených API požiadaviek na /api/2/apps mohol zneužiť na enumeráciu a získanie tajných hodnôt OIDC (OpenID Connect) všetkých aplikácií v rámci tenanta OneLogin. Exfiltrované údaje by útočníci následne mohli zneužiť na impersonáciu používateľov, neoprávnený prístup do systémov a laterálny pohyb v infraštruktúre.

Pozn.: Na uvedenú zraniteľnosť je v súčasnosti dostupný Proof of Concept kód demonštrujúci spôsob jej zneužitia.

Možné škody:

• Neoprávnený prístup k citlivým údajom
• Neoprávnený prístup do systému
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu OneLogin na verziu 2025.3.0 a revokáciu všetkých tajných hodnôt, ktoré mohli uniknúť. Taktiež odporúčame vykonať kontrolu logov za účelom identifikácie pokusov o zneužitie zraniteľnosti.

Zdroje:

• https://onelogin.service-now.com/support?id=kb_article&sys_id=b0aad1e11bd3ea109a47ec29b04bcb72&kb_category=a0d76d70db185340d5505eea4b96199f
• https://nvd.nist.gov/vuln/detail/CVE-2025-59363
• https://www.clutch.security/blog/onelogin-many-secrets-clutch-uncovers-vulnerability-exposing-client-credentials
• https://thehackernews.com/2025/10/onelogin-bug-let-attackers-use-api-keys.html

Spoločnosť Microsoft tento rok plánovane ukončí podporu pre všetky verzie Windows 10. Po 14. októbri 2025 už tieto produkty nebudú dostávať aktualizácie zabezpečenia, aktualizácie nesúvisiace so zabezpečením, opravy chýb, technickú podporu a ani aktualizácie technického obsahu online. Po rokovaní s organizáciou Euroconsumers však v Európskom hospodárskom priestore predĺži pre nekomerčných používateľov bezplatnú podporu systémov Windows 10 o jeden rok, teda do októbra 2026. Spoločnosť to uskutoční poskytnutím svojho programu predĺženej podpory ESU (Extended Security Updates) pre spotrebiteľov zdarma.

Nekomerční používatelia budú dostávať bezpečnostné aktualizácie pre Windows 10 verzie 22H2 Home, Professional, Pro Education alebo Workstations do 13. októbra 2026. Podmienkou je prihlásenie sa do konta Microsoft. Konto musí byť správcovské a nemôže byť detské. Zaregistrovať do ESU sa môžete priamo cez službu Windows Update, kedykoľvek v priebehu jeho existencie.

Microsoft bezplatnú registráciu do programu ESU pre spotrebiteľov nebude ponúkať pre komerčné zariadenia v nasledujúcich scenároch:

• Zariadenia v celoobrazovkovom režime.
• Zariadenia pripojené k doméne služby Active Directory alebo zariadenia, ktoré sú pripojené k Microsoft Entra.
• Zariadenia, ktoré sú registrované v Microsoft Entra, ale môžu využívať program ESU pre spotrebiteľov.
• Zariadenia zaregistrované v službe správy mobilných zariadení (MDM).
• Zariadenia, ktoré už majú licenciu programu ESU.
• Ak je zariadenie zaregistrované v programe ESU pre spotrebiteľov a potom sa zapojí do jedného z vyššie uvedených scenárov ESU pre komerčné použitie, bude registrácia do programu ESU pre spotrebiteľov na zariadení pozastavená, kým sa už nebude používať ako komerčné zariadenie.

Pokiaľ zariadenie nemá nárok na bezplatnú registráciu do programu ESU pre spotrebiteľov, alebo nechcete využívať konto Microsoft, môžete predĺženú podporu získať za poplatok 30 USD za zariadenie pre nekomerčných a 61 USD pre komerčných používateľov. Microsoft ponúka zľavu 90% na podporu ESU špeciálne pre školy.

Odporúčania:

Administrátorom a používateľom systému Windows 10 odporúčame prejsť na novšiu verziu operačného systému alebo využívať rozšírenú podporu ESU (Extended Security Updates), pre ktorú je potrebné

• [Nekomerčné zariadenia] Zaregistrovať sa na danom zariadení cez konto Microsoft a ostať prihlásený týmto kontom. Viac informácií nájdete na stránke výrobcu.
• [Komerčné zariadenia] Zakúpiť si program ESU za 61 USD. Viac informácií nájdete na stránke výrobcu.

Zdroje:

• https://www.euroconsumers.org/microsoft-security-windows-10-planned-obsolescence/
• https://learn.microsoft.com/en-us/windows/whats-new/extended-security-updates
• https://learn.microsoft.com/sk-sk/windows/whats-new/enable-extended-security-updates
• https://www.microsoft.com/sk-sk/windows/extended-security-updates

Aktuálna situácia:

Dňa 28. septembra 2025 zaznamenala spoločnosť GreyNoise výrazný nárast pokusov o zneužitie zero-day zraniteľnosti CVE‑2021‑43798 v nástroji Grafana, ktorý umožňuje útočníkovi využívať možnosť prechádzania adresárovej štruktúry (path traversal). Celkom 110 unikátnych IP adries sa v ten deň pokúsilo o útok voči monitorovaným inštanciám. Všetky identifikované IP adresy sú klasifikované ako škodlivé.

Opis útoku/kampane:

CVE‑2021‑43798 umožňuje prechádzanie adresárovej štruktúry. Pomocou slovníkového útoku, v ktorom útočník háda názvy modulov využitých v bežiacej inštancii Grafana, vie nájsť adresu nainštalovaného modulu, ktorú dokáže zneužiť na prístup k citlivým súborom na serveri.

V aktivitách z 28. septembra bol pozorovaný vzorec koordinovaného útoku:

• 110 unikátnych IP adries v priebehu jedného dňa.
• Cieľové destinácie útokov: Spojené štáty, Slovensko a Taiwan.
• Aktéri hrozieb využívajú IP adresy, ktoré podľa geolokácie patria nasledujúcim krajinám: Bangladéš (107 IP), Čína (2 IP) a Nemecko (1 IP).
• 105 zo 107 IP z Bangladéša cielených primárne na americké koncové body.
• Väčšina IP adries bola prvýkrát zaznamenaná priamo v deň útoku.
• Jednotné použitie sieťových odtlačkov a využitie spoločných nástrojov naznačujú spoločný zoznam cieľových systémov.

Nie je známe či útočníci hľadali konkrétne citlivé súbory no z povahy útoku je možné zneužiť zraniteľné verzie aj ako vstupný bod pre ďalšie útoky alebo testovanie účinnosti útoku do budúcna.

Kampaň má dosah aj na územie Slovenskej republiky, preto odporúčame administrátorom prijať nasledovné odporúčania.

Odporúčania:
Administrátorom odporúčame bezodkladnú bezpečnostnú aktualizáciu nástroja Grafana na stále podporované verzie, t.j. v dobe písania článku minimálne verzia 11. V systémoch, ktoré používajú verziu 8 a prechod na novšiu nie je možný, odporúčame bezodkladnú aktualizáciu na verzie obsahujúce záplatu t.j. 8.3.1, 8.2.7, 8.1.8, alebo 8.0.7 (podľa produkčných požiadaviek), aj pokiaľ nie sú priamo dostupné z internetu. Treba však zdôrazniť, že prevádzkovať nepodporovaný softvér v produkčnom prostredí aj bez prístupu na verejný internet je závažné bezpečnostné riziko.

Zdroje:

• https://www.greynoise.io/blog/coordinated-grafana-exploitation-attempts
• https://nvd.nist.gov/vuln/detail/cve-2021-43798
• https://therecord.media/grafana-releases-security-patch-after-exploit-for-severe-bug-goes-public
• https://github.com/grafana/grafana/security/advisories/GHSA-8pjx-jj86-j47p

Úvod

V ekosystéme Django je SECRET_KEY sama o sebe veľmi citlivá hodnota. Jej únik zvyčajne umožňuje útočníkom falšovať tokeny, resetovať heslá alebo kradnúť relácie v určitých konfiguráciách. Pri skúmaní modulu redirects aplikácie Wagtail však náš kolega objavil prípad, keď by únik hodnoty SECRET_KEY mohol eskalovať nad rámec zneužitia používateľa/relácie a umožniť čítanie súborov na strane servera. Python skript na zneužitie tejto zraniteľnosti je k dispozícii na repozitári Github nášho kolegu.

Prehľad zraniteľnosti

Súbor: wagtail/contrib/redirects/tmp_storages.py
Riadok: 72

return os.path.join(tempfile.gettempdir(), self.name)

Hodnota self.name pochádza z podpísaného parametra v požiadavke. Mechanizmus podpisovania síce zabezpečuje integritu, nesanitizuje však obsah. Ak útočník dokáže sfalšovať platné podpisy (čo je možné, ak vlastní Django SECRET_KEY), môže do požiadavky vložiť názvy súborov, ako napríklad /etc/passwd. Kód vloží túto neoverenú hodnotu do cesty súborového systému, čím účinne umožní prechádzanie mimo zamýšľaného dočasného adresára.

Podmienky zneužitia

Pre zneužitie tejto chyby musí útočník:

1. Poznať Django SECRET_KEY – už v tomto bode ide o závažné narušenie.
2. Vlastniť platné konto pre Wagtail s oprávnením pridávať presmerovania.
3. Vytvoriť škodlivý podpísaný názov súboru smerujúce na citlivé súbory.

Ak sú tieto podmienky splnené, útočník môže zo servera exfiltrovať ľubovoľné súbory. Príklad požiadavky obsahujúcej platnú reláciu pre vysoko privilegovaného používateľa:

Požiadavka HTTP:

POST /admin/redirects/import/process/ HTTP/1.1
Host: localhost:8000
Cookie: csrftoken=JnnVucJbHd8qEaLPg1Sgr4jakrqxBJeO; sessionid=1y21vfn0g6thvfp06c2sooiu0symurie
Content-Length: 492
Content-Type: multipart/form-data; boundary=58070cece7e28a1b1230238d327e961c

--58070cece7e28a1b1230238d327e961c
Content-Disposition: form-data; name="csrfmiddlewaretoken"

f1Eii97cre31xBWPvNBkysKEXJL0iEAKOeR3CbGdYh1h1BxuBEjqPmTE701nJdEo
--58070cece7e28a1b1230238d327e961c
Content-Disposition: form-data; name="import_file_name"

/etc/passwd:EOyyi1lH0t4QL209IuRxanXgAstgxxxCA3NCAr4JPn8
--58070cece7e28a1b1230238d327e961c
Content-Disposition: form-data; name="input_format"

0:DmT0RMY6RdLc70Vt7wiYA32_Cl4z5UK1pBBI_ybYFGE
--58070cece7e28a1b1230238d327e961c--

Odpoveď na túto požiadavku obsahuje obsah požadovaného súboru /etc/passwd.

Odpoveď HTTP:

HTTP/1.1 200 OK
Server: WSGIServer/0.2 CPython/3.13.3
Content-Type: text/html; charset=utf-8
...
Content-Length: 38988

<html lang="en-us" dir="ltr" class="w-theme-system w-density-default w-contrast-system">   
    ...
    <form action="/admin/redirects/import/process/" method="POST" class="nice-padding" novalidate enctype="multipart/form-data">
    ...
        <h2>Preview</h2>
        <table class="listing listing-with-x-scroll">
            <thead>
                <tr><td>root:x:0:0:root:/root:/usr/bin/zsh</td></tr>
            </thead>
            <tbody>
                    <tr><td>daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin</td></tr>
                    ...
                    <tr><td>redis:x:129:131::/var/lib/redis:/usr/sbin/nologin</td></tr>
                    <tr><td>kali:x:1000:1000::/home/kali:/usr/bin/zsh</td></tr>
            </tbody>
        </table>
    </form>
    ...
</html>

Bezpečnostný dopad

Hoci kompromitácia SECRET_KEY je sama o sebe katastrofálna, typické útoky zostávajú na úrovni aplikácie/používateľa (falšovanie relácie, podpisovanie tokenov). Táto zraniteľnosť zvyšuje dopad jej rozšírením na úroveň servera, čím umožňuje prístup k:

• Súborom prostredia (.env)
• Zdrojovému kódu
• Súkromným kľúčom (SSH, prihlasovacie údaje API)
• Konfiguračným súborom

Tým sa únik kryptografického kľúča zmení na problém lokálneho začlenenia súboru (LFI).

Príkladový scenár – zverejnený .git a uniknutý SECRET_KEY

Reálny a bežný spôsob, ako môže uniknúť SECRET_KEY, je náhodný „commit“ kódu verejne dostupný na serveri, obsahujúci konfiguračné súbory, adresáre .env a .git, alebo exponovaná záloha. Predstavte si, že vývojár omylom „pushne“ súbor settings.py obsahujúci SECRET_KEY. Útočník, ktorý si naklonuje repozitár alebo získa vypublikované údaje v adresári .git, môže ľahko získať súbor SECRET_KEY a ďalšie citlivé konfiguračné hodnoty.

V tejto situácii sa zraniteľnosť, o ktorej sme hovorili, podstatne zhoršuje. S uniknutým kľúčom SECRET_KEY môže útočník, ktorý tiež ovláda (alebo kompromituje) účet Wagtail s dostatočnými oprávneniami, sfalšovať podpísaný názov súboru a použiť koncový bod importu na čítanie ľubovoľných súborov zo servera. Táto možnosť čítania súborov môže útočníkovi umožniť získať ďalšie tajomstvá – napríklad súbory .env, databázové poverenia, kľúče SSH alebo tokeny API – čo môže následne umožniť úplnú kompromitáciu servera. Stručne povedané: počiatočný únik repozitára, ktorý odhalí SECRET_KEY, môže v kombinácii s nekontrolovaným používaním názvov súborov prerásť do úplného narušenia.

Tipy pre detekciu

• Preskenujte históriu „commitov“, či neexistujú také, ktoré obsahujú settings.py, .env alebo iný súbor obsahujúci SECRET_KEY.
• Na serveri hľadajte neočakávané prístupy k administrátorským koncovým bodom (koncové body importu, presmerovanie importu) a neobvyklé čítanie súborov webovým procesom.
• Skontrolujte v logoch požiadavky na koncový bod importu, ktoré obsahujú neobvyklé reťazce názvov súborov obsahujúce ../, absolútne cesty alebo dlhé segmenty ciest.

Okamžitá náprava pri zistení úniku

1. Bezodkladne zmeňte SECRET_KEY a počítajte s vedľajšími účinkami (zneplatnite podpísané cookies/tokeny).
2. Zmeňte všetky ostatné tajomstvá, ktoré sa nachádzajú v repozitári alebo na serveri (heslá k databáze, API kľúče, SSH kľúče).
3. Odstráňte vypublikované súbory .git resp. akékoľvek citlivé súbory z verejného prístupu a prepíšte históriu, ak je to možné (napr. git filter-repo alebo bfg). Upozorňujeme, že samotné odstránenie súboru z repozitára ho z histórie neodstráni.
4. Vynúťte zmenu hesiel pre administrátorských používateľov, pokiaľ máte podozrenie na falšovanie relácií alebo tokenov.
5. Preverte a monitorujte podozrivú aktivitu administrátorov a nové neznáme kľúče zaznamenané v logoch a konfiguračných súboroch.

Hodnotenie CVSS

Zraniteľnosť sme vyhodnotili podľa metodiky CVSS v3.1 nasledovne:

AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N

Base Score: 5.8 (Medium)

Hoci útok vyžaduje vysoké oprávnenia a predchádzajúcu kompromitáciu kľúča SECRET_KEY, má vysoký dopad na dôvernosť kvôli odhaleniu súborov servera.

Širšia lekcia

Tento prípad nie je o tom, že by bol systém Wagtail v štandardne dodávanom nastavení nezabezpečený. Je o tom, že dôvera v kryptografické podpisy nesmie nahradiť základné overovanie vstupov. Aj keď sú parametre podpísané, ich obsah stále potrebuje sanitizáciu. Dôležitá je viacvrstvová obrana (Defense in depth).

Časová línia

• 2025-09: identifikovaná chyba a nahlásená Wagtail Security.
• 2025-09: bezpečnostný tím vyhodnotil nález, že sa nejedná o zraniteľnosť (vzhľadom na to, že únik SECRET_KEY je sám o sebe katastrofický), no súhlasil, že kód je potrebné zabezpečiť.

Záver

Hoci si tento problém vyžaduje splnenie viacerých predpokladov a nemožno ho považovať za formálnu zraniteľnosť, poukazuje na málo viditeľnú, ale dôležitú bezpečnostnú lekciu. Vývojári by mali overovať a obmedzovať názvy súborov bez ohľadu na podpisovanie a považovať kľúč SECRET_KEY za kritickú súčasť bezpečnostnej politiky aplikácie.

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci september 2025.

Mesačný prehľad – 09/2025 PDF (541 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Bratislava/Košice, 30. septembra 2025  

Vládna jednotka CSIRT, ktorá patrí pod Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky v spolupráci s odborom počítačovej kriminality a odborom kriminálnej polície Prezídia Policajného zboru, vzdeláva policajtov.

Zaisťovanie digitálnych stôp, bolo prvou témou školenia pre policajných vyšetrovateľov a operatívcov z celého Slovenska, ktoré zorganizovala Vládna jednotka CSIRT súčasne v Bratislave a Košiciach.

Na podujatí sa celkovo zúčastnilo 30 príslušníkov Policajného zboru, ktorí čelia výzvam kybernetickej kriminality v prvej línii.

Odborné školenie slávnostne otvoril štátny tajomník MIRRI SR pre informatizáciu Radoslav Štefánek, ktorý vo svojom príhovore zdôraznil kľúčový význam spolupráce a zdieľania informácií medzi štátom a bezpečnostnými zložkami. Vyzdvihol tiež ochotu a pripravenosť Vládnej jednotky CSIRT aktívne pomáhať orgánom činným v trestnom konaní, a to formou konzultácií, technickej súčinnosti pri zaisťovaní digitálnych dôkazov, OSINT analýz, forenzných šetrení či analýz hardvéru v našom špecializovanom chip-off laboratóriu.

“Veríme, že spolu proti kybernetickej kriminalite prispejeme k ešte lepšej pripravenosti Policajného zboru čeliť moderným hrozbám v digitálnom priestore. Vládna jednotka CSIRT.SK bude aj naďalej spoľahlivým partnerom v budovaní odolnosti našej krajiny proti kybernetickým hrozbám,” zdôraznil štátny tajomník MIRRI SR Radoslav Štefánek.

Cieľom školenia je odovzdať policajtom praktické zručnosti pri vyšetrovaní kybernetických trestných činov.

Odborníci v kybernetickej bezpečnosti poskytli zúčastneným konkrétne poznatky o tom, aké digitálne dáta sú pri vyšetrovaní kľúčové, ako ich efektívne zabezpečiť, a ako postupovať tak, aby boli použiteľné v trestnoprávnom kontexte.

Každý typ kybernetického incidentu si vyžaduje špecifický prístup k zaisťovaniu dôkazov – či už ide o útoky na IT infraštruktúru, webové služby alebo IoT zariadenia. Dôrazne vysvetlili aj správne procesy, zachovanie integrity dát a pochopenie volatility rôznych typov digitálnych stôp.

V prvom bloku sa policajti oboznámili s tým, aké digitálne stopy možno získať zo systémov napadnutých útokom, ale aj z webových a cloudových služieb či bežných smart zariadení. Nasledoval praktický prehľad techník zaisťovania dôkazov pri phishingových útokoch, bez ohľadu na ich formu – e-mail, SMS (smishing), hlasové hovory (vishing), QR kódy (quishing) či správy na sociálnych sieťach.

Týmto školením sa séria iba začína. V nasledujúcich blokoch sa CSIRT.SK zameria na špecifiká iných typov kybernetickej trestnej činnosti – vrátane kompromitácií infraštruktúr, ransomvérových útokov či pokročilých malvérových kampaní. Účastníci si navyše budú môcť vyskúšať získané poznatky priamo v praxi.

Spoločnosť Cisco vydala bezpečnostné aktualizácie, ktoré opravujú 14 zraniteľností operačných systémov Cisco IOS a IOS XE, z čoho jedna je označená ako aktívne zneužívaná zero-day. CVE-2025-20352 by vzdialený útočník mohol zneužiť na zneprístupnenie služby, vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Zariadenia Cisco s operačným systémom Cisco IOS a IOS XE bez inštalovanej záplaty z 24.09.2025
• Prepínače Meraki MS390 a Cisco Catalyst 9300 Series s operačným systémom Meraki CS 17 alebo staršou verziou

Pozn.: Zraniteľné sú všetky zariadenia, na ktorých je aktivované SNMP a zraniteľné OID (Object ID) neboli explicitne zakázané v rámci konfigurácie.

Opis zraniteľnosti:

CVE-2025-20352 (CVSSv3.1 skóre 7,7)

CVE-2025-20352 sa nachádza v subsystéme SNMP (Simple Network Management Protocol) a spočíva v pretečení zásobníka. Zraniteľnosť možno zneužiť zaslaním špeciálne vytvorených SNMP paketov prostredníctvom IPv4 alebo IPv6. Vzdialený autentifikovaný útočník by ju mohol zneužiť na zneprístupnenie služby. Vzdialený autentifikovaný útočník s oprávneniami administrátora by ju mohol zneužiť aj na vykonanie kódu a získanie úplnej kontroly nad systémom. Zraniteľnosť v súčasnosti útočníci aktívne zneužívajú.

Pozn.: Na zneužitie zraniteľnosti musí útočník disponovať hodnotou tzv. read-only community string (SNMPv1, SNMPv2c) alebo platnými prihlasovacími údajmi (SNMPv3).

Možné škody:

• Zneprístupnenie služby (DoS)
• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladne vykonať aktualizáciu systémov. Verziu aktualizácií potrebnú pre konkrétne zariadenie je možné zistiť pomocou nástroja Cisco Software Checker.

V prípade, že aktualizáciu zariadení nie je možné vykonať, zraniteľnosť je možné mitigovať limitovaním prevádzky SNMP len na dôveryhodné zdroje alebo úplným vypnutím SNMP. Administrátori môžu taktiež deaktivovať zraniteľné OID (Object ID) prostredníctvom CLI (Command Line Interface):

snmp-server view NO_BAD_SNMP iso included
snmp-server view NO_BAD_SNMP snmpUsmMIB excluded
snmp-server view NO_BAD_SNMP snmpVacmMIB excluded
snmp-server view NO_BAD_SNMP snmpCommunityMIB excluded
snmp-server view NO_BAD_SNMP cafSessionMethodsInfoEntry.2.1.111 excluded
snmp-server community mycomm view NO_BAD_SNMP RO

V prípade SNMPv3 použite príkaz:

snmp-server group v3group auth read NO_BAD_SNMP write NO_BAD_SNMP

Zdroje:

• https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75296
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snmp-x4LPhte
• https://www.bleepingcomputer.com/news/security/cisco-warns-of-ios-zero-day-vulnerability-exploited-in-attacks/

Spoločnosť Supermicro vydala bezpečnostné aktualizácie firmvéru BMC (Baseboard Management Controller), ktoré opravujú dve zraniteľnosti vysokej závažnosti. CVE-2025-7937 a CVE-2025-6198 by vzdialený útočník mohol zneužiť na modifikáciu firmvéru zariadenia a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Základné dosky MBD-B12DPT, MBD-B12SPE-CPU-TF, MBD-BH12SSI-M25, MBD-B12DPT-6, MBD-H12SSFF-AN6, MBD-X12DPG-OA6-GD2, MBD-X12DPG-OA6, MBD-B12DPE-6, MBD-B12SPE-CPU-25G, MBD-X12DGQ-R, MBD-X12DPG-QR, MBD-H12DSG-CPU6-TI036, MBD-X12STW-F, MBD-X12STW-TF, MBD-B3ST1-CPU-001, MBD-X13DEM, MBD-X13DET-B, MBD-X13DSF-A, MBD-X13SEDW-F, MBD-X13SEED-F, MBD-X13SEED-SF, MBD-X13SEFR-A, MBD-X13SEM-F, MBD-X13SEM-TF, MBD-X13SET-PT, MBD-X13SEVR-SP13F, MBD-X13OEI-CPU, MBD-B13DEE, MBD-B13DET, MBD-B13SEE-CPU-25G, MBD-B13SEG, MBD-B4SA1-CPU, MBD-B4SC1-CPU, MBD-H13QSH, MBD-H13SRH, MBD-H13SSF, MBD-H13SSH, MBD-G1SMH-G, MBD-G1SMH, MBD-G2DMH-G, MBD-G2DMH-GI, MBD-X13DEH, MBD-X13SAW-F, MBD-X13SAW-TLN4F, MBD-X13SCW-F-B, MBD-X13SCW-F-O, MBD-X13SCW-F, MBD-X14DBM-AP, MBD-X14DBM-APL, MBD-X14DBM-SP, MBD-X14DBT-B, MBD-X14DBT-FAP, MBD-X14DBT-FLAP, MBD-X14QBH+, MBD-X14SBH-AP, MBD-X14SBH, MBD-X14SBM-TF, MBD-X14SBM-TP4F, MBD-X14SDV-20C-SP3F, MBD-X14SDV-32C-SP3F, MBD-X14SDV-36C-SP3F, MBD-X14SDV-36CE-SP3F, MBD-X14SDV-42C-SP3F, MBD-X14SDW-36C-SP9F, MBD-X14SDW-36CE-SP9F, MBD-X14SDW-42C-SP9F, MBD-H13DSG-OM, MBD-B3SD1-20C-25G, MBD-X14SBHM, MBD-B14DBE-AP, MBD-B14DBE, MBD-B14DBT, MBD-B14SBE-CPU-25G, MBD-B14SBE-CPU-AP, MBD-X14DBG-GD, MBD-X14DBG-XAP, MBD-X14SBT-G, MBD-X14SBT-GAP, MBD-H14DSH-TI036, MBD-H14DST-F, MBD-H14DSG-OD, MBD-H14DSG-OM, MBD-X14DBG-MAP, MBD-X14SBGM, MBD-X14DBG-LC+, MBD-X14DBG-LC, MBD-X11DPFF-SNR, MBD-X11DPT-BR, MBB-CMM-003, MBM-CMM-6-01-FI005, MBM-CMM-FIO, MBB-CMM-6, MBM-CMM-6-01-HN004, MBM-CMM-FIO-01-FI005, MBM-CMM-6, MBM-CMM-6-IN001, MBD-X12DPT-B, MBD-X11DGQ, MBD-X11DPD-L, MBD-X11DPD-M25, MBD-X11DPFF-SN, MBD-X11DPL-I, MBD-X11DPS-R, MBD-X11DPS-RE, MBD-X11DPT-L, MBD-X11DSC+, MBD-X11DSF-E, MBD-X11DSF, MBD-X11SCW-F-AM047, MBD-X11SCW-F, MBD-X11SRI-IF bez najnovšej aktualizácie firmvéru

Pozn.: Aktuálne verzie firmvéru pre jednotlivé produkty môžete nájsť na stránke výrobcu v časti „Affected products“

Opis zraniteľnosti:

CVE-2025-7937, CVE-2025-6198 (CVSSv3.1 skóre 7,2)

Zraniteľnosti spočívajú v nesprávnom overovaní kryptografických podpisov a podvrhnutím špeciálne vytvoreného obrazu firmvéru ich možno zneužiť na obídenie bezpečnostných mechanizmov pre inštaláciu firmvéru a získanie úplnej kontroly nad systémom.

CVE-2025-7937 obchádza bezpečnostný mechanizmus RoT (Root of Trust) a CVE-2025-6198 mechanizmus Signing Table. Podľa bezpečnostných výskumníkov z Binarly, CVE-2025-7937 obchádza nedostatočnú opravu CVE-2024-10237.

Možné škody:

• Obídenie bezpečnostných mechanizmov
• Neoprávnená zmena v systéme
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu BMC firmvéru na verzie špecifikované výrobcom.

Zdroje:

• https://www.supermicro.com/en/support/security_BMC_IPMI_Sept_2025
• https://www.cve.org/CVERecord?id=CVE-2025-7937
• https://www.cve.org/CVERecord?id=CVE-2025-6198
• https://www.binarly.io/blog/broken-trust-fixed-supermicro-bmc-bug-gains-a-new-life-in-two-new-vulnerabilities
• https://www.bleepingcomputer.com/news/security/new-supermicro-bmc-flaws-can-create-persistent-backdoors/

Spoločnosť SonicWall vydala aktualizáciu firmwaru pre svoje zariadenia série SMA 100, ktorá zavádza pokročilú kontrolu integrity súborov a dokáže identifikovať a odstrániť známe rootkity. Hackerská skupina UNC6148 zneužívala zraniteľnosti webového servera Apache CVE-2024-38475 a SMA 100 CVE-2025-40599 na šírenie rootkitu OVERSTEP.

Zraniteľné systémy:

• Zariadenia SonicWall série SMA 100 (SMA 210, 410, 500v) s firmvérom vo verzii staršej ako 10.2.2.2-92sv

Pozn.: SonicWall 1. októbra 2025 ukončil  poskytovanie technickej podpory pre SMA 100

Opis:

Nový update firmvéru pre zariadenia SMA (Secure Mobile Access) série SMA 100 zavádza pokročilú kontrolu integrity súborov, pomocou ktorej dokáže identifikovať a odstrániť známe rootkity.

Podľa analýzy GTIG (Google Threat Intelligence Group) z júla 2025 hackerská skupina UNC6148 aktívne zneužívala kritické zraniteľnosti CVE-2024-38475, CVE-2025-40599 na infekciu rootkitom OVERSTEP. Malware zabezpečoval perzistentný prístup, vytváral reverzný shell a exfiltroval citlivé údaje ako persist.database, certifikáty, prihlasovacie údaje a OTP seedy. Tie útočníci zneužívali na realizáciu ďalších útokov.

Možné škody:

• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu firmvéru zariadení série SMA 100 na verziu 10.2.2.2-92sv. Výrobca taktiež vyzýva na implementáciu odporúčaní z júla 2025, ktoré okrem aktualizácie firmvéru vyzývajú aj na reset MFA tokenov a hardening zariadení. Vzhľadom na blížiaci sa dátum ukončenia poskytovania technickej podpory odporúčame včasný prechod na alternatívne produkty s platnou podporou.

Zdroje:

• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0015
• https://www.sonicwall.com/support/notices/urgent-advisory-for-addressing-rootkits-and-other-critical-vulnerabilities-in-sonicwall-sma-100-series-appliances/250730071322160
• https://cloud.google.com/blog/topics/threat-intelligence/sonicwall-secure-mobile-access-exploitation-overstep-backdoor
• https://www.bleepingcomputer.com/news/security/sonicwall-releases-sma100-firmware-update-to-wipe-rootkit-malware/

Spoločnosť SolarWinds vydala bezpečnostné aktualizácie, ktoré opravujú kritickú zraniteľnosť v produkte Web Help Desk. CVE-2025-26399 možno zneužiť na vzdialené vykonanie príkazov a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• SolarWinds Web Help Desk vo verziách starších ako 12.8.7 Hotfix 1

Opis zraniteľnosti:

CVE-2025-26399 (CVSSv3.1 skóre 9,8)

Kritická zraniteľnosť s identifikátorom CVE-2025-26399 sa nachádza v komponente AjaxProxy, ktorý umožňuje nebezpečnú deserializáciu dát. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na vzdialené vykonávanie príkazov a získanie úplnej kontroly nad systémom.

Zraniteľnosť umožňuje obísť nedostatočnú záplatu pre CVE-2024-28988, ktorá opravovala nedostatočnú záplatu kritickej zraniteľnosti CVE-2024-28986. Americká CISA zaradila CVE-2024-28986 v auguste 2024 do zoznamu aktívne zneužívaných zraniteľností katalógu KEV (Known Exploited Vulnerabilites).

Možné škody:

• Vzdialené vykonanie príkazov
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu Web Help Desk na verziu 12.8.7 Hotfix 1.  Kompletný návod môžete nájsť na stránke výrobcu.

Zdroje:

• https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_12-8-7-hotfix-1_release_notes.htm
• https://www.bleepingcomputer.com/news/security/solarwinds-releases-third-patch-to-fix-web-help-desk-rce-bug/

Spoločnosť CISCO vydala bezpečnostné aktualizácie, ktoré okrem iného opravujú dve aktívne zneužívané zero-day zraniteľnosti vo firewalloch ASA (Adaptive Security Appliance) a FTD (Firewall Threat Defense). CVE-2025-20362 možno zneužiť na obídenie mechanizmov autentifikácie a CVE-2025-20333 na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

• Firewally Cisco ASA (Adaptive Security Appliance) s aktívnymi zraniteľnými funkciami AnyConnect IKEv2 Remote Access, Mobile User Security (MUS) alebo SSL VPN
• Firewally Cisco FTD (Firewall Threat Defense) s aktívnymi zraniteľnými funkciami AnyConnect IKEv2 Remote Access alebo AnyConnect SSL VPN

Pozn.: Konkrétne verzie zraniteľných produktov môžete nájsť prostredníctvom nástroja Cisco Software Checker.

Opis zraniteľnosti:

CVE-2025-20333 (CVSSv3.1 skóre 9,9)

CVE-2025-20333 sa nachádza v komponente VPN Web Server a spočíva v nedostatočnom overovaní používateľských vstupov v HTTP(S) požiadavkách. Vzdialený autentifikovaný útočník s platnými prihlasovacími údajmi VPN by zraniteľnosť zaslaním špeciálne vytvorených HTTP požiadaviek mohol zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

CVE-2025-20362 (CVSSv3.1 skóre 7,7)

CVE-2025-20362 spočíva v nedostatočnom overovaní používateľských vstupov v rámci HTTP(S) požiadaviek s nedostatočnej implementácii mechanizmov autentifikácie. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na obídenie mechanizmov autentifikácie a získanie prístupu k koncovým bodom URL, ktoré by mali byť prístupné len pre prihlásených používateľov.

CVE-2025-20363 (CVSSv3.1 skóre 7,7)

CVE-2025-20363 by vzdialený neautentifikovaný útočník zaslaním špeciálne vytvorených HTTP požiadaviek mohol zneužiť na získanie informácií o systéme a vzdialené vykonanie kódu.

Aktívne zneužívanie zraniteľností CVE-2025-20333 a CVE-2025-20362:

Zraniteľnosti CVE-2025-20333 a CVE-2025-20362 v súčasnosti aktívne zneužívajú útočníci, ktorí v apríli 2024 stáli aj za kampaňou ArcaneDoor. Pre túto kampaň CSIRT.SK vydal 29. apríla 2024 varovanie. ArcaneDoor zraniteľnosti zneužíva na vzdialené vykonanie kódu a manipuláciu pamäte ROM na zachovanie perzistencie po reštartoch alebo upgradov zariadení.

Americká CISA zraniteľnosti zároveň pridala do katalógu aktívne zneužívaných zraniteľností KEV (Known Exploited Vulnerabilities). NCSC-UK v súvislosti so zneužitím zraniteľností identifikovalo dva nové malwary RAYINITIATOR a LINE VIPER. RayInitiator je perzistentný GRUB (GRand Unified Bootloader) bootkit, ktorý sa flashuje do pamäte ROM a je schopný prežiť reštarty zariadenia a upgrady firmvéru. Jeho primárnou úlohou je priamo do operačnej pamäte zariadenia načítať LINE VIPER, ktorý dokáže spúšťať CLI príkazy, zachytávať pakety, obchádzať VPN AAA, potlačiť správy syslog, zachytávať CLI príkazy a za účelom prevencie diagnostiky spôsobuje úmyselné reštarty zariadenia.

Možnú existenciu zero-day zraniteľností indikovalo aj zvýšené skenovanie za účelom identifikácie Cisco ASA portov a Cisco IOS Telnet/SSH služieb, ktoré koncom augusta 2025 zachytila spoločnosť Greynoise.

Možné škody:

• Obídenie mechanizmov autentifikácie
• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame postupovať podľa návodu výrobcu, ktorý bol vydaný špecificky za účelom riešenia tejto kampane. Cisco taktiež odporúča aktivovať funkciu Threat Detection for VPN Services, ktorú možno zapnúť podľa návodu.

Infekciu zariadení možno identifikovať aj vyhľadávaním anomálií v logoch:

• zamerajte sa najmä na zníženie počtu prípadne úplne chýbajúce záznamy o udalostiach SYSLOG

302013 (“informational” level)
302014 (“informational” level)
609002 (“debug” level)
710005 (“debug” level)

• deaktivovaná funkcia checkheaps. Predvolene sa checkheaps spustí raz za 60 sekúnd. Vydanie príkazu show checkheaps vygeneruje výstup podobný nižšie uvedenému vzorovému výstupu. Odporúčame tento príkaz vykonávať raz za minútu počas piatich minút. Pokiaľ nepozorujete zmenu v zobrazovanom počte spustení, môže to indikovať kompromitáciu.

firewall# show checkheaps 
Checkheaps stats from buffer validation runs 
——————————————–
Time elapsed since last run      : 28 secs
Duration of last run             : 0 millisecs
Number of buffers created        : 106
Number of buffers allocated      : 103
Number of buffers free           : 3
Total memory in use              : 110620 bytes
Total memory in free buffers     : 124 bytes
Total number of runs             : 6352        

Zdroje:

• https://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_continued_attacks
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-http-code-exec-WmfP3h3O
• https://www.cisa.gov/news-events/directives/ed-25-03-identify-and-mitigate-potential-compromise-cisco-devices
• https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/RayInitiator-LINE-VIPER/ncsc-mar-rayinitiator-line-viper.pdf

Bezpečnostní výskumníci odhalili nový útok na dodávateľský reťazec v npm registri, ktorý zasiahol stovky balíčkov od rôznych udržiavateľov. Tieto balíčky sa používajú ako súčasti softvéru a webových stránok, od komerčných aplikácií až po open-source projekty, čo znamená, že počet ohrozených produktov nie je možné presne určiť.

Infikované balíčky:

• @ahmedhfarag/ngx-perfect-scrollbar 20.0.20
• @ahmedhfarag/ngx-virtual-scroller 4.0.4
• @art-ws/common 2.0.22, 2.0.28
• @art-ws/config-eslint 2.0.4, 2.0.5
• @art-ws/config-ts 2.0.7, 2.0.8
• @art-ws/db-context 2.0.24
• @art-ws/di 2.0.28, 2.0.32
• @art-ws/di-node 2.0.13
• @art-ws/eslint 1.0.5, 1.0.6
• @art-ws/fastify-http-server 2.0.24, 2.0.27
• @art-ws/http-server 2.0.21, 2.0.25
• @art-ws/openapi 0.1.9, 0.1.12
• @art-ws/package-base 1.0.5, 1.0.6
• @art-ws/prettier 1.0.5, 1.0.6
• @art-ws/slf 2.0.15, 2.0.22
• @art-ws/ssl-info 1.0.9, 1.0.10
• @art-ws/web-app 1.0.3, 1.0.4
• @crowdstrike/commitlint 8.1.1, 8.1.2
• @crowdstrike/falcon-shoelace 0.4.1, 0.4.2
• @crowdstrike/foundry-js 0.19.1, 0.19.2
• @crowdstrike/glide-core 0.34.2, 0.34.3
• @crowdstrike/logscale-dashboard 1.205.1, 1.205.2
• @crowdstrike/logscale-file-editor 1.205.1, 1.205.2
• @crowdstrike/logscale-parser-edit 1.205.1, 1.205.2
• @crowdstrike/logscale-search 1.205.1, 1.205.2
• @crowdstrike/tailwind-toucan-base 5.0.1, 5.0.2
• @ctrl/deluge 7.2.1, 7.2.2
• @ctrl/golang-template 1.4.2, 1.4.3
• @ctrl/magnet-link 4.0.3, 4.0.4
• @ctrl/ngx-codemirror 7.0.1, 7.0.2
• @ctrl/ngx-csv 6.0.1, 6.0.2
• @ctrl/ngx-emoji-mart 9.2.1, 9.2.2
• @ctrl/ngx-rightclick 4.0.1, 4.0.2
• @ctrl/qbittorrent 9.7.1, 9.7.2
• @ctrl/react-adsense 2.0.1, 2.0.2
• @ctrl/shared-torrent 6.3.1, 6.3.2
• @ctrl/tinycolor 4.1.1, 4.1.2
• @ctrl/torrent-file 4.1.1, 4.1.2
• @ctrl/transmission 7.3.1
• @ctrl/ts-base32 4.0.1, 4.0.2
• @hestjs/core 0.2.1
• @hestjs/cqrs 0.1.6
• @hestjs/demo 0.1.2
• @hestjs/eslint-config 0.1.2
• @hestjs/logger 0.1.6
• @hestjs/scalar 0.1.7
• @hestjs/validation 0.1.6
• @nativescript-community/arraybuffers 1.1.6, 1.1.7, 1.1.8
• @nativescript-community/gesturehandler 2.0.35
• @nativescript-community/perms 3.0.5, 3.0.6, 3.0.7, 3.0.8
• @nativescript-community/sentry 4.6.43
• @nativescript-community/sqlite 3.5.2, 3.5.3, 3.5.4, 3.5.5
• @nativescript-community/text 1.6.9, 1.6.10, 1.6.11, 1.6.12, 1.6.13
• @nativescript-community/typeorm 0.2.30, 0.2.31, 0.2.32, 0.2.33
• @nativescript-community/ui-collectionview 6.0.6
• @nativescript-community/ui-document-picker 1.1.27, 1.1.28
• @nativescript-community/ui-drawer 0.1.30
• @nativescript-community/ui-image 4.5.6
• @nativescript-community/ui-label 1.3.35, 1.3.36, 1.3.37
• @nativescript-community/ui-material-bottom-navigation 7.2.72, 7.2.73, 7.2.74, 7.2.75
• @nativescript-community/ui-material-bottomsheet 7.2.72
• @nativescript-community/ui-material-core 7.2.72, 7.2.73, 7.2.74, 7.2.75, 7.2.76
• @nativescript-community/ui-material-core-tabs 7.2.72, 7.2.73, 7.2.74, 7.2.75, 7.2.76
• @nativescript-community/ui-material-ripple 7.2.72, 7.2.73, 7.2.74, 7.2.75
• @nativescript-community/ui-material-tabs 7.2.72, 7.2.73, 7.2.74, 7.2.75
• @nativescript-community/ui-pager 14.1.36, 14.1.37, 14.1.38
• @nativescript-community/ui-pulltorefresh 2.5.4, 2.5.5, 2.5.6, 2.5.7
• @nexe/config-manager 0.1.1
• @nexe/eslint-config 0.1.1
• @nexe/logger 0.1.3
• @nstudio/angular 20.0.4, 20.0.5, 20.0.6
• @nstudio/focus 20.0.4, 20.0.5, 20.0.6
• @nstudio/nativescript-checkbox 2.0.6, 2.0.7, 2.0.8, 2.0.9
• @nstudio/nativescript-loading-indicator 5.0.1, 5.0.2, 5.0.3, 5.0.4
• @nstudio/ui-collectionview 5.1.11, 5.1.12, 5.1.13, 5.1.14
• @nstudio/web 20.0.4
• @nstudio/web-angular 20.0.4
• @nstudio/xplat 20.0.5, 20.0.6, 20.0.7
• @nstudio/xplat-utils 20.0.5, 20.0.6, 20.0.7
• @operato/board 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.47, 9.0.48, 9.0.49, 9.0.50, 9.0.51
• @operato/data-grist 9.0.29, 9.0.35, 9.0.36, 9.0.37
• @operato/graphql 9.0.22, 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46
• @operato/headroom 9.0.2, 9.0.35, 9.0.36, 9.0.37
• @operato/help 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46
• @operato/i18n 9.0.35, 9.0.36, 9.0.37
• @operato/input 9.0.27, 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.47, 9.0.48
• @operato/layout 9.0.35, 9.0.36, 9.0.37
• @operato/popup 9.0.22, 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.49
• @operato/pull-to-refresh 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42
• @operato/shell 9.0.22, 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39
• @operato/styles 9.0.2, 9.0.35, 9.0.36, 9.0.37
• @operato/utils 9.0.22, 9.0.35, 9.0.36, 9.0.37, 9.0.38, 9.0.39, 9.0.40, 9.0.41, 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.49
• @teselagen/bio-parsers 0.4.30
• @teselagen/bounce-loader 0.3.16, 0.3.17
• @teselagen/file-utils 0.3.22
• @teselagen/liquibase-tools 0.4.1
• @teselagen/ove 0.7.40
• @teselagen/range-utils 0.3.14, 0.3.15
• @teselagen/react-list 0.8.19, 0.8.20
• @teselagen/react-table 6.10.19, 6.10.20, 6.10.22
• @teselagen/sequence-utils 0.3.34
• @teselagen/ui 0.9.10
• @thangved/callback-window 1.1.4
• @things-factory/attachment-base 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.47, 9.0.48, 9.0.49, 9.0.50
• @things-factory/auth-base 9.0.43, 9.0.44, 9.0.45
• @things-factory/email-base 9.0.42, 9.0.43, 9.0.44, 9.0.45, 9.0.46, 9.0.47, 9.0.48, 9.0.49, 9.0.50, 9.0.51, 9.0.52, 9.0.53, 9.0.54
• @things-factory/env 9.0.42, 9.0.43, 9.0.44, 9.0.45
• @things-factory/integration-base 9.0.43, 9.0.44, 9.0.45
• @things-factory/integration-marketplace 9.0.43, 9.0.44, 9.0.45
• @things-factory/shell 9.0.43, 9.0.44, 9.0.45
• @tnf-dev/api 1.0.8
• @tnf-dev/core 1.0.8
• @tnf-dev/js 1.0.8
• @tnf-dev/mui 1.0.8
• @tnf-dev/react 1.0.8
• @ui-ux-gang/devextreme-angular-rpk 24.1.7
• @yoobic/design-system 6.5.17
• @yoobic/jpeg-camera-es6 1.0.13
• @yoobic/yobi 8.7.53
• airchief 0.3.1
• airpilot 0.8.8
• angulartics2 14.1.1, 14.1.2
• browser-webdriver-downloader 3.0.8
• capacitor-notificationhandler 0.0.2, 0.0.3
• capacitor-plugin-healthapp 0.0.2, 0.0.3
• capacitor-plugin-ihealth 1.1.8, 1.1.9
• capacitor-plugin-vonage 1.0.2, 1.0.3
• capacitorandroidpermissions 0.0.4, 0.0.5
• config-cordova 0.8.5
• cordova-plugin-voxeet2 1.0.24
• cordova-voxeet  1.0.32
• create-hest-app 0.1.9
• db-evo 1.1.4, 1.1.5
• devextreme-angular-rpk 21.2.8
• ember-browser-services 5.0.2, 5.0.3
• ember-headless-form 1.1.2, 1.1.3
• ember-headless-form-yup 1.0.1
• ember-headless-table 2.1.5, 2.1.6
• ember-url-hash-polyfill 1.0.12, 1.0.13
• ember-velcro 2.2.1, 2.2.2
• encounter-playground 0.0.2, 0.0.3, 0.0.4, 0.0.5
• eslint-config-crowdstrike 11.0.2, 11.0.3
• eslint-config-crowdstrike-node 4.0.3, 4.0.4
• eslint-config-teselagen 6.1.7, 6.1.8
• globalize-rpk 1.7.4
• graphql-sequelize-teselagen 5.3.8, 5.3.9
• html-to-base64-image 1.0.2
• json-rules-engine-simplified 0.2.1, 0.2.4
• jumpgate 0.0.2
• koa2-swagger-ui 5.11.1, 5.11.2
• mcfly-semantic-release 1.3.1
• mcp-knowledge-base 0.0.2
• mcp-knowledge-graph 1.2.1
• mobioffice-cli 1.0.3
• monorepo-next 13.0.1, 13.0.2
• mstate-angular 0.4.4
• mstate-cli 0.4.7
• mstate-dev-react 1.1.1
• mstate-react 1.6.5
• ng2-file-upload 7.0.2, 7.0.3, 8.0.1, 8.0.2, 8.0.3, 9.0.1
• ngx-bootstrap 18.1.4, 19.0.3, 19.0.4, 20.0.3, 20.0.4, 20.0.5
• ngx-color 10.0.1, 10.0.2
• ngx-toastr 19.0.1, 19.0.2
• ngx-trend 8.0.1
• ngx-ws 1.1.5, 1.1.6
• oradm-to-gql 35.0.14, 35.0.15
• oradm-to-sqlz 1.1.2, 1.1.5
• ove-auto-annotate 0.0.9, 0.0.10
• pm2-gelf-json 1.0.4, 1.0.5
• printjs-rpk 1.6.1
• react-complaint-image 0.0.32, 0.0.35
• react-jsonschema-form-conditionals 0.3.18, 0.3.21
• react-jsonschema-form-extras 1.0.4
• react-jsonschema-rxnt-extras 0.4.9
• remark-preset-lint-crowdstrike 4.0.1, 4.0.2
• rxnt-authentication 0.0.3, 0.0.4, 0.0.5, 0.0.6
• rxnt-healthchecks-nestjs 1.0.2, 1.0.3, 1.0.4, 1.0.5
• rxnt-kue 1.0.4, 1.0.5, 1.0.6, 1.0.7
• swc-plugin-component-annotate 1.9.1, 1.9.2
• tbssnch 1.0.2
• teselagen-interval-tree 1.1.2
• tg-client-query-builder 2.14.4, 2.14.5
• tg-redbird 1.3.1, 1.3.2
• tg-seq-gen 1.0.9, 1.0.10
• thangved-react-grid 1.0.3
• ts-gaussian 3.0.5, 3.0.6
• ts-imports 1.0.1, 1.0.2
• tvi-cli 0.1.5
• ve-bamreader 0.2.6, 0.2.7
• ve-editor 1.0.1, 1.0.2
• verror-extra 6.0.1
• voip-callkit 1.0.2, 1.0.3
• wdio-web-reporter 0.1.3
• yargs-help-output 5.0.3
• yoo-styles 6.0.326

Pozn.: tento zoznam nie je kompletný.

Opis útoku:

Útočníci využili funkciu NpmModule.updatePackage, ktorá sťahuje balíček, upravuje jeho package.json, vkladá škodlivý skript bundle.js, znovu zabaľuje archív a opätovne ho zverejňuje, čím automaticky infikuje závislé balíčky. Cieľom útoku je zneužiť nástroj TruffleHog na vyhľadávanie citlivých údajov, ako sú prístupové tokeny pre GitHub a cloudové služby, a odoslať ich na server pod kontrolou útočníka. Útok cielený na systémy Windows aj Linux môže zneužívať aj CI/CD pipeline cez GitHub Actions, čím umožňuje trvalú exfiltráciu údajov.

Možné škody:

• Vzdialené vykonanie príkazov
• Únik citlivých informácií
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom a vývojárom sa odporúča skontrolovať svoje prostredie a v prípade zistenia infikovaných balíčkov po ich odstránení zmeniť prístupové údaje a obnoviť npm tokeny. Zároveň je dôležité vyčistiť npm cache a používať súbor package-lock.json a pinované verzie balíčkov, ako aj informovať subdodávateľov o incidente.

Zdroje:

• https://socket.dev/blog/tinycolor-supply-chain-attack-affects-40-packages
• https://www.stepsecurity.io/blog/ctrl-tinycolor-and-40-npm-packages-compromised
• https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised

Spoločnosť Fortra vydala bezpečnostné aktualizácie webového nástroja pre prenos súborov GoAnywhere MFT (Managed File Transfer), ktoré opravujú kritickú zraniteľnosť. CVE-2025-10035 by vzdialený neautentifikovaný útočník mohol zneužiť na injekciu príkazov a získanie úplnej kontroly nad systémom. Zraniteľnosť je aktívne zneužívaná.

Zraniteľné systémy:

• Fortra GoAnywhere MFT 7.8.X vo verziách starších ako 7.8.4
• Fortra GoAnywhere MFT 7.6.X vo verziách starších ako Sustain Release 7.6.3

Opis zraniteľnosti:

CVE-2025-10035­­ (CVSSv3.1 skóre 10,0)

Kritická zraniteľnosť sa nachádza v komponente License Servlet a súvisí s deserializáciou nedôveryhodných dát. Vzdialený útočník by ju podvrhnutím špeciálne vytvorenej odpovede s platným podpisom Licence Response mohol zneužiť na injekciu príkazov a získanie úplnej kontroly nad systémom.

Pozn.: Zraniteľné sú všetky inštancie produktu, ktoré majú administratívnu konzolu voľne prístupnú z internetu. Zraniteľnosť je aktívne zneužívaná minimálne od 10. septembra 2025.

Možné škody:

• Vykonanie ľubovoľných príkazov
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu na Fortra GoAnywhere MFT na verziu 7.8.4 alebo Sustain Release 7.6.3. Výrobca rovnako odporúča limitovať prístup k administratívnemu rozhraniu produktu zavedením firewallových pravidiel alebo VPN prístupu.

Zneužitie zraniteľnosti môžete identifikovať analýzou Admin Audit logov a logov aplikácie. Zamerajte sa na chybové hlášky obsahujúce reťazec „SignedObject.getObject“. Prítomnosť výnimiek (eng. Exception) v nasledujúcom tvare indikuje prítomnosť pokusu o zneužitie zraniteľnosti:

Zdroje:

• https://www.fortra.com/security/advisories/product-security/fi-2025-012
• https://www.cve.org/cverecord?id=CVE-2025-10035
• https://thehackernews.com/2025/09/fortra-releases-critical-patch-for-cvss.html

Spoločnosť Google vydala bezpečnostné aktualizácie pre svoj webový prehliadač Chrome, ktoré opravujú 4 vysoko závažné zraniteľnosti, z čoho 1 je označená ako aktívne zneužívaná zero-day. CVE-2025-10585 by vzdialený neautentifikovaný útočník mohol zneužiť na vzdialené vykonanie kódu.

Zraniteľné systémy:

• Chrome pre Windows a Mac vo verziách starších ako 140.0.7339.185/.186
• Chrome pre Linux vo verziách starších ako 140.0.7339.185

Opis zraniteľnosti:

CVE-2025-10585 (CVSSv3 skóre 8,8)

Zraniteľnosť vysokej závažnosti sa nachádza v komponente V8 a vzdialený neautentifikovaný útočník by ju podvrhnutím špeciálne vytvoreného webového obsahu mohol zneužiť na vzdialené vykonanie kódu. CVE-2025-10585 spočíva v nesprávnom vyhodnocovaní dátových typov. Zraniteľnosť je podľa spoločnosti Google aktívne zneužívaná. Tento rok sa jedná už o šiestu zero-day zraniteľnosť Chrome, ktorá bola označená za aktívne zneužívanú.

CVE-2025-10500, CVE-2025-10501, CVE-2025-10502 (CVSSv3 skóre 8,8)

Zraniteľnosti v komponentoch Dawn, WebRTC a ANGLE spočívajú v možnosti použitia odalokovaného miesta v pamäti (CVE-2025-10500, CVE-2025-10501) a pretečení medzipamäte haldy (CVE-2025-10502). Vzdialený neautentifikovaný útočník by ich podvrhnutím špeciálne vytvoreného webového obsahu mohol zneužiť na vzdialené vykonanie kódu alebo zneprístupnenie služby.

Možné škody:

• Vzdialené vykonanie kódu
• Zneprístupnenie služby (DoS)

Odporúčania:

Administrátorom a používateľom odporúčame bezodkladnú aktualizáciu prehliadača Chrome na najnovšie verzie 140.0.7339.185/.186 (Windows, Mac) a 140.0.7339.185 (Linux).

Zdroje:

• https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html
• https://exchange.xforce.ibmcloud.com/vulnerabilities/Y2DBXZkBmtYcrSEbVUzc
• https://exchange.xforce.ibmcloud.com/vulnerabilities/gavBXZkB3M5y24TXhvg-
• https://exchange.xforce.ibmcloud.com/vulnerabilities/G5zCXZkBvxtUtBM1BiSG
• https://exchange.xforce.ibmcloud.com/vulnerabilities/qKzjXZkB3M5y24TX6A38
• https://www.bleepingcomputer.com/news/security/google-patches-sixth-chrome-zero-day-exploited-in-attacks-this-year/

Spoločnosť WatchGuard vydala bezpečnostné aktualizácie svojich firewallov Firebox, ktoré opravujú kritickú zraniteľnosť operačného systému Fireware OS. CVE-2025-9242 by vzdialený neautentifikovaný útočník mohol zneužiť na vzdialené vykonanie kódu.

Zraniteľné systémy:

• Fireware OS 2025.1 vo verziách starších ako 2025.1.1
• Fireware OS 12.x vo verziách starších ako 12.11.4
• Fireware OS 12.5.x (modely T15 a T35) vo verziách starších ako 12.5.13
• Fireware OS 12.3.1 (release s FIPS certifikáciou) vo verziách bez 12.3.1_Update3 (B722811)
• Fireware OS 11.x vo všetkých verziách (jedná sa o produkty s ukončenou podporou)

Opis zraniteľnosti:

CVE-2025-9242 (CVSSv4 skóre 9,3)

Kritická zraniteľnosť spočíva v možnosti zápisu do pamäte mimo povolených hodnôt a vzdialený neautentifikovaný útočník by ju mohol zneužiť na vzdialené vykonanie kódu. Zraniteľnosť je možné zneužiť na VPN pre mobilných používateľov s IKEv2 a BOVPN (Branch Office VPN) s IKEv2 nakonfigurovanom s dynamickou bránou. Ak bol firewall nakonfigurovaný jedným z týchto dvoch spôsobov a tieto konfigurácie boli zmazané, zariadenie môže byť podľa výrobcu stále zraniteľné, pokiaľ má nakonfigurovanú BOVPN so statickou bránou.

Možné škody:

• Vzdialené vykonanie kódu
• Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu aspoň na verzie 12.3.1_Update3 (B722811), 12.5.13, 12.11.4, alebo 2025.1.1. V prípade Fireware OS 11.x je potrebné vykonať migráciu na produkty s platnou podporou. Výrobca odporúča vykonať aj hardening BOVPN využívajúcich IpSec a IKEv2. Kompletný návod môžete nájsť online.

Zdroje:

• https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00015
• https://www.bleepingcomputer.com/news/security/watchguard-warns-of-critical-vulnerability-in-firebox-firewalls/

Hrozba preniknutia útočníkov do IT infraštruktúry organizácie zneužitím rôznych ciest je veľmi reálnym ohrozením chodu celej organizácie. Následná krádež a zašifrovanie dôležitých informácií a systémov môžu vyradiť služby a spôsobiť rozsiahle reputačné a finančné škody. V najhorších prípadoch môžu viesť ku ohrozeniu zdravia a životov, či fyzickým škodám.

Na základe našich skúseností z reálnych prípadov sme pre Vás pripravili súhrn opatrení, ktoré Vám poslúžia ako najlepšia prevencia pred podobnými incidentmi. Nasadením každého jedného z nich o krôčik zvýšite svoju bezpečnosť.

Dokument vo formáte PDF nájdete tu, alebo v sekcii Návody a odporúčania.

Spoločnosť Microsoft vydala v septembri 2025 balík opráv pre portfólio svojich produktov opravujúci 81 zraniteľností, z ktorých 8 spoločnosť označila ako kritické. Tieto umožňujú vzdialene vykonávať kód, eskalovať oprávnenia a získať citlivé informácie. Dve zraniteľnosti sú typu zero-day.

Zraniteľné systémy:

• Azure Connected Machine Agent
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft AutoUpdate for Mac
• Microsoft Excel 2016 (32-bit edition)
• Microsoft Excel 2016 (64-bit edition)
• Microsoft HPC Pack 2019
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office for Android
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions
• Microsoft Office LTSC 2024 for 32-bit editions
• Microsoft Office LTSC 2024 for 64-bit editions
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC for Mac 2024
• Microsoft OfficePLUS
• Microsoft PowerPoint 2016 (32-bit edition)
• Microsoft PowerPoint 2016 (64-bit edition)
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server Subscription Edition
• Microsoft SQL Server 2016 for x64-based Systems Service Pack 3 (GDR)
• Microsoft SQL Server 2016 for x64-based Systems Service Pack 3 Azure Connect Feature Pack
• Microsoft SQL Server 2017 for x64-based Systems (CU 31)
• Microsoft SQL Server 2017 for x64-based Systems (GDR)
• Microsoft SQL Server 2019 for x64-based Systems (CU 32)
• Microsoft SQL Server 2019 for x64-based Systems (GDR)
• Microsoft SQL Server 2022 for x64-based Systems (CU 20)
• Microsoft SQL Server 2022 for x64-based Systems (GDR)
• Microsoft Word 2016 (32-bit edition)
• Microsoft Word 2016 (64-bit edition)
• Office Online Server
• Windows 10 for 32-bit Systems
• Windows 10 for x64-based Systems
• Windows 10 Version 1607 for 32-bit Systems
• Windows 10 Version 1607 for x64-based Systems
• Windows 10 Version 1809 for 32-bit Systems
• Windows 10 Version 1809 for x64-based Systems
• Windows 10 Version 21H2 for 32-bit Systems
• Windows 10 Version 21H2 for ARM64-based Systems
• Windows 10 Version 21H2 for x64-based Systems
• Windows 10 Version 22H2 for 32-bit Systems
• Windows 10 Version 22H2 for ARM64-based Systems
• Windows 10 Version 22H2 for x64-based Systems
• Windows 11 Version 22H2 for ARM64-based Systems
• Windows 11 Version 22H2 for x64-based Systems
• Windows 11 Version 23H2 for ARM64-based Systems
• Windows 11 Version 23H2 for x64-based Systems
• Windows 11 Version 24H2 for ARM64-based Systems
• Windows 11 Version 24H2 for x64-based Systems
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
• Windows Server 2012
• Windows Server 2012 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2022 (Server Core installation)
• Windows Server 2022, 23H2 Edition (Server Core installation)
• Windows Server 2025
• Windows Server 2025 (Server Core installation)
• Xbox Gaming Services

Opis činnosti:

Spoločnosť Microsoft opravila v rámci svojho pravidelného balíka Patch Tuesday 81 zraniteľností vo svojich produktoch, z ktorých 8 označila ako kritické a 72 ako „dôležité“ (Important). Jedna nedostala označenie závažnosti. Kritické zraniteľnosti umožňujú vzdialene vykonávať kód, eskalovať oprávnenia a získať citlivé informácie. Dve zraniteľnosti sú aktívne zneužívané.

CVE-2025-55234 (CVSSv3.1 skóre 8,8)

Vývojári spoločnosti Microsoft opravili aktívne zneužívanú zraniteľnosť v komponente SMB Server, ktorá umožňuje útočníkom eskalovať svoje oprávnenia. Pri istých konfiguračných nastaveniach môžu na to útočníci využiť techniku tzv. relay attack, odchytiť autentifikačné infromácie a zneužiť ich pre neautorizovaný prístup do systému.

CVE-2024-21907 (CVSSv3.1 skóre 7,5)

Druhá opravená zneužívaná zraniteľnosť sa nachádza v knižnici tretej strany Newtonsoft.Json verzií starších ako 13.0.1, ktorá je súčasťou Microsoft SQL Server. Súvisí s nesprávnym spracovaním výnimiek metódou JsonConvert.DeserializeObject. Neautentifikovaný vzdialený útočník môže spôsobiť nedostupnosť služby odoslaním špeciálne upravených dát, ktoré vyvolajú výnimku typu StackOverflow.

Možné škody:

• Únik citlivých informácií
• Vzdialené vykonávanie kódu
• Eskalácia oprávnení
• Nedostupnosť služby (DoS)

Odporúčania:

Administrátorom a používateľom zraniteľných verzií odporúčame bezodkladne vykonať aktualizácie dostupné priamo zo systému alebo zo stránky výrobcu. Pre konkrétny prehľad si treba vo filtroch zvoliť mesiac september a Mode „Update Tuesday“. Bližšie informácie nájdete aj tu.

Pre mitigáciu zraniteľnosti CVE-2025-55234 Microsoft odporúča zapnúť SMB Server Signing a SMB Server Extended Protection for Authentication (EPA). To však môže spôsobovať problémy s kompatibilitou voči starším zariadeniam.

Odkazy:

• https://msrc.microsoft.com/update-guide/
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-55234
• https://nvd.nist.gov/vuln/detail/CVE-2024-21907
• https://thehackernews.com/2025/09/microsoft-fixes-80-flaws-including-smb.html
• https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2025-patch-tuesday-fixes-81-flaws-two-zero-days/

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci august 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 08/2025 PDF (1 904 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

Aktuálna situácia:

Automobilová spoločnosť Jaguar Land Rover informovala v oficiálnom vyhlásení, že čelí kybernetickému útoku a podnikla kroky na obnovenie bežnej produkcie. Britské denníky BBC a The Guardian sa o útoku dozvedeli počas jeho priebehu. Cieľom útočníkov bolo vymáhanie peňazí. Podľa aktuálnych informácií nedošlo k úniku dát zákazníkov, ale útok spôsobil pozastavenie viacerých prevádzok. Aktuálne sa k útoku hlási skupina “Scattered Lapsus$ Hunters”, ktorá nebola stotožnená so žiadnou známou APT skupinou.

Prečo je to dôležité:

O útoku informujeme najmä preto, aby sme poukázali na skutočnosť, že zaujímavým cieľom kybernetických útokov nie sú len počítače a smartfóny, ale aj priemyselné zariadenia a SMART spotrebiče ako napríklad inteligentné chladničky, SMART TV, sieťové routery alebo priemyselné systémy SIEMENS či Honeywell. Tieto zariadenia často nemávajú dlhú podporu bezpečnostných aktualizácií, ktoré navyše ich používatelia bežne zabúdajú aplikovať. Často sú nedopatrením alebo zámerne pripojené na internet, čím sa stávajú lákavým cieľom mnohých kybernetických útokov vedúcich k odcudzeniu súkromných či platobných údajov alebo korporátnych tajomstiev. Práve v priemyselnom prostredí sú potom častým vektorom na nasadenie ransomvéru.

Odporúčania:

VJ CSIRT pravidelne informuje administrátorov, ale aj širokú verejnosť pomocou svojho webu o aktuálnych nebezpečných softvérových zraniteľnostiach aj s návodmi na ich mitigáciu. Spravidla sa vždy odporúča využívať aktualizovaný softvér v celej infraštruktúre a strániť sa vystaveniu zariadení na (verejný) internet ak to nie je nevyhnutné. Užitočné rady a návody môžete nájsť aj v našej sekcii Metodiky a návody.

Zdroje:

• https://media.jaguarlandrover.com/news/2025/09/statement-cyber-incident
• https://www.bbc.com/news/articles/c4gqepe5355o
• https://www.bbc.com/news/articles/c9wywvllq7wo
• https://www.theguardian.com/business/2025/sep/02/jaguar-land-rover-cyber-incident-manufacturing-retail

Bezpečnostní výskumníci zo Sangoma FreePBX Security Team informovali o kritickej zero-day zraniteľnosti v rozšírenom open-source komunikačnom softvéri FreePBX, využívanom najmä v call centrách. Zraniteľnosť bola označená ako aktívne zneužívaná.

Zraniteľné systémy:

• FreePBX 15 po verziu 15.0.66
• FreePBX 16 po verziu 16.0.89
• FreePBX 17 po verziu 17.0.3

Zraniteľnosť sa týka iba systémov s panelom administrátora prístupným z internetu.

Opis zraniteľnosti:

CVE-2025-57819(CVSS 4.0 skóre 10,0)

Zraniteľnosť spočíva v nedostatočnej sanitácii vstupu od používateľa. Neautentifikovaný útočník môže pomocou škodlivého vstupu získať administrátorské oprávnenia. Bližšie informácie o povahe zraniteľnosti ani „proof-of-concept“ nie sú verejne dostupné vzhľadom na jej vysokú závažnosť.

Možné škody:

• Neoprávnený prístup k citlivým údajom
• Vzdialené vykonávanie kódu
• Narušenie dostupnosti, integrity a dôvernosti služby

Odporúčania:

Administrátorom odporúčame bezodkladne vypnúť verejný prístup k administrátorskému panelu z internetu a vykonať aktualizáciu na verzie vyššie alebo rovné:

• FreePBX 15 v15.0.66
• FreePBX 16 v16.0.89
• FreePBX 17 v17.0.3

Podľa vývojárov FreePBX by mali verzie 15 a 16 automaticky spustiť bezpečnostnú aktualizáciu. Pri verzii 17 je možné, že sa táto aktualizácia nespustí automaticky. Pokiaľ využívate FreePBX s koncovým modulom (endpoint module) a máte podozrenie kompromitácie systému, odporúčame okamžité odpojenie od siete.

Indikátory kompromitácie:

Pri podozrení z kompromitácie odporúčame preveriť nasledovné:

• Nedávno modifikovaný súbor: /etc/freepbx.conf
• Súbor /var/www/html/.clean.sh – nemal by existovať
• Podozrivé POST žiadosti na modular.php v Apache web serveri začínajúce okolo dátumu 21.8.2025
• Hovory na číslo 9998 v  logoch servera Asterisk a CDR nie sú štandardom (pokiaľ neboli nakonfigurované pre konkrétny use-case)
• Podozrivé alebo neznáme užívateľské konto v databáze ampuser

Zdroje:

• https://nvd.nist.gov/vuln/detail/CVE-2025-57819
• https://thehackernews.com/2025/08/freepbx-servers-targeted-by-zero-day.html
• https://github.com/FreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5f3h
• https://www.securityweek.com/sangoma-patches-critical-zero-day-exploited-to-hack-freepbx-servers/

Na našej web stránke boli doplnené informácie o závažných bezpečnostných udalostiach a zraniteľnostiach informačných systémov zaznamenaných v mesiaci august 2025.

Mesačný prehľad – 08/2025 PDF (552 kB)

Prehľady sú spracovávané od októbra 2014 a sú dostupné na tomto odkaze.

Spoločnosť Citrix opravila jednu kritickú a dve vysoko závažné zraniteľnosti zariadení NetScaler ADC a NetScaler Gateway. Kritická zraniteľnosť je pravdepodobne aktívne zneužívaná.

Zraniteľné systémy:

• NetScaler ADC a NetScaler Gateway 14.1 staršie ako 14.1-47.48
• NetScaler ADC a NetScaler Gateway 13.1 staršie ako 13.1-59.22
• NetScaler ADC 13.1-FIPS a NDcPP  staršie ako 13.1-37.241-FIPS a NDcPP
• NetScaler ADC 12.1-FIPS a NDcPP  staršie ako 12.1-55.330-FIPS a NDcPP

Opis činnosti:

Spoločnosť Citrix zverejnila viacero zraniteľností zariadení NetScaler ADC a NetScaler Gateway.

CVE-2025-7775 (CVSS v4.0 skóre 9,2)

Kritická zraniteľnosť súvisí s pretečením pamäte, ktorým je možné docieliť možnosť vzdialene vykonávať kód či spôsobiť nedostupnosť služby. Aby ju bolo možné zneužiť, musí byť splnená aspoň jedna z nasledujúcich podmienok:

• NetScaler nakonfigurovaný ako Gateway (virtuálny server VPN, ICA Proxy, CVPN, RDP Proxy)
• NetScaler nakonfigurovaný ako virtuálny AAA server
• Virtuálny load-balancing server typu HTTP, SSL alebo HTTP_QUIC spojený so službami IPv6 alebo servicegroups viazané na servery IPv6
• Virtuálny load-balancing server typu HTTP, SSL alebo HTTP_QUIC spojený s doménovými službami (DBS) IPv6 alebo servicegroups viazané na doménové servery IPv6 (DBS)
• NetScaler nakonfigurovaný s virtuálnym serverom pre presmerovanie cache (CR) s HDX

Preveriť konfiguráciu NetScaler je možné v konfiguračnom súbore ns.conf podľa návodu na webe výrobcu v časti „What Customers Should Do“.

Spoločnosť Citrix informovala, že zraniteľnosť pravdepodobne aktívne zneužívajú útočníci.

CVE-2025-7776 (CVSS v4.0 skóre 8,8)

Vysoko závažná zraniteľnosť súvisí s pretečením pamäte, ktoré môže spôsobiť nedostupnosť služby. Pre jej zneužitie musí byť NetScaler nakonfigurovaný ako Gateway (virtuálny server VPN, ICA Proxy, CVPN, RDP Proxy) s naviazaným profilom PCoIP.

Preveriť konfiguráciu NetScaler je možné v konfiguračnom súbore podľa návodu na webe výrobcu v časti „What Customers Should Do“.

CVE-2025-8424 (CVSS v4.0 skóre 8,7)

Vysoko závažná zraniteľnosť súvisí s nesprávnym riadením prístupu v manažmentovému rozhraniu NetScaler. Pre jej zneužitie potrebuje útočník prístup ku NSIP, IP adresu Cluster Management, lokálnu IP adresu stránky GSLB alebo subnetovú IP s manažmentovým prístupom.

Možné škody:

• Vzdialené vykonávanie kódu
• Nedostupnosť služby (DoS)
• Neoprávnený prístup do systému

Odporúčania:

Bezodkladná aktualizácia zraniteľných verzií Citrix NetScaler aspoň na verzie:

• NetScaler ADC a NetScaler Gateway 14.1-47.48
• NetScaler ADC a NetScaler Gateway 13.1-59.22
• NetScaler ADC 13.1-37.241-FIPS a NDcPP
• NetScaler ADC 12.1-55.330-FIPS a NDcPP

Vo vzťahu ku zraniteľnosti CVE-2025-8424 odporúča Citrix nasadenie kontroly prístupov IDAM a zakázať lokálnu autentifikáciu. Výrobca odporúča tiež nevystavovať NSIP do internetu.

Odkazy:

• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694938&articleTitle=NetScaler_ADC_and_NetScaler_Gateway_Security_Bulletin_for_CVE_2025_7775_CVE_2025_7776_and_CVE_2025_8424
• https://www.netscaler.com/blog/news/critical-security-update-announced-for-netscaler-gateway-and-netscaler/

Bezpečnostný výskumník odhalil zraniteľnosť prídavných modulov pre webové prehliadače viacerých manažérov hesiel, ktorá umožňuje vykonávať clickbaitingové útoky a kradnúť z nich citlivé údaje. Útočníci sa môžu dostať ku prihlasovacím údajom, ale aj platobným či osobným údajom.

Zraniteľné systémy:

• Bitwarden 2025.8.0 a staršie
• Enpass 6.11.5 a staršie
• KeePassXC-Browser 1.9.9.2 a staršie
• 1Password 8.11.7.2 a staršie
• iCloud Passwords 3.1.25
• LastPass 4.146.3 a staršie
• LogMeOnce 7.12.4 a staršie
• Dashlane verzie staršie ako 6.2531.1
• Keeper verzie staršie ako 17.2.0
• NordPass verzie staršie ako 5.13.24
• ProtonPass 1.31.4 a staršie
• RoboForm 9.7.5 a staršie

Výskumník testoval iba tieto, no pravdepodobne budú zraniteľné aj mnohé ďalšie manažéry hesiel.

Opis činnosti:

Bezpečnostný výskumník Marek Tóth upozornil na zraniteľnosť viacerých manažérov hesiel voči krádeži kliknutí (tzv. clickbaiting), čo môže viesť k úniku obsahu odomknutých záznamov. Tie môžu okrem prihlasovacích údajov obsahovať aj platobné a osobné dáta. Voči clickbaitingovému útoku sú zraniteľné prídavné moduly manažérov pre internetové prehliadače.

Útočník potrebuje obeť presvedčiť, aby klikla na oznamovacie okno, cez ktoré je preložené neviditeľné okno s potvrdením vloženia údajov z manažéra do útočníkovho formuláru. Pokiaľ prídavný modul nemá definované dostatočne striktné obmedzenia prístupnosti ku svojim súborom a zdrojom pre webové stránky, môže napríklad útočník získať obsah citlivých súborov formou iframe.

Druhá forma útoku zneužíva škodlivý javascript, ktorý zneviditeľní prvky používateľského rozhrania prídavného modulu injektované do rozhrania DOM (document object model) prehliadača.

Útočník môže podvrhnúť neviditeľné menu manažéra hesiel pre výber prihlasovacích údajov na nevinne vyzerajúce potvrdenie o veku používateľa, alebo štandardne vyzerajúcu informáciu o používaní cookies. Nič netušiac, obeť kliknutím na ľubovoľné tlačidlo vyberie a odošle útočníkovi svoje prihlasovacie údaje.

Možné škody:

• Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia zraniteľných aplikácií aspoň na:

• Bitwarden 2025.8.1
• Enpass 6.11.6
• Dashlane 6.2531.1
• Keeper 17.2.0
• NordPass 5.13.24
• ProtonPass 1.31.6
• RoboForm 9.7.6

Ostatné aplikácie v čase vydania tohto varovania ešte nemajú opravu.

Najefektívnejšou ochranou voči podobným formám útokov je zakázanie automatického dopĺňania (autofill) v nastaveniach modulov, a samozrejme obozretnosť pri výbere navštevovaných webových stránok.

Odkazy:

• https://www.malwarebytes.com/blog/news/2025/08/clickjack-attack-steals-password-managers-secrets
• https://marektoth.com/blog/dom-based-extension-clickjacking/#password-managers

Spoločnosť Apple opravila vysoko závažnú aktívne zneužívanú zraniteľnosť v komponente ImageIO systémov macOS, iOS a iPadOS, ktoré umožňuje útočníkom spôsobiť poškodenie pamäte, zneužiteľné na ďalšie fázy útoku. To nastáva pri spracovaní špeciálne upraveného obrázkového súboru.

Zraniteľné systémy:

• macOS Ventura, verzie staršie ako 13.7.8
• macOS Sequoia, verzie staršie ako 15.6.1
• macOS Sonoma, verzie staršie ako 14.7.8
• iPadOS, verzie staršie ako 17.7.10
• iPadOS, verzie staršie ako 18.6.2
• iOS, verzie staršie ako 18.6.2

Opis činnosti:

CVE-2025-43300 (CVSS v3.1 skóre 8,8)

Spoločnosť Apple vydala aktualizácie na opravu zneužívanej zero-day zraniteľnosti CVE-2025-43300 v platforme ImageIO, ktorá súvisí s možnosťou zápisu do pamäte mimo povolené hodnoty. Útočník môže obeti podvrhnúť škodlivý obrázok, ktorého spracovanie spôsobí poškodenie pamäte. To môže štandardne viesť k pádu systému alebo umožniť vzdialené vykonanie kódu.

Zraniteľnosť sa týka produktov iPhone od modelu XS, iPad Pro 10.5-inch, iPad Pro 13-inch, iPad Pro 12.9-inch 2. generácie a novšie, iPad Pro 11-inch od 1. generácie, iPad Air 3. generácie a novšie, iPad od 6. generácie, iPad mini od 5. generácie, a počítače Mac s macOS Ventura, Sequoia a Sonoma.

Útočníci zraniteľnosť zneužívali v cielených sofistikovaných útokoch.

Možné škody:

• Nedostupnosť služby (DoS)
• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia aspoň na verzie:

• macOS Ventura 13.7.8
• macOS Sequoia 15.6.1
• macOS Sonoma 14.7.8
• iPadOS 17.7.10
• iPadOS 18.6.2
• iOS 18.6.2

Odkazy:

• https://support.apple.com/en-us/124925
• https://support.apple.com/en-us/124928
• https://thehackernews.com/2025/08/apple-patches-cve-2025-43300-zero-day.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-43300

V publikovanej správe sa zameriame na dianie v oblasti informačnej bezpečnosti vo svete a na Slovensku v mesiaci júl 2025. Pridávame aj prehľad kritických zraniteľností produktov a nástrojov.

CSIRT.SK ako vládna jednotka na riešenie počítačových incidentov monitoruje lokálne aj globálne dianie v rámci informačnej bezpečnosti. Štandardne tento príspevok prináša prehľad udalostí a informácií zozbieraných jednotkou CSIRT.SK pri svojej činnosti.

Mesačná správa – 07/2025 PDF (1 718 KB)

Mesačné správy CSIRT.SK sú spracovávané od augusta 2018 a sú dostupné v časti Mesačná správa CSIRT.SK a prehľad bezpečnostných udalostí vo svete a u nás.

V aktualizácii programu Defender z augustového balíka Patch Tuesday sa nachádza chyba, ktorá môže spôsobiť chyby na pevných diskoch. Jej najčastejším prejavom je chýbajúci disk v súborovom systéme alebo poškodenie a strata dát. Problém sa podľa viacerých zdrojov prejavuje pri kontinuálnom zápise rádovo desiatok GB.

Problémová aktualizácia:

• Windows 11 24H2 – kumulatívny balík aktualizácie KB5063878

Možné škody:

• Strata údajov

Odporúčania:

Microsoft zatiaľ nezverejnil definitívnu správu o príčine či mitigácii problému. Odporúčame však všetkým administrátorom a používateľom zasiahnutých systémov aby si pravidelne zálohovali a chránili dáta a sledovali oficiálne stránky výrobcu pre bližšie informácie o riešení možných problémov.

Zdroje:

• https://www.techpowerup.com/340032/microsoft-windows-11-24h2-update-may-cause-ssd-failures?amp
• https://zive.aktuality.sk/clanok/FtWAgiP/pouzivate-windows-zacali-sa-stracat-data-z-diskov-co-treba-urobit-kym-pride-oprava/
• https://support.microsoft.com/en-us/topic/august-12-2025-kb5063878-os-build-26100-4946-e4b87262-75c8-4fef-9df7-4a18099ee294
• https://support.microsoft.com/en-us/topic/august-12-2025-kb5063878-update-for-windows-server-2025-os-build-26100-4946-69b2de20-e07d-404a-a19f-fd8c4ae27e0f
• https://www.windowslatest.com/2025/08/12/windows-11-kb5063878-24h2-boosts-performance-adds-quick-machine-recovery-agentic-settings/

Spoločnosť Cisco opravila kritickú zraniteľnosť v Cisco Secure Firewall Management Center, ktorá z dôvodu nevhodnej validácie používateľských vstupov dovoľuje vzdialenému útočníkovi pri prihlasovaní odoslať požiadavku obsahujúcu príkaz Shell. Ten zraniteľné zariadenie vykoná.

Zraniteľné systémy:

• Cisco Secure FMC 7.0.7 a 7.7.0

Aplikácia musí mať povolenú autentifikáciu do manažmentového rozhrania cez RADIUS a/alebo SSH.

Opis zraniteľností:

CVE-2025-20265 (CVSS v3.1 skóre 10,0)

Cisco Secure Firewall Management Center (FMC) obsahuje kritickú zraniteľnosť v komponente pre protokol RADIUS. Zraniteľnosť súvisí s nedostatočnou kontrolou používateľských vstupov pri autentifikácii voči serveru RADIUS. Vzdialenému neautentifikovanému útočníkovi dovoľuje pri prihlasovaní injektovať príkazy Shell do odosielanej požiadavky, ktoré zariadenie vykoná s vysokými oprávneniami.

Zraniteľnosť je aktívna, ak má aplikácia povolenú autentifikáciu do manažmentového rozhrania cez protokol RADIUS a/alebo SSH.

Možné škody:

• Vzdialené vykonávanie príkazov

Odporúčania:

Odporúčame bezodkladne aktualizovať zraniteľné inštancie Cisco Secure FMC na najnovšiu verziu.

Ak aktualizácie nie je možná, odporúčame mitigovať zraniteľnosť zakázaním prístupu do manažmentového rozhrania cez protokoly RADIUS a SSH.

Zdroje:

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-radius-rce-TNBKf79
• https://nvd.nist.gov/vuln/detail/CVE-2025-20265
• https://thehackernews.com/2025/08/cisco-warns-of-cvss-100-fmc-radius-flaw.html

Spoločnosť Fortinet opravila vysoko závažnú zraniteľnosť vo svojich zariadeniach FortiWeb, ktorá z dôvodu nevhodnej validácie parametrov v cookies umožňuje vzdialeným útočníkom obísť autentifikáciu a získať administrátorské oprávnenia.

Zraniteľné systémy:

• FortiWeb 7.6.0 až 7.6.3
• FortiWeb 7.4.0 až 7.4.7
• FortiWeb 7.2.0 až 7.2.10
• FortiWeb 7.0.0 až 7.0.10

Opis zraniteľností:

CVE-2025-52970 (CVSS v3.1 skóre 7,7)

Vysoko závažná zraniteľnosť FortiWeb spočíva v nesprávnej validácii/spracovaní parametra Era v cookies, čo umožňuje útočníkovi nastaviť tento parameter na neočakávanú hodnotu, čím server použije nulový tajný kľúč pre šifrovanie a HMAC podpisovanie relácie. Neautentifikovaný vzdialený útočník môže poslať špeciálne vytvorenú požiadavku, čím obíde autentifikáciu a získa administrátorské oprávnenia na zraniteľnom zariadení. Na to potrebuje poznať nešpecifikovanú neverejnú informáciu týkajúcu sa cieľového zariadenia a používateľa.

Možné škody:

• Obídenie prihlásenia
• Eskalácia oprávnení

Odporúčania:

Odporúčame bezodkladne aktualizovať zraniteľné inštancie aspoň na verziu

• FortiWeb 7.6.4 alebo novšiu
• FortiWeb 7.4.8 alebo novšiu
• FortiWeb 7.2.11 alebo novšiu
• FortiWeb 7.0.11 alebo novšiu

Zdroje:

• https://www.fortiguard.com/psirt/FG-IR-25-448
• https://www.cve.org/CVERecord?id=CVE-2025-52970
• https://pwner.gg/blog/2025-08-13-fortiweb-cve-2025-52970

Bezpečnostní výskumníci z Bitdefender IoT Research Team zverejnili informácie o zraniteľnostiach CVE-2025-31700  a CVE-2025-31701 vo firmvéri pre bezpečnostné kamery značky Dahua. Ide o závažné zraniteľnosti, ktoré vie útočník zneužiť na vzdialené vykonávanie kódu.

Zraniteľné systémy:

• IPC-1XXX Series
• IPC-2XXX Series
• IPC-WX Series
• IPC-ECXX Series
• SD3A Series
• SD2A Series
• SD3D Series
• SDT2A Series
• SD2C Series
• TPC-AEBF5201 Series
• TPC-CA Series

Zraniteľné sú všetky verzie vydané pred 16.4.2025.

Opis zraniteľností:

CVE-2025-31700 (CVSS 3.1 skóre 8,1)

Nástroj na spracovanie požiadaviek pre protokol ONVIF na porte 80 nesprávne parsuje hlavičku Host tak, že pri jej kopírovaní nehľadí na veľkosť kópie, ktorá môže byť väčšia ako vyhradený zásobník pamäte. To sa deje v prípade formátu hlavičky obsahujúceho špeciálne znaky, ktoré nástroj na spracovanie požiadaviek nedovoľuje. Neautentifikovaný útočník môže týmto spôsobom zapísať ľubovoľný počet bajtov do zásobníka a získať možnosť vykonávať kód, alebo spôsobiť nedostupnosť služby.

CVE-2025-31701 (CVSS 3.1 skóre 8,1)

Nástroj na spracovanie nezdokumentovaného koncového bodu POST /RPC2_UploadFileWithName/* kopíruje hlavičku Cseq HTTP priamo do sekcie pamäte .bss rovnakou funkciou (strncpy) ako v predchádzajúcej zraniteľnosti. Tým môže neautentifikovaný útočník opäť zapísať ľubovoľný počet bajtov do zásobníka pamäte a získať možnosť vykonávať kód, alebo spôsobiť nedostupnosť služby.

Možné škody:

• Vzdialené vykonávanie kódu
• Nedostupnosť služby (DoS)
• Narušenie integrity a dôveryhodnosti systému
• Narušenie bezpečnosti monitorovaného objektu

Odporúčania: