Autor: Root.cz s využitím Duck.ai

Přidat mezi oblíbené zdroje na Googlu

Google oznámil kompromitaci tří národních registrů útočníky – konkrétně .gh (Ghana), .sl (Sierra Leone) a .as (Americká Samoa). Technické detaily, jak ke kompromitaci došlo, zatím nejsou známy. Útočníci převzali kontrolu nad autoritativními servery zmíněných ccTLD (country-code Top-Level Domain) a přepsali existující DNS záznamy, které jsou spravovány provozovateli národních registrů.

Následně požádali u certifikačních autorit Let's Encrypt a ZeroSSL o 12 certifikátů pro 7 domén, mezi nimiž byly google.as, google.com.gh, youtube.sl a další. S platným TLS certifikátem mohou útočníci vystupovat jako skuteční vlastníci domény i přes šifrované spojení a číst přenášená data.

Protože je proces vydávání certifikátů automatizovaný a útočníci prokázali kontrolu nad kompromitovanými doménami, certifikační autority neměly možnost vydání certifikátů zabránit. Certifikáty byly platné mezi 22. zářím a 1. říjnem 2026, přičemž některé byly revokovány již den po vydání. Samotná infrastruktura společnosti Google narušena nebyla.

Společnost Dell vydala bezpečnostní aktualizace pro úložné moduly Dell Container Storage Modules (CSM), které řeší šest kritických zranitelností se skóre CVSS od 9,6 do 10,0.

Dvě nejnebezpečnější, CVE-2026–63688 a CVE-2026–63692, souvisejí s nedostatkem ověřování na serveru gRPC csm-authorization-storage, v autorizační proxy a službě tenantů. Umožňují neověřenému vzdálenému útočníkovi získat přihlašovací údaje správce pro všechna registrovaná úložná pole a plnou administrativní kontrolu nad infrastrukturou úložišť.

Zranitelnosti CVE-2026–54472 a CVE-2026–61421 jsou způsobeny pevně zakódovanými přihlašovacími údaji a kryptografickým klíčem v autorizačním modulu a komponentě JWT karavi-authorization, což umožňuje falšovat administrativní tokeny. CVE-2026–67269 umožňuje útočníkovi s nízkými oprávněními získat oprávnění root na všech uzlech v clusteru Kubernetes odesláním jediného uživatelského prostředku. CVE-2026–67273, související s nesprávným zpracováním šablon, otevírá přístup k tajným klíčům Kubernetes a umožňuje vytvářet zdroje RBAC na úrovni clusteru.

Chyby zabezpečení ovlivňují všechny verze CSM až do 1.17.0 a jsou opraveny ve verzi 1.18.0. Kromě aktualizace neexistují žádná řešení nebo jiné způsoby zmírnění. Společnost Dell doporučuje změnit tajný klič pro podpis JWT. Vzhledem k tomu, že zranitelnosti produktů Dell (CVE-2021–21551 a CVE-2026–22769) byly v posledních letech aktivně využívány, měly by být záplaty instalovány co nejdříve.

Byla objevena skupina 16 škodlivých doplňků pro prohlížeč Firefox. Tato rozšíření se specializují na krádeže obnovovacích frází a privátních klíčů kryptoměnových peněženek. Čtyři z nalezených doplňků parazitují na Rabby Wallet, zbytek jsou klony peněženky OKX Wallet.

S výjimkou jednoho všechny doplňky komunikují s doménou *.icy-star-f45c.workers[.]dev. Seznam všech doplňků najdete v původním článku.

Útočníci nelenili a krátce po zveřejnění zranitelnosti s CVSS skórem 9.3 ji začali zneužívat. Za určitých podmínek umožňuje tato zranitelnost útočníkům získat přístup k citlivým souborům. Zasažené jsou produkty Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible, and Fisheye.

„Neautentizovanému útočníkovi umožňuje zranitelnost číst soubory v kořenovém adresáři webové aplikace v postižených verzích, vyžaduje však předchozí znalost přesného názvu a cesty k cílovému souboru – neumožňuje tak prohledávat ani vypisovat obsah adresářů,“ uvádí se v bezpečnostním oznámení. „V některých konfiguracích se mohou nacházet citlivé soubory, což zvyšuje závažnost této chyby.“

Telemetrie společnosti Previdian zaznamenala 15 pokusů o zneužití CVE-2026–21589 ze tří IP adres v Japonsku a USA. WatchTowr Labs dne 6. října zveřejnila technickou analýzu této chyby v Atlassian balíčcích, kde sekvence dvojitých dvojteček (::) umožňuje číst systémové soubory a získat administrátorský přístup. Útoky na honeypoty začaly přibližně dvě hodiny po publikaci analýzy a potvrdily je jak watchTowr, tak Previdian.

Jako dočasné opatření doporučuje společnost Atlassian odpojit postižené instance od veřejného internetu. Zákazníci mohou také využít pravidlo webového aplikačního firewallu (WAF) k blokování škodlivých požadavků.

V případě aplikací Confluence, JSM, Jira, Bamboo a Crowd mohou zákazníci tyto požadavky blokovat pomocí modulu RewriteValve v Tomcatu. Uživatelé Bitbucketu mohou přidat nové pravidlo do souboru urlrewrite.xml.

Společnost watchTowr zveřejnila na GitHubu bezplatný nástroj, kterým lze ověřit, zda je server zranitelný.

Kampaň FortiBleed dál ukazuje, jak nebezpečné mohou být kompromitované internetově dostupné firewally a VPN brány. Podle společného upozornění FBI a americké Secret Service útočníci nadále systematicky vyhledávají veřejně dostupná zařízení Fortinet FortiGate, využívají dříve uniklé či kompromitované přihlašovací údaje a odcizené hashe následně lámou pomocí distribuované GPU infrastruktury. SOCRadar v souvislosti s kampaní eviduje více než 86 000 kompromitovaných zařízení ve 194 zemích. Zajímavé přitom je, že útok nekončí získáním přístupu: Útočníci si na zařízeních vytvářejí vlastní účty a v některých případech mažou nebo mění údaje původních administrátorů, čímž legitimní správce jednoduše odstřihnou od jejich vlastního firewallu.

FortiBleed je navíc ukázkou dnes už poměrně dobře rozvinutého „access broker“ modelu. Útočníci nejprve získají přístup, ověří si jeho použitelnost, zmapují prostředí a následně jej mohou prodávat dalším skupinám. FBI a Secret Service zároveň uvádějí, že takto získaný přístup byl využíván jako vstupní bod pro ransomware operace INC/Lynx a Payload. Z pohledu obrany je na tom možná nejzajímavější jednoduchý závěr: Samotný patch už nemusí stačit. Organizace by měly prověřit existující účty a konfiguraci FortiGate, zneplatnit aktivní administrátorské a VPN relace, změnit přihlašovací údaje, zkontrolovat logy a API klíče a především co nejvíce omezit administraci zařízení z internetu. Jinými slovy: Firewall, který je dostupný z celého internetu, je sice velmi demokratický, ale pro bezpečnost poněkud až příliš.

Společnost Tuskira představila open-source nástroj AI Agent Gateway, který zvyšuje bezpečnost komunikace AI agentů s externími službami, jako jsou GitHub nebo Jira, a poskytovateli AI modelů. Funguje jako prostředník, díky němuž není nutné ukládat přístupové údaje přímo do konfigurací jednotlivých agentů. Omezuje tak riziko jejich úniku a umožňuje kontrolovat oprávnění agentů při provádění jednotlivých operací. Neoprávněné požadavky automaticky blokuje. Nástroj lze provozovat ve vlastní infrastruktuře bez nutnosti registrace u společnosti Tuskira.

Bezpečnostní výzkumníci z Black Lotus Labs odhalili malware PoeLLM, který se zaměřuje především na zranitelné servery provozující AI nástroje, jako jsou LiteLLM a Ollama, ale také na další open-source aplikace, například Gotenberg a Gitea. Útočníci napadené servery využívají k těžbě kryptoměn a vyhledávání dalších zranitelných systémů. Malware používá neobvyklý způsob získávání IP adres svých řídicích serverů. Namísto pevně zadané adresy v kódu využívá báseň zveřejněnou v repozitáři na GitHubu.

Z jejího textu vybírá čtyři konkrétní slova, která pomocí slovníku zabudovaného v malwaru převádí na čísla tvořící IP adresu. Útočníci tak mohou pouhou změnou několika slov v básni přesměrovat infikované servery na jinou C2 infrastrukturu, pokud je původní server zablokován. Od dubna 2026 byla báseň tímto způsobem upravena jedenáctkrát. Kampaň podle výzkumníků zasáhla více než 3 400 serverů, především v USA a západní Evropě.

Výzkumníci doporučují správcům pravidelně aktualizovat software, omezovat dostupnost služeb a jejich portů z internetu, průběžně kontrolovat zabezpečení veřejně dostupných systémů a monitorovat síťový provoz.

Ve dnech 22.–24. září 2026 se uskutečnila odborná mise české delegace do Francie zaměřená na rozvoj česko-francouzské spolupráce a výměnu know-how v oblasti kybernetické a informační bezpečnosti. Program proběhl v Paříži a Rennes a soustředil se na sdílení zkušeností, identifikaci společných priorit a aktivit či navazování nových partnerství mezi českými a francouzskými institucemi.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) jako hlavní realizátor tohoto Projektu pro podporu ekonomicko-vědecké diplomacie (PROPED) misi koordinoval prostřednictvím Oddělení vědy, výzkumu a inovací ve spolupráci s Velvyslanectvím ČR v Paříži. NÚKIB se zároveň podílel na formování odborně zaměřené delegace a návrhu programu mise.

• Kritická zranitelnost v zařízeních SonicWall SMA1000 umožňuje útoky bez autentizace
• Nejnovější aktualizace webového prohlížeče Chrome opravuje 247 zranitelností
• Tři týmy předvedly na akci Pwn2Own vzdálené útoky na plně aktualizovaný Google Pixel 10
• Útočníci využívají RCE k útokům kamery Hikvision na Ukrajině

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…