IT prehľad dňa – 23. september 2026
1. Zyxel GS1900 a Veeam Agent for Windows – aktívne zneužívané zraniteľnosti, CISA deadline zajtra
CISA pridala do katalógu Known Exploited Vulnerabilities dve zraniteľnosti s deadlinom záplatovať do 24. septembra 2026. Prvá postihuje Zyxel GS1900 managed switche: CVE-2026-7273 (CVSS 8.8) je stack-based buffer overflow v CGI programe, ktorý umožňuje neautentifikovanému útočníkovi v lokálnej sieti spustiť ľubovoľné OS príkazy cez špeciálne pripravenú HTTP požiadavku. Postihnuté sú všetky modely série GS1900 (GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48, 48HPv2) so staršími verziami firmvéru – aktualizácia je dostupná pre všetky modely. Druhá zraniteľnosť je CVE-2026-32996 (CVSS 7.3) vo Veeam Agent for Microsoft Windows: útočník s lokálnym prístupom k zariadeniu dokáže prečítať session UID z logovacieho súboru C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log a zneužiť ho na získanie SYSTEM-level oprávnení. Bezpečnostná firma Arctic Wolf hlási aktívne zneužívanie v praxi, verejný proof-of-concept kód je dostupný na GitHube.
Prečo je to zaujímavé: Zyxel GS1900 je séria lacných managed switchov veľmi populárnych v SME kancelárskych sieťach – a Veeam Agent for Windows je zároveň jedno z najrozšírenejších zálohovacích riešení pre Windows pracovné stanice a servery v malých firmách. Kombinácia týchto dvoch aktívne zneužívaných zraniteľností hovorí jasne: útočníci cielia aj na bežnú SME infraštruktúru, nielen na korporátne systémy. CISA deadline pre Zyxel záplatu je zajtra – overte firmvér sieťových switchov a aktualizujte Veeam Agent na všetkých Windows zariadeniach prioritne dnes. Ak správu sieťovej infraštruktúry zabezpečuje externý IT dodávateľ, kontaktujte ho a vyžiadajte si potvrdenie o stave záplat.
2. EvilTokens – phishing-as-a-service odstavený, 12 000 Microsoft 365 účtov kompromitovaných, MFA nestačí
Microsoft Digital Crimes Unit v spolupráci s britskými orgánmi 22. septembra odstavil phishing-as-a-service platformu EvilTokens, ktorá bola dostupná od februára 2026 za 500 USD/mesiac alebo 1 500 USD jednorazovo cez Telegram. Platforma kompromitovala viac ako 12 000 Microsoft 365 účtov vo vyše 10 000 organizáciách po celom svete (podľa SpyCloud dát: 8 708 účtov z 6 585 firemných e-mailových domén v 79 krajinách). Kľúčová vlastnosť EvilTokens bola obchádzanie MFA: platforma zneužívala legitímny Microsoft OAuth 2.0 device-code flow – útočník vygeneroval kód a obeti ho zaslal phishingom; keď obeť kód zadala na Microsoft login stránke, útočník získal plnohodnotný autentifikačný token bez potreby hesla alebo MFA kódu. Po kompromitácii využívala platforma AI na analýzu obsahu poštových schránok, vyhľadávanie príkazov na prevody peňazí a identifikáciu komunikácie manažmentu. Dve podozrivé osoby boli zatknuté v UK, no klony platformy (APToken) sa už objavujú.
Prečo je to zaujímavé: EvilTokens celé mesiace obchádzal MFA – a to nie nejakou sofistikovanou exploitáciou chyby v kóde, ale zneužitím legitímnej funkcie Microsoft 365 navrhnutej pre zariadenia bez klávesnice (smart TV, tlačiarne). Pre SME firmy využívajúce Microsoft 365 sú odporúčania konkrétne: deaktivujte device-code autentifikáciu pre bežných používateľov cez Azure AD / Microsoft Entra ID (Conditional Access politika „Block device code flow"), zaveďte FIDO2 security kľúče alebo passkeys pre administrátorov a pravidelne kontrolujte Azure AD Sign-in Logs na neznáme aplikácie alebo neobvyklé lokácie prihlásení. Samotné MFA je stále nevyhnutné – ale nestačí, ak nie je správne nakonfigurované.
3. D-Link DIR-822A – kritická zero-day zraniteľnosť bez záplaty, verejný exploit kód dostupný
D-Link varoval pred kritickou zero-day zraniteľnosťou CVE-2026-86296 (maximálna závažnosť) v routeroch DIR-822A. Ide o stack-based buffer overflow v DHCP server komponente: špeciálne pripravená požiadavka spôsobí pretečenie zásobníka pri spracovaní funkciou strcpy, čo môže viesť k pádu DHCP démona alebo spusteniu ľubovoľného kódu. Útok nevyžaduje autentifikáciu a môže byť spustený z lokálnej siete. Záplata zatiaľ nie je k dispozícii, D-Link stále zraniteľnosť vyšetruje. Situáciu zhoršuje fakt, že verejný proof-of-concept exploit kód je voľne dostupný, čo výrazne skracuje čas, kedy môže byť zraniteľnosť masovo zneužitá. Okrem toho je pod vyšetrovaním aj druhá zraniteľnosť v rovnakom modeli (CVE-2026-86510). D-Link odporúča vypnúť vzdialenú správu routera a obmedziť prístup len na dôveryhodné zariadenia.
← Všetky príspevkyPrečo je to zaujímavé: D-Link DIR-822A je starší, ale stále bežne používaný router v malých kanceláriách a domácnostiach zamestnancov pracujúcich na home office. Keďže záplata zatiaľ neexistuje a verejný exploit kód je dostupný, jediná dostupná ochrana je izolácia zariadenia: vypnúť vzdialenú správu, obmedziť administrátorský prístup k routeru len na konkrétne dôveryhodné zariadenia a vážne zvážiť náhradu novším modelom s aktívnou podporou. Táto situácia ilustruje chronický problém legacy sieťových zariadení: výrobca prestane vydávať záplaty (alebo ich vydáva s veľkým oneskorením) a zariadenie zostáva trvalo zraniteľné. Ak váš IT dodávateľ spravuje sieťovú infraštruktúru alebo home office prostredia vašich zamestnancov, je vhodný čas overiť, aké routery sú v prevádzke a kedy naposledy dostali aktualizáciu firmvéru.