IT prehľad dňa – 25. september 2026
1. WordPress CVE-2026-87902 – neautentifikovaná RCE aktívne zneužívaná, záplata vo verzii 7.1.2
Bezpečnostní výskumníci potvrdili aktívnu exploitáciu CVE-2026-87902 (CVSS 9.2) vo WordPress Core – kritickej zraniteľnosti na vzdialené spustenie kódu, ktorá nevyžaduje žiadne prihlásenie útočníka. Zraniteľnosť spočíva v chybe riešenia šablón stránok: ak aktívna téma obsahuje top-level priečinok s názvom začínajúcim na „page-" (čo je bežná konvencia WordPress tém) a na serveri existuje čitateľný PHP súbor ako pearcmd.php, útočník môže tento súbor includenúť mimo štandardných adresárov tém a spustiť ľubovoľný kód na serveri. Potvrdená exploitácia v praxi zahŕňa zápis súborov do dočasných adresárov, nasadenie PHP upload skriptov a využitie GitHub-hostovaných web shellov na ďalší pohyb v kompromitovanom systéme. WordPress vydal záplaty vo verziách 7.1.2, 7.0.6, 6.9.9 a 6.8.10; WordPress vo väčšine prípadov aktualizuje core automaticky, no explicitná kontrola je nevyhnutná.
Prečo je to zaujímavé: WordPress poháňa webové stránky väčšiny slovenských SME firiem a toto je už tretia kritická zraniteľnosť WordPress core v priebehu niekoľkých dní. Útočníci aktívne skenujú internet na zraniteľné inštancie – hrozba je akútna, nie hypotetická. Skontrolujte verziu vašej WordPress stránky (Nastavenia → O WordPress v administrácii) a overte, že ste na verzii 7.1.2 alebo novšej. Ak WordPress spravujete pre zákazníkov alebo prevádzkujete viacero stránok, táto kontrola by mala prebehnúť naprieč celým portfóliom dnes.
2. TeamFiltration – 5 700 Microsoft 365 účtov napadnutých, 7 kompromitovaných cez default heslá bez MFA
Proofpoint zdokumentoval kampaň UNK_CondorFiltration, ktorá medzi júlom a augustom 2026 cielila na viac ako 5 700 Microsoft 365 účtov naprieč 28 tenantmi – primárne v chilskom retailovom a finančnom sektore. Útočníci použili open-source nástroj TeamFiltration, navrhnutý na systematickú enumeráciu, password spraying, exfiltráciu a backdooring Entra ID účtov cez 1 487 unikátnych AWS EC2 zdrojových IP adries. Všetkých sedem kompromitovaných účtov boli servisné alebo funkčné účty – nie osobné účty zamestnancov – a šesť z nich bolo kompromitovaných v priebehu 7 minút, čo naznačuje zdieľané default heslá nikdy nezmenené od prvotného nastavenia. Po prieniku útočníci pristupovali k Office, OneDrive, Teams, Azure Portálu a SharePoint Online a využívali nemecké VPN uzly na ďalšie sondovanie infraštruktúry.
Prečo je to zaujímavé: Servisné a funkčné účty (integrácie, automatizácie, legacy aplikácie, testovacie prostredia) sú chronicky podceňovanou bezpečnostnou medzerou: IT tímy ich vytvárajú, priradia default heslo a zabudnú na ne. Táto kampaň presne exploitovala tento vzorec. Odporúčaný postup pre každú firmu s Microsoft 365: vykonajte audit servisných a funkčných účtov v Entra ID (Azure AD), overte, ktoré z nich majú zapnuté MFA, zmeňte všetky default a dlho nezmenené heslá a zvážte deaktiváciu účtov, ktoré nie sú aktívne potrebné. Ak správu vášho Microsoft 365 tenanta zabezpečuje externý IT dodávateľ, vyžiadajte si report všetkých aktívnych servisných účtov vrátane stavu MFA a dátumu posledného prihlásenia.
3. AI kód uniká API kľúče dvakrát rýchlejšie – GitGuardian 2026 State of Secrets Sprawl Report
Správa GitGuardian 2026 State of Secrets Sprawl zistila, že commity identifikované ako AI-asistované unikajú citlivé prístupy (API kľúče, autentifikačné tokeny, service account credentials) priemerne dvakrát rýchlejšie ako kód písaný ručne. Kľúčový posun: najrýchlejšie rastúce kategórie uniknutých poverení sú prístupy k samotným AI službám – OpenAI API kľúče, Anthropic tokeny, Azure OpenAI credentials. AI asistenti a agenti pri písaní kódu šíria credentials cez väčší počet systémov (repozitáre, CI/CD premenné, dokumentácia, tiketové systémy, kolaboračné platformy) ako tradičný vývoj, čo dramaticky rozširuje plochu expozície ďaleko za hranice samotného zdrojového kódu.
← Všetky príspevkyPrečo je to zaujímavé: Pre SME firmy, ktoré začínajú integrovať AI nástroje (GitHub Copilot, Cursor, Claude, ChatGPT) do firemného vývoja alebo automatizácie procesov, je to praktický varovný signál. API kľúč k OpenAI alebo Azure OpenAI v zdrojovom kóde môže viesť k nezabezpečeným výdavkom na cudzí účet, úniku firemných dát alebo kompromitácii celého CI/CD pipeline. Odporúčania sú pritom jednoduché a implementovateľné aj pre menšie tímy: nikdy neukladajte API kľúče priamo do kódu – používajte secrets management (GitHub Secrets, Azure Key Vault, .env súbory mimo repozitára), nastavte automatické rotovanie poverení a rozšírte kontrolu úniku credentials aj na CI/CD systémy a kolaboračné nástroje, nielen na samotné repozitáre.