IT prehľad dňa – 26. september 2026
1. Microsoft September 2026 Patch Tuesday: rekordných 974 záplat, 2 aktívne zneužívané zero-day
Microsoft vydal v rámci pravidelného Patch Tuesday v septembri 2026 rekordných 974 bezpečnostných záplat (vrátane produktov tretích strán číslo presahuje 999 CVE) – čo je historický rekord a trojnásobok bežného mesačného objemu, priamy výsledok nasadenia nového AI systému na objavovanie zraniteľností vo vnútri Microsoftu. Z opravených zraniteľností je viac ako 110 kritických a dve sú aktívne zneužívané útočníkmi v praxi. CVE-2026-85880 (CVSS 7.8) je heap buffer overflow v subsystéme Windows ALPC, ktorý umožňuje lokálnu eskaláciu oprávnení na úroveň SYSTEM bez interakcie používateľa. CVE-2026-81963 (CVSS 7.8) je chyba spracovania symbolických odkazov vo Windows Update Stack s rovnakým výsledkom. Záplaty pokrývajú Windows, Office, Exchange Server, SharePoint, Remote Desktop Services, DNS Server, DHCP Server, SQL Server a Azure.
Prečo je to zaujímavé: Pre každú SME firmu bežiacu na Windows je september 2026 Patch Tuesday mimoriadne naliehavý. Oba aktívne zneužívané zero-day sú eskalácie oprávnení: ak útočník získal akýkoľvek prístup k systému (napríklad cez phishing alebo iný exploitovaný softvér), CVE-2026-85880 alebo CVE-2026-81963 mu umožnia okamžite získať plnú admin kontrolu nad strojom bez toho, aby musel kliknúť na čokoľvek. CISA stanovila pre federálne agentúry deadline záplat na 22. septembra – čo je pre firemný sektor silný signál urgentnosti. Skontrolujte Windows Update na všetkých firemných počítačoch, serveroch a VM dnes. Ak IT správu zabezpečuje externý dodávateľ, explicitne sa ho opýtajte, kedy prebehne záplatovanie septembrového Patch Tuesday.
2. Opustená CDN doména znova zaregistrovaná – tisíce webstránok stále načítavajú skripty z cudzej infraštruktúry
Výskumníci v správe The Hacker News upozornili na prehliadaný supply chain risk: CDN doména, ktorú prevádzkovateľ opustil, bola znova zaregistrovaná neznámou stranou, ktorá tak získala wildcard DNS kontrolu – teda kontrolu nad každou subdoménou pod touto doménou. Tisíce webstránok naprieč internetom naďalej obsahujú natvrdo zakódované referencie na hostnamy pod touto doménou v zdrojovom kóde. JavaScript, CSS alebo iné súbory načítavané z takejto domény bežia v prehliadači s plnými oprávneniami kódu hostiteľskej stránky: majú prístup k DOM, formulárovým poliam, cookies a lokálnemu úložisku. Útočník kontrolujúci CDN doménu môže ticho kradnúť prihlasovacie údaje, obsahy platobných formulárov alebo celý DOM stránky – bez akejkoľvek kompromitácie servera samotnej webstránky. Tento vektor bol zodpovedný za viaceré historické Magecart útoky na e-shopy.
Prečo je to zaujímavé: Pre slovenské SME firmy s vlastným webom, e-shopom alebo firemným portálom je toto prípad, ktorý štandardné bezpečnostné nástroje nezachytia: server je čistý, antivírus nič nehlási, a predsa útočník môže kradnúť dáta zákazníkov. Odporúčame skontrolovať zdrojový kód webstránky a zostaviť inventár všetkých externých domén, z ktorých sa načítavajú JavaScript a CSS súbory – obzvlášť starých, málo známych alebo „zabudnutých" CDN služieb. Pre firmy prevádzkujúce e-shopy alebo formuláre zbierajúce citlivé dáta je nasadenie Content Security Policy (CSP) v report-only režime priamočiare riešenie, ktoré zachytí neoprávnené načítavanie cudzích skriptov bez toho, aby narušilo bežnú prevádzku webu.
3. SAP OVERPASS – kritická zraniteľnosť jadra SAP umožňuje vzdialenú RCE bez autentifikácie
Výskumníci Onapsis odhalili a BleepingComputer reportoval kritickú zraniteľnosť CVE-2026-44756, nazvanú OVERPASS, v SAP Kernel kóde – konkrétne v knižnici na spracovanie Extended Passport Protocol (EPP) v rámci Internet Communication Manager (ICM). Klasický buffer overflow v EPP parsing knižnici umožňuje útočníkovi bez akýchkoľvek oprávnení, ktorý má sieťový prístup k ICM rozhraniu (čo je pre internetovo exponovanú časť SAP systému jeho bežná konfigurácia), vzdialene spustiť ľubovoľné príkazy s administrátorskými oprávneniami SAP. Výsledkom je plná kompromitácia SAP procesov a všetkých obchodných dát vrátane financií, miezd a operácií. Podľa Onapsis je viac ako 10 000 SAP systémov priamo exponovaných na internet a teda priamo ohrozených. SAP vydal záplatu v rámci pravidelných bezpečnostných aktualizácií za september 2026.
← Všetky príspevkyPrečo je to zaujímavé: SAP ERP systémy spravujú firemné financie, zásoby, HR a celú prevádzku – sú doslova srdcom strednej firmy. Kritická zraniteľnosť umožňujúca vzdialené spustenie kódu bez autentifikácie v ICM module je najhorší možný scenár: útočník môže priamo z internetu pristupovať k finančným výkazom, mzdám, obchodným zmluvám a celému ERP systému bez akéhokoľvek platného prihlásenia. Pre slovenské stredné firmy využívajúce SAP Business One, S/4HANA alebo NetWeaver by aplikácia septembrových záplat mala prebehnúť bezodkladne. Ak vaše SAP systémy spravuje externý partner, vyžiadajte si písomné potvrdenie, že záplata bola aplikovaná a kedy.