IT prehľad dňa – 28. september 2026
1. Citrix NetScaler: dve aktívne zneužívané RCE zero-day bez autentifikácie
Citrix potvrdil a záplatoval dve kritické zraniteľnosti vzdialeného spustenia kódu (RCE) v produktoch NetScaler ADC a NetScaler Gateway: CVE-2026-88771 a CVE-2026-88772, obe s hodnotením CVSS 9.5. CVE-2026-88771 umožňuje útočníkovi bez akýchkoľvek oprávnení spustiť ľubovoľné príkazy cez nesprávnu validáciu vstupov. CVE-2026-88772 spôsobuje pretečenie pamäte vedúce k RCE alebo odmietnutiu služby – obzvlášť na zariadeniach s povoleným DTLS, čo je predvolená konfigurácia VPN serverov. Bezpečnostná firma watchTowr odhalila, že obe zraniteľnosti boli aktívne zneužívané ešte pred vydaním záplat. Zasiahnuté sú verzie NetScaler 14.1 pred 14.1-73.37, verzie 13.1 pred 13.1-64.23 a ich FIPS varianty. Záplaty sú teraz dostupné; organizácie, ktoré sa nemôžu záplatovať okamžite, by mali zariadenia izolovať alebo odstaviť a minimalizovať priamu internetovú expozíciu.
Prečo je to zaujímavé: NetScaler ADC a Gateway sú obľúbené platformy pre podnikový VPN a bezpečný vzdialený prístup, nasadené presne na perimetri siete – teda na mieste, kde útok bez autentifikácie priamo ohrozuje celú internú infraštruktúru firmy. Ak vaša firma alebo IT partner prevádzkuje NetScaler, záplatovanie musí prebehnúť bezodkladne. Vyžiadajte si od IT partnera písomné potvrdenie, že záplata bola nasadená a kedy. Citrix NetScaler je historicky obľúbeným cieľom APT skupín – predchádzajúce zero-day (napr. „CitrixBleed" v roku 2023) viedli k rozsiahlym kompromitáciám sietí vo viacerých krajinách vrátane európskych.
2. Cloudflare záplatoval cross-tenant únik dát v Containers: vymazané disky sa nevynulovali
Výskumníci odhalili závažnú architektonickú chybu v Cloudflare Containers a Sandboxes – službe bežiacej na zdieľanej fyzickej infraštruktúre. Po vymazaní kontajnera sa diskové bloky vracali do spoločného poolu bez predchádzajúceho vynulovania, čo umožňovalo čítanie zvyškov dát predchádzajúceho nájomníka. Výskumníci pri testovaní nachádzali výpisy adresárov, SQLite databázy, Chromium profily, .env súbory a credential files iných zákazníkov – na 75 % testovaných kontajnerových nasadení naprieč 91 % testovaných uzlov. Cloudflare problém opravil odstraňujúcim nastavením, ktoré preskakovalo nulenie blokov, a do 19. septembra vymazal a vyčistil všetky existujúce kontajnerové disky a snapshoty. Skutočné zneužitie v praxi nebolo potvrdené a žiadna akcia zákazníka nie je potrebná.
Prečo je to zaujímavé: Táto chyba ilustruje bezpečnostný risk zdieľanej cloudovej infraštruktúry, na ktorý firmy pri výbere cloudových služieb bežne nemyslia: multi-tenant prostredie môže za určitých okolností vystaviť dáta jedného zákazníka inému, bez akéhokoľvek vonkajšieho útoku. Pre firmy používajúce cloudové kontajnerové služby – Cloudflare Workers, ale aj AWS Lambda, Azure Container Instances alebo Google Cloud Run – je toto praktické pripomenutie: citlivé prihlasovacie údaje a credentials by nemali byť ukladané priamo v prostredí kontajnera, ale získavané bezpečne za behu cez dedikované secrets managery (AWS Secrets Manager, Azure Key Vault, HashiCorp Vault). Cloudflare v tomto prípade reagoval transparentne a rýchlo – čo je štandard, ktorý treba od cloudových dodávateľov vyžadovať.
3. ShinyHunters útočí na Oracle PeopleSoft cez WAF bypass: URL-encoding trik obchádza firewally
Skupina ShinyHunters aktívne útočí na Oracle PeopleSoft systémy cez zraniteľnosť CVE-2026-35273, umožňujúcu vzdialené spustenie kódu bez autentifikácie, pôvodne objavené v júni 2026. Nová vlna útokov využíva WAF bypass trik: namiesto priameho volania cesty /PSEMHUB/ útočníci používajú URL-enkódované varianty ako /%50SEMHUB/ (kde %50 reprezentuje písmeno P). Väčšina WAF riešení porovnáva cestu požiadavky pred jej dekódovaním – útočný pokus preto nerozpozná. Oracle WebLogic, na ktorom PeopleSoft beží, URL dekóduje a spracuje normálne. Po prieniku útočníci nasadzujú JSP web shelly a backdoor SIDEEYE maskovaný ako inštalátor mediálneho prehrávača, kradnú prihlasovacie údaje a pohybujú sa laterálne cez sieť. Celkovo bolo zasiahnutých približne 100 organizácií naprieč sektormi vzdelávania, technológií, zdravotníctva a verejnej správy.
← Všetky príspevkyPrečo je to zaujímavé: Z tejto správy vyplývajú pre SME firmy dve kľúčové poučenia. Po prvé – Oracle PeopleSoft je HR a ERP platforma nasadená aj v stredne veľkých firmách; ak ju prevádzkujete, záplata CVE-2026-35273 musí byť aplikovaná bezodkladne (dostupná od júna 2026). Po druhé – WAF bypass cez URL-encoding je technika potenciálne použiteľná proti akejkoľvek webovej aplikácii chránenej WAF pravidlami závislými od doslovného porovnávania ciest. Firewall alebo WAF sám o sebe nestačí – musí byť vždy kombinovaný s aktualizovanými záplatami na samotnej aplikácii. Ak bezpečnosť vašich systémov zabezpečuje externý IT partner, opýtajte sa, ako testuje WAF konfiguráciu voči URL-encoding a iným obfuscation technikám.