# IT prehľad dňa: 7. október 2026

> 7. okt 2026 · #security #wordpress #atlassian #libreoffice

Ninja Forms plugin aktívne zneužívaný na 500-tisíc stránkach, Atlassian záplatoval CVE-2026-21589 (CVSS 9.3) v ôsmich produktoch a LibreOffice opravil tichú RCE v Calcu.

## 1. Ninja Forms: aktívne zneužívaná XSS zraniteľnosť ohrozuje 500-tisíc WordPress stránok

Výskumníci Patchstack zaznamenali 4. a 5. októbra aktívne útoky cez dve XSS zraniteľnosti v plugine Ninja Forms (CVE-2026-93836 a CVE-2026-94504). Plugin majú nainštalovaný na viac ako 500-tisíc stránkach. Útočník s prihláseným prístupom môže cez obe chyby vložiť škodlivý JavaScript, ktorý inštaluje backdoor pluginy, vytvára skryté administrátorské účty alebo nasadí na stránku správcu súborov prístupného aj bez hesla. Všetky tri vektory vedú k trvalému prístupu aj po zmene hesla. Záplata je vo verzii 3.15.4 vydanej 6. októbra 2026.

> **Prečo je to zaujímavé:** Ninja Forms je jeden z najpopulárnejších pluginov na kontaktné formuláre, cenové dopyty a prihlásenia na odber noviniek. Ak ho vaša firemná stránka používa, aktualizujte na 3.15.4 ešte dnes. Pozrite sa aj na stav ostatných pluginov: takéto útoky bežia vo vlnách a rovnaká doména imgcdn1[.]com sa objavila súbežne pri útokoch na viacero cieľov naraz.

## 2. Atlassian záplatuje CVE-2026-21589 v Jira, Confluence a šiestich ďalších nástrojoch

Atlassian vydal 5. októbra záplaty pre kritickú zraniteľnosť CVE-2026-21589 (CVSS 9.3) naprieč ôsmimi Data Center produktmi: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible a Fisheye. Chyba je path traversal: útočník bez prihlásenia môže čítať ľubovoľný súbor z webroot adresára servera, ak pozná presnú cestu k nemu. Cloudové verzie sú záplatované automaticky. Self-hosted inštalácie musia aktualizovať, napríklad Jira Software na 9.12.40, 10.3.26 alebo 11.3.12, Confluence na 9.2.26 alebo 10.2.19.

> **Prečo je to zaujímavé:** Prečítanie konfiguračných súborov môže útočníkovi odhaliť databázové heslá, API kľúče alebo iné citlivé dáta uložené na serveri. Aktívne útoky zatiaľ potvrdené nie sú, ale podobná zraniteľnosť z roku 2021 (CVE-2021-26086) skončila v katalógu CISA po niekoľkých týždňoch od zverejnenia. Overte u vášho IT správcu, na akej verzii vaša inštalácia beží.

## 3. LibreOffice opravil tichú RCE v Calcu, OpenOffice záplatu ešte čaká

LibreOffice Calc obsahoval zraniteľnosť CVE-2026-63277, ktorú Apache OpenOffice zdieľa ako CVE-2026-59265. Záplata v OpenOffice ešte nie je. Útok nevyžaduje povolenie makier a nepozrie žiadne varovanie. Tabuľka s nastaveným "database range" mieriacim na externý server pri otvorení automaticky stiahne JAR súbor so škodlivým kódom a spustí ho. Podmienkou je povolená podpora Java v nastaveniach aplikácie. LibreOffice záplatu vydal 5. októbra vo verziách 26.2.5 a 26.8.0.

> **Prečo je to zaujímavé:** Bežná rada "nepovoľuj makrá od neznámych" tu jednoducho nestačí. Tento útok ju obchádza. Pre firmy, kde zamestnanci pracujú s LibreOffice alebo OpenOffice: aktualizujte LibreOffice na 26.2.5 alebo 26.8.0. Kto používa OpenOffice, nech buď prejde dočasne na LibreOffice, alebo vypne Java v nastaveniach (Tools > Options > LibreOffice > Advanced, odznačiť "Use a Java runtime environment"). Tabuľky od neznámych odosielateľov dovtedy neotvárať.

---

© 2026 ITself s.r.o. · Bežná stránka: https://itself.sk/blog/2026-10-07-it-prehlad-dna.html