IT prehľad dňa: 13. október 2026
1. WordPress plugin Bricksforge: záplata okamžite, aktívne zneužívanie od 7. októbra
Plugin Bricksforge pre WordPress page builder Bricks obsahuje chybu CVE-2026-85097 ohodnotenú CVSS 10.0. Cez endpoint /wp-json/bricksforge/v1/form_submit môže neautentizovaný útočník nahrať PHP súbor maskovaný ako obrázok a spustiť na serveri vlastný kód. Patchstack sleduje aktívne zneužívanie od 7. októbra 2026.
Oprava je vo verzii 3.1.8.10, aktuálna verzia je 4.0.1. Ak váš web beží na staršej verzii, prezrite priečinok /wp-content/uploads/bricksforge/tmp/ na prítomnosť PHP súborov a skontrolujte zoznam admin účtov na neznáme záznamy.
Prečo je to zaujímavé: Firma, ktorá spravuje firemný web na WordPresse, má priamu zodpovednosť za záplatu. Servíruje obsah zákazníkom, takže napadnutý web nevystavuje len vás, ale aj ľudí, čo ho navštívia. Záplata cez admin rozhranie WordPressu zaberie minúty. Toto by som neodkladal.
2. Windows 11 23H2 pre podnikové zariadenia stratí záplaty koncom novembra
Microsoft 12. októbra 2026 upozornil, že Windows 11 23H2 v edíciách Enterprise, Education a IoT Enterprise dostane poslednú bezpečnostnú záplatu v novembri 2026. Po tej aktualizácii žiadne ďalšie. Home a Pro edície 23H2 prišli o záplaty už v novembri 2025.
Prechod na Windows 11 26H2, dostupný od septembra 2026, je bezplatný cez Windows Update. Na zariadeniach s povolením "dostávaj aktualizácie čo najskôr" príde automaticky. Na ostatných treba prejsť do Nastavenia a skontrolovať ručne.
Prečo je to zaujímavé: Máte 30 dní. Inventúra verzií Windows v sieti odhalí, ktoré počítače ešte bežia na 23H2. Bez aktualizácie ostanú tieto stroje bez bezpečnostných záplat a každá ďalšia zraniteľnosť v nich zostane otvorená.
3. Osobní AI asistenti zamestnancov majú prístup k firemným účtom bez vedomia IT
Zamestnanci si inštalujú osobných AI asistentov na vlastné zariadenia a tieto nástroje si cez OAuth alebo uložené heslá pripájajú firemné účty. Muse pre Mac si môže pýtať Full Disk Access a číta maily, kalendár aj súbory. Dia prehliadač má prístup k otvoreným stránkam a pripojenému Slacku. GrokBot sa vie prihlásiť cez virtuálny počítač kamkoľvek, kde funguje prehliadač.
Pre IT správcu sú tieto nástroje neviditeľné, pokiaľ neskontroluje OAuth granty a logy prihlásení.
← Všetky príspevkyPrečo je to zaujímavé: AI agenti sú ďalší variant shadow IT, ktorý prišiel rýchlejšie, ako stihla politika. Overte OAuth prístupy v Google Workspace alebo Microsoft 365, nastavte upozornenie na nové súhlasy tretích strán a dajte zamestnancom vedieť, čo je povolené a čo nie. Zoznam schválených nástrojov funguje lepšie ako plošný zákaz, ktorý si ľudia aj tak obídu.