IT prehľad dňa: 15. október 2026
1. Cisco Secure Email Gateway: aktívne zneužívanie bez prihlásenia, záplata je von
Cisco varuje pred aktívnym zneužívaním CVE-2026-76519 (CVSS 9.8) v Cisco Secure Email Gateway. Cez chybu v spracovaní príloh zapíše neautentizovaný útočník ľubovoľný súbor do operačného systému appliance a spustí príkazy s právami roota. Bez akéhokoľvek prihlásenia. Postihnuté sú fyzické aj virtuálne appliance, kde je zapnutá funkcia File Reputation (súčasť AMP) v mail policy a Content Scanner Tools starší ako 25.3.0.5525.
Záplaty prišli ako súčasť vydania z 14. septembra: AsyncOS 15.5.5-014 a 16.5.0-780. Pre AsyncOS 16.0 záplata neexistuje, potrebný je prechod na novšiu vetvu. Verziu scannera overíte príkazom contentscannerstatus a aktualizáciu spustíte cez contentscannerupdate. Zákazníkom spravovaným v cloude Cisco nasadilo opravený scanner automaticky. Ak systém vypíše "Suspected compromise indicator was found", kontaktujte Cisco TAC pred upgradom, lebo upgrade zmaže forensné záznamy. Napadnuté virtuálne appliance Cisco odporúča celé prebudovať.
Prečo je to zaujímavé: Email gateway je prvý, kto vidí prichádzajúcu poštu, a útočník k nej pristúpi bez prihlásenia. CVSS 9.8, aktívne zneužívanie. Overte verziu Content Scanner Tools ešte dnes.
2. Palo Alto záplatovalo CVE-2026-0322 v PAN-OS, root prístup z management rozhrania
Palo Alto Networks 14. októbra vydalo záplatu pre CVE-2026-0322 (CVSS 4.0: 8.6) v PAN-OS. Chyba je code injection v management rozhraní: útočník s administrátorskými právami a sieťovým prístupom k tomuto rozhraniu spustí kód s právami roota. Postihnuté sú PA-Series hardvérové firewally, VM-Series virtuálne firewally a Panorama. Cloud NGFW a Prisma Access postihnuté nie sú.
Opravené verzie sú PAN-OS 12.2.4, 12.1.10-h2, 11.1.16-h3 a 10.2.18-h12. Pre vetvu 11.2 platí viacero hotfix builds. Palo Alto hovorí o "very limited exploitation". Tri IP adresy spojené s útočnou aktivitou stojí za to skontrolovať v logoch management prevádzky: 66.42.72.14, 208.83.239.114 a 149.248.47.234.
Prečo je to zaujímavé: Útok vyžaduje, aby mal útočník administrátorský prístup k zariadeniu, čo rozsah hrozby zužuje. Napriek tomu sa oplatí urobiť dve veci: záplatu nainštalovať a management rozhranie sprístupniť len z dôveryhodných interných adries, nie z internetu.
3. Microsoft rozbil phishingový trh, ktorý rozoslal od januára miliardu správ
Microsoft spolu s Resecurity, Cloudflare, Oracle a orgánmi činnými v trestnom konaní zaistil domény troch prepojených čínskych služieb: YAM Store, CoGUI a Iron Man. YAM Store predával ukradnuté Microsoft 365 a Azure účty z napadnutých vzdelávacích a neziskových tenantov. CoGUI a Iron Man dodávali phishingové kity s viac ako 2 300 šablónami pre 130 krajín. Od januára 2026 prešlo cez infraštruktúru viac ako miliarda škodlivých správ smerujúcich na vyše 75 000 organizácií. Microsoft deaktivoval viac ako 20 000 účtov a zablokoval viac ako 100 000 domén.
Kity pracujú inak ako bežné phishingové stránky. Operátor sleduje obeť v reálnom čase a v správnom momente ju vyzve zadať jednorazový overovací kód. SMS alebo TOTP-based MFA tým pádom nestačí.
← Všetky príspevkyPrečo je to zaujímavé: Zastavenie trhu pomôže, no kópie kitov zostanú v obehu. Skontrolujte OAuth granty tretích strán vo vašom Microsoft 365 a Azure Entra ID a zrušte, čo nepoznáte. Pre administrátorské a citlivé účty zvážte prechod na FIDO2 alebo certifikátové prihlasovanie.