IT prehľad dňa: 16. október 2026
1. Ivanti Connect Secure: CISA nariadila záplatu CVE-2026-104935 s termínom dnes
Ivanti Connect Secure má aktívne zneužívanú zraniteľnosť CVE-2026-104935 (CVSS 8.6). Cez HTTP hlavičku X-DSCGI-PATH útočník obíde overenie bez prihlásenia a na appliance spustí ľubovoľný príkaz. Volexity sleduje aktívnu skupinu pod označením UTA0576 od 3. októbra: útočníci kradnú prihlasovacie údaje, vykonávajú Kerberoasting a upravujú logy, aby zakryli stopy, no nepoužívajú malvér ani web shell. Honeypoty zaznamenali 105 pokusov o exploit z 50 IP adries, väčšina zo Singapuru a USA. CISA zaradila chybu do katalógu KEV a federálnym agentúram nariadila záplatu do dnes.
Záplata pokrýva vetvy 25.1 a 22.8. Vetva 22.8 končí podporou 31. januára 2027, takže ak ste na nej, záplata rieši akutný problém, ale nie dlhodobý. Pred záplatovaním skontrolujte logy na záznamy o prichádzajúcich požiadavkách s hlavičkou X-DSCGI-PATH. Kompromitované zariadenie Ivanti odporúča celé prestavať zo zálohy konfigurácie.
Prečo je to zaujímavé: VPN brána na perimetri siete, zneužiteľná bez prihlásenia. CVSS 8.6, aktívne útoky od 3. októbra. Záplata je vonku, termín bol dnes.
2. Dve kritické chyby v Next.js dovoľujú spustiť kód na serveri bez prihlásenia
Vercel 14. októbra vydal mimo bežného vydávacieho cyklu záplatu Next.js 16.4.1 a 15.5.28. Opravuje tri problémy, z toho dva sú kritické (CVSS 9.5). CVE-2026-96889 sa nachádza v spracovaní SVG obrázkov cez knižnicu sharp a librsvg: ak aplikácia dovoľuje nahrávať obrázky externým používateľom, útočník podstrčí pripravený SVG a spustí kód na serveri. Postihnuté sú všetky verzie Next.js od 10.0.0 na systémoch s glibc. Druhá kritická chyba (zatiaľ bez CVE) je v komponente use cache a mieri na App Router aplikácie s cachovanými komponentmi.
Na vetve 15 nestačí upgrade samotného frameworku. Príkazom npm ls sharp overte, že máte sharp 0.35.5 alebo novší, lebo starý sharp môže ostať v node_modules aj po aktualizácii Next.js. Po záplate znova zostavte a nasaďte aplikáciu. Pre chyby use cache a serverové akcie neexistuje dočasné riešenie bez upgradu.
Prečo je to zaujímavé: Spracúva vaša aplikácia SVG súbory nahrávané cez formulár alebo z externého zdroja? Ak áno, toto sa priamo týka vás.
npm auditnemusí zachytiť chybu bez CVE, takže upgrade over ručne.
3. GhostAction napadla 1 900 vývojárskych GitHub účtov, v hľadáčiku boli CI/CD secrets
Útočníci od 7. októbra cez ukradnuté personal access tokeny vkladali do napadnutých repozitárov GitHub Actions workflow pomenovaný security-audit.yml alebo github_actions_security.yml. Spúšťa sa pri každom pushu aj manuálne, zbiera secrets dostupné v CI prostredí (cloud credentials, AWS kľúče, npm a Docker Hub tokeny, AI API kľúče, GitLab tokeny) a odosiela ich nešifrovaným HTTP spojením. GitGuardian zaznamenala viac ako 30 000 zasiahnutých repozitárov od 373 organizácií a pokus o extrakciu 3 174 tajomstiev. GitHub začal súbor blokovať od 9. októbra, neskoršie vlny teda výsledky nezískali.
Skontrolujte, či váš repozitár alebo jeho fork neobsahuje niektorý z týchto súborov od 31. augusta. Ak áno, predpokladajte kompromitáciu a rotujte všetky secrets v danom CI prostredí. Prihlásenia do GitHub účtov od 31. augusta do 12. októbra stojí za prezretie, ak váš tím spravuje projekty na GitHub.
← Všetky príspevkyPrečo je to zaujímavé: CI/CD pipeline s cloud credentials je pre útočníka priama cesta do produkcie. Pozrite, čo máte v GitHub Actions secrets, a obmedzte tokeny len na oprávnenia, ktoré skutočne potrebujú. Secrets s obmedzeným scope skracujú škody, keď token unikne.