# IT prehľad dňa: 16. október 2026

> 16. okt 2026 · #security #ivanti #nextjs #github #cloud

Ivanti Connect Secure CVE-2026-104935 sa aktívne zneužíva bez prihlásenia, Next.js záplatovalo dve kritické RCE chyby a kampaň GhostAction napadla 1 900 GitHub účtov.

## 1. Ivanti Connect Secure: CISA nariadila záplatu CVE-2026-104935 s termínom dnes

Ivanti Connect Secure má aktívne zneužívanú zraniteľnosť CVE-2026-104935 (CVSS 8.6). Cez HTTP hlavičku `X-DSCGI-PATH` útočník obíde overenie bez prihlásenia a na appliance spustí ľubovoľný príkaz. Volexity sleduje aktívnu skupinu pod označením UTA0576 od 3. októbra: útočníci kradnú prihlasovacie údaje, vykonávajú Kerberoasting a upravujú logy, aby zakryli stopy, no nepoužívajú malvér ani web shell. Honeypoty zaznamenali 105 pokusov o exploit z 50 IP adries, väčšina zo Singapuru a USA. CISA zaradila chybu do katalógu KEV a federálnym agentúram nariadila záplatu do dnes.

Záplata pokrýva vetvy 25.1 a 22.8. Vetva 22.8 končí podporou 31. januára 2027, takže ak ste na nej, záplata rieši akutný problém, ale nie dlhodobý. Pred záplatovaním skontrolujte logy na záznamy o prichádzajúcich požiadavkách s hlavičkou `X-DSCGI-PATH`. Kompromitované zariadenie Ivanti odporúča celé prestavať zo zálohy konfigurácie.

> **Prečo je to zaujímavé:** VPN brána na perimetri siete, zneužiteľná bez prihlásenia. CVSS 8.6, aktívne útoky od 3. októbra. Záplata je vonku, termín bol dnes.

## 2. Dve kritické chyby v Next.js dovoľujú spustiť kód na serveri bez prihlásenia

Vercel 14. októbra vydal mimo bežného vydávacieho cyklu záplatu Next.js 16.4.1 a 15.5.28. Opravuje tri problémy, z toho dva sú kritické (CVSS 9.5). CVE-2026-96889 sa nachádza v spracovaní SVG obrázkov cez knižnicu sharp a librsvg: ak aplikácia dovoľuje nahrávať obrázky externým používateľom, útočník podstrčí pripravený SVG a spustí kód na serveri. Postihnuté sú všetky verzie Next.js od 10.0.0 na systémoch s glibc. Druhá kritická chyba (zatiaľ bez CVE) je v komponente `use cache` a mieri na App Router aplikácie s cachovanými komponentmi.

Na vetve 15 nestačí upgrade samotného frameworku. Príkazom `npm ls sharp` overte, že máte sharp 0.35.5 alebo novší, lebo starý sharp môže ostať v `node_modules` aj po aktualizácii Next.js. Po záplate znova zostavte a nasaďte aplikáciu. Pre chyby `use cache` a serverové akcie neexistuje dočasné riešenie bez upgradu.

> **Prečo je to zaujímavé:** Spracúva vaša aplikácia SVG súbory nahrávané cez formulár alebo z externého zdroja? Ak áno, toto sa priamo týka vás. `npm audit` nemusí zachytiť chybu bez CVE, takže upgrade over ručne.

## 3. GhostAction napadla 1 900 vývojárskych GitHub účtov, v hľadáčiku boli CI/CD secrets

Útočníci od 7. októbra cez ukradnuté personal access tokeny vkladali do napadnutých repozitárov GitHub Actions workflow pomenovaný `security-audit.yml` alebo `github_actions_security.yml`. Spúšťa sa pri každom pushu aj manuálne, zbiera secrets dostupné v CI prostredí (cloud credentials, AWS kľúče, npm a Docker Hub tokeny, AI API kľúče, GitLab tokeny) a odosiela ich nešifrovaným HTTP spojením. GitGuardian zaznamenala viac ako 30 000 zasiahnutých repozitárov od 373 organizácií a pokus o extrakciu 3 174 tajomstiev. GitHub začal súbor blokovať od 9. októbra, neskoršie vlny teda výsledky nezískali.

Skontrolujte, či váš repozitár alebo jeho fork neobsahuje niektorý z týchto súborov od 31. augusta. Ak áno, predpokladajte kompromitáciu a rotujte všetky secrets v danom CI prostredí. Prihlásenia do GitHub účtov od 31. augusta do 12. októbra stojí za prezretie, ak váš tím spravuje projekty na GitHub.

> **Prečo je to zaujímavé:** CI/CD pipeline s cloud credentials je pre útočníka priama cesta do produkcie. Pozrite, čo máte v GitHub Actions secrets, a obmedzte tokeny len na oprávnenia, ktoré skutočne potrebujú. Secrets s obmedzeným scope skracujú škody, keď token unikne.

---

© 2026 ITself s.r.o. · Bežná stránka: https://itself.sk/blog/2026-10-16-it-prehlad-dna.html