IT prehľad dňa: 17. október 2026
1. Zálohovací softvér AOMEI Backupper rozniesol backdoor cez sabotované update servery
Výskumníci z Google Threat Intelligence Group a ManageEngine Threat Analysis Lab odhalili, že útočníci pod označením UNC7017 trikrát nakrátko zmenili update súbory priamo na serveroch AOMEI. Každé okno trvalo len niekoľko minút: 28. mája, 16. júla a 20. júla 2026. Zariadenia, ktoré v tom čase kontrolovali dostupnosť aktualizácií, stiahli a spustili škodlivý balík. AOMEI Backupper neoveruje integritu update súborov kryptograficky, takže útočníkovi stačilo zmeniť dva textové súbory na serveri.
Dodaný balík obsahoval downloader CROSSROAD, kópiu legálneho Radminu a DLL s implantátom SHINYROAD (vzdialený shell s podporou načítania kódu). Na niektorých strojoch pribudol aj C2 framework Adaptix maskovaný ako Nitro PDF. Windows task zabezpečil spustenie každé tri hodiny. Na treťom z okien útočníci zmenili notifikačný súbor tak, aby vyvolali skryté WebDAV pripojenie: žiadny kód sa nespustil, ale NetNTLMv2 hash autentikačného kontextu odišiel von. Obete pochádzajú z IT služieb, telekomunikácií a univerzít v 11 krajinách. AOMEI koncom júla potvrdil nápravu na serveroch. Infikované stroje tým čistenie nedostali.
Prečo je to zaujímavé: Zálohovací softvér beží so zvýšenými právami a endpoint protection má naň zvyčajne výnimku. Skontrolujte na všetkých strojoch s AOMEI Backupper prítomnosť naplánovaných taskov RadminComponentRuntime a NitroRuntime a prezrite sieťové logy z obdobia apríl až júl. Aktuálna verzia 8.5.0 stále neobsahuje kryptografické overenie aktualizácií.
2. Čínska skupina Armory Castle zneužíva chybu CVE-2026-102764 v BeyondTrust Remote Support od augusta
BeyondTrust 8. októbra záplatovalo autentizačný bypass CVE-2026-102764 v Remote Support (verzie 26.2.3 a staršie). Cez túto chybu vykoná neprihlásený útočník na appliance ľubovoľné súborové operácie. Mandiant a Google GTIG spájajú zneužívanie tohto zero-daya so skupinou Armory Castle (CrowdStrike: Warp Panda), ktorú považujú za prepojenie na Čínu. Po počiatočnom prístupe útočníci eskalovali práva na root, nasadili web shell Sawfly a tuneler Bareclaw a zmazali logy. Shadowserver počíta na internete viac ako 1 400 inštancií BeyondTrust Remote Support.
SaaS zákazníci záplatu dostali automaticky 8. októbra. Kto prevádzkuje self-hosted inštaláciu bez zapnutých automatických aktualizácií, nainštaluje záplatu ručne. Každú inštanciu, ktorá bola internet-dostupná na zraniteľnej verzii od konca augusta, treba považovať za potenciálne kompromitovanú, kým neprebehne kontrola logov.
Prečo je to zaujímavé: IT outsourcing tímy používajú BeyondTrust Remote Support práve preto, aby mali prístup dovnútra siete zákazníka. Kompromitovaný server teda dáva útočníkovi rovnaký dosah. Záplata sa dá nainštalovať teraz.
3. Kritická chyba v Magento: BlockStrap dovoľuje spustiť PHP kód cez šablóny e-mailov
CVE-2026-103849 v Adobe Commerce a Magento Open Source objavila bezpečnostná firma Sansec a dostala maximálne hodnotenie závažnosti. Chyba je v šablonovom engine pre e-maily: obsah z dcérskej šablóny sa pri vykresľovaní spracuje aj na úrovni rodičovskej šablóny bez príslušných oprávnení, čo útočníkovi s možnosťou upraviť e-mailovú šablónu dovolí spustiť na serveri ľubovoľný PHP kód. Postihnutý je Magento Open Source do verzie 2.4.9 a Adobe Commerce B2B do 1.5.3.
Adobe ohodnotil chybu ako "priority 2" (záplata do 30 dní). To Sansec považuje za príliš benevolentné: predchádzajúca podobná chyba (StyleSmuggler) prešla od zverejnenia k masovému zneužívaniu za tri dni. Záplata je dostupná ako izolovaný hotfix alebo v októbrovom vydaní. Pri nasadzovaní treba dávať pozor: plain composer update nestačí a hotfix pre VULN-39341 (StyleSmuggler) musí na serveri zostať.
← Všetky príspevkyPrečo je to zaujímavé: E-mailové šablóny v Magente upravujú aj menej technickí administrátori, čo rozširuje útočnú plochu. Kto prevádzkuje Magento e-shop alebo ho spravuje pre zákazníka, mal by záplatu nainštalovať dnes, bez čakania na bežné mesačné záplatovanie.