IT prehľad dňa: 18. október 2026
1. Útok cez ConnectWise Cloud Backup zasiahol 173 Microsoft 365 tenant-ov
ConnectWise Cloud Backup (predtým SkyKick) prišlo o prihlasovacie údaje aplikácie. Útočník ich použil od 15. októbra na prihlasovanie do Microsoft 365 a získal prístup minimálne k 173 tenant-om zákazníkov. Pretože sa prihlásila aplikácia a nie používateľ, MFA sa nevyvolala. V niekoľkých tenant-och si aplikácia ConnectWise sama priradila rolu Exchange Administrator, v jednom prípade dokonca Global Administrator. Huntress vo svojich monitorovaných tenant-och identifikoval 173 potvrdených neoprávnených prihlásení. Celkový počet obetí je neznámy.
ConnectWise prístup ku Cloud Backup dočasne zablokoval. Obnoviť prihlasovacie údaje aplikácie nestačí: tokeny vydané útočníkovi zostávajú platné až 90 minút po blokovaní. Skontrolujte v Entra ID záložku service principal sign-ins filtrovanú podľa application ID 506e08f9-6e9a-4da4-942b-a099a03644ae a hľadajte IP adresu 144.172.64.128. Overte aj, či si niektorá aplikácia od 13. októbra nepridala ďalšie tajomstvá alebo roly.
Prečo je to zaujímavé: Väčšina MSP a IT outsourcing tímov má v klientských tenant-och konzentované zálohovacie a monitorovacie aplikácie s veľmi širokými oprávneniami. Ak sa prihlasovacie údaje aplikácie dostanú von, MFA zákazníka ich nezastaví. Overenie, čo presne každá konzentovaná aplikácia môže čítať a zapisovať, nie je zbytočná práca.
2. PEERSTITCH: malware v pamäti FortiOS daemonov, záplata bola vonku od apríla
Unit 42 (Palo Alto Networks) zverejnila analýzu útočnej kampane CL-STA-0954. Útočníci skupiny UNC5820 zneužili path traversal chybu CVE-2025-61624 v príkazovom riadku FortiOS (opravená v apríli 2026, advisory FG-IR-26-122) a nasadili malware PEERSTITCH. Ten je napísaný v C, existuje len v operačnej pamäti a na disk nič nezapisuje. Cez ptrace si vstreknul háčiky do dvoch bežiacich daemonov, miglogd a iked. Háčik v iked označí VPN reláciu tajným príznakom a pre takto označené relácie obíde štandardné bezpečnostné kontroly FortiOS.
Počiatočný vstup do kampane šiel cez samostatnú chybu v FortiManager (CVE-2024-47575, alias FortiJump). Z FortiManager útočníci stiahli konfigurácie a prihlasovacie údaje viac ako 500 FortiGate zariadení. Keďže PEERSTITCH nezanecháva súbor na disku, tradičný antivírus ani kontrola integrity súborov ho neodhalí. Indikátory kompromitácie zahŕňajú sieťové spojenia na 23.240.77.233 port 8085, súbory lldprx, index.wasm a ipssem.js a neočakávané ptrace procesy voči miglogd alebo iked.
Prečo je to zaujímavé: Záplata existuje od apríla 2026, no malware sa v niektorých sieťach pohyboval mesiace bez povšimnutia. Kto spravuje FortiGate pre zákazníkov, nech overí, či bola záplata FG-IR-26-122 nasadená, a preverí konfiguračné zálohy z FortiManager za posledných šesť mesiacov na prípadný neoprávnený prístup.
3. Atlassian Data Center CVE-2026-21589 sa aktívne zneužíva
CVE-2026-21589 je neautentizovaná chyba na čítanie súborov s hodnotením CVSS 9.3. Postihuje Data Center verzie Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible a Fisheye. Cez ňu môže útočník bez prihlásenia načítať ľubovoľný súbor v root adresári webovej aplikácie, ak pozná jeho presný názov a cestu. V prípade Crowd a Jira to zahŕňa súbor crowd.properties s prihlasovacími údajmi, čo otvorí cestu k administrátorskému prístupu.
Detaily zraniteľnosti zverejnila firma watchTowr a do dvoch hodín zaznamenala Previdian prvé pokusy o zneužitie z troch IP adries. CISA zaradila CVE-2026-21589 do katalógu KEV 15. októbra s termínom záplaty pre federálne agentúry do 18. októbra. Cloud verzie Atlassian záplatu dostali automaticky. Self-hosted Data Center inštalácie treba záplatovať ručne podľa konkrétnej verzie produktu, napr. Jira Software 9.12.40 alebo 10.3.26.
← Všetky príspevkyPrečo je to zaujímavé: Konfiguračné súbory Jiry a Confluence obsahujú databázové heslá a tokeny. Ak máte akúkoľvek self-hosted Data Center inštaláciu niektorého z týchto produktov, skontrolujte verziu a nainštalujte záplatu dnes.