IT prehľad dňa: 22. október 2026
1. GitLab záplatoval CVSS 10 chybu, útočník spustí kód bez prihlásenia
GitLab 21. októbra vydal záplatu pre CVE-2026-110264, zraniteľnosť s hodnotením CVSS 10.0. Chyba leží v Onigmo, regulárnom jadre, ktoré GitLab zahŕňa do vlastných balíčkov. Špeciálne zostavený regulárny výraz spôsobí pretečenie celého čísla a dovolí útočníkovi bez prihlásenia spustiť vlastný kód na serveri. Postihnuté sú všetky self-managed inštancie od verzie 7.0 z roku 2014. GitLab.com a Dedicated tenanti na 19.3.5-internal0 alebo 19.4.2-internal0 a novších záplatu dostali automaticky.
Opravené verzie: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 a 18.11.13. Ak ste aktualizovali 12. októbra, môžete byť stále zraniteľní. Ten beh opravoval len vydania 19.2 a vyššie. Konfiguračný workaround neexistuje. Verzie 19.4.3 a 19.3.6 obsahujú databázové migrácie, pri single-node nasadení počítajte s krátkym výpadkom.
Prečo je to zaujímavé: GitLab majú v mnohých firmách buď ako self-hosted repozitár alebo ho spravuje IT dodávateľ. CVSS 10 bez prihlásenia je závažnosť, pri ktorej nečakáme na maintenance okno. Skontrolujte verziu a porovnajte so zoznamom opravených vydaní. GitLab uverejnil aj dve Sigma pravidlá na detekciu pokusov: "Onigmo native worker crash" a "Org mode render error burst".
2. Útočníci cez prelomený web TeamUpdraft podstrčili backdoory na WordPress weby
Web teamupdraft.com bol 17. až 18. októbra neoprávnene sprístupnený. Útočníci pravdepodobne získali zákaznícke kľúče pre UpdraftCentral, cez ktoré posielali príkazy na prepojené WordPress weby a inštalovali backdoory. Patchstack zdokumentoval 18-hodinovú kampaň. Plugin UpdraftPlus má viac ako štyri milióny aktívnych inštalácií a jeho súčasťou je klientský komponent pre UpdraftCentral.
Záplata je UpdraftPlus 1.26.12 alebo 2.26.12 (a novšie). Táto verzia odpojí všetky UpdraftCentral spojenia vytvorené pred 22:00 BST 18. októbra. Po aktualizácii v dashboarde WordPress skontrolujte zoznam používateľov na neznáme účty a záložku Plugins vrátane Must-Use Plugins. Zálohy vo vlastnom úložisku a self-hosted UpdraftCentral postihnuté nie sú.
Prečo je to zaujímavé: Ak vaše firemné WordPress weby používajú UpdraftPlus a mali aktívne UpdraftCentral spojenie pred 18. októbrom, je to priorita. Hľadajte účty s menami system_team850, web.tech988 alebo cmseditor170 a pluginy pomenované "Site Health Cache", "Content Helper" alebo "Speed Kit". Patchstack zverejnil zoznam celkovo 99 backdoor plugin názvov.
3. Aktualizácia: PHP záplata PHP2Shell je vonku, pokusy o zneužitie začali
O CVE-2026-109618 a CVE-2026-109619 sme písali 21. októbra. Záplata vyšla podľa plánu o 14:00 UTC v opravených verziách 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 7.4, 8.0 a 8.1 oficiálne opravené vydania nedostanú, PHP projekt zverejnil pre tieto vetvy len zdrojové záplaty.
O 14:19 UTC watchTowr potvrdil aktívne pokusy o zneužitie oboch chýb. Cloudflare sleduje útočnú prevádzku a útočníci menia payloady, aby obišli pravidlá firewallu. Potvrdené prieniky zatiaľ nehlásili.
← Všetky príspevkyPrečo je to zaujímavé: Na PHP 8.2 až 8.5 je postup priamy: aktualizovať balíček. Pre staršie vydania závisí od distribúcie. Zavolajte správcovi servera a overte, na akej verzii PHP bežíte. V termináli je to
php -v, v shared hostingu v sekcii PHP alebo cez phpinfo(). Neodkladajte to.