IT prehľad dňa: 23. október 2026
1. Arista VeloCloud: SQL injection CVSS 9.9 sa aktívne zneužíva
Arista 22. októbra zverejnila CVE-2026-114625, SQL injection s hodnotením CVSS 9.9 v on-premises VeloCloud Orchestratore. Zraniteľnosť dovoľuje útočníkovi, ktorý má akékoľvek platné prihlásenie do webového rozhrania vrátane konta s najnižšími právami, získať operátorský superuser prístup na hostiteľský server. Tým môže pristúpiť k spravovaným dátam alebo narušiť prevádzku SD-WAN siete. Arista potvrdila aktívne zneužívanie, no nezdieľala podrobnosti o rozsahu. VeloCloud Gateway a Edge postihnuté nie sú.
Záplata je v opravených verziách 5.2.3.18, 6.1.3.10 a 6.4.2.12. Hosted a Dedicated orchestrátory záplatu dostali automaticky. Pri end-of-life vydaniach kontaktujte Arista TAC. Ako dočasné opatrenie obmedzte prístup k webovému rozhraniu len na admin siete a preskúmajte logy na prítomnosť IP adries 74.82.197.86 a 38.54.50.151.
Prečo je to zaujímavé: VeloCloud majú firmy so vzdialenými pracoviskami ako centrálny riadiaci prvok WAN prepojení. Aj konto s minimálnymi právami útočníkovi stačí na prevzatie orchestrátora. Záplatu nenechávajte na neskôr.
2. Fortinet vydal bezpečnostné záplaty pre FortiOS, FortiManager a ďalšie produkty
Fortinet 21. októbra oznámil koordinovanú aktualizáciu a od 22. októbra spúšťa nasadzovanie opráv pre FortiOS, FortiManager, FortiAnalyzer, FortiMail a FortiAuthenticator. Detailné advisories s číslami CVE prídu 10. novembra cez Fortinet PSIRT portál. Fortinet odporúča prioritne zaktualizovať zariadenia prístupné z internetu.
Minimálne opravené verzie: FortiOS 7.2.14, 7.4.13, 7.6.8 a 8.0.2. Rovnaká schéma platí pre FortiManager a FortiAnalyzer. FortiMail vyžaduje aspoň 7.4.9, 7.6.7 alebo 8.0.2; nasadenia na vetve 7.2 musia prejsť na 7.4 alebo vyššie. FortiAuthenticator je opravený vo verzii 6.6.11 a 8.0.4. FortiSASE v cloude dostáva záplaty automaticky.
Prečo je to zaujímavé: FortiGate je v kanceláriách malých firiem bežný firewall a FortiManager spravuje viac zariadení z jedného miesta. Bez čísel CVE je ťažké odhadnúť závažnosť, no tento typ koordinovaného oznámenia Fortinet vydáva len pre závažné problémy. Skontrolujte verzie a naplánujte aktualizáciu čo najskôr.
3. Dve chyby CVSS 9.0 v Linux KSMBD nemajú zatiaľ záplatu
Na verejnom mailingliste boli 22. októbra zverejnené dve zraniteľnosti vzdialeného spúšťania kódu v KSMBD, vstavanom SMB serveri linuxového jadra. Obe dostali od Trend Micro ZDI hodnotenie CVSS 9.0. Prvá (ZDI-CAN-33774) nevyžaduje autentifikáciu a funguje na akejkoľvek KSMBD inštancii dostupnej na porte 445. Druhá (ZDI-CAN-33549) sa týka len SMB Direct konfigurácií s RDMA rozhraním a zdieľanou zložkou s právom zápisu.
Záplaty v linuxovom jadre ani distribučných balíkoch zatiaľ nie sú. CVE čísla zatiaľ neboli pridelené. Overte, či KSMBD na vašich serveroch vôbec beží: systemctl status ksmbd alebo lsmod | grep ksmbd. Red Hat Enterprise Linux KSMBD štandardne nezahŕňa. Samba nie je postihnutá.
← Všetky príspevkyPrečo je to zaujímavé: Ak KSMBD nepoužívate, vypnite ho a zablokujte port 445 z nedôveryhodných sietí. Sledujte upozornenia vašej distribúcie a záplatu nainštalujte hneď, keď príde. Dovtedy pomôže obmedziť port 445 len na vnútornú sieť.