IT prehľad dňa: 24. október 2026
1. Apple vydal iOS a iPadOS 26.6 s opravami 75 bezpečnostných chýb
Apple vydal iOS 26.6 a iPadOS 26.6. Záplata pokrýva 75 bezpečnostných chýb v rôznych častiach systému vrátane WebKit, jadra systému (kernel), Cloud Attestation, AuthKit a Foundation. Postihnuté chyby umožňujú krádež dát, odmietnutie služby alebo neoprávnený prístup k osobným údajom cez škodlivé weby alebo aplikácie. Aktívne zneužívanie ani kritickosť jednotlivých chýb nezverejnili.
Aktualizácia je dostupná pre iPhone 11 a novší, ako aj pre kompatibilné modely iPad. Stiahnutie má zhruba 23 GB. Potrebujete Wi-Fi pripojenie, nabitú batériu a voľné miesto na disku. Pri spravovaných zariadeniach v MDM (Microsoft Intune, Jamf) nastavte schválenie aktualizácie alebo rozošlite príkaz na aktualizáciu používateľom.
Prečo je to zaujímavé: 75 záplat naraz je nad priemer. Firemné iPhony s prístupom do pošty, VPN alebo interných aplikácií treba aktualizovať, a MDM systém to urobí za vás.
2. SAP Cloud SDK pre Python má SSRF chybu CVSS 10: OAuth2 token môže skončiť u útočníka
SAP v októbrových bezpečnostných poznámkach opravil CVE-2026-89111, SSRF chybu v Cloud SDK pre Python. Útočník ovládaním parametra tenant_subdomain presmeruje OAuth2 token requesty na vlastný server a získa prihlasovacie údaje klienta. Postihnuté sú multi-tenant aplikácie na SAP Business Technology Platform (BTP) postavené na tomto SDK.
Záplata je súčasťou októbra 2026 Security Patch Day. Presné čísla verzií sú v SAP Security Notes za október 2026. Dočasné opatrenie: validujte tenant_subdomain oproti zoznamu povolených hodnôt. Rovnaká séria aktualizácií zahŕňa aj CVE-2026-89110, kritickú chybu v NetWeaver Visual Composer (vzdialené prevzatie systému s obmedzenými právami), a CVE-2026-89108 v SAP Manufacturing Integration and Intelligence.
Prečo je to zaujímavé: SAP BTP firmy používajú pre vlastné cloudové aplikácie a integrácie medzi systémami. CVSS 10 bez nutnosti špeciálnych práv je kategória, kde záplata nejde nechať na ďalší mesiac. Ak tím alebo dodávateľ vyvíja BTP aplikácie v Pythone, overte verzie SDK a nasadte opravu hneď.
3. Node.js záplata pre Brotli decoder, dostupná pre verzie 22, 24 a 26
Node.js vydal bezpečnostné aktualizácie 22.23.4, 24.22.1 a 26.12.1. Hlavnou opravou je CVE-2026-111497, chyba zapísania mimo hraníc (out-of-bounds write) v Brotli dekodéri, ktorý Node.js pribaluje. Chybne zostavený komprimovaný vstup môže spustiť pretečenie a viesť k vzdialenému spúšťaniu kódu. Závažnosť je High. Aktívne zneužívanie zatiaľ nehlásené, no verejný proof-of-concept dosiahol spustenie kódu na testovacích zostaveniach.
Aktualizácia opravuje aj tri ďalšie chyby s hodnotením High: dve pri overovaní TLS hostnámov a jednu v dns.resolve pri null-bajtoch. Node.js 20 a staršie verzie záplatu nedostanú, sú po skončení podpory. Ak váš server beží na Node.js 20, je to ďalší dôvod prejsť na aktívnu vetvu.
← Všetky príspevkyPrečo je to zaujímavé: Brotli kompresia sa v Node.js bežne používa pri spracovaní odpovedí z externých API. Ak aplikácia dekomprimuje vstup zo zdrojov, ktoré nekontrolujete, záplata je na mieste. Zavolajte vývojárovi alebo DevOps tímu a overte verziu.