# IT prehľad dňa: 24. október 2026

> 24. okt 2026 · #apple #security #nodejs #sap #cloud

Apple záplatoval 75 bezpečnostných chýb v iOS 26.6, SAP opravil SSRF chybu CVSS 10 v Cloud SDK pre Python a Node.js vydal záplaty pre RCE zraniteľnosť v Brotli dekodéri.

## 1. Apple vydal iOS a iPadOS 26.6 s opravami 75 bezpečnostných chýb

Apple vydal iOS 26.6 a iPadOS 26.6. Záplata pokrýva 75 bezpečnostných chýb v rôznych častiach systému vrátane WebKit, jadra systému (kernel), Cloud Attestation, AuthKit a Foundation. Postihnuté chyby umožňujú krádež dát, odmietnutie služby alebo neoprávnený prístup k osobným údajom cez škodlivé weby alebo aplikácie. Aktívne zneužívanie ani kritickosť jednotlivých chýb nezverejnili.

Aktualizácia je dostupná pre iPhone 11 a novší, ako aj pre kompatibilné modely iPad. Stiahnutie má zhruba 23 GB. Potrebujete Wi-Fi pripojenie, nabitú batériu a voľné miesto na disku. Pri spravovaných zariadeniach v MDM (Microsoft Intune, Jamf) nastavte schválenie aktualizácie alebo rozošlite príkaz na aktualizáciu používateľom.

> **Prečo je to zaujímavé:** 75 záplat naraz je nad priemer. Firemné iPhony s prístupom do pošty, VPN alebo interných aplikácií treba aktualizovať, a MDM systém to urobí za vás.

## 2. SAP Cloud SDK pre Python má SSRF chybu CVSS 10: OAuth2 token môže skončiť u útočníka

SAP v októbrových bezpečnostných poznámkach opravil CVE-2026-89111, SSRF chybu v Cloud SDK pre Python. Útočník ovládaním parametra `tenant_subdomain` presmeruje OAuth2 token requesty na vlastný server a získa prihlasovacie údaje klienta. Postihnuté sú multi-tenant aplikácie na SAP Business Technology Platform (BTP) postavené na tomto SDK.

Záplata je súčasťou októbra 2026 Security Patch Day. Presné čísla verzií sú v SAP Security Notes za október 2026. Dočasné opatrenie: validujte `tenant_subdomain` oproti zoznamu povolených hodnôt. Rovnaká séria aktualizácií zahŕňa aj CVE-2026-89110, kritickú chybu v NetWeaver Visual Composer (vzdialené prevzatie systému s obmedzenými právami), a CVE-2026-89108 v SAP Manufacturing Integration and Intelligence.

> **Prečo je to zaujímavé:** SAP BTP firmy používajú pre vlastné cloudové aplikácie a integrácie medzi systémami. CVSS 10 bez nutnosti špeciálnych práv je kategória, kde záplata nejde nechať na ďalší mesiac. Ak tím alebo dodávateľ vyvíja BTP aplikácie v Pythone, overte verzie SDK a nasadte opravu hneď.

## 3. Node.js záplata pre Brotli decoder, dostupná pre verzie 22, 24 a 26

Node.js vydal bezpečnostné aktualizácie 22.23.4, 24.22.1 a 26.12.1. Hlavnou opravou je CVE-2026-111497, chyba zapísania mimo hraníc (out-of-bounds write) v Brotli dekodéri, ktorý Node.js pribaluje. Chybne zostavený komprimovaný vstup môže spustiť pretečenie a viesť k vzdialenému spúšťaniu kódu. Závažnosť je High. Aktívne zneužívanie zatiaľ nehlásené, no verejný proof-of-concept dosiahol spustenie kódu na testovacích zostaveniach.

Aktualizácia opravuje aj tri ďalšie chyby s hodnotením High: dve pri overovaní TLS hostnámov a jednu v `dns.resolve` pri null-bajtoch. Node.js 20 a staršie verzie záplatu nedostanú, sú po skončení podpory. Ak váš server beží na Node.js 20, je to ďalší dôvod prejsť na aktívnu vetvu.

> **Prečo je to zaujímavé:** Brotli kompresia sa v Node.js bežne používa pri spracovaní odpovedí z externých API. Ak aplikácia dekomprimuje vstup zo zdrojov, ktoré nekontrolujete, záplata je na mieste. Zavolajte vývojárovi alebo DevOps tímu a overte verziu.

---

© 2026 ITself s.r.o. · Bežná stránka: https://itself.sk/blog/2026-10-24-it-prehlad-dna.html