CISA KEV: od napadeného webu k právům správce

Čtyři nové přírůstky zahrnují chybu linuxového jádra využitelnou v návaznosti na PHP2Shell, zranitelnou dekompresi Brotli, nebezpečné nahrávání souborů v Adobe Commerce a nedostatečné protokolování ve VMware ESX. Opravy jsou dostupné, ale u každého případu je jiná cesta útoku i potřebný zásah.

CVE-2026-46300 v linuxovém jádře, označovaná jako Fragnesia, umožňuje místnímu útočníkovi s nízkými oprávněními získat práva root. Má skóre CVSS 3.1 ve výši 7,8. Při spojování síťových dat se ztrácí informace, že část paměti je sdílená. Následné zpracování IPsec ESP pak může přepsat data v paměťové mezipaměti souborů, přestože k samotným souborům má útočník jen právo čtení. Změna takto sdíleného obsahu může zasáhnout i privilegované programy.

Samotná chyba není vzdáleným vstupem do serveru. CISA ale upozorňuje na její řetězení s dvojicí chyb PHP2Shell: po napadení webové aplikace lze navázat zvýšením oprávnění a spouštět příkazy jako root. Podmínkou je zranitelný systém a dostupnost příslušných mechanismů jádra. Podrobnosti prvního kroku popisuje <a href="/https://acresia.com/cs/novinky/php2shell-kriticke-opravy">náš článek o PHP2Shell</a>. Pro nápravu nestačí opravit pouze PHP nebo pouze jádro; je potřeba ověřit obě vrstvy.

Opravené upstreamové větve Linuxu začínají verzemi 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 a 7.1. Distribuce mohou opravu přenést do vlastního balíčku se starším základním číslem verze, proto je rozhodující jejich bezpečnostní oznámení ke konkrétnímu balíčku. Po instalaci je nutné zajistit, že opravené jádro skutečně běží, obvykle restartem systému.

CVE-2026-111497 v knihovně Google Brotli zasahuje dekompresi dat a má podle Googlu CVSS 4.0 ve výši 9,2. Upravený komprimovaný vstup může poškodit paměť procesu, odhalit její obsah, způsobit pád nebo umožnit spuštění kódu. Útočník nepotřebuje přihlášení, aplikace však musí jeho data předat zranitelnému dekodéru. Nejde tedy pouze o problém webů, které kompresi používají při odesílání odpovědí, ale především o místa, kde se nedůvěryhodný obsah rozbaluje.

Ilustrační mechanismus třídění dokumentů s narušenou cestou

Google uvádí opravy Brotli 1.0.10, 1.1.1 a 1.2.1 podle používané větve. Chyba se promítá také do závislých produktů. Node.js ji opravuje ve verzích 22.23.4, 24.22.1 a 26.12.1; jeho oznámení upozorňuje na aplikace dekomprimující vstup pomocí node:zlib. Správci proto potřebují ověřit i knihovny přibalené k aplikacím a kontejnerům, nikoli jen samostatný systémový balíček Brotli.

Adobe Commerce a Magento Open Source zasahuje CVE-2026-48356, která dovoluje nahrát nebezpečný typ souboru. Podle záznamu Adobe může vést ke spuštění kódu v kontextu aktuálního uživatele a k převzetí účtu či relace. Útočník nemusí být přihlášen, zneužití ale vyžaduje interakci oběti, například návštěvu připravené adresy nebo napadené stránky. Bulletin uvádí CVSS 3.1 ve výši 9,6, zatímco záznam CVE od Adobe uvádí 9,3 s odlišným hodnocením dopadu na dostupnost. V obou případech jde o kritickou závažnost.

Pro Adobe Commerce jsou opravenými vydáními 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul a 2.4.4-2026-jul. U Magento Open Source bulletin uvádí první čtyři z těchto větví. Instalace s komponentami Commerce B2B nebo Events mají vlastní řádky v přehledu oprav; Events vyžaduje alespoň 1.21.0. Starší sdělení Adobe, že zneužití nebylo známo, už nelze považovat za aktuální stav: CISA zranitelnost zařadila mezi aktivně zneužívané.

VMware ESX má jiný typ problému. CVE-2026-41709 umožňuje škodlivému správci provést některé operace bez jejich zaznamenání do protokolů. CVSS 3.1 je pouze 2,7, protože útok už předpokládá vysoká oprávnění; praktický význam spočívá v omezení dohledatelnosti činnosti na napadeném systému. Nízké skóre proto neznamená, že lze chybu při vyšetřování kompromitace přehlédnout.

Broadcom uvádí opravy ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 a ESXi80U3j-25429389. U VMware Cloud Foundation 5.x je v přehledu uvedena verze 5.2.4; instalace Telco Cloud Platform se řídí samostatnými pokyny odkazovanými v bulletinu. Náhradní opatření výrobce neuvádí. Aktualizace uzavírá mezeru v protokolování, nemůže však zpětně doplnit záznamy operací, které před ní nebyly zaznamenány.