Doba čtení: 8 minut
V sobotu 17. října 2026 dominovaly technologickému zpravodajství dvě bezpečnostní události s přímým dopadem na podnikové prostředí: kompromitace prostřednictvím dodavatelského řetězce cloudové zálohovací služby a kritické opravy Drupalu. Dalším významným tématem byla debata o rizicích pokročilé AI a její kontrole. Připojujeme také důležité události z předchozího dne, které zůstaly aktuální pro správce systémů.
Hlavní zprávy dne
- Útok přes ConnectWise zasáhl prostředí Microsoft 365
- Drupal opravil dvě kritické chyby umožňující vzdálené spuštění kódu
- Kritická zranitelnost rozšíření BlockStrap ohrožuje Magento a Adobe Commerce
- Britská vláda diskutuje o řízení bezpečnostních rizik AI
- AI nástroje mění vývoj a kontrolu linuxového jádra
- Úřady varují před AI agenty s příliš širokými oprávněními
- Windows a Linux: změny, které mají sledovat správci
Kyberbezpečnost
Útok přes ConnectWise zasáhl prostředí Microsoft 365
BleepingComputer 17. října informoval o bezpečnostním incidentu v dodavatelském řetězci spojeném se službou ConnectWise Cloud Backup, dříve SkyKick Cloud Backup. Útočníci podle zveřejněných informací získali přístup k identitám aplikací a kompromitovali prostředí Microsoft 365 některých zákazníků. ConnectWise v reakci pozastavil zákaznický přístup ke cloudové zálohovací službě.
U dodavatelského útoku není zásadní pouze zabezpečení uživatelských účtů. Důležitá jsou také aplikační oprávnění, servisní identity, udělené souhlasy a důvěryhodné integrace. Pokud útočník získá přístup přes aplikaci s rozsáhlými právy, běžné resetování hesel zaměstnanců nemusí pokrýt všechny cesty přístupu.
- Dopad: možný neoprávněný přístup do prostředí Microsoft 365 přes důvěryhodnou integraci.
- Pro koho: organizace používající ConnectWise/SkyKick a správci Microsoft 365.
- Doporučení: sledovat oznámení dodavatele, ověřit používané integrace, jejich oprávnění a bezpečnostní události v tenantovi. Neodstraňovat integrace naslepo bez identifikace dopadu.
Drupal opravil dvě kritické chyby umožňující vzdálené spuštění kódu
Bezpečnostní zpráva z 17. října upozornila na dvě kritické zranitelnosti systému Drupal. Podle zveřejněných informací mohou za určitých podmínek umožnit vzdálené spuštění kódu na webu. U CMS je takový typ chyby zvlášť závažný, protože kompromitace webové aplikace může vést k manipulaci s obsahem, úniku dat i ovládnutí aplikačního účtu serveru.
Oprava má smysl až po ověření konkrétní instalace, její podporované větve a oficiálního bezpečnostního oznámení. Administrátor musí zároveň rozlišit dostupnost záplaty od skutečného nasazení na produkční instanci a zohlednit vlastní moduly nebo zákaznické úpravy.
- Dopad: riziko vzdáleného spuštění škodlivého kódu.
- Pro koho: provozovatelé podporovaných verzí Drupalu.
- Doporučení: zkontrolovat oficiální bezpečnostní oznámení, zálohu a aplikovat opravenou verzi podle doporučeného postupu.
Kritická zranitelnost BlockStrap ohrožuje Magento a Adobe Commerce
Zpráva zveřejněná 16. října, důležitá i pro provoz 17. října, popisuje zranitelnost CVE-2026-103849 v komponentě BlockStrap pro Magento a Adobe Commerce. Výzkumníci upozornili, že chyba s nejvyšší závažností může útočníkovi umožnit spuštění libovolného PHP kódu na serveru e-shopu. Závažné webové chyby v prostředí e-commerce mají potenciální dopad nejen na dostupnost, ale i na objednávky a citlivá zákaznická data.
Zprávu nelze automaticky vztáhnout na každý Magento nebo Adobe Commerce obchod. Je nutné nejprve potvrdit, zda obchod používá postiženou komponentu a verzi, a poté postupovat podle doporučení jejího správce.
- Dopad: možné spuštění kódu na serveru a kompromitace obchodu.
- Pro koho: obchody s postiženou komponentou BlockStrap.
- Doporučení: prověřit inventář rozšíření a dostupnou bezpečnostní opravu.
AI a LLM
Britská vláda diskutuje o řízení bezpečnostních rizik AI
Britský Guardian 17. října popsal rostoucí obavy části vládních představitelů ze schopností pokročilých AI modelů a nedostatečné připravenosti na jejich zneužití. Diskuse se dotýká kybernetické bezpečnosti, zneužití autonomních systémů i úlohy národních a mezinárodních pravidel.
Pro podnikové nasazení je důležité oddělit obecné debaty o budoucích schopnostech AI od současných, prakticky ověřitelných rizik. Ta zahrnují rozsáhlé přístupy agentů, neopatrnou práci s tajnými údaji, automatizované akce bez potvrzení a nedostatečné auditní záznamy.
- Dopad: vyšší tlak na bezpečnostní řízení a dohled nad AI systémy.
- Pro koho: vývojáři agentních aplikací, správci firemních dat a provozovatelé AI služeb.
- Doporučení: omezit oprávnění podle úkolu, oddělit test a produkci a logovat všechny privilegované akce.
AI nástroje mění vývoj a kontrolu linuxového jádra
Zprávy z 16. října popisují využití AI při přípravě linuxového kernel patchů i změny pravidel pro označování příspěvků vytvořených s pomocí AI. Linus Torvalds podle těchto zpráv zveřejnil změnu vzniklou s podporou jazykového modelu, která v syntetickém testu ukázala výrazné zlepšení. Syntetický benchmark ale nelze vydávat za výkonový přínos ve všech produkčních scénářích.
Pro správce Linuxu je podstatné, že kvalita změny se posuzuje především podle správnosti, testů a nezávislé revize, nikoli podle toho, zda při tvorbě pomáhal model. Praktický postup při nasazení jádra proto zůstává stejný: podporovaná větev, záloha či vratný boot, test kompatibility modulů a sledování stability.
- Dopad: AI může zrychlovat vývoj, ale nenahrazuje validaci.
- Pro koho: vývojáři kernelu, administrátoři a provozovatelé Linux serverů.
- Doporučení: nevyvozovat produkční výkon ze syntetických benchmarků a testovat změnu na konkrétním workloadu.
Úřady varují před AI agenty s příliš širokými oprávněními
Indický bezpečnostní úřad CERT-In upozornil v říjnovém varování na rizika agentní AI, která získá větší oprávnění, než vyžaduje úkol. Odborné komentáře zveřejněné 16. října zdůraznily časově omezená oprávnění, silné ověřování a lidskou kontrolu. Jádrem problému není samotný model, ale kombinace rozhodovací autonomie s přístupem k účtům, datům a externím API.
Model s přístupem k produkčnímu shellu, cloudu nebo e-mailu je z provozního hlediska privilegovaná automatizace. Má proto podléhat obdobnému režimu jako jiné servisní účty: minimální práva, audit, možnost okamžitého vypnutí a jasná hranice mezi návrhem a provedením nevratné akce.
- Dopad: potenciální neautorizovaný přístup k datům nebo změny infrastruktury.
- Pro koho: podniky provozující autonomní agenty.
- Doporučení: oddělit čtecí a zapisovací přístupy, zavést expiraci tokenů a schvalování rizikových operací.
Linux a infrastruktura
Windows a Linux: změny, které mají sledovat správci
The Register v přehledu ze 16. října upozornil na možné síťové komplikace po říjnových aktualizacích Windows související se starším protokolem NTLM. U linuxového desktopu zároveň informoval o rozšiřování bezpečnostních nástrojů Microsoft Defender a o novinkách okolo příštích verzí Ubuntu. Dalším tématem bylo odložení PostgreSQL 19 při zvýšeném množství nalezených chyb.
Tyto události spojuje důležitý provozní princip: změny bezpečnostních výchozích nastavení a aktualizace závislostí mohou narušit starší integrace. Před aktualizací je vhodné znát autentizační tok aplikací, mít dokumentovaný návrat ke stabilnímu stavu a ověřit funkčnost služeb po restartu.
- Dopad: možná nekompatibilita starších autentizačních nebo aplikačních vazeb.
- Pro koho: správci sítí, Windows domén, Linux serverů a databází.
- Doporučení: inventarizovat závislosti, nasazovat po etapách a kontrolovat aplikační logy.
Tyto zprávy vám přináší Hardweb.cz zdarma. Jedná se o redakční přehled nejdůležitějších technologických témat a souvisejících dopadů pro IT praxi. Odebírat nás můžete také pomocí RSS: blog.hardweb.cz/feed.
