Kompromitace desetitisíců účtů na GitHubu v kampani wfx-loot
Desítky tisíc repozitářů na GitHubu se staly terčem kampaně s názvem „wfx-loot“, která využívá škodlivé workflows k odcizení tajných údajů služby GitHub Actions a přihlašovacích údajů do cloudu. Ačkoli ne všechny repozitáře škodlivý kód spustily, bylo potvrzeno, že se útočníkovi podařilo získat tajné údaje z nejméně 1 835 cílů.
Útočník využil tisíce napadených účtů na GitHubu k pull requestům u repozitářů, ke kterým měly tyto účty přístup, a testoval, zda mají dostatečná oprávnění k zápisu, aby do nich mohl vložit škodlivý kód. Některé z napadených účtů patřily organizacím ze seznamu Fortune 100, americké Správě všeobecných služeb (General Services Administration), francouzské vládě, společnostem Nextcloud a WebdriverIO.
Podle výzkumníků ze společnosti Aikido, zabývající se bezpečností aplikací, se zdá, že přibližně 50 z účtů má práva k publikování v jiných ekosystémech open-source softwaru a indexech balíčků, jako jsou npm, PyPI, Go, crates a Packagist.
Společnost Aikido uvádí, že kampaň „wfx-loot“ začala 10. listopadu kolem 12:45 UTC, kdy útočník využil ukradené přihlašovací údaje k GitHubu z 4 837 napadených účtů k prozkoumání 61 764 repozitářů s cílem získat přístup pro zápis. Útočník otevřel pull requesty s názvem „docs: dependency audit notes“, které byly zamaskovány jako poznámky k auditu závislostí. Podle zprávy společnosti Aikido zůstává 92 % těchto pull requestů otevřených, což naznačuje, že oprávnění vlastníci repozitářů si této aktivity nevšimli.
Následně útočníci nasadili shellový skript o délce 1 500 řádků určený ke krádeži přihlašovacích údajů, a to buď úpravou stávajícího workflow GitHub Actions, přidáním nového pracovního postupu do dočasné větve, nebo vložením háčku do příkazu npm install.
Skript se pokouší shromáždit následující data:
- GitHub Actions a proměnné, token GITHUB_TOKEN pracovního postupu, OIDC a runtime tokeny Actions.
- Přihlašovací údaje do cloudových služeb AWS, Azure a Google Cloud, včetně údajů odhalených prostřednictvím metadat instancí na vlastních runnerech.
- Přihlašovací údaje vývojářů a infrastruktury z Git, SSH, GPG, Docker, Kubernetes, npm, PyPI, Vault a Terraform.
- Přihlašovací údaje ke službám AI a vývojářským nástrojům pro OpenAI, Anthropic, Gemini, Hugging Face, Cursor a GitHub Copilot.
- Mezi další zdroje tajných údajů patří proměnné prostředí, soubory .env, soukromé klíče, úložiště klíčů, historie příkazového řádku, paměť procesů, soubory repozitářů a nedávné revize, stejně jako artefakty pracovních postupů.
V prostředí AWS se může propojit s dalšími rolemi IAM (správa identit a přístupů) přítomnými v úložišti, „aby vytvořil dlouhodobě platné přihlašovací údaje pro uživatele IAM“. Využívá také shromážděné přihlašovací údaje servisních účtů k napodobování identit v GCP. Aikido uvádí, že mezi jeho schopnosti patří zajištění trvalého přístupu prostřednictvím vytváření dlouhodobě platných přihlašovacích údajů nebo úpravy zásad cloudových identit a důvěryhodnosti tam, kde to oprávnění umožňují.
Skript zkomprimoval shromážděná data do archivů tar a exfiltruje je prostřednictvím HTTP POST requestu na jeden ze dvou koncových bodů ovládaných útočníkem. V závěrečné fázi vrátil útočník změny rychle do původního stavu a smazal z historie spuštění workflows i protokoly. Aikido uvádí, že to trvalo méně než minutu. Díky automatizovanému publikování se škodlivý kód dostal do balíčku digitalelvis/neuronai-studio 3.14.3 na Packagistu a do dvou verzí modulu Go github.com/onuragtas/docker-env, a to v1.0.278 a v1.0.280.
Výzkumníci se domnívají, že primárním cílem útočníka bylo odcizení tajných údajů o CI, zatímco vydání balíčků bylo vedlejším produktem automatizovaného publikování. Zjistili také určité překryvy s kampaní „2025 GhostAction“.
Majitelům repozitářů se doporučuje hledat větev „wfx-docs“, testovací pull request a mezery v číslech spuštěných pracovních postupů. V případě potvrzení spuštění škodlivého kódu by měla být všechna tajná data a cloudové role dostupné pro postižené pracovní postupy považovány za kompromitované a měly by být okamžitě obměněny.
Apple opravil chyby umožňující přístup k cizím konverzacím iMessage
Společnost Apple vydala bezpečnostní aktualizace, které opravují dvě zranitelnosti v aplikaci iMessage. První z nich, označená jako CVE-2026-113961, umožňovala vzdálenému útočníkovi připojit se do skupinové konverzace a přijímat její zprávy. Druhá zranitelnost, CVE-2026-113960, umožňovala uživateli přidanému do skupiny získat přístup také ke zprávám odeslaným ještě před jeho připojením. První chyba souvisela s nedostatečným ověřováním oprávnění, druhou Apple odstranil odebráním zranitelného kódu.
Opravy jsou součástí aktualizací iOS 27.2.1 a iPadOS 27.2.1 vydaných 9. listopadu 2026. Apple současně opravil další zranitelnosti v knihovně Brotli a komponentách Bluetooth a AirPlay. Některé z nich umožňovaly například navázat Bluetooth párování bez interakce uživatele nebo obejít omezení počtu pokusů o zadání párovacího kódu. Apple zatím nezveřejnil informace o případném zneužití chyb v iMessage v praxi.
Kritická zranitelnost v serveru Apache umožňuje vzdálené spuštění kódu
Vývojáři Apache opravili kritickou zranitelnost CVE-2026-119618 v modulu mod_http2, který zajišťuje podporu protokolu HTTP/2. Chyba získala hodnocení 9,8 bodu z 10 podle CVSS a umožňuje vzdálenému útočníkovi spustit vlastní kód na serveru bez nutnosti přihlášení. Chyba spočívá v nesprávném zacházení se sdílenou pamětí při současném zpracování požadavků. Útočník tak může narušit paměť serveru a za určitých podmínek získat kontrolu nad jeho procesem. Zranitelnost se týká verzí Apache HTTP Server 2.4.55 až 2.4.70, pokud mají povolenou podporu HTTP/2. Samostatné vydání modulu mod_h2 je zasaženo ve verzích 2.0.8 až 2.0.42.
Oprava je dostupná ve verzi Apache HTTP Server 2.4.71, která byla vydána 11. listopadu 2026. Správci serverů by měli co nejdříve aktualizovat na opravenou verzi. Pokud aktualizace zatím není možná, doporučuje se dočasně vypnout podporu HTTP/2 a ponechat pouze HTTP/1.1. Podle bezpečnostního týmu Red Hat již veřejný výzkum prokázal spolehlivý způsob zneužití této chyby proti serveru s výchozím nastavením. Společnost Wiz naopak uvedla, že zatím nejsou známy veřejně dostupný exploit ani případy aktivního zneužití v praxi.
Microsoft opravil 1094 chyb i aktivně zneužívanou zranitelnost v Outlooku
V rámci listopadové aktualizace Patch Tuesday společnost Microsoft opravila více než 1 000 zranitelností ve svých produktech, včetně chyby v Outlooku, kterou zneužívali útočníci.
Zranitelnost zero-day (CVE-2026-124194, skóre CVSS 6,5) je klasifikována jako zranitelnost umožňující podvržení dat a souvisí s tím, že Outlook neupozorňuje uživatele před provedením potenciálně nebezpečné akce.
V reportu společnosti nejsou žádné informace o zaznamenaných útocích. Aby útok fungoval, musí být podle informací Microsoftu oběť oklamána a sama otevřít škodlivý soubor. Neoprávněný útočník by mohl odeslat speciálně vytvořený soubor zprávy a přesvědčit uživatele k jeho otevření. Následně se Outlook připojí ke zdroji ovládanému útočníkem, a to bez obvyklého varování před externím obsahem, čímž dojde k vyzrazení NTLMv2 hashe uživatele. Ten lze zneužít k autentizaci jménem daného uživatele. Zranitelnost nelze aktivovat prostřednictvím panelu náhledu.
Informace o zranitelnosti byly zveřejněny až poté, co byla vydána oprava. Zranitelnost se týká produktů Microsoft 365 Apps for Enterprise, Office LTSC 2021 a Office LTSC 2024. Objevili ji výzkumník vystupující pod pseudonymem „nono“ a Benoît Sevens, který k tomu využil model umělé inteligence Claude od společnosti Anthropic.
Tento měsíc bylo nejvíce zranitelností opraveno ve Windows (726) a v Office (174). V SQL Serveru bylo opraveno 59 chyb, v SharePoint Serveru 27, v Azure 20 a v Exchange Serveru 9. Celkem letos Microsoft opravil více než 5 000 zranitelností. Šlo zároveň o poslední aktualizace pro firemní a vzdělávací verze Windows 11 23H2.
Zranitelnost Cisco BroadWorks umožňuje přístup k citlivým souborům
Společnost Cisco již 19. srpna 2026 zveřejnila zranitelnost CVE-2026-20320 (CVSS 7,5) v platformě Cisco BroadWorks, která umožňuje vzdálenému neautentizovanému útočníkovi prostřednictvím speciálně upraveného XML požadavku číst citlivé konfigurační soubory.
Zranitelnost se týká komponent BroadWorks Application Delivery Platform, Application Server, Profile Server a Xtended Services Platform ve verzích starších než RI.2026.07. V listopadu byly zaznamenány aktivní pokusy o její zneužívání, aktualizaci proto nedoporučujeme již dále odkládat.
Propojení zájemců o evropské financování kybernetické bezpečnosti
Národní koordinační centra (NKC) Česka, Slovenska a Rakouska uspořádala 22. října 2026 v Brně Cross-Border Cyber Funding & Matchmaking Day. Akce představila aktuální možnosti financování kybernetické bezpečnosti z programu Digitální Evropa a propojila organizace se zájmem o přeshraniční spolupráci.
Setkání se uskutečnilo v prostorách Clubco Brno Vlněna a zúčastnilo se jej 47 účastníků z Česka, Slovenska, Rakouska a Maďarska. Cílem akce bylo podpořit vznik partnerství a projektových konsorcií v rámci aktuálních témat výzvy Strengthening European Cybersecurity Technologies, Capacities and Preparedness (DIGITAL-ECCC-2027-DEPLOY-CYBER-11), která zahrnují využití umělé inteligence v kybernetické bezpečnosti, podporu malých a středních podniků, posilování připravenosti a ochrany kritické infrastruktury, rozvoj kapacit v souladu s legislativními požadavky i technologie dvojího užití.
NÚKIB popisuje postupy ruských státem sponzorovaných aktérů
Národní úřad pro kybernetickou a informační bezpečnost vydává novou analýzu zaměřenou na postupy ruských státem sponzorovaných aktérů v kyberprostoru. Ti při svých aktivitách nespoléhají pouze na technicky pokročilé nástroje, ale často využívají známé zranitelnosti, slabě zabezpečené účty a zařízení nebo nepozornost uživatelů. Analýza vedle popisu nejčastějších způsobů útoku přináší také doporučení, jak riziko úspěšné kompromitace snížit.
Mezi časté způsoby prvotního průniku patří phishing. Ten má nejčastěji podobu podvržených e-mailů, odkazů či přihlašovacích stránek, jejichž prostřednictvím se útočníci snaží získat přístupové údaje nebo přimět uživatele ke spuštění škodlivého obsahu.
Dalším způsobem je zneužívání zranitelností v běžně používaném softwaru a zařízeních dostupných z internetu. Jde například o e-mailové služby a klienty, VPN, firewally nebo routery. Útočníci přitom využívají nejen nově objevené zranitelnosti, ale také chyby, pro které jsou bezpečnostní aktualizace dostupné již delší dobu.
Rozsáhlý výpadek Microsoft 365 způsobil nedostatek dostupných serverů
Společnost Microsoft řešila 12. listopadu 2026 rozsáhlý výpadek služeb Microsoft 365, který zasáhl uživatele po celém světě a způsobil problémy s přístupem k Outlooku, Microsoft Teams, Exchange Online, SharePoint Online, Copilotu a Microsoft Defender XDR. Podle Microsoftu bylo příčinou neočekávané vyřazení části serverů z provozu, které vedlo k přetížení zbývající infrastruktury.
Společnost následně zjistila, že na postižených serverech docházelo k zahlcení klíčového procesu, což dále snižovalo dostupnou kapacitu. Microsoft pozastavil nasazování změn, přesměroval provoz a postupně obnovoval provoz postižených serverů. K večeru 12. listopadu hlásil částečné obnovení služeb, úplné vyřešení incidentu však zatím nepotvrdil. Přesná prvotní příčina nedostupnosti serverů nebyla v době přípravy článku objasněna.
Operace Endgame
Europol ve spolupráci s mezinárodními partnery oznámil 12. listopadu 2026 úspěšný zásah proti infrastruktuře malwaru Gootloader, CastleRAT a StealC v rámci operace Endgame. Bezpečnostní složky zabavily 235 serverů a zasáhly proti 257 doménám využívaným k šíření škodlivého softwaru, krádežím dat a ransomwarovým útokům.
Současně identifikovaly přibližně 6,4 milionu souborů dat obětí, včetně odcizených přihlašovacích údajů. Informace o postižených uživatelích budou předány prostřednictvím platforem jako Have I Been Pwned nebo Shadowserver Foundation. Europol vyzývá uživatele WordPressu ke změně přihlašovacích údajů, aktivaci vícefaktorového ověřování a instalaci bezpečnostních aktualizací.
Ve zkratce
- Výzkumníci upozornili na nový způsob napadení systému vzdálené správy, který může ohrozit i servery s nainstalovaným Hotfix 2
- Provozovatele serverů a virtualizační infrastruktury využívající Xen Orchestra nebo Xen Orchestra Appliance (XOA) ohrožují závažné zranitelnosti
- Prostřednictvím doplňku ScreenConnect se šířila škodlivá kampaň zneužívající vzdálený přístup
- Šest bezpečnostních zranitelností v systému Git
- Kritická zranitelnost v aplikaci Zoom Workplace umožňuje vzdálené zvýšení oprávnění bez přihlášení
- CVE-2026-126187 React RCE
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…
ČLÁNKY DO MAILU