Spyware přijde s reklamou
Společnost Citizen Lab zveřejnila 15. října 2026 zprávu nazvanou Exposing AdFection přinášející první veřejné potvrzení toho, že komerční spyware lze na zařízení doručit zcela bez interakce uživatele (tzv. zero-click) prostřednictvím cílené online reklamy. V centru pozornosti stojí izraelská firma Discover-Tech. Ta se navenek prezentuje jako běžná adtech společnost, její platforma jménem Controlium však zákazníkům umožňuje cílit na konkrétní osoby na základě reklamního ID, cookies nebo IP adres.
Samotná reklama škodlivý kód přímo v sobě normálně nenese – po svém zobrazení odešle požadavek na server Discover-Tech, který na základě IP adresy a reklamních identifikátorů vyhodnotí, zda jde o „způsobilý“ cíl. Pokud ano, vrátí JavaScript, jenž spustí samotnou infekci. Pro běžné zprostředkovatele reklamy je extrémně obtížné cokoliv odhalit, protože přes jejich infrastrukturu nic podezřelého neprochází. Výzkumníci celý tento řetězec s vysokou mírou jistoty spojují se spywarem Candiru (známým také jako Integrity Labs). Jeho cílem bylo nejméně 45 zařízení zaměstnanců televize Al Džazíra v letech 2024 a 2025.
Měřítko celé operace je alarmující. Citizen Lab analyzoval přibližně čtyři miliardy záznamů z reklamních aukcí (tzv. real-time bidding neboli RTB) za období od března do června 2026. Discover-Tech v nich přihazoval na zhruba 3,77 miliardy zobrazení a vyhrál přes 440 milionů z nich. Reklamy se skripty útočníka se objevily v 75 tisících aplikacích a na 120 tisících webech. Zobrazení od Discover-Tech byla zaznamenána také ve vládních sítích více než 20 zemí (včetně Česka), v sítích NATO, OSN či institucí EU. To sice automaticky neznamená proběhlou infekci, ale jasně to ilustruje dosah infrastruktury. Zpráva navíc upozorňuje na aktéra s označením DARK CARTOGRAPHER, který zneužívá slabin mobilních operátorů k propojování reklamních ID s telefonními čísly.
Po zveřejnění zprávy reagovala řada hráčů: Google, IAB Europe, Beeswax a Eskimi firmu odpojily, Vungle (Liftoff) její přístup pozastavil.
AdFection ukazuje, že blokátory reklamy se z nástroje pro uživatelské pohodlí mění v kritické bezpečnostní opatření. Ve firmách a institucích pracujících s citlivými informacemi má zásadní smysl nasadit blokování reklamy centrálně – například na úrovni DNS.
Microsoft najednou opravil více chyb než za celý loňský rok
Říjnový Patch Tuesday přinesl podle serveru SecurityWeek rekordních 1 413 opravených CVE, z čehož se 1 102 chyb týká Windows, 134 Office, 61 vývojářských nástrojů a 36 SharePoint Serveru. Jiné zdroje, jako například Tenable, uvádějí mírně odlišných 1 407 položek, na podstatě to však nic nemění. Microsoft za jediný měsíc opravil víc zranitelností než za celý rok 2025 a celkový počet opravených chyb v roce 2026 už překročil hranici čtyř tisíc, což je připisováno především masivnímu nasazení umělé inteligence při vyhledávání chyb jak ze strany výrobců, tak výzkumníků.
Nejdůležitější je tentokrát aktivně zneužívaná chyba CVE-2026–96951 se skóre CVSS 8,8 ve Windows Shellu. Tato zranitelnost umožňuje obejít mechanismus Mark of the Web, takže stažený soubor se po spuštění otevírá bez varování SmartScreenu nebo chráněného zobrazení v Office. Útočník musí oběť klasicky přimět k akci, například otevřením přílohy v e-mailu nebo kliknutím na odkaz v chatu. Chybu nahlásily týmy z Fujitsu a Anthropicu a jeden nezávislý výzkumník, načež ji americká CISA obratem zařadila do katalogu zneužívaných zranitelností KEV.
Kromě toho byly před vydáním opravy veřejně publikovány dvě další chyby, konkrétně obejití vynucování Windows Defender Application Control pod označením CVE-2026–108398 a DoS chyba v komponentě MessagePack-CSharp využívané ve Visual Studiu a .NET, která nese označení CVE-2026–92707. Vzhledem k obrovskému počtu CVE zavádí Microsoft takzvané risk cohorts, což jsou shluky zranitelností vyžadující podobný typ posouzení, aby administrátoři mohli lépe prioritizovat nasazení záplat, byť každou zranitelnost je stále nutné posoudit v kontextu vlastního prostředí.
Říjnové vydání záplat přineslo také významné mezníky v podpoře produktů. Skončil poslední rok placené podpory ESU pro Windows Server 2012 a 2012 R2, konec je také pro podporu Windows 10 Enterprise 2016 LTSB (a IoT Enterprise LTSB 2016) a mainstreamovou podporu pro Windows Server 2022, který nyní přechází do fáze rozšířené podpory do roku 2031. Z podporovaných verzí pak v rámci tohoto data končí podpora Office 2021 a Office LTSC 2021 (bez možnosti ESU).
Ivanti: root na plně aktualizované VPN
Společnost Volexity popsala závažný řetězec tří zero-day zranitelností v produktech Ivanti Connect Secure, který útočník vystupující pod označením UTA0576 zneužíval nejméně od počátku října. Kompromitovat se přitom podařilo i zařízení s tehdy plně aktualizovanou verzí 22.8R2.4. Útok začíná obcházením autentizace v souboru welcome.cgi pomocí zmanipulované hlavičky, pokračuje zápisem souborů přes wu.cgi a končí eskalací práv na root. Využil skutečnosti, že interní broker dsinvoked nekriticky důvěřuje konfiguračním datům v DSCache, a dokázal tak na zařízení spouštět libovolné příkazy s nejvyššími oprávněními. Volexity s nízkou mírou jistoty odhaduje, že jde spíše o kriminální než o špionážní motivaci. Po průniku se útočníci pokoušeli získat uložené přihlašovací údaje, metadata z Active Directory, hesla lokálních správců (LAPS) i klíče pro obnovu BitLockeru. Kromě toho odchytávali LDAP provoz. Jak úspěšní byli, zatím není jasné.
Situace má však dva velmi nepříjemné háčky. V první fázi vydané záplaty řeší pouze obcházení autentizace a vzdálené spuštění kódu, zatímco oprava samotné eskalace práv na svou implementaci teprve čeká. Druhým problémem je extrémní čistota útočníků. Veškeré stopy po sobě pečlivě zahlazovali: modifikovali systémové logy, dočasné artefakty mazali, knihovny patchovali výhradně v operační paměti a konfiguraci vraceli do původního stavu. Tradiční nástroj Ivanti Integrity Checker Tool tak na zařízeních nic podezřelého neodhalil a bez hloubkové forenzní analýzy se správci neobejdou.
Reakce na sebe nenechaly dlouho čekat a americká CISA zařadila zranitelnost vedenou pod označením CVE-2026–104935 do katalogu KEV, přičemž federálním úřadům nařídila provést nápravu a forenzní triáž. Kdokoliv provozuje Connect Secure na perimetru, by měl danou věc brát s maximální vážností a projít indikátory kompromitace zveřejněné Volexity, bez ohledu na to, zda má systém zdánlivě aktuální, nebo ne. Zařízení od Ivanti se v našich bezpečnostních přehledech objevují tak pravidelně, že by si už pomalu zasloužila vlastní samostatnou rubriku.
Exploit Chromu za čtvrt milionu, s pomocí AI za šest dní
Bezpečnostní firma XBOW 13. října 2026 oznámila, že od Googlu obdržela prémii 250 tisíc dolarů za kompletní řetězec exploitů cílící na webový prohlížeč Chrome běžící na operačním systému Windows. Celý řetězec začíná spuštěním JavaScriptu v běžné záložce prohlížeče a končí úspěšným provedením kódu zcela mimo bezpečnostní sandbox rendereru. Úspěšný útok přitom stál na propojení tří dříve neznámých zranitelností, mezi nimiž figuruje chyba v kompilátoru Maglev v enginu V8 poskytující přístup do paměti v rámci tzv. pointer-compression cage, chyba v dekodéru animovaných souborů WebP umožňující zápis mimo tuto oblast a kritická slabina v komponentě Crashpad, která tento zápis proměnila ve spuštění kódu mimo sandbox.
Zásadní pozornost však budí především samotný proces vzniku celého exploitu, na němž se velkou měrou podílela umělá inteligence. Lidští výzkumníci úkolovali agenty s modelem GPT-5.6 Sol od společnosti OpenAI, kteří prohledávali zdrojový kód, ověřovali technické hypotézy, psali návrhy proof-of-concept kódů a vyvíjeli jednotlivé fáze samotného útoku. Výzkumníci si ponechali roli architektů – vybírali cíle, dodávali nezbytný kontext, kontrolovali výstupy a rozhodovali o tom, jak jednotlivé komponenty propojit. Celá tato práce trvala pouhých šest dní od 2. do 7. srpna a náklady na spotřebované API tokeny dosáhly zhruba 40 tisíc dolarů.
Pro případné pochybovače autoři hned na úvod otevírají karty a přiznávají, že v žádném případě nešlo o plně autonomní systém, kterému by stačilo zadat příkaz „hackni Chrome“ a počkat na výsledek. Jde nicméně o další a velmi silný důkaz trendu, o němž se mluví v souvislosti s letošním rekordním návalem záplat – hledání a vývoj zranitelností se díky nasazení AI dramaticky zrychluje a zlevňuje. Zmíněné tři chyby byly opraveny nejpozději s příchodem Chromu verze 152 na přelomu srpna a září a podle vyjádření XBOW nebyly zneužity v reálných útocích proti koncovým uživatelům.
Ransomware míří přímo na lidi, nejen na data
Firma Semperis vydala zprávu o ransomwaru, pro kterou oslovila 1 200 organizací zasažených útokem v první polovině roku. Podle serveru The Register se v 37 % útoků objevily fyzické a psychické výhrůžky zaměstnancům, nezřídka i jejich rodinám. Vyděrači tak už nespoléhají jen na zašifrovaná a ukradená data, ale berou to osobně.
Čísla jsou nepříjemná a ukazují na drsný posun v taktice útočníků. Doxxing, tedy zveřejnění soukromých údajů, zažila čtvrtina dotázaných organizací a 23 % se setkalo se swattingem, kdy útočník nahlásí smyšlený incident, aby k oběti vyjela ozbrojená policejní jednotka. Čtvrtina zasažených musela vyhledat psychologickou nebo lékařskou pomoc a 24 % firem rovnou najalo osobní ochranku. Mezi výhrůžkami nahlášenými zaměstnanci převažovaly zprávy, dopisy nebo balíčky v 57 % případů, následovaly výhrůžky rodině či přátelům ve 37 %, fyzický průnik v 19 % a dokonce i únos v 17 %. Podle více než poloviny respondentů útočníci své hrozby v uplynulém roce opravdu splnili.
Své o tom ví Tim Beasley, dnes konzultant pro reakci na incidenty ve společnosti Semperis, dříve vedoucí vyšetřování v týmu Microsoft DART (Detection and Response Team), kterému během vyšetřování útoků ruské skupiny Midnight Blizzard přišel domů balíček s matrjoškami a regionálními dárky – dle Beasleyho vzkaz od těchto hackerů a typická ukázka zastrašování ve stylu „víme, kde bydlíte“. Útočníci neváhají posílat ředitelům firem fotky škol jejich dětí nebo využívat násilí jako službu, což je trend spojený s divočejšími online komunitami, jako je The Com, nebo známými vyděračskými skupinami typu Scattered Spider, ShinyHunters a Lapsus$.
Důsledek pro obranu je jednoznačný. Incident response plán, který dosud řešil jen zálohy a izolaci sítě, už dávno nestačí. Firmy musí počítat s ochranou lidí, nastavit jasné procesy pro komunikaci s policií a radikálně minimalizovat množství soukromých údajů klíčových zaměstnanců na internetu. Pozornost si zaslouží i fakt, že 69 % organizací bylo za poslední rok napadeno opakovaně a 31 % zaplatilo výkupné víc než jednou. Beasley radí jednoznačně: neplatit, nepodléhat nátlaku a co nejdříve zapojit policii.
Anthropic: malé modely AI jako budoucí červi pro IoT
Frontier Red Team společnosti Anthropic 12. října 2026 zveřejnil výsledky experimentů zkoumajících, zda se malý model umělé inteligence dokáže sám šířit po levných zařízeních internetu věcí (IoT). Koncept se opírá o myšlenku replikátoru, který si na napadeném hardwaru spustí vlastní váhy a odtud pokračuje v další infekci. Model Qwen3.5–9B v testech úspěšně zprovoznil inferenční server na osmi z devíti typů testovaného hardwaru, od desek Jetson Nano až po osobní počítače Mac. Větší model Gemma4–26B-A4B zase běžel rozložený na patnácti levných TV boxech s Androidem, byť s pomalou rychlostí kolem 0,3 tokenu za sekundu. V uzavřeném testu na osmi virtuálních strojích se záměrně triviální zranitelností se spolehlivě end-to-end šířil pouze model GLM-5.2, zatímco menší varianty selhávaly.
Autoři výzkumu zdůrazňují, že plnohodnotný autonomní replikátor v současnosti ještě neexistuje. Podle trendu vývoje schopností malých modelů však odhadují, že úroveň schopností modelu GLM-5.2 by menší modely mohly dosáhnout už do konce roku 2026. Takový „chytrý Mirai“ by se sice šířil pomalu a zdvojnásobení počtu nakažených zařízení by trvalo dny, avšak postrádal by jakýkoliv centrální bod, který by šlo jednoduše vypnout. Botnet velikosti Kimwolfu čítající zhruba dva miliony zařízení, by podle provedených výpočtů dokázal utáhnout zhruba 133 tisíc replik takového modelu.
Doporučení pro obránce se v mnoha ohledech opírají o osvědčené postupy: síťoví operátoři by měli v datech o tocích hlídat neobvyklé přenosy několikagigabajtových souborů a podezřelý provoz mezi koncovými zařízeními, nutné je nasazovat honeypoty, izolovat a aktivně upozorňovat infikované zákazníky a od výrobců hardware vyžadovat bezpečné výchozí nastavení. V případě původního botnetu Mirai se díky karanténě infikovaných zákazníků spojené s jejich upozorněním podařilo během čtrnácti dní vyčistit 92 % infekcí, zatímco bez varování to bylo pouhých 74 %.
NÚKIB: září opět nadprůměrné
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 15. října 2026 zveřejnil pravidelný přehled incidentů za uplynulý měsíc. Úřad v září evidoval celkem 26 kybernetických incidentů, což představuje třetí nejvyšší hodnotu za poslední rok. Drží se tak dlouhodobý trend letošního roku, kdy největší část tvořily průniky s více než polovičním podílem na celkovém počtu.
Nejčastějšími terči útočníků byly v září subjekty ve vzdělávacím sektoru a ve veřejné správě. Kompromitovány byly jednotlivé uživatelské účty, webové portály i servery e-mailových a cloudových služeb. V několika případech se útočníkům podařilo proniknout do interních sítí přes neautorizované přístupy k VPN. Kromě toho k incidentům vedl také úspěšný phishing nebo zneužití existujících zranitelností. DDoS útoky úřad v září nezaznamenal, evidoval však jeden případ výpadku způsobený chybnou konfigurací.
Z celkového počtu 26 incidentů bylo 25 klasifikováno jako méně významných a jeden incident úřad vyhodnotil jako významný. Ve světle nedávných zpráv o zneužívání zero-day zranitelností v zařízeních typu Ivanti Connect Secure tak i statistiky NÚKIB připomínají, že VPN zůstává pro útočníky pohodlným vstupním bodem do firemních a institucionálních sítí.
Ve zkratce
- Útočníkům se pomocí kradených přihlašovacích údajů zaměstnance podařilo dostat do repozitářů firmy Meta na GitHubu a odnést zdrojové kódy i osobní údaje zhruba 1 500 lidí, převážně zaměstnanců.
- Bezpečnostní incident u společnosti BAE Systems ochromil fungování a rozesílání oznámení amerických konkurzních soudů.
- Americké úřady provedly v Texasu zásah proti takzvaným farmám notebooků, které sloužily severokorejským IT pracovníkům k obcházení sankcí.
- Zaměstnanec OpenAI byl obviněn z instalace tajného audio odposlechu přímo v zasedačce vedení firmy.
- Skupina hackerů napojená na Kazachstán zaútočila na ruskou rafinerii a prováděla špionáž na městském úřadě.
- Rozsáhlý únik dat u výrobce kardiomonitorů iRhythm zasáhl celkem 8,1 milionu lidí.
- Nový androidí trojan Hirudo útočí tak, že originální bankovní aplikace nahrazuje vlastními škodlivými klony.
- Kanadský návrh zákona C-22 ohrožuje end-to-end šifrování a komunikační služba Signal a někteří poskytovatelé VPN kvůli němu hrozí odchodem z trhu.
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…
ČLÁNKY DO MAILU