Bezpečnost IT

Nejčastější problémy, které řešíme u zákazníků

Za posledních 9 měsíců jsme u zákazníků řešili celou řadu bezpečnostních incidentů — část odhalil náš monitorovací systém Wazuh, část nahlásili zákazníci sami. Jedno mají společné: ve všech případech šlo o věci, na které se běžně zapomíná.

kategorií problémů

9 měs.

sledované období

Přehled vychází z incidentů, které jsme za posledních 9 měsíců řešili u různých zákazníků. Některé odhalil náš monitoring (Wazuh), jiné přišly jako podnět od zákazníka. Záměrně uvádíme i kontext toho, proč k problému došlo — protože stejné chyby se opakují.

997×

hlášení

Infikované Android TV boxy CRITICAL

Vůbec nejčastěji řešený problém za uplynulých 9 měsíců. Levné Android TV boxy z dovozu (AliExpress, supermarkety) mají v továrním firmware předinstalovaný malware rodin BadBox2 a Vo1d. Po zapnutí se zařízení automaticky přihlásí k řídicím serverům útočníků.

Riziko: Zařízení fungují jako součást botnetu — přeposílají provoz útočníků (proxy), podílejí se na reklamních podvodech nebo těží kryptoměny. Veškerý škodlivý provoz přitom jde přes přípojku zákazníka.

Na co se zapomíná: Zákazníci vůbec nepředpokládají, že krabička z obchodu může být nakažená ještě před prvním zapnutím. Spotřeba dat ani výkon zařízení to přitom nenaznačují.

23×

hlášení

Otevřené SNMP z internetu HIGH

Síťová zařízení (routery, switche, tiskárny) s protokolem SNMP v1/v2c přístupným přímo z internetu. Community string bývá výchozí (public).

Riziko: Útočník získá kompletní mapu sítě, seznam zařízení a přenosové statistiky. SNMP se také zneužívá jako amplifier při DDoS — objem odpovědi je až 650× větší než odeslaný dotaz.

Na co se zapomíná: Firmy zapomenou zakázat SNMP přes internet, protože ho potřebují pro monitoring v LAN. Stačí omezit přístup na konkrétní IP adresy nebo přejít na SNMPv3.

18×

hlášení

Zranitelné webové aplikace CRITICAL

Webové aplikace dostupné z internetu se zastaralou verzí se známou zranitelností. Nejčastěji zachyceno: helpdesk GLPI (CVE-2025-24801) a Microsoft Exchange Server.

Riziko: Útočník může bez přihlášení spustit libovolný kód na serveru, exfiltrovat data nebo nasadit ransomware. Exploity jsou veřejně dostupné.

Na co se zapomíná: Zákazníci nechávají aplikace roky bez aktualizací, protože "to funguje". Každá veřejně dostupná verze přitom okamžitě po zveřejnění CVE začne být automatizovaně skenována.

16×

hlášení

Sdílené složky SMB z internetu HIGH

Protokol SMB (port 445) přístupný přímo z internetu — sdílené síťové složky Windows bez firewallu.

Riziko: SMB je primární cíl ransomware. Útočník prohledá obsah složek, zašifruje data nebo zneužije zranitelnosti (EternalBlue). Jeden nakažený počítač stačí k šíření celou sítí.

Na co se zapomíná: Zákazníci nevědí, že mají SMB dostupné z internetu. Nastavili sdílení pro LAN a port zůstal otevřený omylem nebo kvůli vzdálenému přístupu.

14×

hlášení

Průmyslové řídicí systémy (ICS/SCADA) CRITICAL

Průmyslové řídicí systémy a SCADA rozhraní přístupná přímo z internetu bez autentizace nebo se slabými přihlašovacími údaji.

Riziko: Přímý přístup k průmyslovým systémům umožňuje fyzické poškození zařízení, výrobní výpadky nebo bezpečnostní havárie. Tato zařízení nemají mechanismy detekce průniku.

Na co se zapomíná: Správci zpřístupní systém pro dálkovou správu bez VPN "dočasně" a pak na to zapomenou. Průmyslová zařízení navíc nemají pravidelné aktualizace firmware.

11×

hlášení

Vzdálená plocha VNC bez ochrany HIGH

Protokol VNC (port 5900) dostupný z internetu bez dostatečného zabezpečení — slabé heslo, žádné heslo nebo starý protokol RFB 3.3.

Riziko: Přímý přístup na obrazovku a klávesnici počítače. Útočník může sledovat práci, ovládat počítač a nasadit malware. Brute-force útoky jsou plně automatizované.

Na co se zapomíná: VNC bývá povoleno pro vzdálenou pomoc a zůstane otevřené. Uživatelé věří, že heslo ochrání — přitom RFB 3.3 přenáší hash hesla, který lze prolomit offline.

19×

hlášení

Bumblebee malware (loader ransomware) HIGH

Bumblebee je sofistikovaný loader malware sloužící jako vstupní brána pro ransomware skupiny (Conti, Black Basta). Šíří se phishingovými e-maily s ISO/ZIP přílohami nebo falešnými stránkami.

Riziko: Po infekci Bumblebee stáhne a spustí payload (Cobalt Strike, ransomware). Průměrná doba od infekce po nasazení ransomware je 5–10 dní. Záchrana dat bez zálohy je prakticky nemožná.

Na co se zapomíná: Uživatelé spouštějí přílohy z neověřených zdrojů — falešné aktualizace Adobe, Teams nebo Zoom. Bumblebee obchází základní antivirová řešení.

8×

hlášení

IP kamery a DVR rekordéry MEDIUM

Kamerové systémy a DVR rekordéry přístupné z internetu s výchozím heslem nebo zastaralým firmware obsahujícím zranitelnosti.

Riziko: Útočník sleduje záznamy, deaktivuje záznam nebo zařízení zapojí do botnetu (Mirai). Kamerový systém bývá na stejné síti jako firemní počítače.

Na co se zapomíná: Instalatéři nastaví přeposílání portů pro vzdálený přístup zákazníka a výchozí heslo se nezmění. Firmware se poté nikdy neaktualizuje.

3×

hlášení

RDP přímo z internetu CRITICAL

RDP (Remote Desktop Protocol, port 3389) dostupný přímo z internetu bez VPN — vzdálená plocha Windows volně přístupná ze světa.

Riziko: RDP je nejčastější vstupní bod ransomware. Útočníci nakupují přihlašovací údaje na dark webu nebo provádějí brute-force. Po přihlášení mají plný přístup k počítači i celé síti.

Na co se zapomíná: Zákazníci zpřístupní RDP pro práci z domova bez VPN — "je to rychlejší a jednodušší". Kompromitace pak nebývá odhalena týdny.

9+
CVE

Routery TP-Link / Mercusys s managementem z WAN HIGH

Routery TP-Link a Mercusys (sdílená vývojová základna) obsahují sérii zranitelností umožňujících vzdálený přístup k admin rozhraní, eskalaci oprávnění nebo extrakci hesel — zejména pokud je povolen management z internetu. Konkrétní CVE jsou evidovány v přehledu níže.

Riziko: Kombinace CVE-2026-36608 (UPnP vystaví admin na internet), CVE-2026-36607 (neomezený brute-force hesla) a CVE-2026-36609 (statický nonce → odhalení hesla) umožňuje útočníkovi postupně získat plnou kontrolu nad routerem a celou sítí za ním. Záloha konfigurace navíc obsahuje všechna hesla v dešifrovatelné formě (CVE-2026-36606).

Na co se zapomíná: Management z internetu je běžně aktivován instalatéry pro usnadnění vzdálené správy a zákazníkem nikdy nevypnut. Firmware nebývá aktualizován roky — přitom exploity pro tyto routery jsou veřejně dostupné.

Přehled vychází z incidentů řešených u zákazníků v období říjen 2025 – červen 2026. Detekce probíhala prostřednictvím monitorovacího systému Wazuh nebo na základě podnětu zákazníka.

CVE přehled

Automaticky aktualizovaný přehled zranitelností pro zařízení a systémy v typické firemní infrastruktuře.

Naposledy aktualizováno: 28. 6. 2026

Vše (26) Fortinet (5) MikroTik (3) Microsoft (4) Debian / Ubuntu (3) Proxmox (2) TP-Link (3) Mercusys (6)

CRITICAL (10) HIGH (14) MEDIUM (2)

9.8

CRITICAL

CVE-2023-27997 · Fortinet

FortiOS SSL-VPN — Heap Buffer Overflow (RCE bez přihlášení)

Zranitelnost přetečení haldy v SSL-VPN modulu umožňuje vzdálenému útočníkovi bez přihlášení spustit libovolný kód na zařízení. Aktivně zneužívána při cílených útocích na vládní a průmyslové sítě ještě před vydáním záplaty (zero-day). Doporučeno okamžité vypnutí SSL-VPN nebo aktualizace firmware.

FortiOS SSL-VPN FortiOS 6.0.x, 6.2.x, 6.4.0–6.4.12, 7.0.0–7.0.9, 7.2.0–7.2.3 12. 6. 2023 Záplata

9.8

CRITICAL

CVE-2024-21413 · Microsoft

Microsoft Outlook — RCE přes MonikerLink (0-klik)

Kritická zranitelnost v Outlooku umožňuje útočníkovi spustit kód na zařízení oběti bez jakékoli interakce uživatele (0-click) pouhým odesláním speciálně sestaveného e-mailu. Zranitelnost obchází Protected View a může vést k zachycení NTLM hash pro pass-the-hash útoky. Přezdívka: Moniker Link.

Microsoft Outlook Microsoft Office 2016, 2019, 2021, Microsoft 365 (desktop klient) 13. 2. 2024 Záplata

9.8

CRITICAL

CVE-2024-38063 · Microsoft

Windows TCP/IP — RCE přes IPv6 pakety bez interakce uživatele

Zranitelnost integer underflow v TCP/IP stacku Windows umožňuje vzdálenému útočníkovi spustit libovolný kód pouhým odesláním speciálně sestavených IPv6 paketů — bez jakékoli interakce uživatele a bez přihlášení. Dotýká se všech Windows s aktivním IPv6 (výchozí stav). Doporučení: okamžitá záplata nebo dočasné vypnutí IPv6.

Windows TCP/IP Stack Windows 10, Windows 11, Windows Server 2008–2025 (všechny s IPv6) 13. 8. 2024 Záplata

9.8

CRITICAL

CVE-2025-1974 · Debian / Ubuntu

ingress-nginx — RCE bez autentizace v Kubernetes (IngressNightmare)

Skupina zranitelností IngressNightmare umožňuje útočníkovi s přístupem k síti Kubernetes podů spustit libovolný kód v kontextu ingress-nginx kontroléru. Ten má přístup ke všem secrets v celém clusteru — tedy ke všem certifikátům, API klíčům a heslům uloženým v Kubernetes. Postiženo odhadem 43 % Kubernetes clusterů připojených k internetu.

ingress-nginx pro Kubernetes ingress-nginx < 1.11.3 nebo < 1.12.1 24. 3. 2025 Záplata

9.6

CRITICAL

CVE-2024-55591 · Fortinet

FortiOS — Authentication Bypass (RCE bez přihlášení)

Zranitelnost umožňuje vzdálenému útočníkovi získat oprávnění super-administrátora přes speciálně sestavené požadavky na Node.js websocket modul — bez nutnosti přihlášení. Skupina Belsen Group tuto zranitelnost aktivně zneužila a v lednu 2025 zveřejnila konfigurační data více než 15 000 zařízení FortiGate včetně VPN přihlašovacích údajů.

FortiOS / FortiProxy FortiOS 7.0.0–7.0.16, 7.2.0–7.2.12 / FortiProxy 7.0.x, 7.2.x 14. 1. 2025 Záplata

9.6

CRITICAL

CVE-2024-21762 · Fortinet

FortiOS SSL-VPN — Out-of-Bound Write (RCE, aktivně zneužíváno)

Zranitelnost zápisu mimo vyhrazenou paměť v SSL-VPN webovém rozhraní umožňuje neautentizovanému útočníkovi vzdáleně spustit kód nebo příkazy přes speciálně sestavené HTTP požadavky. CISA potvrdila aktivní zneužívání v reálných útocích a vydala nouzové bezpečnostní nařízení pro federální agentury.

FortiOS SSL-VPN FortiOS 6.0–6.4 (všechny), 7.0.0–7.0.13, 7.2.0–7.2.6, 7.4.0–7.4.2 8. 2. 2024 Záplata

9.3

CRITICAL

CVE-2024-48887 · Fortinet

FortiSwitch — Změna admin hesla bez přihlášení přes GUI

Chybějící ověření v GUI FortiSwitch umožňuje vzdálenému útočníkovi bez jakéhokoli přihlášení změnit heslo administrátorského účtu přes speciálně sestavený HTTP požadavek. Útočník tak získá plný přístup k přepínači a celé síťové infrastruktuře.

FortiSwitch Web GUI FortiSwitch 6.4.0–6.4.14, 7.0.0–7.0.10, 7.2.0–7.2.8, 7.4.0–7.4.4 8. 4. 2025 Záplata

9.1

CRITICAL

CVE-2023-30799 · MikroTik

MikroTik RouterOS — Privilege Escalation na root

Útočník s existujícím přístupem k RouterOS (i jako neprivilegovaný uživatel) může eskalovat oprávnění na root přes Winbox nebo HTTP rozhraní. Root přístup umožňuje plnou kompromitaci zařízení, zachycení veškerého síťového provozu a trvalé backdoory. Byla zneužita v kampani Meris botnet.

RouterOS Winbox / HTTP RouterOS 6.x < 6.49.8, 7.x < 7.10.2 25. 7. 2023 Záplata

CRITICAL

CVE-2024-3596 · MikroTik

MikroTik RouterOS — Blast-RADIUS (MITM autentizace RADIUS)

Zranitelnost v implementaci RADIUS protokolu (RFC 2865) umožňuje útočníkovi s pozicí man-in-the-middle podvrhnout autentizaci a získat neoprávněný přístup k zařízení. Dotýká se všech zařízení využívajících RADIUS pro správu přístupu (Wi-Fi hotspoty, VPN, správa zařízení). Zranitelnost je v samotném protokolu, ne jen v RouterOS.

RouterOS — RADIUS protokol RouterOS — všechny verze s aktivním RADIUS klientem 9. 7. 2024 Záplata

CRITICAL

CVE-2024-32002 · Debian / Ubuntu

Git — RCE při klonování repozitáře s podmoduly

Kritická zranitelnost v Gitu umožňuje útočníkovi spustit libovolný kód na systému oběti pouhým klonováním speciálně sestaveného repozitáře s podmoduly. Na systémech se souborovým systémem bez rozlišení velikosti písmen (macOS, Windows, ale i některé linuxové konfigurace) dochází k přepsání hooků v `.git/` adresáři.

Git — rekurzivní klon Git < 2.45.1, < 2.44.1, < 2.43.4, < 2.42.2 (všechny platformy) 14. 5. 2024 Záplata

8.8

HIGH

CVE-2024-5035 · TP-Link

TP-Link Archer C4500X — Neautorizované RCE s vyšším oprávněním

Injekce příkazů v síťové službě rftest (porty 8888–8890) nevyžaduje přihlášení a umožňuje vzdálenému útočníkovi spustit libovolné příkazy s vyššími oprávněními. Zranitelnost není podmíněna povolením webového managementu — služba naslouchá samostatně.

TP-Link Archer C4500X Archer C4500X firmware ≤ 1_1.1.6 27. 5. 2024 Záplata

8.8

HIGH

CVE-2026-36608 · Mercusys

Mercusys AC12G — UPnP vystaví admin rozhraní na internet

UPnP funkce routeru umožňuje přesměrovat port webové administrace na veřejnou IP adresu — admin rozhraní se tak stane dostupným z internetu bez vědomí uživatele. Útočník v LAN (nebo malware na počítači) může toto zneužít k trvalému vzdálenému přístupu do routeru.

Mercusys AC12G (EU) V1 AC12G(EU) V1 firmware AC12G(EU)_V1_200909 3. 6. 2026 Záplata

8.8

HIGH

CVE-2026-36607 · Mercusys

Mercusys AC12G — Neomezený brute-force hesla přes TDDP

Endpoint pro změnu hesla (TDDP protokol) nemá žádné omezení počtu pokusů. Útočník může bez limitu zkoušet hesla a prolomit administrátorský přístup hrubou silou. Zranitelnost je zneužitelná ze sítě bez předchozí autentizace.

Mercusys AC12G (EU) V1 AC12G(EU) V1 firmware AC12G(EU)_V1_200909 3. 6. 2026 Záplata

8.6

HIGH

CVE-2024-21626 · Proxmox

Proxmox / Docker — Container Escape z runc (Leaky Vessels)

Zranitelnost v runc (container runtime) umožňuje útočníkovi s přístupem ke kontejneru uniknout na hostitelský systém a získat plný root přístup k Proxmox hostiteli nebo Docker serveru. Proxmox VE používá runc pro LXC kontejnery. Postiženy jsou i všechny Docker a Kubernetes instalace.

Proxmox VE — runc (Leaky Vessels) runc < 1.1.12 — Proxmox VE 7.x, 8.x, Docker, Kubernetes 31. 1. 2024 Záplata

8.1

HIGH

CVE-2025-24472 · Fortinet

FortiOS — CSF Proxy Authentication Bypass

Útočník může obejít autentizaci prostřednictvím falešného CSF (Security Fabric) proxy požadavku a získat super-admin oprávnění. Zranitelnost byla zveřejněna souběžně s CVE-2024-55591 jako součást stejné bezpečnostní opravy.

FortiOS / FortiProxy FortiOS 7.0.0–7.0.16, 7.2.0–7.2.12 / FortiProxy 7.0.x, 7.2.x 11. 2. 2025 Záplata

8.1

HIGH

CVE-2024-6387 · Debian / Ubuntu

OpenSSH — Remote Code Execution jako root (regreSSHion)

Race condition v OpenSSH serveru (sshd) umožňuje neautentizovanému vzdálenému útočníkovi spustit libovolný kód jako root na systémech Linux s glibc. Jedná se o regresi 18 let staré zranitelnosti CVE-2006-5051. Zneužití je obtížné (race condition), ale bylo úspěšně demonstrováno v laboratorních podmínkách. Záplata je dostupná — doporučujeme okamžitou aktualizaci.

OpenSSH — sshd (regreSSHion) OpenSSH 8.5p1–9.7p1 na Linuxu s glibc (Debian, Ubuntu, RHEL...) 1. 7. 2024 Záplata

8.1

HIGH

CVE-2024-6387-proxmox · Proxmox

Proxmox VE — OpenSSH regreSSHion (sdílená zranitelnost s Debian)

Proxmox VE je postaven na Debian Bookworm a sdílí zranitelnost regreSSHion v OpenSSH sshd. Proxmox hostitele jsou typicky dostupné přes SSH z internetu nebo správcovské sítě, což zvyšuje riziko. Záplata je dostupná přes standardní apt update.

Proxmox VE — OpenSSH Proxmox VE 7.x, 8.x s OpenSSH < 9.8p1 2. 7. 2024 Záplata

8.1

HIGH

CVE-2026-36603 · Mercusys

Mercusys AC12G — 15 z 18 UPnP akcí bez autentizace (přesměrování portů)

15 z 18 dostupných UPnP IGD akcí nevyžaduje žádné přihlášení — včetně přidávání pravidel přesměrování portů (AddPortMapping). Malware nebo útočník v síti může tichce otevřít libovolný port v routeru na internet a zpřístupnit interní služby.

Mercusys AC12G (EU) V1 AC12G(EU) V1 firmware AC12G(EU)_V1_200909 3. 6. 2026 Záplata

HIGH

CVE-2024-54887 · TP-Link

TP-Link TL-WR940N — Buffer overflow → spuštění kódu jako root

Přetečení zásobníku v parametrech dnsserver1/dnsserver2 na stránce WAN konfigurace umožňuje přihlášenému útočníkovi v LAN spustit libovolný kód s oprávněním root. Zneužití je jednoduché a model je rozšířen v domácích i malých firemních sítích.

TP-Link TL-WR940N TL-WR940N V3 a V4, firmware ≤ 3.16.9 20. 12. 2024 Záplata

7.8

HIGH

CVE-2025-21333 · Microsoft

Windows Hyper-V — Privilege Escalation na SYSTEM (zero-day)

Zranitelnost v NT OS Kernel integraci Hyper-V umožňuje lokálnímu útočníkovi eskalovat oprávnění na úroveň SYSTEM. Zranitelnost byla aktivně zneužívána jako zero-day ještě před vydáním záplaty v Patch Tuesday leden 2025. Vyžaduje místní přístup, proto je typicky kombinována s jinou zranitelností pro počáteční přístup.

Windows — Hyper-V NT Kernel Windows 10 21H2+, Windows 11, Windows Server 2019/2022/2025 14. 1. 2025 Záplata

7.8

HIGH

CVE-2024-49138 · Microsoft

Windows CLFS — Privilege Escalation na SYSTEM (zero-day, aktivně zneužíváno)

Zranitelnost v Common Log File System Driver umožňuje lokálnímu útočníkovi eskalovat oprávnění na SYSTEM. Microsoft potvrdil aktivní zneužívání před vydáním záplaty. Ransomwarové skupiny opakovaně zneužívají zranitelnosti CLFS jako součást svých útoků pro získání nejvyšších oprávnění.

Windows CLFS Driver Windows 10, Windows 11, Windows Server 2016/2019/2022/2025 10. 12. 2024 Záplata

7.5

HIGH

CVE-2024-52869 · MikroTik

MikroTik RouterOS — Winbox informace o verzích bez přihlášení

Winbox protokol vystavuje detailní informace o zařízení (verze RouterOS, model, board name) bez nutnosti přihlášení. Útočníci tyto informace systematicky využívají k identifikaci zranitelných zařízení ve velkém měřítku a následnému cílenému útoku.

RouterOS — Winbox RouterOS všechny verze s otevřeným Winbox portem (8291/TCP) 20. 11. 2024 Záplata

7.3

HIGH

CVE-2026-36609 · Mercusys

Mercusys AC12G — Statický autentizační nonce umožňuje odvodit heslo

Autentizační nonce se mezi požadavky nemění — je statický pro celou relaci. Útočník může zachytit přihlašovací provoz a zpětně odvodit heslo administrátora bez nutnosti brute-force útoku.

Mercusys AC12G (EU) V1 AC12G(EU) V1 firmware AC12G(EU)_V1_200909 3. 6. 2026 Záplata

7.1

HIGH

CVE-2026-36606 · Mercusys

Mercusys AC12G — Záloha konfigurace šifrována pevným DES klíčem

Zálohy konfigurace routeru jsou šifrovány pevně zakódovaným klíčem (single DES, ECB). Útočník, který získá zálohu, může okamžitě dešifrovat veškerá hesla a přihlašovací údaje — WiFi hesla, PPPoE přihlášení i administrátorské heslo.

Mercusys AC12G (EU) V1 AC12G(EU) V1 firmware AC12G(EU)_V1_200909 3. 6. 2026 Záplata

6.7

MEDIUM

CVE-2023-52162 · Mercusys

Mercusys MW325R — Stack buffer overflow → spuštění libovolného kódu

Přetečení zásobníku umožňuje útočníkovi s přístupem k administračnímu rozhraní spustit libovolný kód na zařízení. Zranitelnost je zneužitelná například v kombinaci s jinými chybami umožňujícími přihlášení bez hesla.

Mercusys MW325R EU V3 MW325R(EU) V3, firmware 1.11.0 Build 221019 3. 6. 2024 Záplata

6.5

MEDIUM

CVE-2023-50224 · TP-Link

TP-Link — Obejití autentizace v httpd (krádež přihlašovacích údajů)

Chyba v ověřování totožnosti v HTTP správcovském rozhraní umožňuje útočníkovi přistoupit k webové administraci bez hesla a získat uložené přihlašovací údaje zařízení. Zranitelnost je aktivně zneužívána v kampaních zahrnujících manipulaci DNS. Většina postižených modelů je End-of-Life bez dostupné záplaty.

TP-Link Archer C5/C7, TL-WR série, TL-WA série Archer C5 V2, Archer C7 V2/V3, TL-WR840N/841N/940N série, TL-WA801ND/901ND série, TL-MR série 15. 3. 2024 Záplata

Bezpečnostní novinky

Nejčastější problémy, které řešíme u zákazníků

CVE přehled