BartoszMazurczak.pl

Przegląd bezpieczeństwa #09.11.2026: OpenSSH sshhole, Zyxel GS1900, Plex, Synology DSM i SonicWall

·

·
#
Cybersecurity weekly cover — critical CVEs for VMware vCenter, TeamCity, Fortinet and Palo Alto, Aug 25 2026

Pierwszy pełny tydzień listopada przyniósł zestaw problemów, które uderzają w fundamenty sieci, pamięci masowych i domowych serwerów. Kiedy patrzę na nowe biuletyny, najbardziej rzuca się w oczy podatność nazwana sshhole w OpenSSH. Wystarczyło zestawienie biblioteki musl libc z demonem sshd bez PAM, by na systemach takich jak Alpine dowolne hasło o długości powyżej 256 znaków pozwalało zalogować się na konto bez hasła. Błąd wisiał w kodzie od dziesięciu lat i dotknął oficjalne obrazy chmurowe.

Gorąco jest także w warstwie sprzętowej i brzegowej. Właściciele przełączników zarządzalnych Zyxel GS1900 mierzą się z ominięciem czerwcowej łatki i zdalnym wykonaniem poleceń roota bez logowania, które dotknęło blisko tysiąc urządzeń w sieci. Użytkownicy serwerów multimedialnych Plex stoją w obliczu trwających infekcji łańcuchem Plex2Shell instalującym koparki XMRig. Do tego dochodzi aktywna fala ransomware C3RB3R szyfrująca serwery Synology NAS (.L0CK3D), obejście SAML i MFA w SonicWall SonicOS w katalogu CISA KEV, kolejne zero-daye w Ivanti Connect Secure oraz wyścig TOCTOU w instalatorze WordPressa 7.1.4. Poniżej zebrałem kluczowe fakty techniczne i kroki zaradcze.

1. OpenSSH na musl libc: Obejście uwierzytelniania hasłem „sshhole” (CVE-2026-123158 / OpenSSH 10.6p2)

Zespół OpenSSH wydał 5 listopada awaryjną aktualizację 10.6p2, usuwającą błąd określany jako sshhole (CVE-2026-123158). Luka pozwala na zalogowanie się do systemu przez SSH przy użyciu dowolnego hasła o długości od 257 do 1024 znaków, o ile konto docelowe nie posiadało ustawionego hasła (oznaczone gwiazdką * w pliku /etc/shadow).

Przyczyną jest niefortunna interakcja dwóch mechanizmów powstałych lata temu. Od 2012 roku funkcja crypt() w bibliotece musl libc przy błędzie haszowania (m.in. przy przekroczeniu bufora 256 bajtów dla SHA-512) zwraca dosłowny ciąg * zamiast wartości NULL. Z kolei OpenSSH od 2016 roku, aby zapobiec wyciekowi czasowemu, pożycza sól od innego prawidłowego konta w systemie, gdy sprawdzane konto ma pole hasła zbyt krótkie. W efekcie funkcja crypt() z długim hasłem zwracała *, a serwer sshd porównywał ten wynik z wartością * w bazie użytkowników i uznawał logowanie za udane. Problem dotknął m.in. obrazy chmurowe Alpine Linux z domyślnym kontem alpine posiadającym uprawnienia do doas.

  • Identyfikator: CVE-2026-123158 (OpenSSH 10.6p2 / sshhole)
  • Skutki: Ominięcie uwierzytelniania na kontach bez hasła, możliwość bezpośredniego przejęcia uprawnień roota
  • Podatne systemy: Dystrybucje oparte na musl libc (m.in. Alpine Linux, OpenWrt, postmarketOS) z demonem OpenSSH skompilowanym bez obsługi PAM i włączonym PasswordAuthentication yes
  • Mitygacja: Aktualizacja pakietu openssh do wersji 10.6p2 (lub dystrybucyjnych wydań wstecznych w Alpine) albo ustawienie PasswordAuthentication no w konfiguracji sshd_config
  • Źródło: Wakefield Research

2. Przełączniki Zyxel GS1900: Wykonanie poleceń systemowych bez logowania (CVE-2026-107441)

Firma Zyxel opublikowała biuletyn bezpieczeństwa dla przełączników zarządzalnych popularnej serii GS1900, często spotykanych w instalacjach biurowych i zaawansowanych homelabach. Podatność CVE-2026-107441 otrzymała ocenę CVSS 3.1 na poziomie 8.8 (wg badaczy Binarly nawet 9.8 z uwagi na skutki wykonania kodu jako root).

Luka polega na zapisie poza zakresem pamięci (out-of-bounds write) w programie CGI obsługującym panel zarządzania webowego. Nieuwierzytelniony napastnik znajdujący się w zasięgu sieci zarządzającej przełącznika może za pomocą specjalnie spreparowanego żądania HTTP wymusić wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami roota. Co istotne, jest to obejście wcześniejszej poprawki dla luki CVE-2026-7273 wydanej w czerwcu. Badacze z GreyNoise i Binarly powiązali podatność z aktywną kampanią grupy Kapibala, która przejęła niemal 1000 urządzeń GS1900 w 48 krajach.

  • Identyfikator: CVE-2026-107441
  • Ocena bazowa: CVSS 8.8 / 9.8 (Wysoka / Krytyczna)
  • Status eksploatacji: Aktywne ataki grupy Kapibala, publiczne analizy techniczne Binarly
  • Podatne systemy: Przełączniki Zyxel GS1900 (modele: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2) z firmware wcześniejszym niż 2.90 Patch 3
  • Mitygacja: Instalacja firmware w wersji 2.90 Patch 3 (np. 2.90(AAHK.3)C0 dla GS1900-24E), bezwzględna izolacja interfejsu zarządzania w dedykowanym VLANie
  • Źródło: Ostorlab Analysis / Zyxel Advisory

3. Serwery Plex Media Server: Aktywne infekcje łańcuchem Plex2Shell i koparki XMRig

W sieci i na serwerach pułapkach (honeypotach) wciąż przybiera na sile fala ataków na serwery multimedialne Plex Media Server. Napastnicy wykorzystują łańcuch exploitów Plex2Shell, łączący cztery luki (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656), który pozwala na nieuwierzytelnione zdalne wykonanie kodu z całościową notą CVSS 9.8.

Atak zaczyna się od błędu SSRF w punkcie końcowym /player/timeline/subscribe, co pozwala ominąć kontrolę dostępu i wywołać wewnętrzne procedury z prawami właściciela serwera. W kolejnym kroku intruz zapisuje złośliwą bibliotekę w katalogu kodeków, a silnik transkodera ładuje niepodpisany kod przy kolejnej operacji odtwarzania. Na zaatakowanych maszynach instalowane są koparki XMRig oraz demony proxy odsprzedające pasmo internetowe (m.in. myawesomeproxy). Podatność dotyka wydań wcześniejszych niż 1.43.3.10828 (naprawione w 1.43.3.10861), a szczególnie narażone są kontenery Docker i paczki na domowe serwery NAS, które rzadko aktualizują się samoczynnie.

  • Identyfikatory: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 (łańcuch Plex2Shell)
  • Ocena bazowa: CVSS 9.8 (Krytyczna w łańcuchu)
  • Status eksploatacji: Trwające ataki w sieci, instalacja koparek kryptowalut i proxy pasma
  • Podatne systemy: Plex Media Server w wersjach poniżej 1.43.3.10828
  • Mitygacja: Aktualizacja do wersji 1.43.3.10861 lub nowszej, audyt drzewa procesów (ps axjf) pod kątem nieautoryzowanych procesów potomnych
  • Źródło: Cyber Security News

4. Synology DSM: Serwery NAS na celowniku ransomware C3RB3R (Synology-SA-26:13 / SA-24:20)

Synology wydało pilne ostrzeżenie przed trwającą kampanią oprogramowania ransomware C3RB3R, uderzającą w niezałatane serwery NAS DiskStation. Użytkownicy zgłaszają masowe szyfrowanie plików z rozszerzeniem .L0CK3D oraz pozostawianie notatek z żądaniem okupu read-me3.txt.

Przestępcy wykorzystują znane podatności w DSM, w tym błędy w interfejsie SCGI (CVE-2026-13684, CVSS 9.8), w logice uwierzytelniania (CVE-2026-13639, CVSS 9.8) oraz luki w daemonie wtyczek z linii DSM 7.2/7.1 (CVE-2024-10441, CVSS 9.8). Złośliwe oprogramowanie skanuje zasoby dyskowe i szyfruje dane użytkowników, pomijając katalogi systemowe. Wystawione na świat panele DSM bez wdrożonych aktualizacji stają się bezpośrednią ofiarą automatycznych botów szyfrujących.

  • Identyfikatory: CVE-2026-13684, CVE-2026-13639, CVE-2024-10441 (kampania C3RB3R)
  • Ocena bazowa: CVSS 9.8 (Krytyczna)
  • Status eksploatacji: Masowe ataki ransomware na serwery NAS DiskStation
  • Podatne systemy: Synology DSM w niezałatanych wersjach (DSM 7.2, 7.1 i wcześniejsze)
  • Mitygacja: Aktualizacja DSM do wydań 7.2.2-72806-9, 7.2.1-69057-12 lub 7.3.2-86009-4 oraz odcięcie portów DSM od publicznego internetu
  • Źródło: The Hacker News / Synology Advisory

5. SonicWall SonicOS SSL-VPN: Obejście uwierzytelniania SAML i MFA (CVE-2026-19868)

Amerykańska agencja CISA dodała 6 listopada do katalogu Known Exploited Vulnerabilities (KEV) lukę w oprogramowaniu SonicOS na zaporach SonicWall. Podatność CVE-2026-19868 otrzymała ocenę CVSS 7.5 i została powiązana z rzeczywistymi próbami ataków na infrastrukturę brzegową.

Problem dotyczy usługi SSL-VPN w sytuacjach, gdy administrator włączył logowanie przez protokół SAML z wymuszeniem uwierzytelniania wieloskładnikowego (MFA), lecz w konfiguracji urządzenia nadal aktywna pozostaje alternatywna metoda weryfikacji tożsamości. Prawidłowe poświadczenia dla metody alternatywnej pozwalają na nawiązanie sesji VPN z pominięciem SAML i drugiego składnika. W tym samym pakiecie załatano błędy panelu zarządzania (CVE-2026-107154, CVE-2026-107155) oraz przepełnienie sterty SSL-VPN (CVE-2026-82308).

  • Identyfikator: CVE-2026-19868
  • Ocena bazowa: CVSS 7.5 (Wysoka)
  • Status eksploatacji: Potwierdzone próby wykorzystania w sieci, obecność w katalogu CISA KEV
  • Podatne systemy: SonicOS Gen7 (7.3.3-7015 i starsze) oraz Gen8 (8.2.2-8015 i starsze)
  • Mitygacja: Aktualizacja firmware do 7.3.4-7013+ lub 8.2.3-8015+, wyłączenie alternatywnych metod logowania w SSL-VPN
  • Źródło: SonicWall Security Advisory SNWLID-2026-0014

6. Ivanti Connect Secure: Dwa kolejne zero-daye w rękach grupy UTA0576 (CVE-2026-111357, CVE-2026-118527)

Ivanti dopisało do biuletynu bezpieczeństwa bram VPN Connect Secure dwie luki (CVE-2026-111357 i CVE-2026-118527), które 30 października trafiły do katalogu CISA KEV. Grupa cyberszpiegowska UTA0576 powiązała je z wcześniejszym błędem CVE-2026-104935, tworząc łańcuch ataku pozwalający na uzyskanie uprawnień roota na bramie, manipulację logami i kradzież poświadczeń domenowych (w tym haseł LAPS i kluczy BitLocker).

  • Identyfikatory: CVE-2026-111357, CVE-2026-118527 (łańcuch UTA0576)
  • Ocena bazowa: CVSS 8.8 oraz CVSS 4.3
  • Status eksploatacji: Aktywne ataki celowane, katalog CISA KEV
  • Podatne systemy: Ivanti Connect Secure 25.1.1.2 i starsze oraz 22.8R2.5 i starsze
  • Mitygacja: Instalacja wersji 25.1.1.3 lub 22.8R2.6
  • Źródło: Rapid7 Analysis

7. WordPress Core: Wyścig w oknie aktualizacji w katalogu CISA KEV (CVE-2026-119977)

Wydanie WordPress 7.1.4 naprawia niebezpieczną lukę wyścigu (TOCTOU) w mechanizmie instalacji uaktualnień, oznaczoną jako CVE-2026-119977 (CVSS 8.1), która 3 listopada została włączona do katalogu CISA KEV. Przewidywalne ścieżki w katalogu /wp-content/upgrade/ pozwalały intruzom na podłożenie własnego pliku wp-config.php i przejęcie serwisu. W sieci zablokowano ponad 240 tysięcy prób wywołania tej luki.

  • Identyfikator: CVE-2026-119977
  • Ocena bazowa: CVSS 8.1 (Wysoka)
  • Status eksploatacji: Masowe próby skanowania w sieci, katalog CISA KEV
  • Podatne systemy: Wszystkie wydania WordPress Core od 4.7 do 7.1.3 włącznie
  • Mitygacja: Aktualizacja do 7.1.4 lub najnowszych wydań gałęzi LTS, blokada wykonywania PHP w katalogu upgrade
  • Źródło: Wordfence Analysis

Co zrobić dziś

  1. Zabezpieczcie serwery Alpine i środowiska z musl libc: Zainstalujcie OpenSSH 10.6p2 lub wyłączcie uwierzytelnianie hasłem (PasswordAuthentication no), aby zablokować lukę sshhole (CVE-2026-123158).
  2. Zaktualizujcie przełączniki Zyxel GS1900: Wgrajcie firmware 2.90 Patch 3, aby zamknąć lukę CVE-2026-107441 wykorzystywaną przez botnet Kapibala.
  3. Zaktualizujcie serwery Plex: Wdróżcie wersję 1.43.3.10861+ (zwłaszcza w Dockerze i na NAS-ach) i sprawdźcie procesy pod kątem koparek XMRig.
  4. Załatajcie Synology DSM: Podnieście system do wydań 7.2.2-72806-9+ i odetnijcie panel DSM od internetu przed ransomware C3RB3R.
  5. Załatajcie SonicWall SonicOS: Zaktualizujcie firmware zapór i wyłączcie alternatywne metody logowania w SSL-VPN.
  6. Zaktualizujcie bramy Ivanti Connect Secure: Zainstalujcie wydania 25.1.1.3 lub 22.8R2.6.
  7. Upewnijcie się o aktualizacji WordPressa do 7.1.4: Zablokujcie bezpośrednie wywołania plików PHP w /wp-content/upgrade/.
Avatar photo

Autor

Bartek