Na papierze początek października wyglądał w miarę spokojnie, ale gdy w środę Cisco opublikowało swój jesienny pakiet biuletynów dla przełączników Nexus i oprogramowania NX-OS, w sieciach operatorskich i centrach danych zrobiło się nerwowo. Trzy niezależne luki RCE ze scoringiem 9.8, wszystkie pozwalające na wykonanie kodu z uprawnieniami root bez uwierzytelnienia. Do tego SonicWall wydał poprawkę dla luki CVSS 10.0 w bramach SMA1000, która pod koniec tygodnia zaczęła być masowo wykorzystywana w atakach na żywo.
1. Cisco NX-OS i Nexus: potrójne zdalne wykonanie kodu z rootem (CVE-2026-76471, CVE-2026-76465, CVE-2026-76485, CVSS 9.8)
Cisco PSIRT opublikowało 7 i 8 października duży zestaw biuletynów dla systemów NX-OS oraz przełączników Nexus 3000 i 9000. Wśród nich znalazły się trzy osobne błędy krytyczne, każdy oceniony na 9.8 w skali CVSS 3.1. Wszystkie trzy dają zdalnemu, nieuwierzytelnionemu napastnikowi możliwość uruchomienia kodu z uprawnieniami użytkownika root lub wywołania awarii i restartu urządzenia.
Pierwsza luka (CVE-2026-76471) tkwi w interfejsie programistycznym NX-API. Wynika z niedostatecznej walidacji danych wejściowych w żądaniach HTTP kierowanych do API. Jeśli przełącznik ma aktywną funkcję NX-API, wystarczy odpowiednio spreparowane żądanie sieciowe, by przejąć kontrolę nad przełącznikiem. Podatne są wersje NX-OS od linii 9.2 aż do 10.6, w tym środowiska Cisco UCS Fabric Interconnects.
Druga luka (CVE-2026-76465) dotyczy obsługi pakietów MPLS echo-request w module OAM (Operation, Administration, and Maintenance) na przełącznikach Nexus 3000 i 9000. Atakujący wysyła pojedynczy spreparowany pakiet na interfejs IP urządzenia. Błąd weryfikacji bufora powoduje wykonanie kodu w kontekście root.
Trzecia luka (CVE-2026-76485, w powiązaniu z CVE-2026-76486 i CVE-2026-76501) występuje w nowszym module NGOAM (Next Generation OAM / VXLAN OAM). Zasada jest identyczna: spreparowany ruch IP trafiający do interfejsu z włączoną funkcją NGOAM prowadzi do przepełnienia bufora i wykonania kodu z prawami roota.
- Identyfikatory: CVE-2026-76471, CVE-2026-76465, CVE-2026-76485
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Podatne systemy: Przełączniki Cisco Nexus 3000/9000 i UCS Fabric Interconnect z NX-OS
- Mitygacja: Instalacja poprawek NX-OS wskazanych w biuletynach Cisco PSIRT, ograniczenie dostępu do NX-API
- Źródło: Cisco PSIRT Advisories
2. SonicWall SMA1000: błąd CVSS 10.0 i aktywna eksploatacja w sieci (CVE-2026-102255)
W środę SonicWall opublikował pilne poprawki dla bram dostępu zdalnego SMA1000 (modele 6200, 6210, 7200, 7210 oraz wirtualne 8000v). Podatność CVE-2026-102255 otrzymała maksymalną możliwą punktację: CVSS 10.0. Jest to błąd Server-Side Request Forgery (CWE-441, CWE-918) w interfejsie logowania Work Place, wynikający z niezamierzonej alternatywnej ścieżki dostępu.
Nieuwierzytelniony użytkownik z internetu może za pośrednictwem bramy wymusić generowanie żądań do wewnętrznych zasobów infrastruktury lub bezpośrednio wywoływać chronione funkcje administracyjne samego urządzenia. Badacze bezpieczeństwa i serwisy branżowe potwierdziły, że w sieci trwają aktywne próby skanowania i kompromitacji niezałatanych bram. Załatane wersje to 12.4.3-03526 i nowsze oraz 12.5.0-02952 i nowsze (platform-hotfix).
- Identyfikator: CVE-2026-102255
- Ocena bazowa: CVSS 10.0 (Krytyczna)
- Status eksploatacji: Aktywne próby skanowania i ataki w sieci
- Podatne systemy: SonicWall SMA1000 (seria 6000/7000/8000v)
- Mitygacja: Instalacja platform-hotfix udostępnionego przez SonicWall
- Źródło: SonicWall Security Advisory SNWLID-2026-0017
3. Atlassian Data Center: odczyt plików z gotowym exploitem (CVE-2026-21589, CVSS 9.3)
Atlassian wydał biuletyn bezpieczeństwa dotyczący krytycznej luki w produktach Data Center: Confluence, Jira Software, Jira Service Management, Bitbucket, Bamboo oraz Crowd. Podatność CVE-2026-21589 otrzymała ocenę CVSS 4.0 na poziomie 9.3.
Problem polega na błędzie typu Arbitrary File Access (CWE-552). Nieuwierzytelniony zdalny użytkownik może odczytać dowolny plik z katalogu głównego aplikacji webowej. Do ominięcia mechanizmów walidacji ścieżki wykorzystywana jest specyficzna konstrukcja ze znakami dwukropka (..::..::..::/). Znajomość domyślnych nazw plików konfiguracyjnych pozwala na wyciągnięcie poświadczeń bazy danych i sekretów sesji. Zespół watchTowr Labs opublikował szczegółową analizę techniczną wraz z działającym kodem dowodzącym (PoC).
- Identyfikator: CVE-2026-21589
- Ocena bazowa: CVSS 9.3 (Krytyczna)
- Status eksploatacji: Publiczny kod PoC, wysokie ryzyko masowych skanów
- Podatne systemy: Atlassian Data Center (Confluence, Jira, Bitbucket, Bamboo, Crowd)
- Mitygacja: Aktualizacja Confluence do 9.2.26 / 10.2.19, Jira do 9.12.40 / 10.3.26 i innych wydań naprawczych
- Źródło: Atlassian Security Advisory
4. WordPress Core: wydanie 7.1.3 z 7 poprawkami bezpieczeństwa
WordPress opublikował wydanie 7.1.3, zawierające 7 poprawek bezpieczeństwa w rdzeniu systemu oraz 4 poprawki błędów. To już trzecia aktualizacja linii 7.1 w ciągu niespełna miesiąca. Wśród załatanych podatności znalazły się między innymi Stored XSS w panelu moderacji komentarzy, odmowa usługi (DoS) w metodzie WP_Http::make_absolute_url(), SQL Injection drugiego rzędu w eksporcie WXR oraz nieuprawnione przypinanie wpisów przez rolę Author.
- Wersje: WordPress Core 7.1.3 (orerta wsteczna dla starszych gałęzi)
- Mitygacja: Automatyczna lub ręczna aktualizacja do wersji 7.1.3
- Źródło: WordPress News
5. Routery ASUS: aktywny kod debugowania i zdalny root (CVE-2026-13313, CVE-2026-14157, CVSS 8.9)
W biuletynie bezpieczeństwa dla routerów domowych i małych biur firmy ASUS opisano błędy umożliwiające wykonanie dowolnego kodu z uprawnieniami konta root. Luka CVE-2026-13313 wynika z pozostawionego w kodzie produkcyjnym firmware aktywnego mechanizmu debugowania (CWE-489). Uwierzytelniony użytkownik, wysyłając spreparowane żądanie HTTP, może wymusić uruchomienie demona Telnet i uzyskać powłokę systemową z prawami roota.
- Identyfikatory: CVE-2026-13313, CVE-2026-14157
- Ocena bazowa: CVSS 8.9 (Wysoka)
- Podatne systemy: Routery ASUS z oprogramowaniem 3.0.0.4 / 3.0.0.6
- Mitygacja: Aktualizacja firmware, wyłączenie zdalnego zarządzania WAN
- Źródło: ASUS Security Advisory
Co zrobić dziś
- Zaktualizujcie przełączniki Cisco Nexus: Wdróżcie poprawione wersje NX-OS i w razie potrzeby ograniczcie dostęp do NX-API.
- Załatajcie bramy SonicWall SMA1000: Zainstalujcie platform-hotfix, aby zamknąć lukę CVSS 10.0 przed skanerami.
- Zaktualizujcie Atlassian Data Center: Wdróżcie poprawki dla Confluence, Jira i Bitbucket, zabezpieczając się przed publikowanym kodem PoC.
- Sprawdźcie WordPressa: Upewnijcie się, że instancje zaktualizowały się do wersji 7.1.3.
- Zaktualizujcie routery ASUS: Wgrajcie najnowszy firmware i wyłączcie dostęp administracyjny od strony WAN.
