Przełom października i listopada nie dał administratorom wytchnienia. W biuletynach bezpieczeństwa widać wyraźny trend: atakujący biorą na cel albo urządzenia brzegowe i kontrolery sieciowe, albo kluczowe elementy infrastruktury deweloperskiej. Jeśli w Waszych sieciach działają kontrolery Cisco Catalyst SD-WAN, zapory ASA z tunelem SSL VPN lub instancje GitLaba, ten poranek zapowiada się pracowicie.
Najbardziej niepokoi mnie luka w Cisco Catalyst SD-WAN – ocena CVSS 10.0 to nie przesada, gdy błąd uwierzytelniania w mechanizmie peeringu pozwala zdalnemu intruzowi przejąć kontrolę nad siecią szkieletową przez NETCONF. Do tego dochodzi świeże wydanie WordPress Core 7.1.4, które łata lukę RCE w oknie aktualizacji, już teraz skanowaną i atakowaną na masową skalę (odnotowano niemal 63 tysiące prób w pierwszą dobę). Poniżej zebrałem kluczowe fakty techniczne i kroki zaradcze.
1. Cisco Catalyst SD-WAN: Zdalne ominięcie uwierzytelniania (CVE-2026-20127)
Błąd w mechanizmie uwierzytelniania peeringu w komponentach Cisco Catalyst SD-WAN pozwala nieuwierzytelnionemu atakującemu na ominięcie zabezpieczeń i uzyskanie uprawnień administracyjnych w systemie.
Podatność tkwi w sposobie weryfikacji żądań komunikacji między węzłami sieci szkieletowej. Wysyłając specjalnie spreparowane żądanie sieciowe, intruz może zalogować się do kontrolera jako wewnętrzny użytkownik o wysokich uprawnieniach. Z tego poziomu uzyskuje bezpośredni dostęp do interfejsu NETCONF, co w praktyce oznacza możliwość dowolnej manipulacji konfiguracją sieciową całej organizacji, trasami routingu oraz politykami separacji ruchu.
- Identyfikator: CVE-2026-20127
- Ocena bazowa: CVSS 10.0 (Krytyczna)
- Status eksploatacji: Biuletyn producenta z 28 października 2026 r., skrajne ryzyko kompromitacji
- Podatne systemy: Cisco Catalyst SD-WAN Controller (dawniej vSmart), SD-WAN Manager (dawniej vManage), SD-WAN Validator (dawniej vBond)
- Mitygacja: Aktualizacja oprogramowania do wersji wskazanych w biuletynie Cisco (brak obejść tymczasowych)
- Źródło: Cisco Security Advisory
2. Cisco Secure Firewall ASA i FTD: Ataki DoS na tunele SSL VPN (CVE-2026-76418)
Amerykańska agencja CISA dodała 29 października do katalogu aktywnie wykorzystywanych luk (KEV) podatność w usłudze Remote Access SSL VPN na zaporach Cisco ASA i FTD.
Problem występuje w konfiguracjach, w których na grupie tunelowej włączono wtórne uwierzytelnianie (secondary authentication). Nieuwierzytelniony atakujący może wysłać spreparowane żądanie podczas procedury zestawiania sesji VPN, co prowadzi do błędu sprawdzania wartości zwracanej i dereferencji wskaźnika NULL. Skutkiem jest natychmiastowe załamanie procesu i nieoczekiwany restart całego urządzenia. W warunkach produkcyjnych powtarzane pakiety powodują nieustanną pętlę restartów i odcięcie dostępu zdalnego dla wszystkich pracowników.
- Identyfikator: CVE-2026-76418
- Ocena bazowa: CVSS 8.6 (Wysoka)
- Status eksploatacji: Aktywnie wykorzystywana w atakach (obecność w CISA KEV)
- Podatne systemy: Cisco Secure Firewall ASA oraz FTD z aktywnym SSL VPN i wtórnym uwierzytelnianiem
- Mitygacja: Wdrożenie oficjalnych poprawek Cisco
- Źródło: Cisco Security Advisory
3. WordPress Core 7.1.4: Wyścig do wykonania kodu podczas aktualizacji
Zespół WordPressa wydał awaryjną aktualizację bezpieczeństwa 7.1.4, która usuwa niebezpieczną lukę wyścigu (race condition) w mechanizmie instalacji uaktualnień, a także zestaw podatności Stored XSS.
Najgroźniejszy problem dotyczy krótkiego okna czasowego, w którym system pobiera i rozpakowuje archiwa z uaktualnieniem. Nieuwierzytelniony intruz monitorujący proces lub wysyłający żądania współbieżne może doprowadzić do wykonania własnego kodu PHP w kontekście serwera WWW. Zespoły monitorujące zagrożenia zarejestrowały niemal 63 tysiące prób skanowania i wywołania tej luki w ciągu zaledwie 24 godzin od upublicznienia notatek do wydania. Pozostałe poprawki w wersji 7.1.4 eliminują błędy Stored XSS w Interactivity API oraz w blokach edytora.
- Wydanie: WordPress Core 7.1.4
- Ocena bazowa: CVSS 8.1 (Wysoka)
- Status eksploatacji: Masowe próby skanowania i ataki w sieci
- Podatne systemy: Wszystkie instalacje WordPress Core od wersji 4.7 do 7.1.3 włącznie
- Mitygacja: Natychmiastowa aktualizacja do WordPress 7.1.4
- Źródło: WordPress News
4. VMware ESX: Niewystarczający audyt operacji administracyjnych w CISA KEV (CVE-2026-41709)
Do katalogu CISA KEV trafiła luka w hiperwizorach VMware ESX/ESXi, która mimo niskiej oceny punktowej jest chętnie wykorzystywana w zaawansowanych kampaniach ukierunkowanych na wirtualizację.
Podatność pozwala administratorowi (lub intruzowi, który uzyskał poświadczenia do interfejsu zarządzania) na wykonanie określonych operacji na maszynach wirtualnych i konfiguracji hosta z pominięciem mechanizmów rejestrowania zdarzeń. W praktyce luka służy grupom ransomware i zaawansowanym aktorom do zacierania śladów obecności, modyfikowania dysków wirtualnych oraz wyłączania maszyn bez pozostawiania wpisów w dziennikach audytowych vCenter i ESXi.
- Identyfikator: CVE-2026-41709
- Ocena bazowa: CVSS 2.7 (Niska punktowo, wysoka taktycznie)
- Status eksploatacji: Potwierdzona eksploatacja w naturze (CISA KEV)
- Podatne systemy: VMware ESXi we wspieranych wersjach
- Mitygacja: Instalacja pakietów uaktualnień wskazanych w Broadcom Security Advisory 38017
- Źródło: Broadcom Security Advisory
5. GitLab CE/EE: Zdalny kod przez kompilator wyrażeń regularnych (CVE-2026-97229)
Poważna podatność w GitLabie doprowadziła w ostatnich dniach do rzeczywistego incydentu bezpieczeństwa. Zespół projektu Alpine Linux został zmuszony do przebudowy swojego serwera GitLab i resetu poświadczeń po próbie zdalnego wykonania kodu.
Przyczyną jest błąd przepełnienia liczb całkowitych w kompilatorze wyrażeń regularnych Ruby Onigmo, z którego korzysta parser potoków CI/CD. Nieuwierzytelniony użytkownik może przesłać odpowiednio przygotowany ciąg znaków, co prowadzi do załamania kontroli pamięci i wykonania dowolnego kodu na serwerze z uprawnieniami procesu GitLaba.
- Identyfikator: CVE-2026-97229
- Ocena bazowa: CVSS 10.0 (Krytyczna)
- Status eksploatacji: Aktywna eksploatacja w sieci, atak na Alpine Linux
- Podatne systemy: GitLab CE/EE od 19.2.0 do 19.4.1
- Mitygacja: Aktualizacja instancji do wersji 19.4.2, 19.3.5 lub 19.2.8
- Źródło: GitLab Patch Release
6. Jądro Linux: Zdalny root przez MPTCP (CVE-2026-98432)
Warto również zwrócić uwagę na analizę opublikowaną przez badaczy Anthropic i nagłośnioną m.in. przez serwis Sekurak. Opracowano działający, stabilny exploit sieciowy, który pozwala uzyskać uprawnienia roota na nowoczesnych systemach linuksowych.
Podatność tkwi w obsłudze opcji socketów w kodzie IPv4 (tcp_v4_syn_recv_sock), gdzie dochodzi do błędnego zwolnienia zasobów bez zachowania okresu karencji RCU. Przy włączonej obsłudze Multipath TCP (MPTCP listener) atakujący jest w stanie po około godzinie zmanipulować pamięć jądra, przełamać mechanizm KASLR przez sieć i otworzyć powłokę roota.
- Identyfikator: CVE-2026-98432
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Status eksploatacji: Działający exploit sieciowy PoC (Anthropic)
- Podatne systemy: Jądro Linux z aktywną obsługą gniazd MPTCP
- Mitygacja: Aktualizacja jądra systemowego
- Źródło: Sekurak Analysis
Co zrobić dziś
- Zaktualizuj WordPressa do 7.1.4: Skanery aktywnie polują na starsze wersje w celach RCE.
- Załataj kontrolery Cisco SD-WAN: Najwyższy priorytet ze względu na CVSS 10.0 i brak obejść.
- Zabezpiecz zapory Cisco ASA/FTD: Wdróż poprawki dla CVE-2026-76418, by chronić tunele SSL VPN przed DoS.
- Zaktualizuj GitLaba: Zainstaluj wersje 19.4.2 / 19.3.5 / 19.2.8 przed automatycznymi skanami.
- Sprawdź stan MPTCP i zaktualizuj jądro Linux: Zamknij furtkę dla exploita sieciowego jądra.
