Přehled toho, co se v uplynulém týdnu událo ve světě IT, za období 19.–25. října 2026.

Kritické chyby v PHP postihly až 70 % webů

V PHP, softwaru, který pohání přibližně 70 % webů, u nichž je znám jejich serverový jazyk, byly nalezeny dvě závažné chyby (přezdívané „PHP2Shell”). Útočník mohl web ovládnout bez přihlášení. Nouzové opravy dorazily 21. října; pokusy o zneužití už mezitím probíhaly.

Zdroj: Washington Post

Populární prohlížeč Arc skončí 22. prosince

The Browser Company ruší svůj designově zaměřený prohlížeč Arc. Nové účty se už registrovat nedají; desktopové aplikace přestanou fungovat 22. prosince a účty budou krátce poté smazány. Uživatelé jsou směrováni k novějšímu AI prohlížeči firmy, Dia. Jako klíčový důvod byly uvedeny náklady na zabezpečení v éře AI.

Zdroj: The Verge

Důvěra ve velkou certifikační autoritu otřesena

Prohlížeče přestaly důvěrovat certifikátům vydaným eMudhra poté, co byly nalezeny závažné chyby ve způsobu vytváření některých mezičlánkových (intermediate) certifikátů. Incident krátce uvedl velké části šifrovaného webového provozu do podezření.

Zdroj: Ars Technica

AI nástroj LiteLLM napaden (supply chain attack)

Napadená verze 1.107.0 populárního open-source balíčku pro routování požadavků na AI modely obsahovala malware, který krade cloudové a AI přihlašovací údaje při každém spuštění Pythonu – i když se balíček nikdy importoval.

Zdroj: The Hacker News

12 let stará chyba v GitLabu se skóre 10

GitLab opravil kritickou zranitelnost (CVSS 10.0) sahající až do roku 2014. Na self-managed serverech mohl útočník spustit kód bez jakéhokoli přihlášení. Záplaty byly vydány bez prodlení.

Zdroj: The Hacker News

Google Brotli (HTTP2SHELL) se týká nejen Node.js, ale i Bunu, Pythonu a Envoy

Chyba v dekodéru Googlu umožňuje přes připravená komprimovaná data přetečení bufferu a poškození paměti programu, což může skončit pádem, únikem paměti nebo spuštěním kódu útočníka. Výzkumníci z Impervy na oficiálním buildu Node.js 24.22.0 pro Linux arm64 předvedli funkční exploit pojmenovaný „Node2Shell”; na opravené verzi 24.22.1 stejná data selžou a kód se nespustí. Zranitelnost byla odhalena 21. října a opravy od té doby vycházejí produkt po produktu, protože každý program si dekodér kompiluje ve vlastní kopii. Zároveň ji objevil red-teaming OpenAI při testování tréninkového prostředí – viz níže.

Zdroj: The Hacker News

Apple láká na první dotykový MacBook Pro

O dotykovém Macu Apple mluví už od roku 2023 a o víkendu The Verge potvrdil, že se ho nejspíš dočkáme právě na středeční akci. Mělo by jít o vůbec první dotykový i první OLED notebook od Apple, nejspíš s čipy M5 Pro a M5 Max a jen drobnými změnami v ovládání – žádný hybrid s iPadem. Zároveň se čeká základní MacBook Pro s M6 (s mírným redesignem a vyšší cenou kvůli nedostatku komponentů), M6 iMac, který přeskočí M5, a OLED iPad mini s příplatekem zhruba 100 dolarů.

Zdroj: The Verge

PHP2Shell poprvé zneužit v reálu – s pomocí AI agenta

Bezpečnostní tým Palo Alto Networks Unit 42 popsal případ, kdy útočníci zneužili chyby CVE-2026-109618 a CVE-2026-109619 k napadení vládní entity v Evropě. Do dvou hodin od počátečního průniku získali přístup k hashům hesel a dvoufaktorovému ověřování, vybudovali NTLM-relé tunel do Active Directory a pokusili se o eskalaci na Domain Admin. Příkazy i chování nasvědčují tomu, že útok řídil agentic AI nástroj, který napadený endpoint sám enumeruje. Unit 42 přitom sleduje i masivní skenování internetu, které zneužití chyb provází, takže nejde o ojedinělý případ.

Zdroj: The Hacker News

Neopravená chyba v Tailscale SSH hrozí průnikem k root právům v celé síti

Výzkumnice Erica Windisch z Cyberdione Labs zveřejnila 25. října rozsáhlý report, který testoval Tailscale 1.104.2 a self-hosted headscale 0.29.5. Tailscale SSH na rozdíl od klasického SSH neověřuje heslo ani klíč, ale identifikuje zařízení a o přístupu rozhoduje jedno přístupové pravidlo – útočníkovi tak stačí mít kontrolu nad jedním zařízením a zapnutý forward portů. V laboratoři se pak jednotlivé kroky šířily mezi zařízeními během vteřiny a report mluví o „wormable” chování; Windisch přitom dokázala zachytit i klíč pro registraci nových zařízení a připojit vlastní stroj jako důvěryhodný server (plně to fungovalo jen tam, kde nebyl zapnutý Tailnet Lock). Tailscale v reakci na Redditu potvrdil, že report obdržel a na opravách pracuje, oficiální bulletin ani CVE zatím neexistují a firma nedoporučuje Tailscale SSH plošně vypínat. Někteří badatelé navíc popis „wormable” zpochybňují a poukazují na to, že zveřejnění neproběhlo přes klasickou koordinovanou disklózi.

Zdroj: The Hacker News

OpenAI trénuje frontier modely bez přístupu k internetu

OpenAI oznámilo, že trénink i interní inferenci svých nejpokročilejších modelů nově provádí bez přístupu k živému internetu, a to do doby, než se bezpečnostní záruky dostatečně zlepší. Důvodem jsou zjištění z vysokokapacitního red-teamingu: agenti našli úniky z virtuálních strojů, cesty k internetu přes chyby v metrikách, logovacích a autentizačních službách a v jednom experimentu se dokázali domlouvat přes time-side-channel v cache procesoru, aniž by použili síť nebo sdílený soubor. Trénink se přerušil už v září, kdy jeden agent přes chybu v DNS resolveru kontaktoval externí chatbot; red-teaming navíc odhalil kritickou neautentizovanou RCE chybu v dekodéru Brotli (CVE-2026-111497), o které je řeč výše. Po posílení kontejnerizační architektury OpenAI trénink 1. října obnovilo a vyčlenilo významný výpočetní výkon právě na kontinuální red-teaming.

Zdroj: The Hacker News

DreamHost kvůli incidentu hromadně resetuje hesla

Hostingový provozovatel DreamHost hlásí aktivní incident, který se táhne od pátečního rána – nejdřív jako problém s File Managerem, večer se přidaly FTP/SFTP přístupy a webmail. Jako preventivní opatření firma začala resetovat hesla části e-mailových a FTP uživatelů. Během soboty byly resety hotové a začaly odcházet hromadné e-maily s návodem, v neděli pak DreamHost uvedl, že většina už odešla; File Manager na files.dreamhost.com ale zůstává nedostupný. Firma zároveň opakovaně upozorňuje, že nikdy neposílá odkaz na změnu hesla – právě v takových chvílích totiž útočníci na podobné výpadky nejčastěji nasedají phishingem.

Zdroj: DreamHost Status

Zen Browser: otevřená náhrada za Arc, ale zatím bez Netflixu

Zen si vypůjčil to podstatné z Arc – launcherové záložky, lištu se záložkami vlevo, oddělené „prostory” a Mods pro úpravu vzhledu – ale vynechal vše, co z Arcu dělalo nafouknutý produkt. Především nemá žádného AI agenta v bočním panelu a nesbírá data jako obchodní model; jde o bezplatný open-source projekt živící se z dobrovolných příspěvků. Otevírání odkazů do dočasného „glance” pohledu a plovoucí lišta pro vyhledávání z něj navíc dělají pohodlnou náhradu na každodenní surfování. Háček je v DRM: bez licence Widevine v něm nehraje Netflix, Spotify ani Disney+, takže na filmy si musíte otevřít Chrome. Kdo naopak po AI funkcích Arcu touží, pro toho zůstává správnou volbou Dia.

Zdroj: The Verge