Kritická zranitelnost CVE-2026-104935 umožňuje obejít autentizaci a spustit kód na dálku

Bezpečnostní výzkumníci upozorňují na zranitelnost označenou jako CVE-2026-104935, která kombinuje dvě vážné slabiny zároveň – obcházení autentizace a možnost vzdáleného spuštění kódu, takzvané RCE. Právě tato kombinace činí z chyby jednu z nebezpečnějších kategorií zranitelností, jaké se v softwarových produktech mohou objevit. Zatímco samotné obcházení autentizace umožňuje útočníkovi získat přístup do systému bez platných přihlašovacích údajů, navazující možnost vzdáleného spuštění kódu mu následně dává prostor k provedení libovolných příkazů na napadeném zařízení či serveru. Taková kombinace v praxi znamená, že útočník nemusí znát heslo ani mít jiný legitimní přístup, a přesto může převzít plnou kontrolu nad cílovým systémem.

Zranitelnost byla podle dostupných informací částečně odhalena a opravena již v červenci 2023. Jde tedy o chybu, která je veřejnosti i výrobcům známá delší dobu, přičemž první opravné kroky byly podniknuty krátce po jejím zjištění. Slovo „částečně“ v této souvislosti naznačuje, že tehdejší oprava nemusela pokrývat všechny varianty útoku nebo všechny ovlivněné konfigurace systému, což je u komplexních zranitelností tohoto typu poměrně běžné. V praxi to znamená, že i přes existenci záplaty mohou v některých prostředích přetrvávat dílčí rizika, pokud nebyla provedena úplná aktualizace nebo pokud administrátoři nenasadili všechny doporučené bezpečnostní kroky.

Závažnost zranitelnosti CVE-2026-104935 je hodnocena jako vysoká. Toto hodnocení obvykle odráží snadnost zneužití, rozsah potenciálního dopadu a míru kontroly, kterou útočník po úspěšném zneužití získá. V případě kombinace obcházení autentizace s možností vzdáleného spuštění kódu jde o scénář, který bezpečnostní experti řadí mezi nejkritičtější, protože umožňuje plný kompromitaci systému bez nutnosti složité sociální manipulace nebo fyzického přístupu k zařízení.

Hlavní hrozbou spojenou s touto zranitelností zůstává možnost jejího zneužití útočníky, kteří by mohli využít neopravené nebo nedostatečně zabezpečené instance k získání neoprávněného přístupu a následnému spuštění škodlivého kódu. Taková situace by mohla vést k odcizení dat, instalaci dalšího škodlivého softwaru, narušení provozu postižených systémů nebo k využití napadeného zařízení jako odrazového můstku pro další útoky v rámci sítě. Právě proto bezpečnostní komunita obecně doporučuje u podobných zranitelností věnovat pozornost nejen původní opravě, ale i jejím případným aktualizacím a doplňkům, které mohou reagovat na nově zjištěné obchozí cesty nebo neúplně pokryté scénáře útoku.

Vzhledem k tomu, že od prvotního odhalení a opravy uplynula již delší doba, je pravděpodobné, že se informace o zranitelnosti postupně rozšířily i mezi širší bezpečnostní komunitu a potenciálně i mezi osoby se škodlivými úmysly. To zvyšuje důležitost ověření, zda jsou všechny dotčené systémy aktuálně plně zazáplatované a zda nekolují žádné alternativní metody obcházení původní opravy. Organizace, které provozují software nebo zařízení potenciálně ovlivněné touto zranitelností, by měly věnovat pozornost oficiálním bezpečnostním doporučením a průběžně sledovat, zda nebyly vydány doplňující opravy reagující na případné mezery v první vlně záplat z roku 2023.

Obecně platí, že zranitelnosti kombinující obcházení autentizace s možností vzdáleného spuštění kódu patří mezi nejsledovanější kategorie v oblasti kybernetické bezpečnosti, protože poskytují útočníkům prakticky neomezený přístup k napadenému systému. I v případech, kdy byla oprava vydána s odstupem několika let, zůstává nutné ověřovat, že byla implementována správně a v plném rozsahu, a že nedochází k provozu zastaralých nebo nezáplatovaných verzí dotčeného softwaru. Případ CVE-2026-104935 tak znovu připomíná význam důsledné správy záplat a pravidelného auditu bezpečnostního stavu systémů, zejména u zranitelností, jejichž závažnost byla od počátku hodnocena jako vysoká.