Bezpečnostné hrozby · 28. októbra 2026

Kritické chyby v jadre Snort 3 ohrozujú firewally Cisco FTD, Meraki MX aj routery s IOS XE

Cisco 21. októbra 2026 opravilo sériu chýb v detekčnom jadre Snort 3. To používajú jeho firewally a bezpečnostné brány. Najvážnejšie majú skóre CVSS 9,0. Zneužitie zatiaľ nie je známe. Dočasné riešenie neexistuje, takže jedinou ochranou je aktualizácia.

Čo sa stalo

Snort je „mozog“ mnohých firewallov a systémov na odhaľovanie útokov. Prezerá sieťovú prevádzku, ktorá cez zariadenie prechádza, a hľadá v nej znaky útokov. Snort patrí spoločnosti Cisco. Verziu Snort 3 používa vo firewalloch Secure Firewall Threat Defense (FTD), v zariadeniach Meraki MX, v routeroch s IOS XE aj v cloudových službách.

Tím, ktorý Snort 3 vyvíja, urobil rozsiahlu internú bezpečnostnú kontrolu. Okrem bežných testovacích postupov pri nej využil aj najnovšie modely umelej inteligencie. Našiel viacero chýb, ktoré Cisco zoskupilo podľa typu do štyroch identifikátorov: CVE-2026-20043, CVE-2026-20236, CVE-2026-20291 a CVE-2026-20356.

Výrobca opravy zverejnil 21. októbra 2026 a celé upozornenie označil ako kritické. O deň neskôr, 22. októbra 2026, aktualizoval tabuľku opravených verzií pre IOS XE. Podľa Cisca ide o chyby nájdené interne. Firma nevie o tom, že by ich niekto zneužíval alebo že by boli verejne opísané.

Prečo je to nebezpečné

Najvážnejšia skupina, CVE-2026-20043, je zápis mimo vyhradenej pamäte (out-of-bounds write). Predstavte si formulár s políčkom na desať znakov, do ktorého niekto napíše sto a text sa prepíše do vedľajších políčok. Takáto chyba môže v programe spôsobiť pád, v horšom prípade aj spustenie cudzích inštrukcií. Druhá skupina, CVE-2026-20236, sa týka nesprávneho výpočtu, napríklad zle spočítanej veľkosti údajov.

Nebezpečné je najmä to, kde Snort beží. Prezerá aj prevádzku, ktorá prichádza z internetu. Podľa vektora CVSS pri CVE-2026-20043 sa útočník nemusí nikde prihlasovať a nepotrebuje ani pomoc používateľa. Pri úspechu by mohol ovplyvniť aj samotný firewall, teda bránu do celej firemnej siete. Ten istý vektor však hovorí, že útok je technicky náročný a závisí od ďalších podmienok. Pri CVE-2026-20236 uvádza NVD vektor s dopadom len na dostupnosť, teda hrozí najmä výpadok.

CVSS je stupnica závažnosti od 0 do 10. V databáze NVD má CVE-2026-20043 skóre 9,0 podľa CVSS 3.1, čo je kritická úroveň. CVE-2026-20236 má v NVD skóre 7,5. Cisco ho však vo svojom upozornení hodnotí na 9,0. Skóre v upozornení totiž zodpovedá najhoršej jednotlivej chybe v danej skupine. Zvyšné dve skupiny, CVE-2026-20291 a CVE-2026-20356, majú podľa Cisca 7,8 a 7,5.

Americký katalóg CISA KEV, zoznam chýb, ktoré útočníci preukázateľne zneužívajú, tieto chyby k 28. októbru 2026 neobsahuje. Ani európska databáza EUVD pri nich neuvádza zneužitie. Skóre EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. Pri oboch CVE je pod pol percenta, teda nízke. To však nie je dôvod odkladať aktualizáciu, lebo dočasné riešenie neexistuje.

Koho sa to týka

Cisco uvádza, že zasiahnuté sú tieto produkty bez ohľadu na ich nastavenie:

  • Cisco Secure Firewall Threat Defense (FTD), vetvy 7.0 a staršie, 7.2, 7.4, 7.6, 7.7, 10.0 a 10.1 pred opravenými verziami
  • Unified Threat Defense (UTD) na Cisco IOS XE, vetvy 17.12, 17.15, 17.18, 26.1 a 26.2
  • Cisco Meraki MX Security Appliances
  • Cisco Cyber Vision pred verziou 5.6.0
  • Open Source Snort 3 pred verziou 3.12.4.0
  • Cloudové služby Cisco Cloud-delivered Firewall (CDFW) a Cisco Secure Access (CSA)

Typicky ide o firemné firewally na hranici siete, pobočkové routery s funkciou ochrany proti útokom a priemyselné siete monitorované cez Cyber Vision. Netýka sa to staršieho Snortu 2, ktorý však už nemá podporu. Podľa Cisca nie je známe, že by boli zasiahnuté iné než vymenované produkty.

Ako zistiť, či ste zasiahnutí

Na firewalle FTD sa prihláste do príkazového riadka a zistite verziu softvéru. Verziu vidíte aj v správcovskom rozhraní Firewall Management Center alebo Device Manager v prehľade zariadení.

show version

Na routeri s IOS XE si overte verziu systému a to, či beží kontajner UTD so Snortom. Oba príkazy len čítajú.

show version
show app-hosting list

Ak používate samostatný Open Source Snort 3 na Linuxe, verziu vypíše tento príkaz:

snort -V

Pri Cyber Vision nájdete verziu v administrácii webového rozhrania. Pri Meraki MX skontrolujte v Meraki Dashboarde, či je zariadenie online a pripojené.

Ako to opraviť

Cisco výslovne uvádza, že žiadne dočasné riešenie neexistuje. Jedinou ochranou je aktualizácia na opravenú verziu:

  • Secure FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 alebo 10.1.0 podľa vašej vetvy
  • UTD na IOS XE: 17.12.8, 17.15.6, 17.18.5, 26.1.2 alebo 26.2.1
  • Cyber Vision: 5.6.0, staršie verzie treba migrovať na opravenú
  • Open Source Snort 3: 3.12.4.0

Meraki MX netreba riešiť ručne. Podľa Cisca boli k 21. októbru 2026 automaticky aktualizované všetky dotknuté zariadenia, ktoré sú online a pripojené k Meraki Dashboardu. Skontrolujte zariadenia, ktoré v tom čase neboli online alebo pripojené. Pri cloudových službách CDFW a CSA upozornenie Cisca neuvádza žiadne kroky pre zákazníka. Ak si nie ste istí, obráťte sa na podporu Cisco.

Odporúčaný postup:

  • Spíšte všetky zariadenia Cisco, ktoré používajú Snort 3, a ich verzie.
  • Začnite firewallmi na hranici siete, ktoré prijímajú prevádzku z internetu.
  • Pred aktualizáciou zálohujte konfiguráciu a overte, že zariadenie má dosť pamäte pre novú verziu.
  • Aktualizáciu naplánujte do servisného okna a po nej overte verziu a funkčnosť.
  • Ak nemáte servisnú zmluvu, Cisco TAC poskytne opravu zadarmo po predložení sériového čísla a odkazu na upozornenie.

Čo ak už ste mohli byť napadnutí

Cisco o zneužití nevie a vo svojom upozornení neuvádza žiadne indikátory napadnutia. Ak ste však aktualizáciu dlho odkladali, oplatí sa urobiť základnú kontrolu:

  • Neočakávané pády alebo reštarty procesu Snort či celého zariadenia v systémových logoch.
  • Zmeny konfigurácie, ktoré nikto z vášho tímu nerobil.
  • Neznáme správcovské účty alebo prihlásenia z nezvyčajných adries.
  • Nezvyčajné odchádzajúce spojenia priamo zo samotného firewallu.

Ak nájdete niečo podozrivé, zariadenie nevypínajte a nič nemažte, aby sa zachovali stopy. Obráťte sa na Cisco TAC alebo na firmu, ktorá sa venuje riešeniu bezpečnostných incidentov.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

← Všetky hrozby · RSS

Potrebujete pomôcť s opravou alebo kontrolou?

Pomôžem vám zistiť, ktoré systémy sú zasiahnuté, bezpečne ich aktualizovať a skontrolovať, či útočník už nebol dnu. Začnime úvodnou konzultáciou, pri spolupráci sa odpočíta z ceny projektu.

Pozrieť cenník jozef@walterstein.eu