Kritické chyby v jádru Snort 3 ohrožují firewally Cisco FTD, Meraki MX i router…

Co se stalo

Snort je „mozek“ mnoha firewallů a systémů pro odhalování útoků. Prohlíží síťový provoz, který zařízením prochází, a hledá v něm známky útoků. Snort patří společnosti Cisco. Verzi Snort 3 používá ve firewallech Secure Firewall Threat Defense (FTD), v zařízeních Meraki MX, v routerech s IOS XE i v cloudových službách.

Tým, který Snort 3 vyvíjí, provedl rozsáhlou interní bezpečnostní kontrolu. Kromě běžných testovacích postupů při ní využil i nejnovější modely umělé inteligence. Našel řadu chyb, které Cisco seskupilo podle typu do čtyř identifikátorů: CVE-2026-20043, CVE-2026-20236, CVE-2026-20291 a CVE-2026-20356.

Výrobce opravy zveřejnil 21. října 2026 a celé upozornění označil jako kritické. O den později, 22. října 2026, aktualizoval tabulku opravených verzí pro IOS XE. Podle Cisca jde o chyby nalezené interně. Firma neví o tom, že by je někdo zneužíval nebo že by byly veřejně popsány.

Proč je to nebezpečné

Nejzávažnější skupina, CVE-2026-20043, je zápis mimo vyhrazenou paměť (out-of-bounds write). Představte si formulář s políčkem na deset znaků, do kterého někdo napíše sto a text přeteče do sousedních políček. Taková chyba může v programu způsobit pád, v horším případě i spuštění cizích instrukcí. Druhá skupina, CVE-2026-20236, se týká chybného výpočtu, například špatně spočítané velikosti dat.

Nebezpečné je hlavně to, kde Snort běží. Prohlíží i provoz, který přichází z internetu. Podle vektoru CVSS u CVE-2026-20043 se útočník nemusí nikam přihlašovat a nepotřebuje ani součinnost uživatele. Při úspěchu by mohl ovlivnit i samotný firewall, tedy bránu do celé firemní sítě. Tentýž vektor ale říká, že útok je technicky náročný a závisí na dalších podmínkách. U CVE-2026-20236 uvádí NVD vektor s dopadem jen na dostupnost, hrozí tedy hlavně výpadek.

CVSS je stupnice závažnosti od 0 do 10. V databázi NVD má CVE-2026-20043 skóre 9,0 podle CVSS 3.1, což je kritická úroveň. CVE-2026-20236 má v NVD skóre 7,5. Cisco ho ale ve svém upozornění hodnotí na 9,0. Skóre v upozornění totiž odpovídá nejhorší jednotlivé chybě v dané skupině. Zbývající dvě skupiny, CVE-2026-20291 a CVE-2026-20356, mají podle Cisca 7,8 a 7,5.

Americký katalog CISA KEV, seznam chyb, které útočníci prokazatelně zneužívají, tyto chyby k 28. říjnu 2026 neobsahuje. Ani evropská databáze EUVD u nich neuvádí zneužití. Skóre EPSS odhaduje pravděpodobnost zneužití v nejbližších 30 dnech. U obou CVE je pod půl procenta, tedy nízké. To ale není důvod aktualizaci odkládat, protože dočasné řešení neexistuje.

Koho se to týká

Cisco uvádí, že zasaženy jsou tyto produkty bez ohledu na jejich nastavení:

Cisco Secure Firewall Threat Defense (FTD), větve 7.0 a starší, 7.2, 7.4, 7.6, 7.7, 10.0 a 10.1 před opravenými verzemi
Unified Threat Defense (UTD) na Cisco IOS XE, větve 17.12, 17.15, 17.18, 26.1 a 26.2
Cisco Meraki MX Security Appliances
Cisco Cyber Vision před verzí 5.6.0
Open Source Snort 3 před verzí 3.12.4.0
Cloudové služby Cisco Cloud-delivered Firewall (CDFW) a Cisco Secure Access (CSA)

Typicky jde o firemní firewally na hranici sítě, pobočkové routery s funkcí ochrany proti útokům a průmyslové sítě monitorované přes Cyber Vision. Netýká se to staršího Snortu 2, který ale už nemá podporu. Podle Cisca není známo, že by byly zasaženy jiné než vyjmenované produkty.

Jak zjistit, zda jste zasaženi

Na firewallu FTD se přihlaste do příkazového řádku a zjistěte verzi softwaru. Verzi vidíte i ve správcovském rozhraní Firewall Management Center nebo Device Manager v přehledu zařízení.

show version

Na routeru s IOS XE si ověřte verzi systému a to, zda běží kontejner UTD se Snortem. Oba příkazy jen čtou.

show version
show app-hosting list

Pokud používáte samostatný Open Source Snort 3 na Linuxu, verzi vypíše tento příkaz:

snort -V

U Cyber Vision najdete verzi v administraci webového rozhraní. U Meraki MX zkontrolujte v Meraki Dashboardu, zda je zařízení online a připojené.

Jak to opravit

Cisco výslovně uvádí, že žádné dočasné řešení neexistuje. Jedinou ochranou je aktualizace na opravenou verzi:

Secure FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 nebo 10.1.0 podle vaší větve
UTD na IOS XE: 17.12.8, 17.15.6, 17.18.5, 26.1.2 nebo 26.2.1
Cyber Vision: 5.6.0, starší verze je třeba migrovat na opravenou
Open Source Snort 3: 3.12.4.0

Meraki MX není třeba řešit ručně. Podle Cisca byla k 21. říjnu 2026 automaticky aktualizována všechna dotčená zařízení, která jsou online a připojená k Meraki Dashboardu. Zkontrolujte zařízení, která v té době nebyla online nebo připojená. U cloudových služeb CDFW a CSA upozornění Cisca neuvádí žádné kroky pro zákazníka. Pokud si nejste jistí, obraťte se na podporu Cisco.

Doporučený postup:

Sepište všechna zařízení Cisco, která používají Snort 3, a jejich verze.
Začněte firewally na hranici sítě, které přijímají provoz z internetu.
Před aktualizací zálohujte konfiguraci a ověřte, že zařízení má dost paměti pro novou verzi.
Aktualizaci naplánujte do servisního okna a poté ověřte verzi a funkčnost.
Pokud nemáte servisní smlouvu, Cisco TAC poskytne opravu zdarma po doložení sériového čísla a odkazu na upozornění.

Co když už jste mohli být napadeni

Cisco o zneužití neví a ve svém upozornění neuvádí žádné indikátory napadení. Pokud jste ale aktualizaci dlouho odkládali, vyplatí se udělat základní kontrolu:

Neočekávané pády nebo restarty procesu Snort či celého zařízení v systémových lozích.
Změny konfigurace, které nikdo z vašeho týmu neprováděl.
Neznámé správcovské účty nebo přihlášení z neobvyklých adres.
Neobvyklá odchozí spojení přímo ze samotného firewallu.

Pokud najdete něco podezřelého, zařízení nevypínejte a nic nemažte, aby se zachovaly stopy. Obraťte se na Cisco TAC nebo na firmu, která se zabývá řešením bezpečnostních incidentů.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Kritické chyby v jádru Snort 3 ohrožují firewally Cisco FTD, Meraki MX i routery s IOS XE