CVE-2026-24061: Chyba Telnetd, která i „bezpečnou“ síť promění na root přístup

Když je „všechno aktualizované“ a stejně vznikne root přístup

Mnoho bezpečnostních programů vypadá skvěle na papíře.

• Perimetr je zpevněný.
• Hesla se pravidelně mění.
• Nástroje jsou aktualizované.
• Skeny jsou zelené.
• Politiky existují.

A přesto může jediná zapomenutá služba nebo chyba v důvěryhodné součásti během vteřin zničit vše.

Právě proto je CVE-2026-24061 důležitá.

Je to připomínka, že „bezpečné“ neznamená „neprůstřelné“. Znamená to „těžší prolomit“. Útočníci si vždy vyberou nejjednodušší cestu.

Co je CVE-2026-24061, stručně

CVE-2026-24061 je kritické obejití autentizace v GNU InetUtils telnetd. Týká se verzí 1.9.3 až 2.7 a má CVSS 9.8.

Zjednodušeně: Telnet démon předá útočníkem ovlivnitelnou hodnotu USER do procesu login bez dostatečné sanitizace, což může vést k argument injection a následnému root přístupu bez platné autentizace.

Zranitelnost byla zveřejněna bezpečnostním doporučením od Simona Josefssona a původně ji našel a zodpovědně nahlásil Kyu Neushwaistein (Carlos Cortes Alvarez).

Po zveřejnění se velmi rychle objevila aktivita v reálném světě a zároveň se ukázalo, že Telnet je na internetu stále masivně rozšířený.

Proč to působí jako „backdoor“ (i když to backdoor není)

Nikdo sem úmyslně nevložil zadní vrátka. Je to chyba.

Ale z pohledu útočníka vypadá výsledek podobně: cesta k root přístupu, která obejde kontrolní mechanismy, na které se spoléháte.

To je nepříjemná lekce: i legitimní, široce používaný a aktualizovaný software může obsahovat chybu, která otevře dveře, o nichž jste nevěděli.

A nevíme, kolik podobných slabin je každý den zneužíváno kriminálními skupinami nebo státem podporovanými útočníky bez toho, aby se kdy dostaly na veřejnost.

Scénář „bezpečného klienta“, který přesto selže

Představte si klienta s:

• Dobře segmentovanou sítí.
• Silným perimetrem a zpevněnými veřejnými službami.
• Pravidelným patchováním a moderní ochranou endpointů.
• Bezpečným životním cyklem hesel a MFA.
• Aktuálními nástroji na serverech a síťových prvcích.

Teď přidejte jednu běžnou realitu:

Někde stále existuje legacy správcovská služba – starý appliance, embedded Linux, lab segment, OT síť nebo „dočasná“ administrátorská zkratka, která už zůstala. Telnet je typický příklad, protože se objevuje tam, kde ho lidé přestali hledat.

Pokud útočník získá jakýkoli foothold – ukradené přihlašovací údaje, kompromitovaný VPN účet, phishing, dodavatelský incident – perimetr přestává být hlavní problém.

Uvnitř sítě může zapomenutý Telnet a CVE-2026-24061 vytvořit nejkratší cestu k eskalaci práv a laterálnímu pohybu.

Proč je důležitý assumed breach přístup

Tradiční penetrační testy často řeší otázku „dostaneme se dovnitř“.

Assumed breach obrací otázku na „co se stane, když už útočník uvnitř je“.

To je klíčové, protože moderní útoky zřídka selžou na perimetru navždy. Útočníci zkoušejí více možností, identity a dodavatelské cesty, dokud něco nevyjde.

Assumed breach test ověřuje věci, které vám patchovací dashboard neukáže:

• Zda lze pivotovat mezi segmenty.
• Zda lze dosáhnout na management plane a admin služby.
• Zda lze eskalovat na doménové nebo root oprávnění.
• Zda lze exfiltrovat data bez detekce.
• Zda SOC dokáže cestu útočníka včas zachytit.

CVE-2026-24061 je ideální příklad, protože ukazuje, jak jediná služba dokáže proměnit interní přístup v plnou kontrolu.

Co by firmy měly udělat teď

Praktické kroky, které snižují riziko Telnet třídních problémů a podobných „neočekávaných root dveří“:

• Odstraňte Telnet, kde to jde: Nahraďte ho SSH nebo moderními kanály správy. Pokud Telnet musí zůstat, maximálně ho izolujte.
• Najděte to, co jste zapomněli: Asset inventory musí zahrnovat služby a naslouchající porty. Pravidelně ověřujte, že se port 23 a další legacy porty nevrací po reinstalle, vendor image nebo emergency změně.
• Patchujte rychle, ale počítejte i s obdobím „bez patchů“: Když nejde hned aktualizovat, musí existovat kompenzační opatření: vypnout službu, omezit na IP, filtrovat firewallem nebo blokovat na hranicích segmentů.
• Segmentujte management jako produkční data: Jump hosty, MFA a minimální routování i přístupové cesty.
• Detekce pro legacy protokoly: Alerty na Telnet spojení, neobvyklé root přihlášení a anomálie v autentizačních tocích.

Jak může pomoci Haxoris

Pokud chcete proměnit tuto lekci v měřitelná zlepšení bezpečnosti, Haxoris pomůže například:

• Assumed breach penetrační testování.
• Interní síťové a Active Directory testování.
• Testování externího attack surface a perimetru.
• Purple team cvičení.
• Security hardening review.

Závěrečná myšlenka

CVE-2026-24061 není jen Telnet příběh.

Je to příběh o viditelnosti, testování a pokoře.

Protože tvrdá realita infrastruktury je jednoduchá: můžete dělat spoustu věcí správně a stejně prohrát na jeden přehlédnutý detail.

Assumed breach přístup takový detail najde dřív, než ho najde útočník.