CVE-2026-24061: napaka v telnetd, ki v »varnem« omrežju odpre korenski dostop (root)

Ko so »vsi popravki nameščeni«, napadalec pa vseeno dobi korenski dostop

Marsikateri varnostni program je na papirju videti trden.

  • Obod omrežja je utrjen.
  • Gesla se redno menjajo.
  • Orodja so posodobljena.
  • Skenerji ranljivosti kažejo zeleno.
  • Varnostne politike so sprejete.

In vendar lahko ena sama spregledana storitev ali ena nepričakovana napaka v zaupanja vredni komponenti vse to izniči v nekaj sekundah.

Prav zato je ranljivost CVE-2026-24061 pomembna.

Ta ranljivost v Telnetu opominja, da »varno« ne pomeni »vdor ni mogoč«. Pomeni le »vdor je težji«. Napadalci pa imajo najraje najlažjo pot.

Kaj je CVE-2026-24061, na kratko

CVE-2026-24061 je kritičen obhod avtentikacije v strežniku telnetd iz paketa GNU InetUtils. Prizadete so različice od 1.9.3 do 2.7, ranljivost pa ima oceno CVSS 9,8.

V grobem: strežnik Telnet vrednost USER, ki jo nadzoruje napadalec, brez ustreznega čiščenja posreduje sistemskemu procesu za prijavo. To lahko privede do napada argument injection (vrivanje argumentov) in obhoda avtentikacije, ki se konča s korenskim dostopom (root).

Ranljivost je v varnostnem obvestilu javno razkril Simon Josefsson, sodelavec projekta GNU, odkril in odgovorno prijavil pa jo je Kyu Neushwaistein (Carlos Cortes Alvarez).

Še bolj zaskrbljujoče je, da so raziskovalci kmalu po razkritju opazili dejansko aktivnost napadalcev, poročila pa govorijo tudi o velikem številu storitev Telnet, ki so po vsem svetu izpostavljene internetu.

Zakaj je to videti kot »stranska vrata« (čeprav to niso)

Tukaj nihče ni namerno vgradil stranskih vrat (backdoor). Gre za napako.

Z napadalčevega vidika pa je izid podoben: pot do roota, ki obide varnostne ukrepe, na katere se zanašate.

Nauk je neprijeten: tudi povsem legitimna, široko uporabljana in nedavno posodobljena programska oprema lahko vsebuje napako, ki odpre vrata, za katera sploh niste vedeli, da obstajajo.

In ne vemo, koliko podobnih šibkosti vsak dan izkoriščajo kriminalne združbe ali akterji, ki jih podpirajo države, ne da bi bile kdaj javno razkrite.

Scenarij »varne stranke«, ki vseeno odpove

Predstavljajte si stranko, ki ima:

  • dobro zasnovano, segmentirano omrežje
  • močno zaščito oboda in utrjene storitve, izpostavljene internetu
  • redno nameščanje popravkov in sodobno zaščito končnih točk
  • varno upravljanje gesel skozi ves življenjski cikel in večfaktorsko avtentikacijo (MFA)
  • posodobljena orodja na strežnikih in omrežnih napravah

Zdaj dodajte podrobnost, ki je v praksi pogosta:

Nekje še vedno teče zastarela storitev za upravljanje – morda na stari napravi, na vgrajenem sistemu z Linuxom, v laboratorijskem segmentu, v omrežju OT ali kot »začasna« skrbniška bližnjica, ki je ni nihče nikoli odstranil. Telnet je klasičen primer, saj se vedno znova pojavlja tam, kjer so ljudje nanj pozabili.

Dovolj je, da napadalec dobi kakršno koli oporišče – ukradene prijavne podatke, kompromitirano končno točko VPN, delovno postajo, prevzeto s phishingom (spletno ribarjenje), ali vdor pri dobavitelju. Takrat obod omrežja ni več glavna težava.

Znotraj omrežja lahko pozabljena storitev Telnet skupaj z ranljivostjo, kakršna je CVE-2026-24061, postane najkrajša pot do privilege escalation (dviga pravic) in lateral movement (bočnega premikanja po omrežju).

Zakaj je testiranje po scenariju assumed breach pomembno

Klasični penetracijski testi se pogosto osredotočajo na vprašanje »ali lahko pridemo noter«.

Assumed breach (predpostavka, da je napadalec že v omrežju) vprašanje obrne: »kaj se zgodi, ko je nekdo že notri«.

Razlika je pomembna, ker se sodobni vdori le redko za vedno ustavijo na obodu. Napadalci preizkušajo številne poti, tudi prek dobaviteljev in z napadi na identitete, dokler ena ne uspe.

Test po scenariju assumed breach preveri tisto, česar nadzorna plošča za nameščanje popravkov ne more:

  • ali se napadalec lahko premika med omrežji VLAN in segmenti
  • ali lahko doseže ravnino upravljanja (management plane) in skrbniške storitve
  • ali lahko pravice dvigne do ravni domene ali roota
  • ali lahko neopaženo odnese podatke
  • ali vaš varnostno-operativni center (SOC) napadalčevo pot dejansko opazi dovolj zgodaj, da se lahko odzove

CVE-2026-24061 je za ta pristop šolski primer, saj pokaže, kako lahko ena sama storitev notranji dostop spremeni v popoln nadzor.

Kaj naj podjetja storijo zdaj

Praktični koraki, s katerimi zmanjšate tveganje zaradi ranljivosti, kakršna je ta v Telnetu, in podobnih »nepričakovanih vrat do roota«:

  • Telnet odstranite povsod, kjer je to mogoče: zamenjajte ga s protokolom SSH ali sodobnimi kanali za upravljanje. Če mora Telnet ostati, ga dosledno izolirajte.
  • Poiščite tisto, na kar ste pozabili: vodite popis sredstev, ki vključuje tudi storitve in vrata, na katerih te poslušajo. Sproti preverjajte, da se vrata 23 in druga zastarela skrbniška vrata ne vrnejo ob ponovni postavitvi sistemov, s sistemskimi slikami proizvajalcev ali ob nujnih spremembah.
  • Popravke nameščajte hitro, a računajte tudi na obdobje, ko »popravka še ni«: za CVE-2026-24061 so popravki na voljo v izvornem projektu (upstream), na popravljene izdaje pa se sklicuje več varnostnih obvestil, vendar se številna resnična okolja ne morejo posodobiti takoj. Zato potrebujete kompenzacijske ukrepe: storitev onemogočite, dostop omejite po naslovih IP, postavite jo za požarni zid ali jo blokirajte na mejah omrežja.
  • Dostop za upravljanje segmentirajte, kot da gre za produkcijske podatke: vmesnike za upravljanje postavite za strežnike jump host, zahtevajte MFA in omejite, kdo ima do njih sploh omrežno pot. »Notranje« privzeto obravnavajte kot sovražno.
  • Vzpostavite zaznavanje za zastarele protokole: nastavite opozorila za uporabo Telneta, nepričakovane prijave uporabnika root in neobičajne poteke avtentikacije. Varnostni ukrepi naj izhajajo iz predpostavke, da bo pozabljeno storitev prej ali slej nekdo našel.

Kako lahko pomaga Haxoris

Če želite ta nauk spremeniti v merljive izboljšave varnosti, vam Haxoris lahko pomaga s temi storitvami:

Sklepna misel

CVE-2026-24061 ni le zgodba o Telnetu.

Je zgodba o preglednosti. O testiranju. O ponižnosti.

Neprijetna resnica o varnosti infrastrukture je namreč ta: veliko stvari lahko naredite prav in vseeno izgubite zaradi ene same spregledane podrobnosti.

Če izhajate iz predpostavke, da je napadalec že v omrežju, in testirate kot on, take podrobnosti najdete prej kot napadalec.

Povezane storitve: penetracijski testi omrežja in infrastrukture · red teaming – simulacija resničnega napada

Ne čakajte na napadalce – svojo najšibkejšo točko odkrijte s penetracijskim testom že zdaj

Brezplačni posvet