IT vijesti: kritične CVE-ranjivosti u oblaku (1. 11. 2026.)

Glavna vijest

Najveća IT priča uoči studenoga sigurnosni je propust najviše težine koji pogađa Kubernetes okoline na Azureu. Ranjivost, praćena oznakom CVE-2026-83938, dobila je savršenih 10,0 na ljestvici CVSS, najvišu moguću ocjenu težine. Pogađa Azureovu uslugu Kubernetes Configuration kada radi uz HashiCorp Consul s omogućenim sustavnim upravljanjem ACL-ovima. Napadač koji može izraditi token ServiceAccount u imenskom prostoru različitom od Consulova i koji ima mrežni pristup API-ju Consula mogao bi iskoristiti propust. Iako preduvjeti sužavaju krug stvarno izloženih, najviša ocjena težine znači da organizacije koje koriste upravo tu kombinaciju trebaju odmah zakrpati sustave. To je važno jer Kubernetes čini temelj golemih dijelova korporativne i oblačne infrastrukture, a propust na vrhu ljestvice težine u upravljanoj usluzi velikog pružatelja oblaka ozbiljno je upozorenje za sve koji koriste miješane Kubernetes–Consul postave.

Sigurnost i oblak

Drugi kritični propust ovog tjedna potresa svijet oblaka. Akamai je 31. listopada potvrdio da istražuje kritičnu ranjivost udaljenog izvršavanja koda, CVE-2026-98432, u Linodeu, platformi za oblačni hosting koja mu pripada. RCE greške među najopasnijim su klasama ranjivosti jer napadačima mogu omogućiti izvršavanje proizvoljnog koda bez valjanih vjerodajnica, što otvara vrata potpunom preuzimanju sustava, krađi podataka ili daljnjem kretanju unutar korisnikova okruženja. Korisnici oblačnog hostinga trebali bi pozorno pratiti Akamaijeve smjernice i bilješke o zakrpama.

I infrastruktura otvorenog koda ovog je tjedna doživjela strah. Istraživači Harsh Jaiswal i Rahul Maini iz tvrtke Hacktron pronašli su propust u GNU Savannahu, hosting infrastrukturi iza projekata uključujući Bash, koji je mogao omogućiti umetanje backdoora u izvorni kôd ljuske. Istraživači su propust sigurno demonstrirali stvaranjem bezazlene prazne datoteke na poslužitelju kako bi dokazali da je izvršavanje naredbi moguće, umjesto da diraju stvarni repozitorij. Bash je jedna od najraširenijih ljuski naredbenog retka na svijetu, ugrađena u bezbroj Linux i Unix sustava, pa bi kompromitiranje opskrbnog lanca na njegovu izvoru imalo dalekosežne posljedice. Ohrabruje to što je propust otkriven i odgovorno prijavljen, a ne iskorišten, no pokazuje koliko može biti krhka infrastruktura iza ključnih alata otvorenog koda.

Što se tiče curenja podataka, Frontline Education, pružatelj softvera koji školski okruzi koriste za upravljanje administrativnim funkcijama, potvrdio je povredu podataka koja proizlazi iz incidenta u kolovozu. Pogođeno je otprilike 45.000 osoba povezanih sa školskim okrugom Killeen. Sustavi školske administracije čuvaju osjetljive podatke o učenicima, obiteljima i osoblju, zbog čega ovakve povrede ostaju stalna briga obrazovnog sektora, koji je zbog razmjerno skromnih proračuna za kibernetičku sigurnost postao čest cilj napadača.

Zajedno, ove priče upućuju na obrazac: kritična infrastruktura, bilo da je riječ o upravljanoj Kubernetes usluzi, platformi za oblačni hosting, ključnim alatima otvorenog koda ili specijaliziranom obrazovnom softveru, stalno otkriva ozbiljne ranjivosti. Disciplina u zakrpanju i brz odgovor dobavljača i dalje su najbolja obrana.

Industrija i politika

Izvan ranjivosti, istraživačka bilješka PitchBooka objavljena 30. listopada prikazuje kako aktualni procvat gradnje podatkovnih centara privlači privatni investicijski kapital u područja daleko izvan čipova i poslužitelja. Izvješće je utvrdilo da novac teče u plinovode, sustave za gašenje požara pa čak i teretne brodove, jer infrastruktura potrebna za podršku golemim novim podatkovnim centrima nadilazi tradicionalni IT hardver. To je važno za širu IT industriju jer pokazuje koliko duboko aktualno širenje podatkovnih centara preoblikuje srodne industrije; u izvješću, koje prati desetke tvrtki danas smatranih „izloženima podatkovnim centrima”, sudjelovalo je šest PitchBookovih analitičara. Kupcima IT-a i planerima infrastrukture to je podsjetnik da su ograničenja kapaciteta podatkovnih centara vezana uz opskrbne lance daleko izvan uobičajenih dobavljača čipova i poslužitelja.

Zašto je to važno

Vijesti ovog tjedna podsjećaju da s većim prelaskom računalstva na upravljane oblačne usluge raste i radijus štete jedne kritične ranjivosti. Greška s ocjenom CVSS 10,0 u Kubernetes ponudi velikog pružatelja oblaka, kritični RCE na platformi za hosting i umalo ostvareni backdoor u temeljnom softveru otvorenog koda pojavili su se u istom kratkom razdoblju. Zajedno sa stvarnim curenjem podataka kod dobavljača školskog softvera, to je presjek koliko povjerenja organizacije polažu u infrastrukturu koju ne kontroliraju u potpunosti i zašto brzo zakrpanje i transparentnost dobavljača ostaju ključni.