Cisco Meraki: kritické chyby vo firmvéri firewallov, switchov, Wi-Fi a kamier

Čo sa stalo

Cisco 7. októbra 2026 zverejnilo bezpečnostné upozornenie Cisco Meraki Security Hardening Release: October 2026 a označilo ho ako kritické. Týka sa firmvéru sieťových zariadení Meraki, teda switchov, Wi-Fi prístupových bodov, firewallov a SD-WAN zariadení, mobilných brán a kamier, a tiež zariadení Cisco Campus Gateway.

Nejde o jednu chybu, ale o celý balík zraniteľností, ktoré Cisco našlo pri vlastnej internej bezpečnostnej kontrole. Výrobca uvádza, že okrem bežných testovacích postupov pri tom použil aj najnovšie modely umelej inteligencie. Chyby rozdelil podľa typu do siedmich skupín a každej skupine pridelil jedno označenie CVE.

Podľa Cisco nie je známe, že by útočníci tieto chyby zneužívali. Bezpečnostný tím Cisco PSIRT nevie ani o tom, že by o nich niekto verejne informoval. Cisco vydalo opravený firmvér, verzia 33.1.4 pre Campus Gateway má však prísť až v polovici novembra 2026. Cisco upozornenie postupne dopĺňalo, naposledy 9. novembra 2026.

Prečo je to nebezpečné

Najvážnejšia skupina, CVE-2026-76464, zahŕňa chyby pri práci s pamäťou, napríklad pretečenie vyrovnávacej pamäte. Predstavte si pohár, do ktorého niekto naleje viac vody, než sa zmestí. Voda vytečie a premočí všetko okolo. V programe to znamená, že dáta prepíšu susednú pamäť a útočník tak môže narušiť alebo ovplyvniť beh zariadenia.

Cisco túto skupinu ohodnotilo skóre 9,6 z 10 podľa CVSS 3.1, čo je kritická úroveň. CVSS je medzinárodná stupnica závažnosti zraniteľností. Skóre každej skupiny podľa Cisco zodpovedá najzávažnejšej chybe v nej. Prehľad podľa hodnotenia Cisco:

CVE-2026-76464 (9,6): chyby pamäte, pretečenie vyrovnávacej pamäte
CVE-2026-76463 (8,8): nesprávne riadenie prístupu a obchádzanie oprávnení
CVE-2026-76470 (8,8): chybné výpočty, napríklad pretečenie celého čísla
CVE-2026-76472 (8,8): vkladanie príkazov do systému
CVE-2026-76468 (8,2): nedostatočná kontrola vstupov
CVE-2026-76467 (7,5): chybná správa zdrojov a pamäte
CVE-2026-76469 (7,4): chyby v riadení behu programu, napríklad nekonečné slučky

Dôležitá podmienka: pri najzávažnejších chybách útočník podľa hodnotenia Cisco nepotrebuje prihlásenie ani spoluprácu používateľa, musí však byť v tej istej lokálnej sieti ako zariadenie. Priamo z internetu to podľa hodnotenia nejde. CVE-2026-76472 vyžaduje lokálny prístup a nízke oprávnenia. Cisco nezverejnilo, čo presne by útočník dosiahol. Pri CVE-2026-76464 však hodnotenie počíta s vysokým dopadom na dôvernosť, integritu aj dostupnosť.

Štyri najvážnejšie skupiny nie sú v katalógu CISA KEV, kam americká agentúra CISA zapisuje potvrdene zneužívané zraniteľnosti. Zneužitie pri nich neeviduje ani európska databáza EUVD. Ich skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, bolo k 9. novembru 2026 len 0,13 % až 0,2 %.

Koho sa to týka

Podľa Cisco sú zraniteľné tieto produkty bez ohľadu na nastavenie, ak na nich beží firmvér starší ako prvé opravené vydanie:

Cisco Campus Gateway
Meraki MG, mobilné brány
Meraki MR, Wi-Fi prístupové body
Meraki MS, switche
Meraki MV, inteligentné kamery
Meraki MX, firewally a SD-WAN zariadenia vrátane modelu Z3

Meraki je obľúbený v malých a stredných firmách, školách a pobočkových sieťach, pretože sa celý spravuje z cloudovej konzoly Meraki Dashboard. Typicky ide o firewall na hranici siete, switche v serverovni a Wi-Fi prístupové body pre zamestnancov aj hostí.

Podľa Cisco nie je známe, že by tieto chyby postihovali iné produkty. Ak cez Meraki Dashboard spravujete aj zariadenia Cisco Catalyst, platí pre ne samostatné upozornenie Cisco IOS XE Software Security Hardening Release: August 2026.

Ako zistiť, či ste zasiahnutí

Najjednoduchšie je pozrieť sa do Meraki Dashboardu. V menu Organization > Firmware upgrades vidíte aktuálnu verziu firmvéru pre každú sieť a typ zariadenia. Verziu konkrétneho zariadenia nájdete aj priamo na jeho stránke.

Ak používate Meraki Dashboard API, zoznam zariadení aj s verziou firmvéru získate čítacím dopytom. Stačí na to API kľúč s oprávnením len na čítanie.

curl -s -H "Authorization: Bearer $MERAKI_API_KEY" "https://api.meraki.com/api/v1/organizations/ORG_ID/devices"

Za ORG_ID doplňte ID svojej organizácie, ktoré vráti dopyt na https://api.meraki.com/api/v1/organizations. Hodnotu v poli firmware porovnajte so zoznamom opravených verzií v nasledujúcej časti.

Ako to opraviť

Cisco uvádza, že dočasné riešenie neexistuje. Jedinou ochranou je aktualizácia firmvéru. Prvé opravené vydania podľa radu zariadení:

Campus Gateway: 32.2 → 32.2.5, 33.1 → 33.1.4 (Cisco ho ohlásilo na polovicu novembra 2026)
MG: 4.1 → 4.1.4 (len pre MG21/E), 26.1 → 26.1.4
MR: 30.7 → 30.7.3 (len rad Wi-Fi 5 Wave 2), 31.1 → 31.1.8.1 (len MR45/55), 32.2 → 32.2.5, 33.1 → 33.1.3
MS: 17.2 aj 18.1 → 18.1.9, IOS XE 17.15 → IOS XE 17.15.6, IOS XE 17.18 → IOS XE 17.18.4.1, IOS XE 26.1 → IOS XE 26.1.2
MV: 7 → 8.0
MX: 18.1 → 18.107.14, 19.2 → 19.2.9 (odporúčané len pre Z3), 26.1 → 26.1.7, 26.2 → 26.2.3

Odporúčaný postup:

Spíšte si všetky zariadenia Meraki a ich aktuálne verzie.
Začnite tam, kde sa do siete pripájajú ľudia alebo zariadenia, ktorým úplne nedôverujete: hosťovská Wi-Fi, pobočky, verejne prístupné priestory. Útok totiž vyžaduje prístup do lokálnej siete.
V Meraki Dashboarde naplánujte aktualizáciu v menu Organization > Firmware upgrades mimo pracovného času. Zariadenia sa reštartujú a krátko nebudú dostupné.
Ak sa vám verzia 18.107.14 alebo 19.2.9 neponúka, Cisco odporúča kontaktovať technickú podporu Cisco Meraki.
Po aktualizácii overte verziu rovnako ako v predchádzajúcej časti.

Kým aktualizáciu nasadíte, pomôže ako všeobecné opatrenie obmedziť, kto sa môže pripojiť do jednotlivých sieťových segmentov. Oddeľte hosťovskú Wi-Fi od firemnej siete a nepúšťajte neznáme zariadenia do kabeláže. Výrobca to však ako náhradu za opravu neuvádza.

Čo ak už ste mohli byť napadnutí

Cisco nevie o žiadnom zneužití týchto chýb a nezverejnilo žiadne indikátory napadnutia. Krátka kontrola však nezaškodí, najmä ak máte otvorenú hosťovskú sieť.

V Meraki Dashboarde si prejdite Organization > Change log a hľadajte zmeny konfigurácie, ktoré nikto z vás neurobil.
V Organization > Administrators skontrolujte, či tam nie sú neznáme účty správcov.
V Network-wide > Event log hľadajte nečakané reštarty alebo výpadky zariadení.
Skontrolujte, či sa nezmenili pravidlá firewallu, nastavenia VPN alebo Wi-Fi sietí.

Ak nájdete zmeny, ktoré neviete vysvetliť, neznámy účet alebo zvláštne správanie siete, kontaktujte technickú podporu Cisco Meraki alebo odborníka na riešenie bezpečnostných incidentov. Dovtedy nič nemažte, aby zostali stopy zachované.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.