Čo sa stalo
rConfig je nástroj na správu konfigurácií sieťových zariadení. Pravidelne sa prihlasuje na routery, prepínače a firewally, sťahuje ich nastavenia, ukladá zálohy a vie na zariadeniach spúšťať aj príkazy. Existuje v edíciách rConfig Core a rConfig Pro.
Výrobca 6. novembra 2026 zverejnil bezpečnostné upozornenie rCFG-SA-2026-09 so závažnosťou „Critical“, teda kritická. Chyba je vo fronte úloh, ktorú rConfig používa na prácu na pozadí a ktorá je postavená na databáze Redis a nástroji Laravel Horizon. Útočník cez ňu môže na serveri spustiť ľubovoľné príkazy. Chyba bola nahlásená prostredníctvom spoločnosti VulnCheck a 9. novembra 2026 sa pod označením CVE-2026-124079 objavila aj v americkej databáze NVD.
Opravené verzie sú k dispozícii: rConfig Core 8.2.19 a rConfig Pro 8.4.1. Zneužívanie chyby v praxi zatiaľ nepotvrdil výrobca ani americká agentúra CISA, ktorá ju v čase písania nemá v katalógu zneužívaných zraniteľností KEV. Európska databáza zraniteľností EUVD ju vedie pod číslom EUVD-2026-120037, tiež bez informácie o zneužívaní.
Prečo je to nebezpečné
Ide o chybu typu deserializácia nedôveryhodných dát (CWE-502). Aplikácia si úlohy ukladá do fronty ako „zabalené“ objekty a pri spracovaní ich zas „rozbalí“ a vykoná. Predstavte si podateľňu, ktorá bez kontroly splní každý pokyn z obálky, ak obálka vyzerá úradne. Kto dokáže do fronty vložiť vlastnú obálku, môže serveru prikázať čokoľvek.
Podľa opisu od VulnCheck v dotknutých inštaláciách beží Redis bez hesla, takže útočníkovi stačí sieťový prístup k nemu a nemusí sa nikam prihlasovať. Ak Redis zo siete dostupný nie je, prihlásený používateľ rConfigu môže úlohu doručiť oklikou: vytvorí zariadenie, ktorého adresa smeruje na samotný server rConfig. Výrobca vo svojom upozornení opisuje práve tento scenár s prihláseným používateľom.
Podľa VulnCheck môže útočník spúšťať príkazy pod účtom, pod ktorým beží spracovanie fronty, uložiť na server trvalý webshell (skrytú „zadnú bránku“ dostupnú cez web) a čítať prístupové údaje k databáze, uložené heslá k sieťovým zariadeniam a API tokeny. Výrobca dopĺňa, že na niektorých inštaláciách tento proces bežal ako root, teda s plnými právami na server. S ukradnutými heslami k routerom a firewallom by sa útočník mohol dostať ďalej do siete.
Skóre CVSS vyjadruje závažnosť chyby na stupnici do desiatich bodov. Spoločnosť VulnCheck pridelila podľa CVSS 3.1 hodnotu 9,8 a podľa novšej verzie CVSS 4.0 hodnotu 9,3, obe v kritickom pásme. Katalóg CISA KEV je zoznam chýb, ktoré sa preukázateľne zneužívajú. Táto chyba v ňom zatiaľ nie je a skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia, pre ňu zatiaľ zverejnené nie je. S opravou však nečakajte.
Koho sa to týka
Výrobca a VulnCheck uvádzajú ako zasiahnuté tieto verzie:
- rConfig Core 8.0.0 až 8.2.18 (opravené v 8.2.19)
- rConfig Pro do verzie 8.4.0 vrátane (opravené v 8.4.1)
rConfig zvyčajne beží na vlastnom linuxovom serveri alebo v Dockeri vo firemnej sieti, často v správcovskej časti siete, odkiaľ má prístup k routerom, prepínačom a firewallom. Používajú ho IT oddelenia, poskytovatelia sieťových služieb a správcovia, ktorí potrebujú zálohy konfigurácií. Najväčšie riziko je tam, kde je webové rozhranie alebo Redis dostupný z internetu alebo zo širšej siete.
Ak rConfig nepoužívate, táto chyba sa vás netýka. Pri verzii Core uvádza výrobca aj VulnCheck ako prvú dotknutú verziu 8.0.0.
Ako zistiť, či ste zasiahnutí
Nasledujúce príkazy nič nemenia, len čítajú. Spúšťajte ich na serveri v adresári, kde je rConfig nainštalovaný. Ak ste ho inštalovali cez git, verziu ukáže posledná značka:
git describe --tagsVýsledok core-8.2.18 alebo starší znamená zraniteľnú verziu. Verziu PHP, ktorú budete potrebovať pred aktualizáciou, zistíte takto:
php -vOverte, na akých adresách Redis počúva a či vyžaduje heslo. Na zobrazenie názvu procesu potrebuje ss práva roota. Ak redis-cli ping odpovie PONG bez zadania hesla, Redis je bez autentifikácie. Ak je v stĺpci lokálnej adresy niečo iné ako adresa lokálnej slučky (loopback), napríklad hviezdička alebo IP adresa servera, Redis je dostupný zo siete.
sudo ss -ltnp | grep -i redis
redis-cli pingPod akým používateľom beží Horizon, ukáže nasledujúci príkaz. Ak je v prvom stĺpci root, proces má plné práva na server.
ps -eo user,cmd | grep -i horizonAko to opraviť
Výrobca označuje vydanie 8.2.19 ako bezpečnostné a odporúča ho pre všetky inštalácie 8.x. Na stránke bezpečnostných upozornení radí aktualizovať Core rovno na 8.2.20 alebo novšiu, pretože tá opravuje aj ďalšiu chybu, pri ktorej mohli uniknúť uložené heslá cez export tabuliek (rCFG-SA-2026-10). Verziu Pro aktualizujte na 8.4.1 alebo novšiu. Výrobca ohlásil, že čoskoro vyjde 8.4.2 s ďalšími opravami.
- Urobte zálohu servera alebo snapshot virtuálneho stroja vrátane databázy rConfigu.
- Aktualizujte PHP aspoň na 8.2.35, 8.3.36 alebo 8.4.27. Inak Composer aktualizáciu odmietne.
- Pri prvej aktualizácii Core z verzie 8.2.18 alebo staršej spustite v adresári rConfigu
git pulla potomsudo ./update.sh --no-pull. Pri ďalších aktualizáciách už stačísudo ./update.sh. - Overte, že Horizon nebeží ako root. Pomôže príkaz
php artisan rconfig:check-worker-useralebo kontrola Worker Privilege na dashboarde. - Vymeňte všetky tajomstvá uložené v rConfigu: REST API tokeny, heslá k zariadeniam vrátane enable hesiel a prístupy k SMTP, LDAP a RADIUS. Prejdite zoznam používateľov a odstráňte účty, ktoré nepoznáte.
Oprava zavádza heslo pre Redis, Horizon a plánovač už nebežia ako root a zariadenie už nemôže mať ako cieľ samotný server rConfig. Pozor na zmeny v službách: program pre Supervisor sa premenoval na rconfig-core-horizon a plánovač sa presunul do /etc/cron.d/rconfig-core.
Samostatné dočasné riešenie výrobca neuvádza. Ak nemôžete aktualizovať hneď, ako všeobecné opatrenie zaistite, aby Redis nebol dostupný zo siete a vyžadoval heslo, a webové rozhranie rConfigu sprístupnite len zo správcovskej siete alebo cez VPN.
Čo ak už ste mohli byť napadnutí
Ak bol váš Redis alebo rConfig dostupný z internetu či širšej siete a bežala zraniteľná verzia, počítajte s tým, že útočník mohol získať všetky uložené heslá. Výmena tajomstiev po aktualizácii preto nie je voliteľná.
- Skontrolujte adresár
storage/app/publicv inštalácii rConfigu. Podľa VulnCheck tam útočník môže uložiť webshell. Podozrivé sú najmä súbory.php, ktoré ste tam nedali. - V zozname zariadení hľadajte položky, ktorých adresa smeruje na samotný server rConfig, napríklad na
localhostalebo inú adresu lokálnej slučky (loopback). - Prezrite používateľov v rConfigu aj v operačnom systéme a hľadajte účty, ktoré nepoznáte.
- Na sieťových zariadeniach skontrolujte nedávne zmeny konfigurácie a prihlásenia, ktoré nezodpovedajú práci vášho tímu.
find storage/app/public -name "*.php" -lsAk nájdete niečo podozrivé, samotná aktualizácia nestačí. Odpojte server od siete, zachovajte logy a prizvite odborníka na riešenie incidentov. Ak proces fronty bežal ako root, prípadný útočník mohol mať plné práva na server, preto previerku robte o to dôkladnejšie. Otázky môžete poslať aj výrobcovi na [email protected].