Cisco Meraki: kritické chyby ve firmwaru firewallů, switchů, Wi-Fi a kamer

Co se stalo

Cisco 7. října 2026 zveřejnilo bezpečnostní upozornění Cisco Meraki Security Hardening Release: October 2026 a označilo ho jako kritické. Týká se firmwaru síťových zařízení Meraki, tedy switchů, Wi-Fi přístupových bodů, firewallů a SD-WAN zařízení, mobilních bran a kamer, a také zařízení Cisco Campus Gateway.

Nejde o jednu chybu, ale o celý balík zranitelností, které Cisco našlo při vlastní interní bezpečnostní kontrole. Výrobce uvádí, že kromě běžných testovacích postupů k tomu využil i nejnovější modely umělé inteligence. Chyby rozdělil podle typu do sedmi skupin a každé skupině přidělil jedno označení CVE.

Podle Cisco není známo, že by útočníci tyto chyby zneužívali. Bezpečnostní tým Cisco PSIRT neví ani o tom, že by o nich někdo veřejně informoval. Cisco vydalo opravený firmware, verze 33.1.4 pro Campus Gateway má ale přijít až v polovině listopadu 2026. Cisco upozornění průběžně doplňovalo, naposledy 9. listopadu 2026.

Proč je to nebezpečné

Nejzávažnější skupina, CVE-2026-76464, zahrnuje chyby při práci s pamětí, například přetečení vyrovnávací paměti. Představte si sklenici, do které někdo naleje víc vody, než se vejde. Voda přeteče a namočí všechno kolem. V programu to znamená, že data přepíšou sousední paměť a útočník tak může narušit nebo ovlivnit chod zařízení.

Cisco tuto skupinu ohodnotilo skóre 9,6 z 10 podle CVSS 3.1, což je kritická úroveň. CVSS je mezinárodní stupnice závažnosti zranitelností. Skóre každé skupiny podle Cisco odpovídá nejzávažnější chybě v ní. Přehled podle hodnocení Cisco:

CVE-2026-76464 (9,6): chyby paměti, přetečení vyrovnávací paměti
CVE-2026-76463 (8,8): nesprávné řízení přístupu a obcházení oprávnění
CVE-2026-76470 (8,8): chybné výpočty, například přetečení celého čísla
CVE-2026-76472 (8,8): vkládání příkazů do systému
CVE-2026-76468 (8,2): nedostatečná kontrola vstupů
CVE-2026-76467 (7,5): chybná správa zdrojů a paměti
CVE-2026-76469 (7,4): chyby v řízení běhu programu, například nekonečné smyčky

Důležitá podmínka: u nejzávažnějších chyb útočník podle hodnocení Cisco nepotřebuje přihlášení ani spolupráci uživatele, musí však být ve stejné lokální síti jako zařízení. Přímo z internetu to podle hodnocení nejde. CVE-2026-76472 vyžaduje lokální přístup a nízká oprávnění. Cisco nezveřejnilo, čeho přesně by útočník dosáhl. U CVE-2026-76464 ale hodnocení počítá s vysokým dopadem na důvěrnost, integritu i dostupnost.

Čtyři nejzávažnější skupiny nejsou v katalogu CISA KEV, kam americká agentura CISA zapisuje prokazatelně zneužívané zranitelnosti. Zneužití u nich neeviduje ani evropská databáze EUVD. Jejich skóre EPSS, které odhaduje pravděpodobnost zneužití v příštích 30 dnech, bylo k 9. listopadu 2026 jen 0,13 % až 0,2 %.

Koho se to týká

Podle Cisco jsou zranitelné tyto produkty bez ohledu na nastavení, pokud na nich běží firmware starší než první opravené vydání:

Cisco Campus Gateway
Meraki MG, mobilní brány
Meraki MR, Wi-Fi přístupové body
Meraki MS, switche
Meraki MV, chytré kamery
Meraki MX, firewally a SD-WAN zařízení včetně modelu Z3

Meraki je oblíbené v malých a středních firmách, školách a pobočkových sítích, protože se celé spravuje z cloudové konzole Meraki Dashboard. Typicky jde o firewall na hranici sítě, switche v serverovně a přístupové body Wi-Fi pro zaměstnance i hosty.

Podle Cisco není známo, že by tyto chyby postihovaly jiné produkty. Pokud přes Meraki Dashboard spravujete i zařízení Cisco Catalyst, platí pro ně samostatné upozornění Cisco IOS XE Software Security Hardening Release: August 2026.

Jak zjistit, zda jste zasaženi

Nejjednodušší je podívat se do Meraki Dashboardu. V nabídce Organization > Firmware upgrades vidíte aktuální verzi firmwaru pro každou síť a typ zařízení. Verzi konkrétního zařízení najdete i přímo na jeho stránce.

Pokud používáte Meraki Dashboard API, seznam zařízení včetně verze firmwaru získáte čtecím dotazem. Stačí k tomu API klíč s oprávněním pouze pro čtení.

curl -s -H "Authorization: Bearer $MERAKI_API_KEY" "https://api.meraki.com/api/v1/organizations/ORG_ID/devices"

Místo ORG_ID doplňte ID své organizace, které vrátí dotaz na https://api.meraki.com/api/v1/organizations. Hodnotu v poli firmware porovnejte se seznamem opravených verzí v následující části.

Jak to opravit

Cisco uvádí, že dočasné řešení neexistuje. Jedinou ochranou je aktualizace firmwaru. První opravená vydání podle řady zařízení:

Campus Gateway: 32.2 → 32.2.5, 33.1 → 33.1.4 (Cisco ho ohlásilo na polovinu listopadu 2026)
MG: 4.1 → 4.1.4 (pouze pro MG21/E), 26.1 → 26.1.4
MR: 30.7 → 30.7.3 (pouze řada Wi-Fi 5 Wave 2), 31.1 → 31.1.8.1 (pouze MR45/55), 32.2 → 32.2.5, 33.1 → 33.1.3
MS: 17.2 i 18.1 → 18.1.9, IOS XE 17.15 → IOS XE 17.15.6, IOS XE 17.18 → IOS XE 17.18.4.1, IOS XE 26.1 → IOS XE 26.1.2
MV: 7 → 8.0
MX: 18.1 → 18.107.14, 19.2 → 19.2.9 (doporučeno pouze pro Z3), 26.1 → 26.1.7, 26.2 → 26.2.3

Doporučený postup:

Sepište si všechna zařízení Meraki a jejich aktuální verze.
Začněte tam, kde se do sítě připojují lidé nebo zařízení, kterým úplně nedůvěřujete: Wi-Fi pro hosty, pobočky, veřejně přístupné prostory. Útok totiž vyžaduje přístup do lokální sítě.
V Meraki Dashboardu naplánujte aktualizaci v nabídce Organization > Firmware upgrades mimo pracovní dobu. Zařízení se restartují a krátce nebudou dostupná.
Pokud se vám verze 18.107.14 nebo 19.2.9 nenabízí, Cisco doporučuje kontaktovat technickou podporu Cisco Meraki.
Po aktualizaci ověřte verzi stejně jako v předchozí části.

Než aktualizaci nasadíte, pomůže jako obecné opatření omezit, kdo se může připojit do jednotlivých síťových segmentů. Oddělte Wi-Fi pro hosty od firemní sítě a nepouštějte neznámá zařízení do kabeláže. Výrobce to ale jako náhradu za opravu neuvádí.

Co když už jste mohli být napadeni

Cisco neví o žádném zneužití těchto chyb a nezveřejnilo žádné indikátory napadení. Krátká kontrola ale neuškodí, zvlášť pokud máte otevřenou síť pro hosty.

V Meraki Dashboardu projděte Organization > Change log a hledejte změny konfigurace, které nikdo z vás neprovedl.
V Organization > Administrators zkontrolujte, zda tam nejsou neznámé účty správců.
V Network-wide > Event log hledejte nečekané restarty nebo výpadky zařízení.
Zkontrolujte, zda se nezměnila pravidla firewallu, nastavení VPN nebo Wi-Fi sítí.

Pokud najdete změny, které si nedokážete vysvětlit, neznámý účet nebo podivné chování sítě, kontaktujte technickou podporu Cisco Meraki nebo odborníka na řešení bezpečnostních incidentů. Do té doby nic nemažte, aby se zachovaly stopy.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.