Co se stalo
FreeIPA je open-source systém pro centrální správu uživatelů, počítačů a přihlašování v linuxových sítích. Red Hat ho dodává jako Red Hat Identity Management (IdM), součást Red Hat Enterprise Linux (RHEL). Ve FreeIPA byla nalezena kritická chyba s označením CVE-2026-76578, kterou databáze NVD zveřejnila 7. září 2026.
Podle popisu chyby se útočník, který se vůbec nepřihlásí, může dostat do skupiny administrátorů FreeIPA. Red Hat chybu označil jako kritickou a opravy vydával postupně: pro RHEL 9 dne 23. září 2026, pro RHEL 10 dne 28. září 2026 a pro větve s prodlouženou podporou RHEL 9.6 EUS a RHEL 10.0 EUS dne 14. října 2026.
Stejné aktualizace opravují i další chyby ve FreeIPA. Red Hat mezi nimi uvádí dvě chyby, které bez přihlášení umožňují vyřadit službu z provozu, chybu typu cross-site scripting a několik chyb, které mohou vést k neoprávněným změnám v adresáři nebo ke zvýšení oprávnění.
Zneužívání v praxi zatím nepotvrdil Red Hat, americká agentura CISA ani evropská databáze zranitelností EUVD, kterou provozuje agentura ENISA. V EUVD je chyba vedena jako EUVD-2026-72356 bez záznamu o zneužití.
Proč je to nebezpečné
Jde o chybu typu „chybějící ověření u kritické funkce“ (CWE-306). FreeIPA ukládá data do adresáře LDAP a o tom, kdo smí co měnit, rozhodují pravidla přístupu (ACI). Pravidlo, které má uživatelům dovolit spravovat si vlastní jednorázová hesla (OTP tokeny), podle popisu chyby nevyžaduje přihlášení a neomezuje, jaké další údaje se přitom zapíšou.
Představte si schránku na vrátnici, kam zaměstnanci vhazují žádosti o nový čip na docházku. Nikdo nekontroluje, kdo žádost vhodil, ani jestli k ní nepřiložil i „povolení“ ke klíči od serverovny. Podle popisu chyby útočník v kombinaci s další, samostatně evidovanou chybou v adresářovém serveru, na kterém FreeIPA běží, dokáže vytvořit vlastní účet Kerberos a dostat ho mezi administrátory.
Útočník nepotřebuje heslo ani pomoc uživatele, stačí mu síťový přístup k LDAP službě serveru FreeIPA. Získá skutečné členství ve skupině administrátorů a může provádět správcovské operace v adresáři. Na nasazeních se zapnutými SID (identifikátory jako ve Windows, používají se například při propojení s Active Directory) může zasahovat i do dalších služeb IdM. Kdo ovládá FreeIPA, zpravidla ovládá přihlašování a oprávnění na všech připojených serverech.
- CVSS 9,8 z 10: skóre přidělil Red Hat podle CVSS 3.1. CVSS měří technickou závažnost chyby, 9,8 je kritická úroveň.
- CISA KEV: katalog chyb, o kterých americká agentura CISA ví, že se reálně zneužívají. Tato chyba v něm v době psaní není.
- EPSS 1,2 %: odhad pravděpodobnosti zneužití v následujících 30 dnech k 1. listopadu 2026. Je to více než u přibližně 68 % ostatních zranitelností.
Koho se to týká
Týká se to organizací, které používají FreeIPA nebo Red Hat Identity Management k centrální správě uživatelů a přihlašování. Typicky jde o firemní sítě s linuxovými servery, kde IPA server slouží jako linuxová obdoba Active Directory, často s ní i propojená.
Red Hat uvádí jako dotčené balíčky ipa v těchto produktech:
- Red Hat Enterprise Linux 9 včetně větví s prodlouženou podporou 9.8
- Red Hat Enterprise Linux 9.6 EUS, AUS a Update Services for SAP Solutions
- Red Hat Enterprise Linux 10 včetně větví s prodlouženou podporou 10.2
- Red Hat Enterprise Linux 10.0 EUS
- všechny architektury: x86_64, ARM 64, IBM Power a IBM Z
Zranitelná je adresářová služba na serverech FreeIPA, Red Hat ale ve stejné aktualizaci vydává i klientské balíčky. FreeIPA existuje i v jiných linuxových distribucích. Pokud ji provozujete mimo RHEL, sledujte bezpečnostní oznámení své distribuce. Kdo FreeIPA ani IdM nepoužívá, této chyby se netýká.
Jak zjistit, zda jste zasaženi
Všechny příkazy níže pouze čtou data a nic nemění. Spusťte je na každém IPA serveru včetně replik.
Verze systému a nainstalovaných balíčků FreeIPA:
cat /etc/redhat-release
rpm -q ipa-server ipa-clientPorovnejte výsledek s opravenými verzemi: RHEL 9 ipa-4.13.4-1.el9_8, RHEL 10 ipa-4.13.4-1.el10_2, RHEL 9.6 EUS ipa-4.12.2-14.el9_6.8, RHEL 10.0 EUS ipa-4.12.2-15.el10_0.7. Stejná nebo novější verze znamená, že oprava je nainstalovaná.
Jestli na opravu této chyby ještě čekáte, ukáže databáze aktualizací. Pokud příkaz nic nevypíše, oprava je už nainstalovaná nebo se systému netýká:
dnf updateinfo list --cve CVE-2026-76578Zda server přijímá spojení na portech LDAP (389 a 636), zjistíte takto. Pak na firewallu ověřte, ze kterých sítí jsou tyto porty dostupné:
ss -tln | grep -E ':389|:636'Jak to opravit
Red Hat vydal opravené balíčky v bezpečnostních oznámeních RHSA-2026:70564 (RHEL 9), RHSA-2026:72279 (RHEL 10), RHSA-2026:83083 (RHEL 9.6 EUS) a RHSA-2026:82935 (RHEL 10.0 EUS). Opravené verze jsou ipa-4.13.4-1.el9_8, ipa-4.13.4-1.el10_2, ipa-4.12.2-14.el9_6.8 a ipa-4.12.2-15.el10_0.7.
- Zazálohujte IPA server, například nástrojem
ipa-backup(při běžné záloze na chvíli zastaví služby) nebo snímkem virtuálního stroje. - Aktualizujte nejdřív servery dostupné z největšího počtu sítí, potom všechny ostatní repliky. Každá neopravená replika zůstává zranitelná.
- Aktualizujte celý systém, ne jen balíčky ipa. Popis chyby zmiňuje související, samostatně evidovanou chybu v adresářovém serveru.
- Po aktualizaci ověřte, že všechny služby FreeIPA běží, a zkontrolujte verzi příkazy ze sekce o kontrole.
- Nakonec aktualizujte klientské počítače.
sudo dnf update
sudo ipactl statusRed Hat v oznámeních neuvádí dočasné řešení. Dokud aktualizaci nenainstalujete, omezte na firewallu přístup k portům LDAP (389 a 636) jen na sítě a počítače, které ho opravdu potřebují. Jde o obecné bezpečnostní opatření, ne o postup výrobce, a chybu neodstraňuje.
Co když už jste mohli být napadeni
Red Hat v oznámeních neuvádí konkrétní indikátory napadení. Protože chyba vede k neoprávněnému členství ve skupině administrátorů, zaměřte se právě na ni. Následující příkazy jen čtou, vyžadují ale přihlášení správce přes kinit admin.
ipa group-show admins --all --raw
ipa user-find --all
ipa host-find
ipa service-find
ipa otptoken-find- neznámí nebo nedávno přidaní členové skupiny
admins(přepínač--rawukáže i členy, kteří nejsou běžnými uživateli) - nové uživatelské, hostitelské či servisní účty, které nikdo z vás nezaložil
- OTP tokeny, které nepatří známým uživatelům
- v lozích adresářového serveru v
/var/log/dirsrv/zápisy z nepřihlášených (anonymních) spojení
Pokud najdete něco podezřelého, berte to jako převzetí celé domény FreeIPA, protože administrátor mohl měnit hesla, oprávnění a nastavení na všech připojených serverech. V takovém případě přizvěte odborníka na řešení incidentů. Před zásahem zazálohujte logy a podezřelé účty nemažte, dokud je někdo neprověří.