Co se stalo
rConfig je nástroj pro správu konfigurací síťových zařízení. Pravidelně se přihlašuje k routerům, přepínačům a firewallům, stahuje jejich nastavení, ukládá zálohy a umí na zařízeních spouštět i příkazy. Existuje v edicích rConfig Core a rConfig Pro.
Výrobce 6. listopadu 2026 zveřejnil bezpečnostní upozornění rCFG-SA-2026-09 se závažností „Critical“, tedy kritická. Chyba je ve frontě úloh, kterou rConfig používá pro práci na pozadí a která je postavená na databázi Redis a nástroji Laravel Horizon. Útočník přes ni může na serveru spustit libovolné příkazy. Chyba byla nahlášena prostřednictvím společnosti VulnCheck a 9. listopadu 2026 se pod označením CVE-2026-124079 objevila i v americké databázi NVD.
Opravené verze jsou k dispozici: rConfig Core 8.2.19 a rConfig Pro 8.4.1. Zneužívání chyby v praxi zatím nepotvrdil výrobce ani americká agentura CISA, která ji v době psaní nemá v katalogu zneužívaných zranitelností KEV. Evropská databáze zranitelností EUVD ji vede pod číslem EUVD-2026-120037, rovněž bez informace o zneužívání.
Proč je to nebezpečné
Jde o chybu typu deserializace nedůvěryhodných dat (CWE-502). Aplikace si úlohy ukládá do fronty jako „zabalené“ objekty a při zpracování je zase „rozbalí“ a provede. Představte si podatelnu, která bez kontroly splní každý pokyn z obálky, pokud obálka vypadá úředně. Kdo dokáže do fronty vložit vlastní obálku, může serveru nařídit cokoli.
Podle popisu od VulnCheck v dotčených instalacích běží Redis bez hesla, takže útočníkovi stačí síťový přístup k němu a nemusí se nikam přihlašovat. Pokud Redis ze sítě dostupný není, přihlášený uživatel rConfigu může úlohu doručit oklikou: vytvoří zařízení, jehož adresa míří na samotný server rConfig. Výrobce ve svém upozornění popisuje právě tento scénář s přihlášeným uživatelem.
Podle VulnCheck může útočník spouštět příkazy pod účtem, pod kterým běží zpracování fronty, uložit na server trvalý webshell (skrytá „zadní vrátka“ dostupná přes web) a číst přístupové údaje k databázi, uložená hesla k síťovým zařízením a API tokeny. Výrobce doplňuje, že na některých instalacích tento proces běžel jako root, tedy s plnými právy na server. S ukradenými hesly k routerům a firewallům by se útočník mohl dostat dál do sítě.
Skóre CVSS vyjadřuje závažnost chyby na stupnici do deseti bodů. Společnost VulnCheck přidělila podle CVSS 3.1 hodnotu 9,8 a podle novější verze CVSS 4.0 hodnotu 9,3, obě v kritickém pásmu. Katalog CISA KEV je seznam chyb, které jsou prokazatelně zneužívány. Tato chyba v něm zatím není a skóre EPSS, které odhaduje pravděpodobnost zneužití, pro ni zatím zveřejněno není. S opravou ale nečekejte.
Koho se to týká
Výrobce a VulnCheck uvádějí jako zasažené tyto verze:
- rConfig Core 8.0.0 až 8.2.18 (opraveno v 8.2.19)
- rConfig Pro do verze 8.4.0 včetně (opraveno v 8.4.1)
rConfig obvykle běží na vlastním linuxovém serveru nebo v Dockeru ve firemní síti, často ve správcovské části sítě, odkud má přístup k routerům, přepínačům a firewallům. Používají ho IT oddělení, poskytovatelé síťových služeb a správci, kteří potřebují zálohy konfigurací. Největší riziko je tam, kde je webové rozhraní nebo Redis dostupný z internetu nebo ze širší sítě.
Pokud rConfig nepoužíváte, tato chyba se vás netýká. U verze Core uvádí výrobce i VulnCheck jako první dotčenou verzi 8.0.0.
Jak zjistit, zda jste zasaženi
Následující příkazy nic nemění, pouze čtou. Spouštějte je na serveru v adresáři, kde je rConfig nainstalován. Pokud jste ho instalovali přes git, verzi ukáže poslední značka:
git describe --tagsVýsledek core-8.2.18 nebo starší znamená zranitelnou verzi. Verzi PHP, kterou budete potřebovat před aktualizací, zjistíte takto:
php -vOvěřte, na jakých adresách Redis naslouchá a zda vyžaduje heslo. K zobrazení názvu procesu potřebuje ss práva roota. Pokud redis-cli ping odpoví PONG bez zadání hesla, Redis je bez autentizace. Pokud je ve sloupci lokální adresy něco jiného než adresa smyčky (loopback), například hvězdička nebo IP adresa serveru, Redis je dostupný ze sítě.
sudo ss -ltnp | grep -i redis
redis-cli pingPod jakým uživatelem běží Horizon, ukáže následující příkaz. Pokud je v prvním sloupci root, proces má plná práva na server.
ps -eo user,cmd | grep -i horizonJak to opravit
Výrobce označuje vydání 8.2.19 jako bezpečnostní a doporučuje ho pro všechny instalace 8.x. Na stránce bezpečnostních upozornění radí aktualizovat Core rovnou na 8.2.20 nebo novější, protože ta opravuje i další chybu, při které mohla uniknout uložená hesla přes export tabulek (rCFG-SA-2026-10). Verzi Pro aktualizujte na 8.4.1 nebo novější. Výrobce oznámil, že brzy vyjde 8.4.2 s dalšími opravami.
- Udělejte zálohu serveru nebo snapshot virtuálního stroje včetně databáze rConfigu.
- Aktualizujte PHP alespoň na 8.2.35, 8.3.36 nebo 8.4.27. Jinak Composer aktualizaci odmítne.
- Při první aktualizaci Core z verze 8.2.18 nebo starší spusťte v adresáři rConfigu
git pulla potésudo ./update.sh --no-pull. Při dalších aktualizacích už stačísudo ./update.sh. - Ověřte, že Horizon neběží jako root. Pomůže příkaz
php artisan rconfig:check-worker-usernebo kontrola Worker Privilege na dashboardu. - Vyměňte všechna tajemství uložená v rConfigu: REST API tokeny, hesla k zařízením včetně enable hesel a přístupy k SMTP, LDAP a RADIUS. Projděte seznam uživatelů a odstraňte účty, které neznáte.
Oprava zavádí heslo pro Redis, Horizon a plánovač už neběží jako root a zařízení už nemůže mít jako cíl samotný server rConfig. Pozor na změny ve službách: program pro Supervisor se přejmenoval na rconfig-core-horizon a plánovač se přesunul do /etc/cron.d/rconfig-core.
Samostatné dočasné řešení výrobce neuvádí. Pokud nemůžete aktualizovat hned, jako obecné opatření zajistěte, aby Redis nebyl dostupný ze sítě a vyžadoval heslo, a webové rozhraní rConfigu zpřístupněte jen ze správcovské sítě nebo přes VPN.
Co když už jste mohli být napadeni
Pokud byl váš Redis nebo rConfig dostupný z internetu či širší sítě a běžela zranitelná verze, počítejte s tím, že útočník mohl získat všechna uložená hesla. Výměna tajemství po aktualizaci proto není volitelná.
- Zkontrolujte adresář
storage/app/publicv instalaci rConfigu. Podle VulnCheck tam útočník může uložit webshell. Podezřelé jsou hlavně soubory.php, které jste tam nedali. - V seznamu zařízení hledejte položky, jejichž adresa míří na samotný server rConfig, například na
localhostnebo jinou adresu smyčky (loopback). - Projděte uživatele v rConfigu i v operačním systému a hledejte účty, které neznáte.
- Na síťových zařízeních zkontrolujte nedávné změny konfigurace a přihlášení, která neodpovídají práci vašeho týmu.
find storage/app/public -name "*.php" -lsPokud najdete něco podezřelého, samotná aktualizace nestačí. Odpojte server od sítě, zachovejte logy a přizvěte odborníka na řešení incidentů. Pokud proces fronty běžel jako root, případný útočník mohl mít plná práva na server, proto prověrku dělejte o to důkladněji. Dotazy můžete poslat i výrobci na [email protected].