Do technologií, na kterých běží náš web a související služby, jsme nasadili důležité bezpečnostní aktualizace. Opravy popisované v této novince jsou na našem serveru nainstalované už od pátečního rána 23. října.
🛡️ Jaké chyby se opravovaly?
Nedávno zveřejněné bezpečnostní chyby se týkaly technologií používaných na mnoha webech. U nezáplatovaných systémů mohly některé umožnit útočníkovi neoprávněně zasáhnout do chodu serveru i bez přihlášení. Další souvisely s ověřováním zabezpečeného spojení nebo se zpracováním přijatých dat.
Jsou to důležité opravy: ochrana komunitního webu zahrnuje také zázemí, které zajišťuje přístup k účtům a dostupnost jeho služeb.
📋 Přehled zranitelností podle závažnosti
Dvojice chyb PHP označovaná jako PHP2Shell zahrnuje dvě samostatná CVE. CVE je veřejný identifikátor konkrétní zranitelnosti, podle kterého lze dohledat její ověřené oznámení.
| Závažnost | Název a CVE | Možný dopad |
|---|---|---|
| 🔴 Kritická — 9,2/10 (CVSS 4.0) | PHP2Shell — RCE via OOM corruption CVE-2026-109618 | Spuštění cizího kódu při chybě práce s pamětí. |
| 🔴 Kritická — 9,2/10 (CVSS 4.0) | PHP2Shell — RCE via stale global state CVE-2026-109619 | Spuštění cizího kódu přes neplatný vnitřní stav. |
| 🟠 Vysoká | Node.js — Brotli decoder out-of-bounds write CVE-2026-111497 | Pád služby, zpřístupnění dat nebo cizí kód. |
| 🟠 Vysoká | Node.js — DNS name truncation CVE-2026-105482 | Přijetí nesprávného cíle spojení. |
| 🟠 Vysoká | Node.js — TLS hostname verification bypass CVE-2026-106069 | Přijetí nedůvěryhodného spojení. |
| 🟡 Střední | Node.js — HTTP keep-alive response confusion CVE-2026-105481 | Přijetí neočekávané odpovědi. |
| 🟡 Střední | Node.js — Non-canonical IPv4 certificate validation CVE-2026-106072 | Přijetí neodpovídajícího certifikátu. |
| 🟡 Střední | Node.js — Predictable random values in startup snapshots CVE-2026-106074 | Předvídatelné identifikátory. |
| 🔵 Nízká | Node.js — Permission Model bypass with fs.realpathSync CVE-2026-106073 | Informace o cestách mimo povolený rozsah. |
Pořadí vychází ze závažnosti uvedené autory oprav. U PHP uvádíme i jejich skóre CVSS 4.0; u Node.js zachováváme kategorie High, Medium a Low. Nejde o stejné číselné hodnocení všech položek. Skutečný dopad závisí na způsobu použití technologie; seznam neznamená, že byly tyto chyby u nás zneužity.
Zdroje: první oznámení PHP, druhé oznámení PHP a bezpečnostní přehled Node.js.
✅ Co jsme udělali u nás?
Aktualizovali jsme dotčené součásti a následně zkontrolovali stav serveru. Webová služba běží, kontrola jejího nastavení proběhla úspěšně a systém nehlásí žádný čekající restart služeb potřebný k aktivaci nainstalovaných aktualizací.
Prověřili jsme také, zda se neobjevily známky zneužití těchto chyb. Provedené kontroly neodhalily známky napadení ani narušení hráčských dat.
Opravy jsou nasazené na naší straně. Abyste je využili, nemusíte nic instalovat ani měnit nastavení hry.
🌍 Co to znamená pro hráče?
Aktualizace posiluje základy, na kterých funguje web a služby kolem účtů. Jejím cílem je omezit možnosti neoprávněných zásahů a přispět ke spolehlivému provozu.
Některá vylepšení uvidíte hned, jiná probíhají v zákulisí. Obojí je důležité, abyste se mohli pohodlně vracet ke svému účtu a užívat si čas v Azerothu.
Děkujeme, že jste součástí naší komunity. Uvidíme se v Azerothu!
Drahy