Společnost Sophos vydala 6. listopadu 2026 kritický bezpečnostní hotfix pro Sophos Firewall, který řeší zranitelnost CVE-2026-98432 v linuxovém jádře. Zranitelnost se týká zpracování TCP komunikace a za určitých podmínek může umožnit vzdálenému útočníkovi spuštění škodlivého kódu s oprávněními jádra systému.

Bezpečnostní oprava je aktuálně dostupná pro vybrané verze Sophos Firewall. K jejímu dokončení je nutný restart firewallu, samotné automatické stažení hotfixu nestačí.

Organizacím proto doporučujeme ověřit používanou verzi firmware, dostupnost bezpečnostní opravy a její instalační stav.

Co je CVE-2026-98432 a jaké představuje riziko?

Zranitelnost CVE-2026-98432 se nachází v implementaci IPv4 TCP v linuxovém jádře a souvisí s chybou typu use-after-free.

Tento typ chyby vzniká v situaci, kdy systém pracuje s oblastí paměti, která již byla uvolněna. Za určitých okolností může útočník takovou chybu zneužít k narušení běhu systému nebo ke spuštění nežádoucího kódu.

V případě CVE-2026-98432 může za specifických podmínek dojít až ke vzdálenému spuštění kódu s oprávněními jádra (Remote Code Execution – RCE), a to bez nutnosti předchozího ověření útočníka.

Linux Kernel CNA hodnotí zranitelnost podle CVSS 3.1 skóre 9,8 z 10 – Critical. Hodnocení se však mezi bezpečnostními organizacemi liší. Například Red Hat uvádí skóre 5,9, protože úspěšné zneužití závisí na splnění specifických podmínek.

Výzkumníkům se podařilo vzdálené spuštění kódu demonstrovat v laboratorních podmínkách na serveru využívajícím Multipath TCP (MPTCP).

Podle bezpečnostního upozornění Sophosu nejsou k datu zveřejnění známy veřejně hlášené případy aktivního zneužívání této zranitelnosti v reálném provozu.

Kterých verzí Sophos Firewall se hotfix týká?

Sophos aktuálně poskytuje bezpečnostní hotfix pro následující verze:

• Sophos Firewall 22.0 MR3

• Sophos Firewall 23.0 GA

• Sophos Firewall 23.0 EAP1

Pokud organizace využívá jinou verzi firmware, výrobce doporučuje přechod na podporovanou verzi SFOS 22.0 MR3 nebo 23.0 GA, pro kterou je bezpečnostní oprava dostupná.

Sophos zároveň uvádí, že informace o dostupnosti hotfixu pro další verze bude průběžně aktualizovat.

Důležité upozornění: Dostupnost hotfixu se může měnit. Před plánovanou aktualizací je proto nutné ověřit aktuální informace výrobce a kompatibilitu konkrétního zařízení.

Instalace hotfixu vyžaduje restart firewallu

Na rozdíl od některých běžných bezpečnostních aktualizací vyžaduje tento hotfix aktivní zásah administrátora.

Pokud má firewall povolenou automatickou instalaci hotfixů, zařízení si opravu samo stáhne. K jejímu skutečnému nainstalování však dojde až po restartování firewallu.

Postup instalace:

1. Přihlaste se do webové administrační konzole Sophos Firewall.

2. V části Control Center ověřte, zda zařízení hlásí dostupnost kritického hotfixu pro CVE-2026-98432.

3. Naplánujte restart firewallu do vhodného servisního okna.

4. Restartujte zařízení, aby mohlo dojít k instalaci bezpečnostní opravy.

5. Následně ověřte stav instalace prostřednictvím příkazové řádky (CLI).

Pozor: Restart firewallu přerušuje síťový provoz. V produkčním prostředí proto doporučujeme instalaci naplánovat s ohledem na provozní požadavky organizace.

Jak ověřit, zda je hotfix nainstalován?

Stav bezpečnostní opravy lze ověřit přímo prostřednictvím CLI Sophos Firewall.

Po přihlášení zvolte možnost 4 – Device Console a spusťte příkaz:

system hotfix list

Po úspěšném dokončení instalace se u příslušného hotfixu zobrazí stav Installed.

Pokud má zařízení automatickou instalaci hotfixů vypnutou, je nutné ji nejprve povolit příkazem:

system hotfix enable

Poté vyčkejte na stažení opravy, ověřte její dostupnost a proveďte restart.

U verze SFOS 23.0 se stav této konkrétní opravy nemusí zatím zobrazovat v grafickém přehledu Hotfix: Security updates. Sophos proto doporučuje kontrolu prostřednictvím CLI.

Důležité informace pro prostředí s vysokou dostupností (HA)

Organizace provozující Sophos Firewall v režimu High Availability (HA) musí při instalaci postupovat podle doporučeného pořadí restartování zařízení.

Sophos uvádí následující postup:

1. Ověřte dostupnost hotfixu na primárním i sekundárním zařízení.

2. Nejprve restartujte sekundární zařízení (auxiliary).

3. Vyčkejte, až bude sekundární zařízení opět dostupné.

4. Následně restartujte primární zařízení (primary).

5. Ověřte stav instalace a funkčnost HA prostředí.

U HA konfigurací spravovaných prostřednictvím Sophos Fusion je nutné zajistit restart obou zařízení.

Správný postup aktualizace je zásadní pro omezení provozních komplikací a zachování dostupnosti síťových služeb.

Proč je důležité bezpečnostní opravu nepodcenit?

Firewall představuje jednu z klíčových bezpečnostních komponent podnikové infrastruktury. Zajišťuje kontrolu síťové komunikace, oddělení jednotlivých síťových segmentů a ochranu přístupu k interním systémům.

Zranitelnosti na úrovni operačního jádra proto vyžadují zvýšenou pozornost, zejména pokud mohou za určitých podmínek umožnit vzdálené spuštění kódu.

Pravidelná kontrola bezpečnostních aktualizací a jejich správné nasazování patří mezi základní opatření pro udržení bezpečnosti firemní infrastruktury.

Současně je nezbytné zohlednit konkrétní prostředí, kompatibilitu používaných technologií a případná rizika spojená s aktualizací.