Kritične ranjivosti koje potresaju IT svet: Masovni napadi na Windows domenske kontrolere i bezbednosni izazovi u Red Hat repozitorijumima

Sajber-bezbednosni pejzaž suočava se sa jednim od najvećih testova otpornosti u novijoj istoriji. Gotovo istovremeno, dva ključna stuba korporativne infrastrukture – Windows Active Directory (AD) okruženja i bezbedni open-source repozitorijumi kompanije Red Hat – našli su se pod direktnim udarom napadača.

Belgijski centar za sajber-bezbednost (CCB), zajedno sa vodećim svetskim agencijama za odbranu od digitalnih pretnji, izdao je hitno upozorenje najvišeg nivoa. Prema njihovim izveštajima, zabeležene su masovne, automatizovane kampanje eksploatacije kritičnog propusta u Windows Netlogon protokolu (CVE-2026-41089). Istovremeno, sofisticirani napadi usmereni na softverski lanac snabdevanja (supply chain attacks) u okviru Red Hat repozitorijuma dodatno su zakomplikovali situaciju za sistemske administratore i timove za upravljanje rizicima.

Ovaj članak donosi detaljnu tehničku analizu obe pretnje, mehanizme njihovog delovanja, kao i konkretne, profesionalne korake za ublažavanje rizika i zaštitu kritične infrastrukture.

1. Kriza u Windows domenu: Masovna eksploatacija CVE-2026-41089

Kada se pojavi ranjivost sa maksimalnom ili približno maksimalnom ocenom po CVSS (Common Vulnerability Scoring System) skali, IT zajednica stupa u stanje pripravnosti. Ranjivost CVE-2026-41089 nosi zastrašujuću ocenu CVSS 9.8, što je svrstava u kategoriju ekstremno kritičnih propusta.

+————————————————————-+

|               CVE-2026-41089: PROFIL RIZIKA                |

+——————-+—————————————–+

| CVSS Skor         | 9.8 (Kritično)                          |

| Vektor Napada     | Mreža (Udaljeni pristup / Remote)       |

| Kompleksnost      | Niska (Nije potrebna interakcija žrtve) |

| Potrebne Privilegije | Nijedna (Neautorizovani napadač)     |

| Uticaj            | Potpuni gubitak CIA trijade            |

|                   | (Confidentiality, Integrity, Avail.)   |

+——————-+—————————————–+

Šta je Netlogon i zašto je meta?

Netlogon je esencijalni Windows servis (RPC interfejs) koji domenski kontroleri (DC) koriste za stalnu autentifikaciju korisnika i računara unutar Active Directory mreže. On upravlja replikacijom baze podataka domena, prijavljivanjem korisnika i uspostavljanjem sigurnih kanala komunikacije između mašina članica i kontrolera.

Budući da domenski kontroler predstavlja “srce i mozak” korporativne mreže, kompromitovanje ovog sistema znači automatski pad celokupnog bezbednosnog modela organizacije.

Mehanizam napada: Kako funkcioniše CVE-2026-41089?

Ova ranjivost omogućava udaljeno izvršavanje koda (RCE – Remote Code Execution) bez ikakve prethodne autentifikacije.

Inicijalno skeniranje: Napadači koriste automatizovane botove za skeniranje otvorenih portova koji opslužuju RPC komunikaciju na domenskim kontrolerima koji su, direktno ili indirektno (usled loše konfiguracije mreže), izloženi spoljnom saobraćaju ili kompromitovani sa interne mreže.

Slanje malicioznih RPC paketa: Ranjivost leži u načinu na koji Netlogon protokol obrađuje specifične, modifikovane zahteve za validaciju bezbednosnog konteksta. Zbog propusta u validaciji ulaza i upravljanju memorijom unutar samog protokola, napadač može izazvati prekoračenje bafera (buffer overflow) ili sličan memorijski korumpirajući efekat.

Izvršavanje koda sa SYSTEM privilegijama: Uspešnom eksploatacijom, maliciozni kod se izvršava u kontekstu NT AUTHORITY\SYSTEM naloga. To napadaču istog trenutka daje apsolutnu kontrolu nad domenskim kontrolerom, omogućavajući mu da kreira nove domenske administratore, preuzme neshovane lozinke (NTLM hesseve i Kerberos tikete) ili pokrene ransomware na celoj mreži.

Upozorenje CCB-a: Napadi nisu ciljani i selektivni; u pitanju je masovna, neselektivna kampanja gde akteri pretnji koriste javno dostupne ili privatno razvijene exploit skripte kako bi pogodili što veći broj nezaštićenih sistema u najkraćem roku.

2. Napad na Red Hat repozitorijume: Kompromitovanje lanca snabdevanja

Dok se svet bori sa Netlogon pretnjom, svet Linux i open-source softvera suočava se sa sofisticiranom pretnjom koja cilja same temelje poverenja u softver – napade na lanac snabdevanja (Supply Chain Attacks) usmerene na Red Hat ekosistem i prateće repozitorijume.

Kompanija Red Hat (poznata po RHEL – Red Hat Enterprise Linux) predstavlja standard za stabilnost i bezbednost u enterprise svetu. Upravo zbog toga, uspešna infiltracija u njihove repozitorijume ili pakete trećih strana koji se oslanjaju na Red Hat ekosistem nosi dalekosežne posledice.

Anatomija “Supply Chain” pretnje

Za razliku od direktnog napada na server, gde napadač traži otvorene propuste poput CVE-2026-41089, napad na repozitorijume funkcioniše kroz subverziju i strpljenje:

Kompromitovanje naloga programera: Napadači koriste fišing (phishing) ili curenje akreditiva kako bi preuzeli nalog legitimnog održavaoca određenog softverskog paketa (paketa koji je često zavisnost/dependency za veće Red Hat aplikacije).

Ubrizgavanje skrivenih ranjivosti (Backdoors): U kod se unosi suptilna izmena, često maskirana kao “optimizacija performansi” ili “ispravka sitnog baga”. Ovaj kod se aktivira samo u određenim uslovima (npr. prilikom kompajliranja na produkcionim serverima).

Zloupotreba automatizovanih “build” sistema: Jednom kada sistem prihvati izmenu, zlonamerni kod biva digitalno potpisan i distribuiran kroz zvanične ili partnerske kanale (EPEL, interni satelitski repozitorijumi) direktno na hiljade servera širom sveta tokom redovnog procesa ažuriranja (dnf update ili yum update).

Posledice po Linux infrastrukturu

Kada maliciozni paket stigne na enterprise Linux server, on obično otvara skriveni komunikacioni kanal (reverse shell) ka komandno-kontrolnom (C2) serveru napadača. Budući da ovi serveri često pokreću ključne baze podataka, web aplikacije ili Cloud orkestracione alate (poput OpenShift-a), šteta po organizaciju može biti neprocenjiva.

3. Upoređivanje pretnji: Windows vs. Red Hat incident

Iako se dešavaju istovremeno, ove dve pretnje imaju potpuno različite operativne filozofije, što od bezbednosnih timova zahteva primenu različitih strategija odbrane.

4. Akcioni plan za administratore: Kako zaštititi sisteme?

U situaciji kada su aktivne masovne eksploatacije, vreme odziva (Mean Time to Remediate – MTTR) ključni je faktor koji deli bezbednu kompaniju od one koja će završiti na naslovnim stranama vesti o sajber-kriminalu.

Protokol za sanaciju Windows Netlogon ranjivosti (CVE-2026-41089)

Pratite sledeće korake odmah kako biste neutralisali pretnju po Active Directory okruženje:

Korak 1: Izolacija i mrežna segmentacija

Pre nego što uopšte započnete proces instalacije zakrpa, proverite mrežnu postavku. Domenski kontroleri nikada, ni pod kakvim okolnostima, ne smeju biti direktno dostupni sa Interneta.

Blokirajte sav dolazni saobraćaj sa nepoznatih IP adresa ka portovima koje koristi RPC/Netlogon (tipično portovi 135, 445, i dinamički RPC opseg 49152-65535).

Ograničite RPC komunikaciju isključivo na proverene i autorizovane podređene mreže (subnets) unutar organizacije.

Korak 2: Hitna primena bezbednosnih zakrpa

Microsoft je izdao zvanične zakrpe u okviru svojih redovnih mesečnih ažuriranja (“Patch Tuesday”).

Identifikujte sve domenske kontrolere u šumi (Forest), uključujući primarne, sekundarne i “Read-Only” domenske kontrolere (RODC).

Preuzmite i instalirajte odgovarajući Cumulative Update (CU) za vašu verziju Windows Servera (od Windows Server 2016 do najnovijih verzija).

Napomena: Zbog kritičnosti propusta, u slučaju da imate sisteme van zvanične podrške (End-of-Life, poput Windows Server 2012/2008), hitno primenite Extended Security Updates (ESU) ili izolujte te sisteme iz mreže dok se ne izvrši migracija.

Korak 3: Praćenje i forenzika (Audit)

Nakon instalacije zakrpa, neophodno je proveriti da li je sistem već bio kompromitovan pre primene koda.

Pregledajte Windows Event Logove na domenskim kontrolerima, sa posebnim akcentom na System i Security logove.

Tražite anomalije u radu Netlogon servisa, neobične zahteve za autentifikaciju ili kreiranje novih privilegovanih naloga u kratkom vremenskom periodu.

Implementirajte specifične SIEM (Security Information and Event Management) pravila koja detektuju neuobičajene RPC pozive usmerene ka Netlogon interfejsu.

Protokol za sanaciju rizika u Linux/Red Hat okruženju

Za ublažavanje pretnji koje dolaze kroz kompromitovane pakete, primenite sledeće korake:

Korak 1: Zamrzavanje ažuriranja iz neproverenih izvora

Privremeno zaustavite automatske skripte za ažuriranje na produkcionim serverima dok se ne objavi zvanična lista kompromitovanih verzija paketa od strane Red Hat tima za bezbednost (Red Hat Product Security).

Oslanjajte se isključivo na zvanične, potpisane Red Hat Enterprise Linux (RHEL) repozitorijume.

Korak 2: Verifikacija integriteta sistema

Koristite ugrađene alate za proveru integriteta instaliranih paketa. Na RHEL sistemima, komanda:

Bash

rpm -Va

  proverava sve fajlove na sistemu u poređenju sa metapodacima iz originalne RPM baze. Svako odstupanje u kontrolnoj sumi (MD5/SHA256), veličini fajla ili permisijama biće izlistano i mora biti detaljno istraženo.

* Ako koristite lokalne repozitorijume ili alate poput *Red Hat Satellite*, sinhronizujte se sa uzvodnim (upstream) izvorima tek nakon što potvrdite da su pročišćeni od malicioznih modifikacija.

#### Korak 3: Implementacija koncepta “Least Privilege” unutar kontejnera

S obzirom na to da se Red Hat paketi masovno koriste kao osnova za Docker i Podman kontejnere:

* Redovno skenirajte slike kontejnera (Container Images) pomoću alata kao što su *Clair*, *Trivy* ili *Aqua Security* pre nego što ih pustite u Kubernetes/OpenShift klastere.

* Onemogućite pokretanje kontejnera sa `root` privilegijama kako biste sprečili da eventualni “backdoor” unutar paketa preuzme kontrolu nad samim hostom.

—

## 5. Dugoročne strategije odbrane: Lekcije naučene iz krize

Ova dvostruka kriza jasno pokazuje da tradicionalni model odbrane “oko dvorca” (gde se veruje svemu što se nalazi unutar lokalne mreže) više nije održiv. Moderne organizacije moraju preći na naprednije bezbednosne arhitekture.

### Zero Trust arhitektura

Koncept **Zero Trust** (Nikada ne veruj, uvek verifikuj) nalaže da se nijedan korisnik ili uređaj ne smatra bezbednim samo zato što se nalazi unutar korporativne mreže. U kontekstu Netlogon ranjivosti, Zero Trust podrazumeva da se čak i interna komunikacija između servera stalno šifruje, monitoriše i striktno ograničava.

### Upravljanje ranjivostima zasnovano na riziku (RBVM)

IT timovi često gube vreme krpeći manje bitne sisteme dok kritični propusti ostaju otvoreni. Uspešne kompanije primenjuju *Risk-Based Vulnerability Management*, gde se zakrpe za sisteme poput domenskih kontrolera i ključnih Linux servera instaliraju u roku od nekoliko sati od objavljivanja, bez čekanja redovnih vikend prozora za održavanje.

### Jačanje softverskog lanca snabdevanja

Organizacije moraju zahtevati softversku specifikaciju materijala (**SBOM – Software Bill of Materials**) od svojih dobavljača softvera. SBOM pruža jasan uvid u sve komponente i biblioteke trećih strana koje čine jednu aplikaciju, omogućavajući brzu reakciju kada se u nekoj od njih otkrije propust.

—

## Zaključak

Upozorenje Belgijskog centra za sajber-bezbednost (CCB) nije samo još jedno u nizu obaveštenja – ono predstavlja crveni alarm za IT direktore i sistemske inženjere širom sveta. Masovna eksploatacija ranjivosti **CVE-2026-41089** direktno ugrožava integritet poslovanja, dok paralelni incidenti u softverskim repozitorijumima zahtevaju maksimalan oprez pri upravljanju otvorenim kodom.

Najbolja odbrana u digitalnom dobu su **brzina, disciplina i kontinuirana edukacija**. Hitna primena dostupnih zakrpa za Windows Netlogon, rigorozna mrežna segmentacija i striktna kontrola softverskog koda koji ulazi u Linux produkciona okruženja jedini su sigurni načini da vaša organizacija ostane zaštićena pred talasom modernih pretnji.