Aktualizace a zastaralý software
Modul 5: Zařízení, software a síť · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete nastavit politiku aktualizací pro operační systémy, aplikace, pluginy, routery a další zařízení a vysvětlit, co znamená „konec podpory“ a co v takovém případě dělat.
Klíčové pojmy: zranitelnost, patch, zero-day, automatické aktualizace, firmware, plugin, inventář, konec podpory (end of life), okrajové zařízení (edge device)
Aktualizace je zámek, který si přidáváte
Software obsahuje chyby. Některé chyby jsou jen nepříjemné (tlačítko, které nefunguje), jiné představují zranitelnost: chybu, díky které může útočník udělat něco, co nebylo zamýšleno, například přihlásit se bez hesla nebo spustit vlastní kód. Výrobce to řeší patchem, který k Vám přichází jako aktualizace.
Záludné je pořadí. Jakmile aktualizace vyjde, zranitelnost je vlastně veřejná. Útočníci porovnají starou a novou verzi, zjistí, co bylo opraveno, a postaví na tom útok. Poté automaticky skenují celý internet a hledají zařízení, která aktualizaci ještě nemají. To je přesně ten oportunistický útok z lekce 1.1: nehledají Vás konkrétně, hledají každého, kdo zaostává.
Zero-day je zranitelnost, která je zneužívána už předtím, než existuje patch. S tím toho moc nenaděláte, kromě toho, že budete sledovat doporučení výrobce a omezíte škody (zálohy, minimální oprávnění). Naprostá většina vloupání u malých firem se ale děje přes zranitelnosti, pro které aktualizace už dávno existovala.
Bývalé nizozemské Digital Trust Center, nyní součást nizozemského NCSC, zjistilo v roce 2024 ve své CyberVeilig Check, že více než jedna ze tří malých firem (36 %) neměla na všech svých internetových zařízeních zapnuté automatické aktualizace. Doporučení nizozemského NCSC je jednoduché: s aktualizací nečekejte a zapněte automatické aktualizace všude, kde to jde.
Co vlastně máte? Inventář
Nemůžete aktualizovat to, na co jste zapomněli. Většina firem si při aktualizacích vybaví notebooky a telefony, ale nejnebezpečnější zařízení bývají ta tichá:
| Druh | Příklady | Jak se obvykle aktualizuje |
|---|---|---|
| Počítače a telefony | Windows, macOS, Linux, Android, iOS | Automaticky, pokud si to zapnete a restart neodkládáte donekonečna |
| Programy a aplikace | Prohlížeč, kancelářský balík, čtečka pdf, účetní aplikace | Často automaticky; samostatné programy někdy ne |
| Webová stránka | CMS, pluginy, šablony, verze PHP | Částečně automaticky; pluginy a šablony často ručně |
| Síťová zařízení | Router, modem, wifi body, firewall, VPN server | Firmware, často ručně nebo přes poskytovatele |
| Okrajová zařízení | NAS, síťová tiskárna, IP kamera, chytrý zvonek, zabezpečovací systém, pokladní systém | Firmware, často ručně, někdy vůbec |
| Cloudové služby | Mail, účetnictví, platforma e-shopu | Dodavatel aktualizuje za Vás; Vy spravujete nastavení |
Zařízení, která jsou přímo připojená k internetu a jsou zvenčí dostupná (router, VPN server, NAS s přístupem na dálku, kamera), se nazývají okrajová zařízení (edge devices). Ta bývají nejčastějším cílem, protože se k nim útočník dostane bez jediného kliknutí zaměstnance. Anonymizovaný příklad: účetní kancelář měla zapnutý NAS s „přístupem odkudkoli“. Výrobce vydal bezpečnostní aktualizaci, kancelář ji nenainstalovala a o pár týdnů později byly všechny soubory na NAS zašifrované. Nikdo na nic neklikl.
Politika aktualizací v pěti pravidlech
Politika nemusí být desetistránkový dokument. Pro malou firmu fungují tato pravidla:
- Automaticky, kde to jde. Zapněte automatické aktualizace pro operační systémy, prohlížeče, aplikace a kde je to možné, i pro CMS, pluginy a firmware routeru a NAS.
- Restart patří k věci. Mnoho aktualizací začne fungovat až po restartu. Domluvte se, že se každý alespoň jednou týdně restartuje, a restart neodkládejte celé týdny.
- Okrajová zařízení jako první. U zařízení dostupných zvenčí si sami kontrolujte, zda jsou dostupné aktualizace, například jednou měsíčně, a bezpečnostní aktualizaci nainstalujte do pár dnů. Pokud výrobce nebo národní NCSC varuje před aktivním zneužíváním, udělejte to ještě tentýž den.
- Jeden vlastník na zařízení. V inventáři má každý řádek uvedeno, kdo zařízení aktualizuje: Vy sám, kolega, Vaše IT firma nebo tvůrce webu. Pokud tam nikdo není uvedený, nedělá to nikdo.
- Co už nepotřebujete, odstraňte. Plugin, který nepoužíváte, starý notebook ve skříni, který se stále připojuje k síti, testovací web na subdoméně: odstraňte to, pak to ani nemusíte aktualizovat.
Nejste si jistí, zda aktualizace něco nerozbije? Nejprve si udělejte zálohu (modul 6) a pak aktualizujte. Neinstalovat aktualizaci ze strachu z problémů je téměř vždy větší riziko.
Konec podpory: když už aktualizace nepřicházejí
Každá verze softwaru nebo firmwaru má datum konce. Poté už výrobce nevydává bezpečnostní aktualizace. Tomu se říká konec podpory (end of life, EOL). Zařízení přitom dál normálně funguje, a právě to je zrádné: nikdo si ničeho nevšimne, zatímco každá nová zranitelnost zůstává navždy otevřená.
Příklady:
- Windows 10. Běžná podpora skončila 14. října 2025. Poté přicházejí už jen bezpečnostní aktualizace v rámci programu ESU od Microsoftu, s koncovými daty, která se liší podle situace. Podívejte se na stránky Microsoftu, co platí pro Vaše zařízení, a naplánujte přechod na podporovanou verzi nebo jiné zařízení.
- PHP a další webové jazyky. Každá verze PHP dostává bezpečnostní aktualizace jen pár let. Pokud Váš web běží na staré verzi, server může být bezpečný, ale Váš web ne.
- Routery, NAS a kamery. Levná zařízení dostávají aktualizace firmwaru někdy jen pár let, někdy vůbec. Národní NCSC doporučuje před nákupem zjistit, jak dlouho výrobce zařízení podporuje, a zařízení, která už aktualizace nedostávají, vyměnit.
- Pluginy a šablony. Plugin, jehož výrobce skončil s vývojem, už opravy nedostává. Hledejte náhradu.
Pokud něco nemůžete hned vyměnit, omezte alespoň riziko: odpojte to od internetu, umístěte do samostatné sítě (lekce 5.3) a nedávejte tomu přístup k důležitým datům.
Bezpečná aktualizace: pouze oficiální cestou
Útočníci zneužívají i slovo „aktualizace“. Vyskakovací okno na webu „Váš prohlížeč je zastaralý, stáhněte si aktualizaci zde“ nebo e-mail „nainstalujte bezpečnostní aktualizaci v příloze“ je téměř vždy malware. Skutečné aktualizace přicházejí přes operační systém, obchod s aplikacemi, aktualizační funkci přímo v programu nebo web výrobce. Nikdy ne přes odkaz v e-mailu nebo vyskakovací okno na náhodném webu.
V praxi: takhle to vypadá
U hostingového balíčku s DirectAdmin, například u WebOké, vyberete verzi PHP svého webu přes Select PHP version. Pokud si chcete před aktualizací webu nebo pluginů nejprve udělat zálohu, můžete to udělat třeba v Installatron tlačítkem Back-up, díky čemuž se v případě problémů vrátíte na předchozí verzi. U jiných poskytovatelů to funguje podobně: hledejte „verze PHP“ a zálohovací nebo stagingovou funkci svého CMS.
U počítačů a telefonů najdete aktualizační funkci v nastavení operačního systému. U routeru se podívejte do administrační stránky (adresu najdete v návodu nebo na štítku routeru) nebo do aplikace svého poskytovatele.
Shrnutí
- Aktualizace uzavírá známou zranitelnost; po jejím vydání útočníci skenují internet a hledají, kdo zaostává.
- Vytvořte si inventář, včetně routeru, NAS, tiskárny, kamer, webu a pluginů, s vlastníkem u každého řádku.
- Aktualizujte automaticky, kde to jde, restart patří k věci, okrajová zařízení jako první a rychle.
- Konec podpory znamená: už žádné bezpečnostní aktualizace. Vyměňte, nebo odpojte a izolujte.
- Aktualizace pouze oficiální cestou, nikdy přes vyskakovací okno nebo e-mail.
Kvíz
Úkol
Úkol D5.1: Váš inventář aktualizací. Vytvořte seznam všech svých zařízení a softwaru, včetně routeru, NAS, tiskárny, kamer, webu a pluginů. U každého řádku poznamenejte verzi, zda jsou zapnuté automatické aktualizace, kdo je vlastníkem a zda je produkt ještě podporovaný. Aktualizujte, co zaostává, a odpovězte na reflexní otázky.
Úkol D5.1: Váš inventář aktualizací
Jak na to: (1) Vytvořte tabulku se sloupci: zařízení nebo software, druh (počítač, telefon, program, web, síť, periferie, cloudová služba), verze, automatické aktualizace (ano/ne/nelze), vlastník (kdo s tím pracuje), stále podporováno (ano/ne/neznámo), dostupné zvenčí (ano/ne). Šablona ke stažení (csv nebo tabulka) je u úkolu. (2) Projděte svou kancelář i pracoviště pro práci z domova. Nezapomeňte na: router a modem, wifi body, NAS, síťovou tiskárnu, IP kamery, chytrý zvonek nebo alarm, pokladní systém, starý notebook ve skříni, Váš web s CMS, pluginy a šablonami, verzi PHP Vašeho hostingového balíčku. (3) U každého zařízení si na stránkách výrobce zjistěte, do kdy dostává aktualizace. U Windows 10: podívejte se na stránku životního cyklu od Microsoftu, co platí pro Vaše zařízení. (4) Zapněte automatické aktualizace, kde to jde. Nainstalujte čekající aktualizace, nejprve u periferií. Poté restartujte. (5) Označte vše, co už aktualizace nedostává, a u každého řádku určete: výměna (s datem), odpojení od internetu, nebo samostatná síť (lekce 5.3).
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučená literatura
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.
- Příručka k DirectAdmin 14.1: Výběr verze PHP (Select PHP version)
- Příručka k DirectAdmin 13.6: Zálohování a obnova v Installatronu
- Nizozemské NCSC, Jedna ze tří malých firem nemá automatické aktualizace: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- Nizozemské NCSC, Nastavte správu záplat (patch management): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- Nizozemské NCSC, Základní bezpečnostní opatření pro chytrá zařízení: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, životní cyklus Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro