Bezpečnostní aktualizace Node.js a problém s certifikáty eMudhra: co to znamená pro vás

V kostce

Tento týden se ve světě IT řeší dvě bezpečnostní věci najednou. Node.js, na kterém běží „zákulisí“ mnoha webových a mobilních aplikací, dostal opravy deseti chyb. A prohlížeče přestaly věřit části internetových certifikátů od firmy eMudhra, protože k nim unikly tajné klíče.

Pro většinu lidí platí jednoduché pravidlo: aktualizujte prohlížeč, telefon i počítač. V iQuestu o obou věcech víme a aplikace, které vyvíjíme a spravujeme, aktualizujeme.

Node.js: nové verze 26.12.1, 24.22.1 a 22.23.4

Node.js je software, na kterém běží serverová část velkého množství webů a aplikací. Uživatel ho nevidí, ale stará se třeba o přihlášení, objednávky nebo práci s daty. 21. října 2026 vyšly jeho nové verze, které opravují 10 bezpečnostních chyb.

Čtyři z chyb jsou vážné. Nejhorší by mohla útočníkovi umožnit spustit na serveru vlastní program, tedy v podstatě server ovládnout. Oznámení nezmiňuje, že by je už někdo zneužil.

Kterou verzi nainstalovat, záleží na tom, jakou řadu Node.js aplikace používá:

Starší Node.js 20 a 25 už opravy nedostanou, protože skončila jejich podpora. Je to jako u starého telefonu, pro který výrobce přestal vydávat aktualizace: funguje dál, ale je čím dál zranitelnější. Aplikace na těchto verzích je potřeba převést na novější.

Nové verze Node.js navíc obsahují aktuální seznam důvěryhodných certifikátů, takže řeší i problém s eMudhrou popsaný níže.

Zdroj: oficiální oznámení Node.js, GBHackers

Certifikáty eMudhra: proč prohlížeče přestaly věřit části webů

Zámeček vedle adresy webu znamená, že stránka má certifikát. Ten funguje jako občanský průkaz: potvrzuje, že web je opravdu ten, za který se vydává, třeba vaše banka. Certifikáty vydávají certifikační autority, něco jako úřady, kterým prohlížeče věří.

Indické certifikační autoritě eMudhra unikly tajné klíče, kterými tyto průkazy „razítkuje“. Kdo je má, mohl by vyrobit falešný průkaz pro jakýkoli web a vydávat se za něj. Klíče navíc vznikly chybně a byly tak slabé, že je šlo spočítat na běžném počítači.

Prohlížeče proto rychle zasáhly. Firefox a Chrome dotčené certifikáty blokují od 17. října, zařízení Apple od 19. října a Microsoft od 20. října. Podle Googlu se zatím žádný falešný certifikát neobjevil.

Co to znamená pro vás

Běžným uživatelům stačí mít aktuální prohlížeč a operační systém. Prohlížeč si můžete otestovat na stránce emudhra.we-have-a-problem.com: pokud svítí všechny výsledky zeleně, je vše v pořádku.

Seznam důvěryhodných autorit ale nemají jen prohlížeče. Vlastní seznam mají i servery a aplikace a ty je potřeba aktualizovat zvlášť, což je práce pro správce nebo dodavatele aplikace. Weby s certifikátem od eMudhry ho musí vyměnit, jinak se návštěvníkům může zobrazit varování nebo se stránka nenačte.

Zdroj: Root.cz

Co doporučujeme udělat

Nemusíte být technik, stačí čtyři kroky:

1. Aktualizujte prohlížeč, telefon a počítač. Tím máte za sebe hotovo.
2. Pokud vám aplikaci nebo web spravuje dodavatel, zeptejte se ho, jestli už nasadil nové verze Node.js a certifikátů.
3. Pokud máte vlastního správce serverů, pošlete mu odkaz na tento článek. Čísla verzí, která potřebuje, najde výše.
4. Pokud vaše aplikace běží na starší verzi bez podpory, naplánujte její modernizaci. Odkládání se obvykle prodraží.

Jak to řešíme v iQuestu

Aplikace, které pro klienty vyvíjíme a spravujeme, aktualizujeme průběžně, a tedy i teď. Pokud bude u některého projektu potřeba krátká odstávka nebo vaše spolupráce, ozveme se.

Bezpečnostní aktualizace nejsou jednorázová věc, Node.js jen letos vydal opravy už několikrát. Nejvíc starostí obvykle nedělá samotná aktualizace, ale starší aplikace, které už opravy nedostávají.

Nejste si jistí, jestli je vaše aplikace v pořádku? Ozvěte se nám, rádi to prověříme.