Miért nem véd meg önmagában a világ legjobb biztonsági szoftvere sem?
A 2026. októberi „Tailworm” (Tailscale SSH és Headscale) sebezhetőségek kijózanító üzenete a magyar KKV-vezetőknek: egyetlen feltört laptopból a másodperc tört része alatt teljes szerverpark-átvétel (root) lehet, ha a modern eszköz mögött nincs egy profi üzemeltető csapat.
Sok cégvezető abban a hitben él, hogy a kiberbiztonság egy egyszeri bevásárlólista: ha lecserélik az elavult VPN-t a piac egyik legmodernebb, „Zero-Trust” hálózati megoldására (mint a Tailscale vagy a saját szerveren futtatott Headscale), akkor hátradőlhetnek. A 2026. október 25-én publikált Tailworm kutatás azonban hidegzuhanyként mutatta meg a valóságot: három javítatlan hiba miatt (Tailscale 1.104.2 és Headscale 0.29.5) egyetlen adathalászattal megfertőzött dolgozói gépből jelszavak és kulcsok nélkül, ugrásonként 1 másodperc alatt megszerezhető a legmagasabb (root) rendszergazdai hatalom a cég összes elérhető szervere felett.
Miért hiszik a cégvezetők, hogy egy modern szoftver megvásárlásával letudták a biztonságot?
A magyar KKV-k körében az elmúlt két évben – teljesen érthető okokból – tömeges átállás indult meg: a régi, sérülékeny, nyitott portos VPN-eket elkezdték lecserélni modern, úgynevezett „Zero-Trust Mesh” hálózatokra (mint a Tailscale, vagy annak nyílt forráskódú, saját szerveren futtatható vezérlője, a Headscale).
Ezek a rendszerek valóban kiválóak. Nem kell hozzájuk nyitott tűzfalport az internet felé, másodpercek alatt összekötik a távmunkában dolgozó kolléga laptopját az irodai NAS-sal és a felhős szerverekkel, sőt: a Tailscale SSH segítségével még külön SSH-jelszavakkal vagy privát kulcsokkal sem kell bajlódni, hiszen a rendszer maga az eszköz azonossága (device identity) alapján engedi be a rendszergazdát vagy a fejlesztőt.
És pontosan itt születik meg a végzetes vezetői tévedés. Amikor egy belső informatikus vagy egy alkalmi megbízott 20 perc alatt feltelepíti a rendszert, és látja, hogy „minden gép lát minden gépet, minden működik”, a cégvezetés kipipálja a kiberbiztonságot. Nem kötnek rá folyamatos felügyeleti (SecOps) szerződést, nem írnak szigorú hálózati szegmentációs szabályokat (ACL), mert abban bíznak, hogy a szoftver nevében szereplő „Zero-Trust” (nulla bizalom) címke majd automatikusan megvédi őket.
Csakhogy a Zero-Trust nem egy megvásárolható termék, hanem egy üzemeltetési fegyelem. Ha egy zárt klubba (a céges mesh hálózatba) egyszer valaki bejutott egyetlen tag ellopott belépőkártyájával, és a klubon belül már egyetlen belső ajtó sincs bezárva, akkor a támadó akadálytalanul besétál a páncélterembe is.
Megveheted a világ legdrágább, golyóálló páncélautóját (a csúcskategóriás biztonsági szoftvert). De ha a sofőr nyitva hagyja az ablakot, benne hagyja az indítókulcsot, és senki nem figyeli a műszerfal hibajelzéseit, akkor az autó pontosan ugyanolyan könnyen ellopható, mint egy harmincéves Lada – sőt, a tolvaj utána már egy golyóálló autóban ülve tarolhatja le a telephelyedet!
Mi történt pontosan 2026 októberében? A Tailscale SSH- és a Headscale-hibák közérthetően
2026 októberében Erica Windisch (Cyberdione Labs) nyilvánosságra hozta a Tailworm jelentést, amely a Tailscale SSH (1.104.2-es verzió) és a Headscale (0.29.5-ös verzió) kritikus, a publikálás pillanatában javítatlan (0-day / unpatched) sebezhetőségeit tárta fel.
Unix socket-visszaélés és socketcsere
A Tailscale SSH port- és Unix domain socket továbbítási (forwarding) funkciója lehetővé tette, hogy egy alacsony jogosultságú támadó folyamat hozzáférjen a szerveren futó, root (rendszergazdai) tulajdonú belső vezérlő-socketekhez, vagy kicserélje azokat. Ezzel a támadó egyetlen pillanat alatt normál felhasználóból teljhatalmú root rendszergazdává lépett elő.
Időzítési versenyhelyzet (Race Condition)
Egy úgynevezett Time-of-Check to Time-of-Use (TOCTOU) hiba miatt az ellenőrzés pillanata és a tényleges hozzáférés pillanata között a támadó manipulálni tudta a kapcsolatot. Az eredmény: ellopott jelszó, SSH-kulcs vagy emberi jóváhagyás nélkül, gépi sebességgel (< 1 másodperc / ugrás) tudott továbbugrani a hálózat összes többi elérhető gépére.
A kikapcsolhatatlan Headscale-csapda
A saját szerveren üzemeltetett Headscale 0.29.5 esetében a helyzet még súlyosabb: a kutatás kimutatta, hogy ott a porttovábbítás (port forwarding) egyáltalán nem volt letiltható, így minden egyes SSH-hozzáférési engedély de facto teljes root jogot adott! Emellett a kísérleti conn25 (app connector) funkcióval a felhős szerverek titkos metaadat-kulcsai (169.254.169.254) is kinyerhetővé váltak.
1. Infografika: A „Tailworm” támadási lánc (hogyan lesz egyetlen adathalász levélből teljes szerverpark-leállás?)
MITRE ATT&CK Kill ChainMi állította meg a Tailwormot? Kizárólag a profi hálózati architektúra!
Amikor a Tailworm kutatás megjelent, még nem létezett hozzá szoftverfrissítés (patch). Azok a cégek, ahol a hálózatot „alapértelmezett” vagy tág jogosultságokkal hagyták magára, teljesen védtelenek voltak. Azoknál viszont, ahol egy profi csapat 1:1-es mikroszegmentációt épített ki, a támadás azonnal elhalt az első gépen! Próbáld ki alább a két forgatókönyvet:
Mi történik 4 másodperc alatt, ha feltörik egyetlen fejlesztő vagy könyvelő laptopját?
// A legtöbb KKV-nál így néz ki a szabályzat:
// Minden belső felhasználó vagy tag-csoport elér minden szervert
{
"acls": [
{
"action": "accept",
"src": ["autogroup:member", "tag:devs"],
"dst": ["*:*"]
}
],
"ssh": [
{
"action": "accept",
"src": ["autogroup:member", "tag:admin"],
"dst": ["tag:servers"],
"users": ["autogroup:nonroot", "root"]
}
]
}
// EREDMÉNY: 1 fertőzött gép = < 5 mp alatt az összes szerver ROOT!
// A Tailworm jelentés által igazolt védelem:
// Kizárólag 1 konkrét felügyelt admin gép -> 1 konkrét cél-szerver pár!
{
"acls": [
{
"action": "accept",
"src": ["device-admin-bastion-01"],
"dst": ["srv-erp-prod-01:22"]
}
],
"ssh": [
{
"action": "check", // Re-autentikáció kényszerítése (session check)
"src": ["device-admin-bastion-01"],
"dst": ["srv-erp-prod-01"],
"users": ["deploy-restricted"]
}
]
// + Control Plane szinten: Node-key expiry bekapcsolva,
// + Egress tűzfal: 169.254.169.254 (Cloud IMDS) blokkolva!
}
Mit csinál másképp egy profi IT-biztonsági csapat, amire egy „dobozos szoftver” soha nem lesz képes?
A Tailworm-ügy legmélyebb tanulsága nem az, hogy a Tailscale vagy a Headscale „rossz” lenne – hiszen továbbra is a piac legmodernebb eszközei közé tartoznak. A tanulság az, hogy nincs olyan szoftver a világon, amelyben soha ne találnának 0-day sebezhetőséget. Amikor pedig még nincs patch, kizárólag az üzemeltető csapat architektúrája és reakcióideje dönti el, hogy a cég túléli-e a napot.
| Védelmi terület | „Feltelepítettük házon belül” (magára hagyott eszköz) | Profi IT-biztonsági és üzemeltető csapat (Managed SecOps) |
|---|---|---|
| 1. Hálózati jogosultságok (ACL & Mikroszegmentáció) | „Mindenki lásson mindent, hogy ne panaszkodjanak a kollégák.” Egyetlen fertőzött gépből az egész hálózat bejárható. | Szigorú 1:1 forrás–cél párok (Zero Trust Segmentation). Egy könyvelői laptop fizikailag sem látja a szerverek SSH-portját. |
| 2. Kelet–nyugati (East–West) forgalomfigyelés | A titkosított mesh alagúton belüli forgalmat senki nem nézi. A támadó észrevétlenül ugrál szerverről szerverre. | Központi telemetria és anomália-detektálás: ha egy gép hirtelen több szerver felé indít SSH-kapcsolatot, a rendszer azonnal izolálja. |
| 3. Saját üzemeltetésű (Headscale) kockázatok ismerete | Felteszik a Headscale 0.29.5-öt, nem is tudva róla, hogy abban a porttovábbítás nem tiltható le, így minden SSH-jog egyben root jog. |
Ismerik a motorháztető alatti korlátokat: a Headscale elé külön ugrószervert (Bastion / Jump Host) és host-szintű tűzfalat tesznek. |
| 4. Kompromittált eszközök kizárása és kulcskezelés | Ha egy gépet feltörnek, csak újratelepítik, de a vezérlősíkon (Control Plane) érvényben maradnak az ellopott regisztrációs kulcsok. | Bekapcsolt Tailnet Lock, rövid lejáratú csomópont-kulcsok (Node-key expiry), és azonnali Control Plane szintű kulcsvisszavonás. |
| 5. Kifelé irányuló (Egress) és Cloud Metadata védelem | A conn25 (app connector) hibán keresztül a támadó kiolvassa a felhős szerver 169.254.169.254 IMDS kulcsait. |
Szigorú Egress tűzfalszabályok: a munkafolyamatok nem érhetik el a felhőszolgáltató belső metaadat-végpontjait és idegen C2 szervereket. |
Mit jelent ez a NIS2 és a DORA hatálya alá tartozó magyar cégeknek – és mit kérj számon még ma?
Az Aviatrix elemzése külön kiemeli, hogy a Tailworm-jellegű, javítás nélküli (unpatched) hálózati sebezhetőségek közvetlenül érintik az európai kiberbiztonsági jogszabályokat.
Hálózatbiztonság és sebezhetőségkezelés
A NIS2-irányelv 21. cikke (és a hazai kiberbiztonsági törvény) kötelezővé teszi a kockázatarányos hálózati szegmentációt és hozzáférés-vezérlést. Ha egy szervezetnél egyetlen végpont kompromittálódása jelszó nélkül, automatikusan root jogot ad a teljes szerverflottán, az a hatósági auditon rendszerszintű hálózatbiztonsági mulasztásnak minősül – különösen, ha a cég felügyelet nélküli Headscale 0.29.5-öt használ.
Harmadik felek IKT-kockázata és az észlelés
A pénzügyi és biztosítási szektor beszállítóira vonatkozó DORA (9., 10. és 13. cikk) előírja az oldalirányú támadások észlelését és a beszállítói (Third-Party ICT) kockázatok kezelését. Ha egy gyártónál (mint a Tailscale a publikálás pillanatában) késik a javítás vagy a CVE-kiadás, a cégnek saját kompenzáló kontrollokkal (mikroszegmentációval, Egress-szűréssel) kell megvédenie az infrastruktúrát.
5 kérdés, amit még ma tegyél fel a rendszergazdádnak (ha Tailscale-t, Headscale-t vagy bármilyen VPN-t használtok)
Nem kell értened a Unix socketekhez – cégvezetőként ezt az 5 kérdést másold ki, és kérj rá írásos választ az IT-felelőstől:
Ha igen: a Headscale 0.29.5-ön azonnal kapcsolják le a Tailscale SSH-t (mivel a porttovábbítás ott nem tiltható le), a Tailscale klienseket pedig frissítsék a legújabb biztonsági kiadásra!
Elvárás: Töröljék az
autogroup:member -> *:* jellegű általános szabályokat! Csak dedikált adminisztrátori gépről, egyetlen konkrét cél-szerverre mutató szabály élhet.
Elvárás: Enélkül egyetlen feltört gépről ellopott regisztrációs kulccsal a támadó a saját gépét is örökre befűzheti a céges hálózatba.
Elvárás: A Tailscale
conn25 (app connector) hiba miatt meg kell akadályozni, hogy a hálózati csomópontok kiolvassák a felhőszolgáltató belső hitelesítő kulcsait.
Elvárás: Legyen központi naplózás és riasztás arra az esetre, ha egyetlen belső gép hirtelen, néhány másodperc alatt több szerver felé próbál SSH-kapcsolatot nyitni.
Kapcsolódó cikkek
Miért omlott össze a hagyományos KKV-védelem 2026 őszén?
Az AI-alapú támadások és a PHP2Shell-válság után a régi recept már nem véd. Mit építs meg, és mit vásárolj meg a cég védelméhez?
Súlyos biztonsági hiba Dell laptopokon
Fontos tudnivaló – érinti a te cégedet is!? Futótűzként terjed több hírportálon is egy „ReVault” nevű biztonsági hiba leírása, ami egyes Dell laptopokat érint.
Azonnal frissítsd a Windows és a Firefox böngészőt
A RomCom csoport javítatlan Firefox- és Windows-hibákat használ ki, kattintás nélkül. Mit tegyél most cégvezetőként?
Következő lépés
Tudd meg, hol vannak a céges IT valódi kockázatai.
Egy kockázatfelmérés során átvizsgáljuk a rendszered legfontosabb pontjait, majd világos, fontossági sorrendbe rendezett javaslatokat adunk a javításhoz.