Aktualizace odklikáváte pryč a riskujete více, než tušíte. Hackerům stačí jedna chyba a mají přístup k vašemu účtu

Jedna neopravená bezpečnostní chyba v systému, prohlížeči nebo aplikaci může útočníkům otevřít cestu k vašemu e-mailu, cloudovému účtu i bankovnictví.

Zdroj fotografie: Unsplash

Když se na obrazovce objeví oznámení o aktualizaci a vy kliknete na „Připomenout později“, neodkládáte jen otravné upozornění. Můžete tím prodloužit dobu, po kterou zůstává vaše zařízení zranitelné vůči útoku, před kterým už výrobce vydal opravu. „Jedna chyba“ v tomto kontextu neznamená špatně zadané heslo ani kliknutí na podezřelý odkaz. Jde o jedinou bezpečnostní chybu v kódu, kterou lze za určitých okolností zneužít i bez kombinace s dalšími zranitelnostmi. Konkrétní příklad popisuje Google Project Zero v souvislosti s útokem typu zero-click na Androidu, který nevyžaduje, aby oběť na cokoli klikla. A „váš účet“ neznamená jen Facebook. Ve hře může být e-mail, Microsoft 365, účet Google, Apple ID, pracovní cloud, VPN nebo přístup k bankovním službám. Útočník, který pronikne do zařízení, nemusí znát vaše heslo. Někdy mu stačí ukrást přihlašovací cookies nebo takzvané session tokeny, díky nimž může vystupovat jako již přihlášený uživatel.

Proč je „udělám to později“ nebezpečnější než „ne“

Většina lidí aktualizace neodmítá úplně. Jednoduše je odkládá. Právě tím ale prodlužuje období, během kterého může být známá zranitelnost snadno zneužitelná. Útočníci totiž sledují, jaké chyby výrobci opravují. Když Microsoft, Google nebo Apple zveřejní bezpečnostní záplatu, analýza rozdílů mezi starou a opravenou verzí kódu může útočníkům napovědět, kde se chyba nacházela a jak ji případně zneužít.

V bezpečnostní komunitě se pro středu následující po pravidelném úterním vydávání aktualizací Microsoftu vžil výraz „Exploit Wednesday“. Má upozorňovat na to, že zveřejněné opravy mohou útočníkům usnadnit hledání zranitelných zařízení. Přesný čas potřebný k vytvoření funkčního exploitu se ale liší podle konkrétní chyby a dostupných informací. Nelze proto obecně tvrdit, že se zranitelnosti začínají zneužívat vždy během několika hodin.

Pozor také na to, že stažení aktualizace nemusí znamenat její okamžité použití. Některé opravy se aktivují až po restartu zařízení. To platí například pro řadu aktualizací Windows a Androidu. Pokud počítač nebo telefon týdny nerestartujete, může být instalace opravy nedokončená a zařízení může zůstat zranitelné.

Co přesně útočníci získají

Představa hackera, který „pronikne do počítače“, je poměrně neurčitá. Skutečné následky ale mohou být velmi konkrétní. Útočníci mohou získat přístup k souborům, uloženým heslům, přihlašovacím údajům nebo aktivním relacím v prohlížeči. Ukradené cookies či session tokeny jim za určitých okolností umožňují používat některé služby bez opětovného zadávání hesla. Mohou tak obejít i některé situace, kdy by jinak bylo nutné další ověření. Neznamená to však, že každý token automaticky poskytuje přístup ke všem účtům nebo že jím lze vždy obejít dvoufaktorové ověření.

Získají-li útočníci přístup k e-mailu, mohou se pokusit převzít i další účty, například prostřednictvím obnovení hesla. Rozsah škod závisí na tom, jaká oprávnění se jim podaří získat a jaká ochranná opatření jsou na jednotlivých službách nastavena.

NÚKIB varuje, že úspěšné zneužití zranitelnosti může vést ke krádeži dat nebo k jejich zašifrování ransomwarem. Nejde tedy jen o teoretické riziko. Americká agentura CISA vede katalog bezpečnostních zranitelností, u nichž je doloženo zneužívání v praxi, a organizacím doporučuje řešit je přednostně. U některých chyb výrobci výslovně uvádějí, že už byly zneužity ještě před vydáním opravy.

Windows 10 bez podpory: tichá časovaná bomba

Zvláštní kategorií jsou zařízení, pro která už výrobce nevydává běžné bezpečnostní aktualizace. Microsoft ukončil standardní podporu Windows 10 14. října 2025. Uživatel, který tento systém stále používá bez dalšího programu podpory, tak nemůže počítat s pravidelnými bezpečnostními opravami. Existují sice možnosti rozšířených bezpečnostních aktualizací, jejich dostupnost a podmínky se ale liší podle edice a způsobu používání systému.

Pokud se v nepodporovaném systému objeví nová zranitelnost, může zůstat neopravená. Podobné riziko hrozí také u starších telefonů s Androidem, u nichž délka podpory závisí na výrobci, modelu a případně i operátorovi. Google u telefonů Pixel 8 a novějších garantuje sedm let aktualizací od uvedení zařízení na trh. U některých levnějších nebo starších modelů však může být doba podpory výrazně kratší.

Podle nás jde v roce 2026 o jeden z největších problémů: uživatel může chtít zařízení zabezpečit, ale pokud pro něj výrobce už potřebné opravy nevydává, samotné zapnutí automatických aktualizací nepomůže. V takovém případě je vhodné ověřit možnosti rozšířené podpory, případně zvážit přechod na podporované zařízení.

Jak se bránit: konkrétní kroky pro každou platformu

Jedním z nejúčinnějších opatření je zapnout automatické aktualizace a zařízení pravidelně restartovat. Přesné názvy položek se mohou lišit podle verze systému.

• iPhone/iPad: Nastavení → Obecné → Aktualizace softwaru → Automatické aktualizace. Zapněte dostupné možnosti automatického stahování a instalace aktualizací.
• Mac: Nastavení systému → Obecné → Aktualizace softwaru → Automatické aktualizace. Povolte automatické aktualizace systému a dostupných bezpečnostních oprav.
• Windows 11: Nastavení → Windows Update. Pravidelně kontrolujte dostupné aktualizace, zbytečně neodkládejte restart a nechte instalaci dokončit.
• Android: Nastavení → Systém → Aktualizace softwaru. Zkontrolujte dostupné aktualizace a po jejich instalaci zařízení restartujte, pokud to systém vyžaduje. Bezpečnostní aktualizace mohou být podle výrobce dostupné také v samostatné nabídce.

Pokud máte podezření, že zařízení bylo napadeno, samotná aktualizace nemusí stačit. Podle situace může být vhodné zařízení odpojit od sítě, provést kontrolu pomocí důvěryhodného bezpečnostního nástroje a obrátit se na odborníka. Hesla k důležitým účtům měňte z jiného, důvěryhodného zařízení. Zkontrolujte také aktivní přihlašovací relace a odhlaste neznámá zařízení. U některých služeb je možné odvolat přístupové tokeny nebo ukončit všechny relace, což je důležité zejména tehdy, pokud mohly být ukradeny přihlašovací cookies. Pokud existuje podezření na kompromitaci pracovního zařízení, kontaktujte také firemní IT oddělení.

Příští bezpečnostní aktualizaci proto zbytečně neodkládejte. Doba mezi zveřejněním opravy a případným útokem se může výrazně lišit, ale u některých zranitelností může být velmi krátká. Pravidelné aktualizace a restartování zařízení jsou jednoduché kroky, které pomáhají omezit dobu, po kterou zůstáváte zranitelní.