vm2 Node.js Library Vulnerabilities Enable Sandbox Escape and Arbitrary Code Execution

Váš solární střídač je možná členem botnetu. Jak knihovna vm2 a malware ZiChatBot likvidují českou energetiku

Máte na střeše solární panely? Nebo snad řídíte firmu, která sází na chytrou spotřebu energií? Gratuluji. Pravděpodobně jste si právě pořídili i vstupenku do první ligy kybernetické války. Zatímco se politici hádají o dotace, hackeři v tichosti rozebírají základy naší kritické infrastruktury přes chyby, které by laik považoval za „nudný IT problém“.

Řeč je o něčem, co se jmenuje vm2. Pro běžného smrtelníka je to jen řádek v seznamu softwarových komponent. Pro bezpečnostního experta je to noční můra, která ani v roce 2026 nepřestává strašit. A když se k tomu přidá čerstvý report od Zscaler ThreatLabz a malware schovaný v balíčcích na PyPI, máme zaděláno na pořádný průšvih.

Píseček, který se změnil v past

Představte si, že máte vězně. Chcete, aby pro vás pracoval, ale nechcete, aby vám ukradl klíče od domu. Tak ho zavřete do izolované místnosti – říká se jí sandbox. Knihovna vm2 měla být přesně takovou místností pro Node.js. Vývojáři ji používali k tomu, aby mohli spouštět cizí, potenciálně nebezpečný kód, aniž by ohrozili zbytek systému.

Jenže se ukázalo, že ta místnost má papírové zdi.

Série zranitelností umožnila to, čemu říkáme „sandbox escape“. Útočník prostě prokopne zeď a najednou má plný přístup k vašemu serveru. Může mazat data, instalovat ransomware nebo, co je v energetice nejhorší, ovládat fyzická zařízení. Pokud tento kód běží ve střídači nebo v řídicí jednotce vaší sítě, hacker může na dálku vypnout proud celému bloku. A to všechno jen proto, že někdo zapomněl aktualizovat (nebo spíš nahradit) jednu knihovnu, která je už dávno po smrti.

ZiChatBot: Když vám malware napíše přes Zulip

Aby toho nebylo málo, bezpečnostní experti aktuálně bijí na poplach kvůli balíčkům na PyPI (centrální registr pro jazyk Python). Objevil se tam malware ZiChatBot. Tenhle prevít je chytrý. Cílí na systémy Windows i Linux a k exfiltraci dat používá API platformy Zulip.

Proč je to geniální? Protože provoz na Zulip vypadá jako běžná firemní komunikace. Žádný firewall ho nezastaví, protože „to je přece ten náš chat“. ZiChatBot se zaměřuje na krádeže citlivých informací a otevírání zadních vrátek. V kontextu moderní energetiky, kde se systémy pro řízení spotřeby často programují právě v Pythonu nebo Node.js, jde o přímý zásah na komoru.

Stačí, aby jeden nepozorný vývojář při údržbě systému pro sdílení energie stáhl špatnou knihovnu. Najednou se platformy jako SmartEnergyShare stávají terčem útoku, který nejde jen po penězích, ale po stabilitě sítě. Bezpečnost v decentralizované energetice totiž není jen o šifrách, ale o integritě celého dodavatelského řetězce softwaru.

VPN jako falešný pocit bezpečí

Zscaler ThreatLabz ve svém „2026 VPN Risk Report“ potvrzuje to, co v komunitě víme už dlouho: klasické VPN jsou v dnešní době spíš bezpečnostní dírou než štítem. Report, na kterém spolupracovali Cybersecurity Insiders, ukazuje, že útočníci využívají právě VPN brány jako první bod vstupu do kritické infrastruktury.

Většina energetických firem se stále spoléhá na to, že když mají „vpéeenku“, jsou v suchu. Omyl. Jakmile se útočník dostane přes VPN (často pomocí ukradených přihlašovacích údajů nebo zneužitím chyby v samotném VPN softwaru), má volnou cestu k vnitřním systémům. Tam pak může vesele zneužívat chyby typu vm2 k tomu, aby ovládl servery, které doteď vypadaly jako nedobytné pevnosti.

Zscaler jasně říká: VPN musí zemřít. Budoucnost je v Zero Trust architektuře. Tedy v systému, kde nikdo a nic nemá automatickou důvěru jen proto, že je „uvnitř sítě“. Každý požadavek, každé spuštění kódu musí být verifikováno.

Co na to NUKIB?

Český Národní úřad pro kybernetickou a informační bezpečnost (NUKIB) situaci kolem kritické infrastruktury sleduje dlouhodobě. Jejich doporučení jsou jasná: diverzifikace dodavatelů a striktní kontrola softwarových komponent. Na webu NUKIB najdete varování, která se často týkají právě technologií z rizikových oblastí, ale problémem je i náš vlastní přístup k údržbě.

Energetika v Česku prochází obrovskou transformací. Instalujeme tisíce tepelných čerpadel, solárů a baterií. Každé tohle zařízení má v sobě kus kódu. A ten kód je často děravý jako ementál. Pokud nebudeme vyžadovat po dodavatelích certifikaci kybernetické bezpečnosti a pravidelné audity, stavíme si energetickou síť na tekutých píscích.

Vzpomeňte si na útoky na ukrajinskou rozvodnou síť před pár lety. Tehdy to byla „ruční práce“. Dnes, s pomocí AI a automatizovaných exploitů na chyby jako vm2, může jeden útočník zasáhnout stovky cílů najednou.

Strategie přežití pro energetiky

Jak se tedy bránit, když i ty nejzákladnější nástroje jako sandboxy a VPN selhávají?

SBM (Software Bill of Materials): Musíte vědět, co máte v kódu. Pokud váš dodavatel neví, jestli používá vm2 nebo jiné zastaralé knihovny, vyměňte dodavatele. Tečka.
Konec iluze VPN: Přechod na ZTNA (Zero Trust Network Access). Přestaňte se tvářit, že vnitřní síť je bezpečná. Není.
Izolace kritických procesů: Řízení fyzických prvků sítě (jako jsou jističe nebo transformátory) nesmí být přímo přístupné z internetu, ani přes deset „bezpečných“ vrstev Node.js.
Monitoring anomálií: Pokud váš solární střídač najednou začne komunikovat se serverem v Hongkongu přes Zulip API, něco je špatně. Musíte mít systémy, které tohle zachytí v reálném čase.

Budoucnost bude bolet

Kybernetická bezpečnost v energetice už dávno není o tom, že vám někdo ukradne heslo k e-mailu. Je o tom, jestli ráno zapnete kávovar nebo jestli v nemocnici pojdou záložní generátory. Problémy jako vm2 jsou jen špičkou ledovce.

Útoky na dodavatelský řetězec, jako je případ ZiChatBot, budou přibývat. Hackeři vědí, že nejslabším článkem není šifrování, ale unavený programátor, který si chce ušetřit práci a zkopíruje kód z internetu. Pokud jako společnost nezačneme brát kybernetickou hygienu stejně vážně jako revize komínů, čeká nás hodně studených a tmavých večerů.

A pokud si myslíte, že se vás to netýká, protože máte jen malou FVE na chalupě, vzpomeňte si na botnety. Tisíc malých střídačů, které najednou začnou odebírat nebo dodávat proud v nesmyslný čas, dokáže rozkolísat celou distribuční soustavu. V digitálním světě jsme totiž všichni propojeni – ať se nám to líbí, nebo ne.

Závěrem? Sledujte reporty CISA a NUKIB, neignorujte aktualizace a hlavně se ptejte svých dodavatelů, co přesně jim běží v těch krásných krabičkách s displejem. Protože ta krabička může být trojským koněm, kterého jste si sami pozvali domů a ještě mu zaplatili za instalaci.