Advisory: kedy a ako zverejniť opravenú zraniteľnosť

Posledný krok procesu riešenia zraniteľností je ten najviditeľnejší: advisory — verejné oznámenie, že ste opravili bezpečnostný problém. Cyber Resilience Act ho vyžaduje v Prílohe I, časť II: po sprístupnení opravy má výrobca zverejniť informácie o zraniteľnosti. Poďme si ukázať, kedy ho vydať a čo doň napísať.

Prečo advisory vôbec vydávať

Advisory má dve úlohy naraz. Pre používateľov je to signál „aktualizujte sa a prečo" — bez neho nevedia, že tichý update opravuje niečo bezpečnostné, a odložia ho. Pre vás je to dôkaz, že proces funguje: transparentné, datované oznámenie, ktoré viete ukázať odberateľovi aj orgánu dohľadu. A pre celý ekosystém je to príspevok do databáz (napr. cez pridelené CVE), vďaka ktorému sa o probléme dozvedia aj tí, čo váš komponent používajú ďalej.

Kedy ho zverejniť

Načasovanie je jadro slova „koordinované". Platí jednoduché pravidlo: advisory vydávate spravidla až vtedy, keď je oprava dostupná — aby ste zverejnením neposkytli návod útočníkom skôr, než sa používatelia stihnú ochrániť. Ak dohoda s nahlasovateľom alebo iné okolnosti určia iný čas (napr. uplynutie dohodnutej lehoty), riadite sa tým. Cieľ je vždy rovnaký: v momente zverejnenia má mať používateľ čo urobiť.

Čo má advisory obsahovať

Dobré advisory je krátke a konkrétne. Malo by odpovedať na to, čo používateľ potrebuje vedieť, aby sa rozhodol a konal:

1. Identifikátor a názov. Vlastné číslo advisory a, ak je pridelené, CVE.
2. Popis zraniteľnosti. Čoho sa týka, akého typu problém to je — bez zbytočných detailov, ktoré by boli návodom na útok.
3. Zasiahnuté produkty a verzie. Ktoré verzie sú zraniteľné a ktorá už nie — toto je pre používateľa najdôležitejší riadok.
4. Závažnosť a dopad. Orientačná závažnosť (napr. CVSS) a čo hrozí, ak sa neaktualizuje.
5. Ako sa opraviť. Na akú verziu prejsť, prípadne dočasné zmiernenie (workaround), kým sa dá aktualizovať.
6. Uznanie a dátum. Kedy bolo vydané a prípadné poďakovanie nahlasovateľovi (podľa vašej CVD policy).

Čo doň nedávať

Advisory nie je exploit. Vynechajte presný technický návod na zneužitie (proof-of-concept, ktorý útočníkovi ušetrí robotu), interné detaily infraštruktúry a osobné údaje. Rovnováha je jednoduchá: dosť na to, aby sa používateľ vedel rozhodnúť a ochrániť, nie viac. Rovnako sa vyhnite bagatelizovaniu („nič vážne") aj strašeniu — píšte vecne.

Ako môže vyzerať krátke advisory

Nemusí to byť dlhý dokument. Príklad štruktúry pre malú firmu:

1. Názov: „ADV-2026-003: Zraniteľnosť v spracovaní vstupu v komponente X".
2. Zasiahnuté verzie: 2.3.0 – 2.4.1. Opravené v: 2.4.2.
3. Závažnosť: vysoká (CVSS 8,1). Dopad: neoprávnený prístup k … pri splnení podmienky …
4. Odporúčanie: aktualizujte na 2.4.2. Dočasné zmiernenie: obmedzte … kým nemôžete aktualizovať.
5. Dátum a poďakovanie: vydané 2026-05-12, ďakujeme nahlasovateľovi (ak súhlasil).

Toto je celý „recept" — používateľ okamžite vidí, či sa ho to týka, a čo urobiť. Žiadny proof-of-concept, žiadne interné detaily.

Kam advisory zverejniť

Advisory patrí na miesto, kde ho používatelia nájdu: verejná stránka „Security advisories" na vašom webe, prípadne v release notes k opravenej verzii. Ak máte pridelené CVE, jeho číslo uveďte, aby sa advisory dalo prepojiť s databázami (NVD, OSV). Staré advisories nemažte — tvoria históriu, ktorá je pre odberateľa aj orgán dohľadu dôkazom, že proces reálne beží.

Ako to zapadá do reťaze

Advisory je koniec reťaze, ktorá začína nahlasovacím kanálom a security.txt, pokračuje CVD politikou a životným cyklom nálezu (nový → posúdený → opravený → advisory). Keď máte tento tok zavedený, každé advisory je len prirodzený posledný krok, nie hasenie požiaru. A ak sa zraniteľnosť medzičasom stala aktívne zneužívanou, paralelne beží aj hlásenie podľa čl. 14 — to je iná povinnosť s vlastnými lehotami.

Časté otázky

1. Musíme mať CVE, aby sme vydali advisory? Nie. CVE pomáha prepojiť advisory s databázami, ale advisory môžete vydať aj s vlastným identifikátorom.
2. Máme zverejniť aj zraniteľnosti, ktoré sme opravili „potichu"? Príloha I časť II žiada zverejniť informácie o zraniteľnosti po sprístupnení opravy — tiché opravy bez oznámenia sú v rozpore s duchom tejto povinnosti a navyše používatelia netušia, prečo aktualizovať.
3. Koľko detailov je akurát? Dosť, aby sa používateľ vedel rozhodnúť a ochrániť; nie tak veľa, aby to bol návod na útok.

Prečo je advisory aj vo vašom záujme

Okrem povinnosti má advisory praktický úžitok: keď používateľ vidí jasné „aktualizujte na 2.4.2, lebo …", oprava sa reálne nasadí a vy znížite počet zraniteľných inštalácií v teréne. Bez advisory zostane veľa používateľov na starej verzii, lebo nevedia, že tá „obyčajná" aktualizácia bola bezpečnostná. História advisories je zároveň dôkazom pre odberateľov, že svoj proces beriete vážne — čo oceníte pri dodávateľských dotazníkoch.

Kľúčový bod

Advisory je posledný a najviditeľnejší krok procesu riešenia zraniteľností — a Príloha I časť II ho vyžaduje: po sprístupnení opravy zverejniť informácie o zraniteľnosti. Časovanie je jadro slova „koordinované": vydávate ho spravidla až vtedy, keď je oprava dostupná, aby ste nedali útočníkom náskok pred používateľmi. Dobré advisory je krátke a konkrétne — identifikátor, popis, zasiahnuté a opravené verzie, závažnosť a dopad, ako sa opraviť, dátum. Vynechajte proof-of-concept a interné detaily; cieľ je, aby používateľ vedel, či sa ho to týka a čo urobiť. Advisory má úžitok aj pre vás: viac používateľov sa reálne aktualizuje, čím znížite počet zraniteľných inštalácií, a história advisories je dôkazom, že proces beží — čo oceníte pri dodávateľských dotazníkoch. Ak sa zraniteľnosť medzičasom stala aktívne zneužívanou, súbežne beží aj hlásenie podľa čl. 14 — to je iná povinnosť s vlastnými lehotami.

Ako pomáha CRAguard

CRAguard predvyplní advisory z nálezu (zasiahnuté verzie, závažnosť, opravená verzia), necháva vás text upraviť a publikuje ho na vašej verejnej stránke advisories — všetko s audit trailom, ktorý potom viete ukázať odberateľovi. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II) a usmernenia Európskej komisie zo dňa 27. 7. 2026.