A Vercel supply chain cikk megmutatta: a támadás a függőségen jön be. A CRA 2026. szeptember 11-től kötelező jelentést kér aktívan kihasznált sebezhetőségre (EC CRA summary).
Ha EOL (end-of-life) csomag fut élesben, a patch késik — a 24 órás ablak pedig nem vár.
Mi az EOL a vezető nyelvén
A fejlesztői csomag gyártója nem ad biztonsági javítást. Példák, amelyek magyar KKV-knál gyakoriak:
- Node.js 18 LTS lejárat után
- Vue 2, AngularJS
- régi PHP verzió shared hostingon
Nem azt kell tudnod, hogyan patch-elj — azt, hogy van-e listád, mi fut az ügyfélnek adott termékben.
CRA + EOL metszet
| Helyzet | Kockázat |
|---|---|
| EOL + ismert CVE + exploit | 24h reporting + ügyfél-értesítés (CRA cikk) |
| EOL + nincs SBOM | Nem tudod, érintett-e a terméked |
| Friss + SBOM | Patch vagy workaround dokumentálható |
Négy lépés a jelentéshez
1. Terméklista. Mely éles szolgáltatás / firmware / app adódik el EU-ban?
2. npm audit / Dependabot / SBOM export — egyszer, vezetői briefingre.
3. Prioritás. Top 5 EOL függőség — üzleti hatás + nyilvános exploit.
4. Döntés. Upgrade, vendor support szerződés (pl. extended support), vagy termék-kivonás — írásban, határidővel.
Kérdés az igazgatósági ülésre
„Tudjuk-e, mely éles termékben fut EOL szoftver — és ki felel a CRA-jelentésért?”
Jogi megjegyzés: CRA hatály termékenként. Műszaki + jogi értékelés kell.
AI-közreműködés: AI-asszisztált váz — Gellai Róbert főszerkesztő lektorálta és jóváhagyta. Loop Magazin, 2026.
Frissítve 2026. október 10-én: a „szeptember előtt” már nem határidő. A 14. cikk 2026. szeptember 11. óta alkalmazandó.