Pětice kryptografů z Kalifornské univerzity v San Diegu a z INRIA Nancy dokázala padělat podpisy 1024bitového klíče RSA, aniž ho rozložila na prvočísla. Výpočet zabral 1 380 procesorových jádroroků, tedy zhruba tři setiny toho, co by stál rozklad téhož klíče. Útok ale potřebuje dočasný přístup ke službě, která podepisuje surová data bez výplně, takže běžných podpisů RSA se netýká.
Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
Bezpečnostní pracovní skupina Rustu a tým registru crates.io oznámily, že proti členům projektu a vlastníkům oblíbených crates běží cílená kampaň. Začíná domluveným videohovorem o práci nebo zakázce a končí prosbou, aby si volaný něco doinstaloval. Převzaté účty mají podle oznámení posloužit k vydávání malwaru.
Knihovna rustls od verze 0.23.13 propouštěla zprávy handshaku TLS 1.3, které měly dorazit zašifrované a dorazily v otevřeném textu. Opravu přineslo vydání 0.23.45 ze 14. září 2026 a funkčně tutéž chybu mělo do letošního ledna i Go.
Hlášení CVE-2026-59178 ze 14. září popisuje chybu v Device Builderu, novém webovém rozhraní ESPHome: po přejmenování proměnných USERNAME a PASSWORD na ESPHOME_USERNAME a ESPHOME_PASSWORD přestal panel číst stará jména, takže instalace chráněná starým způsobem běžela po aktualizaci bez ověření. Oprava ve verzi 1.0.12 je z 20. června, číslo CVE dostala až teď. Doplňku pro Home Assistant se to netýká.
Americká agentura pro kybernetickou a infrastrukturní bezpečnost přestala nabízet šest bezplatných hodnocení, při kterých její regionální poradci chodili za provozovateli vodáren, elektráren a nemocnic a pomáhali jim projít vlastní hodnoticí nástroj. Místo nich má sloužit dotazník k mezioborovým cílům CPG. Lidé, kteří ty nástroje stavěli, říkají, že jedno druhé nenahradí.
Starlette skládá adresu požadavku z hlavičky Host a do vydání 1.0.1 ji nijak nekontrolovala. Jediný znak navíc proto stačí, aby mezivrstva hlídající přístup viděla jinou cestu, než na kterou požadavek doopravdy míří. Chybu CVE-2026-48710 vede CISA od 2. září mezi zranitelnostmi, u kterých má doklad o zneužití při útocích.
Do hlavní větve jádra Linuxu se 2. září 2026 dostala změna o jednom řádku: randomizace vnitřních struktur se nepředvolí tam, kde je k dispozici překladač Rustu. Důvodem je allmodconfig, sestavení pro pokrytí překladu, ve kterém se obě věci vylučovaly a Rust z něj vypadával. Distribučních jader se to netýká, ta mají randstruct nepředvolený tak jako tak.
Výrobce systému na správu tisku PaperCut vydal 27. srpna 2026 nouzovou záplatu, o den později druhou a 1. září třetí. Útočníci podle něj spojují dvě chyby do řetězce, kterým se do serveru dostanou bez hesla a spustí na něm vlastní kód. CISA obě zapsala 31. srpna mezi aktivně zneužívané a americkým federálním úřadům dala lhůtu do 14. září.
Rámec Next.js vydal 25. srpna 2026 opravné verze 16.3.3 a 15.5.24. Zavírají dvě chyby označené jako kritické a obě dovolují spustit na serveru cizí kód bez přihlášení. Tu první nemá na svědomí sám rámec, ale knihovna libheif, ke které se dostane přes balík sharp; než oprava projde celým řetězcem, přestal Next.js zpracovávat vstupní obrázky AVIF.
Linus Torvalds převzal 21. srpna 2026 balík jedenácti oprav souborového systému eCryptfs, který šifruje soubory nad jiným úložištěm. Tři z nich opravují kód, jenž do jádra přišel s eCryptfs v říjnu 2006. Nejvážnější z chyb dovolila běžnému uživateli přepsat paměť jádra tím, že otevřel podvržený soubor.
Zranitelnost ShieldBreak obchází červencovou opravu Defenderu a z běžného účtu dá práva SYSTEM na plně aktualizovaných Windows. Microsoft jí 14. srpna přidělil číslo CVE-2026-69414, ale opravenou verzi u ní zatím neuvádí. Nálezce ji zveřejnil bez upozornění, protože s firmou vede spor o hlášení chyb.
