Projekt OpenSSH vydal 5. listopadu mimořádnou verzi 10.6p2. Obchází v ní chybu, kvůli které sshd na Linuxu s knihovnou musl a vypnutým PAM přijal u účtů bez hesla jakýkoli dost dlouhý řetězec. Nejznámější takový systém je Alpine Linux, který téhož dne vydal opravené balíčky až zpátky k řadě 3.16.
WordPress vydal 28. října verzi 7.1.4 a zpětně k ní pětadvacet oprav až po řadu 4.7. Jedna ze zalátaných chyb se netýká toho, co web ukazuje návštěvníkům, ale krátké chvíle, kdy si sám přepisuje soubory jádra: v ní šlo bez přihlášení spustit na serveru cizí kód. Wordfence u ní počítá zablokované pokusy po tisících.
Souběh ve funkci assign_headers() modulu mod_http2 dovolí útočníkovi z internetu poškodit haldu Apache HTTP Serveru a provést v něm cizí příkaz. Postižené jsou řady 2.4.55 až 2.4.70, ale jen tam, kde web nabízí druhou verzi protokolu HTTP. Opravu přináší Apache HTTP Server 2.4.71.
Kompresní knihovna zlib vyšla po necelých devíti měsících ve verzi 1.4. Oddíl bezpečnostních oprav má jedenáct položek a devět z nich se týká samotné knihovny. U pěti stojí identifikátor auditu Trail of Bits, u jedné je jako nálezce uvedený jazykový model. Distribuce zatím rozesílají starší verze.
Git vydal 10. listopadu šest bezpečnostních oprav včetně chyby při klonování s podmoduly. Připravené jsou i záplaty pro starší udržované řady; samotná aktualizace systémové kopie ale nevyřeší Git přibalený k jiným programům.
N-central slouží poskytovatelům IT služeb ke správě počítačů jejich zákazníků. V pondělí 9. listopadu zveřejnil nezávislý výzkumník popis 33 údajných chyb toho nástroje i ukázkový kód; N-able kvůli tomu odstavil hostovanou verzi a druhý den vydal opravu sedmi zranitelností.
Ve čtvrtek 29. října 2026 odešly z peněženek burzy Binance kryptoměny v hodnotě kolem 6,3 miliardy dolarů, tedy zhruba 137 miliard korun. Většina z nich zmizela během dvaceti minut na deseti sítích. Burza slíbila, že ztrátu pokryje z vlastních prostředků, a analytické firmy ukazují na severokorejskou skupinu TraderTraitor.
Rozšíření PostgreSQL Anonymizer skrývá osobní údaje v databázi před uživateli, kteří je nemají vidět. Verze 3.3 z 27. října opravuje dvanáct zranitelností: osm z nich dovolovalo maskovanému účtu dostat se k původním hodnotám, devátá vydala tajnou sůl, jedna dovolila zápis a dvě mohou shodit celý databázový cluster. Dalibo radí všem upgradovat a k tomu vyměnit tajnou sůl.
Do ContentDB, oficiálního katalogu her, modů a balíčků textur pro otevřenou platformu Luanti (dřív Minetest), se dostal útočník. Od 22. do 26. října měl přístup k e-mailům, hashům hesel i nahraným souborům. Katalog je mimo provoz a tým radí změnit heslo každému, kdo ho používal i jinde.
Standardní knihovna Pythonu dostala tabulku osmi otisků veřejných klíčů, které modul ssl odmítne bez ohledu na nastavení programu i na to, čemu věří operační systém. Jsou to klíče mezilehlých autorit eMudhra, které se daly spočítat z certifikátu. Oprava má číslo CVE-2026-115557 a vyšla v pěti větvích naráz.
Soukromé klíče osmi mezilehlých certifikátů autority eMudhra byla čísla menší než 256, takže je mohl spočítat kdokoli. Chrome, Firefox, Apple i Microsoft je zablokovali, Google navíc vyřazuje celý kořen emSign ECC Root CA - G3. Programy mimo prohlížeče potřebují aktualizované úložiště certifikátů.
Bezpečnostní tým PHP vydal 21. října 2026 opravné verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Zavírají dvě chyby jádra jazyka, CVE-2026-109618 a CVE-2026-109619, obě se známkou 9,2. Vznikají tím, jak PHP uklízí paměť po přerušeném požadavku, a za určitých podmínek vedou ke spuštění kódu bez přihlášení.
