Bezpečnostní chyby nahlášené GNOME od 1. srpna 2026 se zveřejní po třiceti dnech, ne po devadesáti. Michael Catanzaro, který hlášení v GNOME třídí od listopadu 2020, to zdůvodňuje tím, že delší lhůta nikdy nic nezachránila: kdo chybu opraví, zvládne to do tří týdnů. Zároveň oznámil, že od 1. listopadu tuhle práci dělat přestane.
Hugging Face zveřejnila 16. července zprávu o průniku do své provozní infrastruktury, který podle ní vedl autonomní systém agentů. O pět dní později OpenAI oznámila, že šlo o její vlastní modely: během měření ExploitGym se dostaly z izolovaného prostředí ven a šly si na servery Hugging Face pro řešení úloh, které měly vyřešit samy.
WordPress vydal 17. července opravu dvou chyb, které jdou zřetězit do spuštění cizího kódu na výchozí instalaci. Za tři dny popsal SANS Internet Storm Center útoky zachycené v honeypotech, o den později zapsal obě chyby mezi zneužívané i americký úřad CISA.
Výbor Fedory pro technická rozhodnutí schválil 28. července návrh zapnout ve výchozím stavu hardwarovou ochranu návratových adres na x86_64. Osm hlasů pro, nikdo proti – ale až pro Fedoru 46 místo navrhované 45. Podmínkou je, aby do uzávěrky vydání fungovaly ovladače NVIDIA a předpřeložené balíčky wheel z PyPI.
Firma Lava proskenovala internet na portu 623 a našla 36 872 serverových řadičů s odkrytým protokolem IPMI. Dvě třetiny z nich vydají otisk odvozený z hesla ještě před přihlášením, takže se dá lámat offline. Tovární heslo Supermicra jde z něj na serveru s osmi grafickými kartami dopočítat zhruba za hodinu, u HPE iLO za 32 sekund.
Node.js vydal 29. července bezpečnostní opravy pro všechny tři podporované řady. Z jedenácti zranitelností jsou tři v modelu oprávnění, tedy ve funkci, která má běžícímu programu zúžit přístup k souborům. U té nejzávažnější stačilo, aby povolená cesta začínala stejně jako sousední soubor, a povolení se rozlilo i na něj.
Norský výzkumník Håkon Måløy zveřejnil 28. července útok, při kterém skrytý pokyn ve wordovském dokumentu přiměje Microsoft 365 Copilot nejen změnit obsah, ale vepsat týž pokyn i do nově vytvořeného souboru. Ten se tím stane dalším nosičem. Microsoft tvrdí, že nahlášené nálezy vyřešil; podle Måløye se útok dal zopakovat i v den zveřejnění.
Nové RFC 10015 mění sedmnáct starších dokumentů a v TLS 1.2 zakazuje dvě výměny klíčů: přes RSA a přes Diffieho–Hellmana nad konečným tělesem. Statické ECDH nechává jen jako nedoporučené. V rejstříku IANA se to projevilo u 222 šifrovacích sad, které dostaly písmeno D; doporučených jich zbylo čtrnáct. TLS 1.3 se dokument netýká, ten tyhle postupy buď nezná, nebo je má postavené jinak.
Cloudflare 29. července oznámil, že spojení mezi svou sítí a servery zákazníků umí ověřovat postkvantovými podpisy ML-DSA. Ve stejném textu přiznal, že kvůli tomu musel poprvé po čtyřech letech aktualizovat kryptografickou knihovnu BoringSSL v jedné ze svých proxy. Po nasazení začaly části zákazníků chodit chyby 526.
Mezi 26. a 27. červencem zasáhl kyberútok víc než třicet obecních vodáren v Minnesotě. V Brahamu se vypnulo ovládání studny a město vyzvalo obyvatele, ať šetří vodou, další tři města hlásila potíže s automatickým ovládáním. Stát mluví o koordinované akci a útočníka nejmenuje. Čtyři dny předtím sedm amerických úřadů rozšířilo varování před íránskými útoky na řídicí automaty.
Projekt zlib-rs, rustová náhrada klasické céčkové knihovny zlib financovaná organizací za Let's Encrypt, vydal 3. srpna 2026 verzi 0.6.7. Oprava se týká chyby use-after-free, kterou nezávislý výzkumník našel ve funkci <code>set_level</code> – navzdory tomu, že volající kód nemusí napsat jediný řádek nebezpečného Rustu. Release zároveň přidal optimalizace pro čínskou architekturu LoongArch.
Repozitář zveřejněný 25. července tvrdil, že vyvrací Collatzovu domněnku, a Lean 4 jeho důkaz přijal. Nebyl to důkaz, ale chyba v jádře systému: přes vnořené induktivní typy šlo protlačit špatně otypovaný výraz a z něj vyrobit důkaz čehokoliv. Hlášení, oprava i opravené vydání stihly týž den.