Přehození jediného bitu v řadiči paměti přeskládá překlad adres na souřadnice v čipech DRAM, takže tatáž adresa najednou míří jinam. Chráněné oblasti, ke kterým se nedostane ani jádro systému, jdou pak číst i přepisovat. Vyzkoušené je to na procesorech AMD rodiny 16h a k přehození je potřeba práva jádra.
Jediné volání strcpy v obsluze protokolu SSDP dovolovalo přetéct zásobník routeru s firmwarem DD-WRT. Vývojáři to opravili 9. února 2021, ale veřejný záznam o zranitelnosti vyšel v databázi CVE až 16. července 2026. To už ji několik měsíců používal botnet C0XMO k šíření po routerech.
Rámec Next.js vydal 25. srpna 2026 opravné verze 16.3.3 a 15.5.24. Zavírají dvě chyby označené jako kritické a obě dovolují spustit na serveru cizí kód bez přihlášení. Tu první nemá na svědomí sám rámec, ale knihovna libheif, ke které se dostane přes balík sharp; než oprava projde celým řetězcem, přestal Next.js zpracovávat vstupní obrázky AVIF.
Zranitelnost ShieldBreak obchází červencovou opravu Defenderu a z běžného účtu dá práva SYSTEM na plně aktualizovaných Windows. Microsoft jí 14. srpna přidělil číslo CVE-2026-69414, ale opravenou verzi u ní zatím neuvádí. Nálezce ji zveřejnil bez upozornění, protože s firmou vede spor o hlášení chyb.
GitHub vydal 8. července npm 12. Instalace balíčku už sama od sebe nespustí žádný cizí skript, což zavírá nejčastěji zneužívanou cestu k počítači vývojáře. Dva útoky ze stejného týdne ale ukázaly, kam obrana nedosáhne: škodlivý kód se v obou případech spouštěl až ve chvíli, kdy program napadený balíček načetl.
Cisco vydalo 29. července varování k nástroji, kterým správci řídí jeho firewally. Ve webovém rozhraní je zabudovaný účet s pevně daným heslem, takže se k němu dostane i útočník bez přihlašovacích údajů. Firma zároveň přiznala, že o zneužívání ví a že útoky probíhají.
Microsoft 9. července opravil chybu RoguePlanet, kterou šlo z Windows Defenderu vytáhnout práva SYSTEM. Výzkumník, který ji našel, o tři dny později oznámil, že samotná oprava přinesla nový problém: kombinace úniku osmi bajtů, cloudové služby SpyNet a skryté vlastnosti souborového systému NTFS podle něj dovolí zaplnit systémový disk. Microsoft se k tomu zatím nevyjádřil.
Výrobce systému na správu tisku PaperCut vydal 27. srpna 2026 nouzovou záplatu, o den později druhou a 1. září třetí. Útočníci podle něj spojují dvě chyby do řetězce, kterým se do serveru dostanou bez hesla a spustí na něm vlastní kód. CISA obě zapsala 31. srpna mezi aktivně zneužívané a americkým federálním úřadům dala lhůtu do 14. září.
Nástroj rsync vyšel ve verzi 3.5.0 a jeho autoři ji sami označili za mimořádné vydání. Nejsou za tím nové funkce, ale 33 bezpečnostních chyb zavřených najednou. Kritickou známku dostala jediná z nich: démon se zapnutou podporou protokolu PROXY přijímal jeho hlavičku od kohokoli, takže se přes ni dala podvrhnout zdrojová adresa a obejít pravidla přístupu.
Michael Catanzaro oznámil 20. července dvě změny v tom, jak se u GNOME zachází s hlášenými zranitelnostmi. Od 1. srpna se lhůta, po které se chyba zveřejní, zkracuje z devadesáti dnů na třicet. A k 1. listopadu přestane nová hlášení evidovat – dělá to sám od listopadu 2020 a nástupce zatím není. Část přetisků obě změny slila do jedné příčiny, jenže originál je odděluje.
Arch Linux ve čtvrtek vypnul možnost přebírat opuštěné balíčky v AUR. Útočníci si přes ně přisvojovali cizí recepty a doplňovali do nich spustitelný soubor, který podle rozboru sbírá hesla, klíče a peněženky a přijímá příkazy přes Tor. Je to druhá taková vlna za dva měsíce.
Proofpoint popsal kampaň, ve které stačí otevřít e-mail ve webové poště vlastního serveru Exchange a v prohlížeči oběti se spustí implantát OWAReaper. Přístup útočníkům zůstane i po změně hesla a po přeinstalaci počítače, protože se drží v poštovní schránce na serveru. Chyba má záplatu od května, kampaň začala 22. července.
