Linus Torvalds převzal 21. srpna 2026 balík jedenácti oprav souborového systému eCryptfs, který šifruje soubory nad jiným úložištěm. Tři z nich opravují kód, jenž do jádra přišel s eCryptfs v říjnu 2006. Nejvážnější z chyb dovolila běžnému uživateli přepsat paměť jádra tím, že otevřel podvržený soubor.
Když se zařízení hlásí protistraně a má doložit, jaký software v něm běžel, potřebuje pro každou měřenou část jméno, otisk a údaj o tom, čím se počítal. Dosavadní formát to uměl jen u věcí uložených v souborovém systému. Nový dokument IETF míří na to, co běží dřív, než nějaký souborový systém vůbec existuje.
Do hlavní větve jádra Linuxu se 2. září 2026 dostala změna o jednom řádku: randomizace vnitřních struktur se nepředvolí tam, kde je k dispozici překladač Rustu. Důvodem je allmodconfig, sestavení pro pokrytí překladu, ve kterém se obě věci vylučovaly a Rust z něj vypadával. Distribučních jader se to netýká, ta mají randstruct nepředvolený tak jako tak.
Starlette skládá adresu požadavku z hlavičky Host a do vydání 1.0.1 ji nijak nekontrolovala. Jediný znak navíc proto stačí, aby mezivrstva hlídající přístup viděla jinou cestu, než na kterou požadavek doopravdy míří. Chybu CVE-2026-48710 vede CISA od 2. září mezi zranitelnostmi, u kterých má doklad o zneužití při útocích.
Americká agentura pro kybernetickou a infrastrukturní bezpečnost přestala nabízet šest bezplatných hodnocení, při kterých její regionální poradci chodili za provozovateli vodáren, elektráren a nemocnic a pomáhali jim projít vlastní hodnoticí nástroj. Místo nich má sloužit dotazník k mezioborovým cílům CPG. Lidé, kteří ty nástroje stavěli, říkají, že jedno druhé nenahradí.
Hlášení CVE-2026-59178 ze 14. září popisuje chybu v Device Builderu, novém webovém rozhraní ESPHome: po přejmenování proměnných USERNAME a PASSWORD na ESPHOME_USERNAME a ESPHOME_PASSWORD přestal panel číst stará jména, takže instalace chráněná starým způsobem běžela po aktualizaci bez ověření. Oprava ve verzi 1.0.12 je z 20. června, číslo CVE dostala až teď. Doplňku pro Home Assistant se to netýká.
Knihovna rustls od verze 0.23.13 propouštěla zprávy handshaku TLS 1.3, které měly dorazit zašifrované a dorazily v otevřeném textu. Opravu přineslo vydání 0.23.45 ze 14. září 2026 a funkčně tutéž chybu mělo do letošního ledna i Go.
Bezpečnostní pracovní skupina Rustu a tým registru crates.io oznámily, že proti členům projektu a vlastníkům oblíbených crates běží cílená kampaň. Začíná domluveným videohovorem o práci nebo zakázce a končí prosbou, aby si volaný něco doinstaloval. Převzaté účty mají podle oznámení posloužit k vydávání malwaru.
Pětice kryptografů z Kalifornské univerzity v San Diegu a z INRIA Nancy dokázala padělat podpisy 1024bitového klíče RSA, aniž ho rozložila na prvočísla. Výpočet zabral 1 380 procesorových jádroroků, tedy zhruba tři setiny toho, co by stál rozklad téhož klíče. Útok ale potřebuje dočasný přístup ke službě, která podepisuje surová data bez výplně, takže běžných podpisů RSA se netýká.
Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
