Škodlivý server umí klientovi, který si zapnul ověřování OCSP odpovědí, ukrojit kus paměti při každém spojení. OpenSSL označil chybu za nízkou a opravné vydání kvůli ní nechystá, zatímco známka CVSS připojená k záznamu CVE má 7,5 bodu z deseti.
Korejský výzkumník Hyunwoo Kim zveřejnil 6. srpna 2026 chybu Zapscape (CVE-2026-64561), use-after-free ve stínových tabulkách stránek linuxového KVM na x86. Útočník, který má roota ve vlastním virtuálním stroji, s ní mohl spustit kód s právy roota na hostiteli, a tím i nad ostatními virtuály na témže železe. V jádře byla od července 2020, oprava se dostala do hlavní řady 21. července 2026.
Projekt zlib-rs, rustová náhrada klasické céčkové knihovny zlib financovaná organizací za Let's Encrypt, vydal 3. srpna 2026 verzi 0.6.7. Oprava se týká chyby use-after-free, kterou nezávislý výzkumník našel ve funkci <code>set_level</code> – navzdory tomu, že volající kód nemusí napsat jediný řádek nebezpečného Rustu. Release zároveň přidal optimalizace pro čínskou architekturu LoongArch.
N-able opravil autentizační díru ve svém nástroji N-central, jenže oprava pokrývala jen jednu cestu k témuž cíli. Útočník tu druhou našel dřív než výrobce a získal na spravovaných serverech plný administrátorský přístup. Americký úřad CISA dal na záplatu jen tři dny.
Thermo Fisher Scientific opravil zranitelnost ve svém softwaru pro genetickou identifikaci, který používají kriminalistické laboratoře. Výstupní soubory s DNA profily šlo podle bezpečnostního bulletinu pozměnit tak, že si toho analytický program nevšiml. Výzkumníci to pro The Wall Street Journal demonstrovali s pomocí modelu Claude, doklad o skutečném zneužití ale zatím nikdo nemá.
Repozitář zveřejněný 25. července tvrdil, že vyvrací Collatzovu domněnku, a Lean 4 jeho důkaz přijal. Nebyl to důkaz, ale chyba v jádře systému: přes vnořené induktivní typy šlo protlačit špatně otypovaný výraz a z něj vyrobit důkaz čehokoliv. Hlášení, oprava i opravené vydání stihly týž den.
Nové RFC 10015 mění sedmnáct starších dokumentů a v TLS 1.2 zakazuje dvě výměny klíčů: přes RSA a přes Diffieho–Hellmana nad konečným tělesem. Statické ECDH nechává jen jako nedoporučené. V rejstříku IANA se to projevilo u 222 šifrovacích sad, které dostaly písmeno D; doporučených jich zbylo čtrnáct. TLS 1.3 se dokument netýká, ten tyhle postupy buď nezná, nebo je má postavené jinak.
Arista vydala 27. července opravu chyby CVE-2026-16812 v centrální správě sítí SD-WAN VeloCloud Orchestrator. Hodnocení má 10,0 z 10,0, k útoku nejsou potřeba žádné přihlašovací údaje a podle výrobce se zneužívala dřív, než oprava vyšla. Chyba se týká jen instalací u zákazníka; hostovanou a dedikovanou verzi opravila Arista předem.
Jediné volání strcpy v obsluze protokolu SSDP dovolovalo přetéct zásobník routeru s firmwarem DD-WRT. Vývojáři to opravili 9. února 2021, ale veřejný záznam o zranitelnosti vyšel v databázi CVE až 16. července 2026. To už ji několik měsíců používal botnet C0XMO k šíření po routerech.
Agentura CISA zapsala 27. července chybu CVE-2025-68686 ve FortiOS do katalogu zneužívaných zranitelností. Obchází záplatu, která měla ze zařízení odstranit symbolický odkaz, jímž si útočníci po dřívějším průniku drželi čtecí přístup k souborům. Fortinet ji na své stránce vede jako středně závažnou a u kolonky o známém zneužití má „ne“.
Cloudflare 29. července oznámil, že spojení mezi svou sítí a servery zákazníků umí ověřovat postkvantovými podpisy ML-DSA. Ve stejném textu přiznal, že kvůli tomu musel poprvé po čtyřech letech aktualizovat kryptografickou knihovnu BoringSSL v jedné ze svých proxy. Po nasazení začaly části zákazníků chodit chyby 526.
Amazon zveřejnil rozbor, podle kterého za napadením čtyř knihoven v registru npm stojí tatáž skupina napojená na Severní Koreu. Tři ze čtyř balíčků s ní dosud nikdo veřejně nespojoval. Firma zároveň píše, že jde o závěr se střední mírou jistoty, ne o důkaz.