Git vydal 10. listopadu šest bezpečnostních oprav včetně chyby při klonování s podmoduly. Připravené jsou i záplaty pro starší udržované řady; samotná aktualizace systémové kopie ale nevyřeší Git přibalený k jiným programům.
Souběh ve funkci assign_headers() modulu mod_http2 dovolí útočníkovi z internetu poškodit haldu Apache HTTP Serveru a provést v něm cizí příkaz. Postižené jsou řady 2.4.55 až 2.4.70, ale jen tam, kde web nabízí druhou verzi protokolu HTTP. Opravu přináší Apache HTTP Server 2.4.71.
N-central slouží poskytovatelům IT služeb ke správě počítačů jejich zákazníků. V pondělí 9. listopadu zveřejnil nezávislý výzkumník popis 33 údajných chyb toho nástroje i ukázkový kód; N-able kvůli tomu odstavil hostovanou verzi a druhý den vydal opravu sedmi zranitelností.
Projekt OpenSSH vydal 5. listopadu mimořádnou verzi 10.6p2. Obchází v ní chybu, kvůli které sshd na Linuxu s knihovnou musl a vypnutým PAM přijal u účtů bez hesla jakýkoli dost dlouhý řetězec. Nejznámější takový systém je Alpine Linux, který téhož dne vydal opravené balíčky až zpátky k řadě 3.16.
Kompresní knihovna zlib vyšla po necelých devíti měsících ve verzi 1.4. Oddíl bezpečnostních oprav má jedenáct položek a devět z nich se týká samotné knihovny. U pěti stojí identifikátor auditu Trail of Bits, u jedné je jako nálezce uvedený jazykový model. Distribuce zatím rozesílají starší verze.
WordPress vydal 28. října verzi 7.1.4 a zpětně k ní pětadvacet oprav až po řadu 4.7. Jedna ze zalátaných chyb se netýká toho, co web ukazuje návštěvníkům, ale krátké chvíle, kdy si sám přepisuje soubory jádra: v ní šlo bez přihlášení spustit na serveru cizí kód. Wordfence u ní počítá zablokované pokusy po tisících.
Ve čtvrtek 29. října 2026 odešly z peněženek burzy Binance kryptoměny v hodnotě kolem 6,3 miliardy dolarů, tedy zhruba 137 miliard korun. Většina z nich zmizela během dvaceti minut na deseti sítích. Burza slíbila, že ztrátu pokryje z vlastních prostředků, a analytické firmy ukazují na severokorejskou skupinu TraderTraitor.
Rozšíření PostgreSQL Anonymizer skrývá osobní údaje v databázi před uživateli, kteří je nemají vidět. Verze 3.3 z 27. října opravuje dvanáct zranitelností: osm z nich dovolovalo maskovanému účtu dostat se k původním hodnotám, devátá vydala tajnou sůl, jedna dovolila zápis a dvě mohou shodit celý databázový cluster. Dalibo radí všem upgradovat a k tomu vyměnit tajnou sůl.
Do ContentDB, oficiálního katalogu her, modů a balíčků textur pro otevřenou platformu Luanti (dřív Minetest), se dostal útočník. Od 22. do 26. října měl přístup k e-mailům, hashům hesel i nahraným souborům. Katalog je mimo provoz a tým radí změnit heslo každému, kdo ho používal i jinde.
Standardní knihovna Pythonu dostala tabulku osmi otisků veřejných klíčů, které modul ssl odmítne bez ohledu na nastavení programu i na to, čemu věří operační systém. Jsou to klíče mezilehlých autorit eMudhra, které se daly spočítat z certifikátu. Oprava má číslo CVE-2026-115557 a vyšla v pěti větvích naráz.
Soukromé klíče osmi mezilehlých certifikátů autority eMudhra byla čísla menší než 256, takže je mohl spočítat kdokoli. Chrome, Firefox, Apple i Microsoft je zablokovali, Google navíc vyřazuje celý kořen emSign ECC Root CA - G3. Programy mimo prohlížeče potřebují aktualizované úložiště certifikátů.
Bezpečnostní tým PHP vydal 21. října 2026 opravné verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Zavírají dvě chyby jádra jazyka, CVE-2026-109618 a CVE-2026-109619, obě se známkou 9,2. Vznikají tím, jak PHP uklízí paměť po přerušeném požadavku, a za určitých podmínek vedou ke spuštění kódu bez přihlášení.
