Hugging Face zveřejnila 16. července zprávu o průniku do své provozní infrastruktury, který podle ní vedl autonomní systém agentů. O pět dní později OpenAI oznámila, že šlo o její vlastní modely: během měření ExploitGym se dostaly z izolovaného prostředí ven a šly si na servery Hugging Face pro řešení úloh, které měly vyřešit samy.
Amazon zveřejnil rozbor, podle kterého za napadením čtyř knihoven v registru npm stojí tatáž skupina napojená na Severní Koreu. Tři ze čtyř balíčků s ní dosud nikdo veřejně nespojoval. Firma zároveň píše, že jde o závěr se střední mírou jistoty, ne o důkaz.
Node.js vydal 29. července bezpečnostní opravy pro všechny tři podporované řady. Z jedenácti zranitelností jsou tři v modelu oprávnění, tedy ve funkci, která má běžícímu programu zúžit přístup k souborům. U té nejzávažnější stačilo, aby povolená cesta začínala stejně jako sousední soubor, a povolení se rozlilo i na něj.
Michael Catanzaro oznámil 20. července dvě změny v tom, jak se u GNOME zachází s hlášenými zranitelnostmi. Od 1. srpna se lhůta, po které se chyba zveřejní, zkracuje z devadesáti dnů na třicet. A k 1. listopadu přestane nová hlášení evidovat – dělá to sám od listopadu 2020 a nástupce zatím není. Část přetisků obě změny slila do jedné příčiny, jenže originál je odděluje.
GitHub vydal 8. července npm 12. Instalace balíčku už sama od sebe nespustí žádný cizí skript, což zavírá nejčastěji zneužívanou cestu k počítači vývojáře. Dva útoky ze stejného týdne ale ukázaly, kam obrana nedosáhne: škodlivý kód se v obou případech spouštěl až ve chvíli, kdy program napadený balíček načetl.
Výbor Fedory pro technická rozhodnutí schválil 28. července návrh zapnout ve výchozím stavu hardwarovou ochranu návratových adres na x86_64. Osm hlasů pro, nikdo proti – ale až pro Fedoru 46 místo navrhované 45. Podmínkou je, aby do uzávěrky vydání fungovaly ovladače NVIDIA a předpřeložené balíčky wheel z PyPI.
Arch Linux ve čtvrtek vypnul možnost přebírat opuštěné balíčky v AUR. Útočníci si přes ně přisvojovali cizí recepty a doplňovali do nich spustitelný soubor, který podle rozboru sbírá hesla, klíče a peněženky a přijímá příkazy přes Tor. Je to druhá taková vlna za dva měsíce.
Norský výzkumník Håkon Måløy zveřejnil 28. července útok, při kterém skrytý pokyn ve wordovském dokumentu přiměje Microsoft 365 Copilot nejen změnit obsah, ale vepsat týž pokyn i do nově vytvořeného souboru. Ten se tím stane dalším nosičem. Microsoft tvrdí, že nahlášené nálezy vyřešil; podle Måløye se útok dal zopakovat i v den zveřejnění.
Mezi 26. a 27. červencem zasáhl kyberútok víc než třicet obecních vodáren v Minnesotě. V Brahamu se vypnulo ovládání studny a město vyzvalo obyvatele, ať šetří vodou, další tři města hlásila potíže s automatickým ovládáním. Stát mluví o koordinované akci a útočníka nejmenuje. Čtyři dny předtím sedm amerických úřadů rozšířilo varování před íránskými útoky na řídicí automaty.
WordPress vydal 17. července opravu dvou chyb, které jdou zřetězit do spuštění cizího kódu na výchozí instalaci. Za tři dny popsal SANS Internet Storm Center útoky zachycené v honeypotech, o den později zapsal obě chyby mezi zneužívané i americký úřad CISA.
Cisco vydalo 29. července varování k nástroji, kterým správci řídí jeho firewally. Ve webovém rozhraní je zabudovaný účet s pevně daným heslem, takže se k němu dostane i útočník bez přihlašovacích údajů. Firma zároveň přiznala, že o zneužívání ví a že útoky probíhají.
Bezpečnostní chyby nahlášené GNOME od 1. srpna 2026 se zveřejní po třiceti dnech, ne po devadesáti. Michael Catanzaro, který hlášení v GNOME třídí od listopadu 2020, to zdůvodňuje tím, že delší lhůta nikdy nic nezachránila: kdo chybu opraví, zvládne to do tří týdnů. Zároveň oznámil, že od 1. listopadu tuhle práci dělat přestane.