Vývojáři curlu vydali 14. října verzi 8.23.0 a spolu s ní popsali chybu CVE-2026-94265. Stačilo, aby přesměrování vedlo na adresu se jménem a heslem, a klient se u cizího serveru plně přihlásil protokolem Kerberos. Týká se to dvou vydání, 8.21.0 a 8.22.0.
Fail2ban čte záznamy OpenSSH a adresu, která v nich opakovaně selhává, zapíše do firewallu. Jeho filtr pro sshd ale připouštěl za adresou přívěsek on a slovo za ním, a protože sshd zapisuje nabídnuté jméno uživatele tak, jak přišlo, stačilo se o přihlášení pokusit pod jménem x 198.51.100.77 on. Nástroj pak za zdroj útoku považoval adresu 198.51.100.77.
Knihovna vm2 má spouštět cizí JavaScript tak, aby se nedostal k hostiteli. Záznam, který se tenhle týden objevil ve veřejné databázi GitHubu, popisuje opak: jediné zavolání require stačilo ke spuštění libovolného příkazu na stroji, kde sandbox běží. Oprava je přitom ve verzi 3.12.1 z 3. září.
V repozitáři APT leží od 29. září 2026 žádost o začlenění, která k dnešním kontrolním součtům SHA-256 a SHA-512 přidává druhou rodinu, SHA3-256 a SHA3-512. Důvodem není kvantový počítač, ale délka podpory Ubuntu 24.04 LTS: klienti rozeseté po světě musí jinou rodinu hashů umět dřív, než na ni archiv přejde. Začleněná zatím není.
Projekt Bouncy Castle zapsal 2. a 3. října 2026 do registru CVE patnáct záznamů o chybách ve své kryptografické knihovně pro Javu. Opravy vyšly už v září, ve verzích 1.86 a LTS 2.73.13. Nejvýš hodnocený záznam popisuje chybu v protokolu MLS: útočník se mohl v šifrované skupině vydávat za držitele cizího certifikátu.
Skupina VUSec z Vrije Universiteit Amsterdam a dvě italské školy zveřejnily 29. září útok Branch Target Reuse. Procesor po přepsání kódu zahodí starou verzi, ale záznam v prediktoru nepřímých skoků mu po ní zůstane, a překladač JIT na totéž místo vzápětí nasype kód nový. Na běžném jádře Ubuntu z toho vznikl exploit, který přečte hash rootova hesla za pět minut.
Autoři knihovny PyJWT zveřejnili 29. a 30. září deset bezpečnostních hlášení k verzi 2.13.0 a starším. Čtyři z nich popisují totéž: kontrola, která má zabránit použití veřejného klíče jako tajemství pro HMAC, se dívá jen na to, jak je klíč zapsaný. Opravené jsou od 11. září ve verzi 2.14.0.
Pětice kryptografů z Kalifornské univerzity v San Diegu a z INRIA Nancy dokázala padělat podpisy 1024bitového klíče RSA, aniž ho rozložila na prvočísla. Výpočet zabral 1 380 procesorových jádroroků, tedy zhruba tři setiny toho, co by stál rozklad téhož klíče. Útok ale potřebuje dočasný přístup ke službě, která podepisuje surová data bez výplně, takže běžných podpisů RSA se netýká.
Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
Bezpečnostní pracovní skupina Rustu a tým registru crates.io oznámily, že proti členům projektu a vlastníkům oblíbených crates běží cílená kampaň. Začíná domluveným videohovorem o práci nebo zakázce a končí prosbou, aby si volaný něco doinstaloval. Převzaté účty mají podle oznámení posloužit k vydávání malwaru.
Knihovna rustls od verze 0.23.13 propouštěla zprávy handshaku TLS 1.3, které měly dorazit zašifrované a dorazily v otevřeném textu. Opravu přineslo vydání 0.23.45 ze 14. září 2026 a funkčně tutéž chybu mělo do letošního ledna i Go.
Hlášení CVE-2026-59178 ze 14. září popisuje chybu v Device Builderu, novém webovém rozhraní ESPHome: po přejmenování proměnných USERNAME a PASSWORD na ESPHOME_USERNAME a ESPHOME_PASSWORD přestal panel číst stará jména, takže instalace chráněná starým způsobem běžela po aktualizaci bez ověření. Oprava ve verzi 1.0.12 je z 20. června, číslo CVE dostala až teď. Doplňku pro Home Assistant se to netýká.
