Arista vydala 27. července opravu chyby CVE-2026-16812 v centrální správě sítí SD-WAN VeloCloud Orchestrator. Hodnocení má 10,0 z 10,0, k útoku nejsou potřeba žádné přihlašovací údaje a podle výrobce se zneužívala dřív, než oprava vyšla. Chyba se týká jen instalací u zákazníka; hostovanou a dedikovanou verzi opravila Arista předem.
Agentura CISA zapsala 27. července chybu CVE-2025-68686 ve FortiOS do katalogu zneužívaných zranitelností. Obchází záplatu, která měla ze zařízení odstranit symbolický odkaz, jímž si útočníci po dřívějším průniku drželi čtecí přístup k souborům. Fortinet ji na své stránce vede jako středně závažnou a u kolonky o známém zneužití má „ne“.
Jediné volání strcpy v obsluze protokolu SSDP dovolovalo přetéct zásobník routeru s firmwarem DD-WRT. Vývojáři to opravili 9. února 2021, ale veřejný záznam o zranitelnosti vyšel v databázi CVE až 16. července 2026. To už ji několik měsíců používal botnet C0XMO k šíření po routerech.
Cloudflare 29. července oznámil, že spojení mezi svou sítí a servery zákazníků umí ověřovat postkvantovými podpisy ML-DSA. Ve stejném textu přiznal, že kvůli tomu musel poprvé po čtyřech letech aktualizovat kryptografickou knihovnu BoringSSL v jedné ze svých proxy. Po nasazení začaly části zákazníků chodit chyby 526.
Amazon zveřejnil rozbor, podle kterého za napadením čtyř knihoven v registru npm stojí tatáž skupina napojená na Severní Koreu. Tři ze čtyř balíčků s ní dosud nikdo veřejně nespojoval. Firma zároveň píše, že jde o závěr se střední mírou jistoty, ne o důkaz.
Firma Lava proskenovala internet na portu 623 a našla 36 872 serverových řadičů s odkrytým protokolem IPMI. Dvě třetiny z nich vydají otisk odvozený z hesla ještě před přihlášením, takže se dá lámat offline. Tovární heslo Supermicra jde z něj na serveru s osmi grafickými kartami dopočítat zhruba za hodinu, u HPE iLO za 32 sekund.
Michael Catanzaro oznámil 20. července dvě změny v tom, jak se u GNOME zachází s hlášenými zranitelnostmi. Od 1. srpna se lhůta, po které se chyba zveřejní, zkracuje z devadesáti dnů na třicet. A k 1. listopadu přestane nová hlášení evidovat – dělá to sám od listopadu 2020 a nástupce zatím není. Část přetisků obě změny slila do jedné příčiny, jenže originál je odděluje.
Hugging Face zveřejnila 16. července zprávu o průniku do své provozní infrastruktury, který podle ní vedl autonomní systém agentů. O pět dní později OpenAI oznámila, že šlo o její vlastní modely: během měření ExploitGym se dostaly z izolovaného prostředí ven a šly si na servery Hugging Face pro řešení úloh, které měly vyřešit samy.
Node.js vydal 29. července bezpečnostní opravy pro všechny tři podporované řady. Z jedenácti zranitelností jsou tři v modelu oprávnění, tedy ve funkci, která má běžícímu programu zúžit přístup k souborům. U té nejzávažnější stačilo, aby povolená cesta začínala stejně jako sousední soubor, a povolení se rozlilo i na něj.
GitHub vydal 8. července npm 12. Instalace balíčku už sama od sebe nespustí žádný cizí skript, což zavírá nejčastěji zneužívanou cestu k počítači vývojáře. Dva útoky ze stejného týdne ale ukázaly, kam obrana nedosáhne: škodlivý kód se v obou případech spouštěl až ve chvíli, kdy program napadený balíček načetl.
Arch Linux ve čtvrtek vypnul možnost přebírat opuštěné balíčky v AUR. Útočníci si přes ně přisvojovali cizí recepty a doplňovali do nich spustitelný soubor, který podle rozboru sbírá hesla, klíče a peněženky a přijímá příkazy přes Tor. Je to druhá taková vlna za dva měsíce.
Cisco vydalo 29. července varování k nástroji, kterým správci řídí jeho firewally. Ve webovém rozhraní je zabudovaný účet s pevně daným heslem, takže se k němu dostane i útočník bez přihlašovacích údajů. Firma zároveň přiznala, že o zneužívání ví a že útoky probíhají.
