Projekt OpenSSH vydal 5. listopadu mimořádnou verzi 10.6p2. Obchází v ní chybu, kvůli které sshd na Linuxu s knihovnou musl a vypnutým PAM přijal u účtů bez hesla jakýkoli dost dlouhý řetězec. Nejznámější takový systém je Alpine Linux, který téhož dne vydal opravené balíčky až zpátky k řadě 3.16.
Kompresní knihovna zlib vyšla po necelých devíti měsících ve verzi 1.4. Oddíl bezpečnostních oprav má jedenáct položek a devět z nich se týká samotné knihovny. U pěti stojí identifikátor auditu Trail of Bits, u jedné je jako nálezce uvedený jazykový model. Distribuce zatím rozesílají starší verze.
Rozšíření PostgreSQL Anonymizer skrývá osobní údaje v databázi před uživateli, kteří je nemají vidět. Verze 3.3 z 27. října opravuje dvanáct zranitelností: osm z nich dovolovalo maskovanému účtu dostat se k původním hodnotám, devátá vydala tajnou sůl, jedna dovolila zápis a dvě mohou shodit celý databázový cluster. Dalibo radí všem upgradovat a k tomu vyměnit tajnou sůl.
Fail2ban čte záznamy OpenSSH a adresu, která v nich opakovaně selhává, zapíše do firewallu. Jeho filtr pro sshd ale připouštěl za adresou přívěsek on a slovo za ním, a protože sshd zapisuje nabídnuté jméno uživatele tak, jak přišlo, stačilo se o přihlášení pokusit pod jménem x 198.51.100.77 on. Nástroj pak za zdroj útoku považoval adresu 198.51.100.77.
Vydání 0.31.0 z 5. října 2026 odmítne pole mm_processor_kwargs a media_io_kwargs, pokud je klient pošle v požadavku. Dala se jimi předepsat práce s obrázky a videem a u dvou backendů stačilo pár desítek bajtů JSONu na několikanásobek paměti serveru. Kdo ta pole potřebuje, spustí server s přepínačem --trust-request-mm-kwargs.
Knihovna vm2 má spouštět cizí JavaScript tak, aby se nedostal k hostiteli. Záznam, který se tenhle týden objevil ve veřejné databázi GitHubu, popisuje opak: jediné zavolání require stačilo ke spuštění libovolného příkazu na stroji, kde sandbox běží. Oprava je přitom ve verzi 3.12.1 z 3. září.
Hlášení CVE-2026-59178 ze 14. září popisuje chybu v Device Builderu, novém webovém rozhraní ESPHome: po přejmenování proměnných USERNAME a PASSWORD na ESPHOME_USERNAME a ESPHOME_PASSWORD přestal panel číst stará jména, takže instalace chráněná starým způsobem běžela po aktualizaci bez ověření. Oprava ve verzi 1.0.12 je z 20. června, číslo CVE dostala až teď. Doplňku pro Home Assistant se to netýká.
Nástroj rsync vyšel ve verzi 3.5.0 a jeho autoři ji sami označili za mimořádné vydání. Nejsou za tím nové funkce, ale 33 bezpečnostních chyb zavřených najednou. Kritickou známku dostala jediná z nich: démon se zapnutou podporou protokolu PROXY přijímal jeho hlavičku od kohokoli, takže se přes ni dala podvrhnout zdrojová adresa a obejít pravidla přístupu.
Firma VulnCheck zapsala 8. a 9. srpna do registru CVE šestadvacet kritických záznamů ke dvěma bezdrátovým routerům – patnáct k D-Link DWR-M961 a jedenáct k MSI Radix AXE6600. Skoro všechny popisují totéž: text zadaný do webové správy routeru skončí v příkazu, který zařízení spustí s právy správce. D-Link měl opravný firmware venku už měsíc předtím.
Škodlivý server umí klientovi, který si zapnul ověřování OCSP odpovědí, ukrojit kus paměti při každém spojení. OpenSSL označil chybu za nízkou a opravné vydání kvůli ní nechystá, zatímco známka CVSS připojená k záznamu CVE má 7,5 bodu z deseti.
Thermo Fisher Scientific opravil zranitelnost ve svém softwaru pro genetickou identifikaci, který používají kriminalistické laboratoře. Výstupní soubory s DNA profily šlo podle bezpečnostního bulletinu pozměnit tak, že si toho analytický program nevšiml. Výzkumníci to pro The Wall Street Journal demonstrovali s pomocí modelu Claude, doklad o skutečném zneužití ale zatím nikdo nemá.
N-able opravil autentizační díru ve svém nástroji N-central, jenže oprava pokrývala jen jednu cestu k témuž cíli. Útočník tu druhou našel dřív než výrobce a získal na spravovaných serverech plný administrátorský přístup. Americký úřad CISA dal na záplatu jen tři dny.
