Projekt Bouncy Castle zapsal 2. a 3. října 2026 do registru CVE patnáct záznamů o chybách ve své kryptografické knihovně pro Javu. Opravy vyšly už v září, ve verzích 1.86 a LTS 2.73.13. Nejvýš hodnocený záznam popisuje chybu v protokolu MLS: útočník se mohl v šifrované skupině vydávat za držitele cizího certifikátu.
OpenJDK 27 je od 15. září 2026 obecně dostupné a přináší devět JEPů. Tři z nich se projeví samy, bez jediného zásahu do kódu: virtuální stroj si nově vybírá garbage collector G1 i ve stísněných poměrech, kde dosud spouštěl Serial, hlavička objektu se na 64bitových strojích zkrátila z 96 na 64 bitů a klient TLS nabízí jako první postkvantovou skupinu.
Výrobce systému na správu tisku PaperCut vydal 27. srpna 2026 nouzovou záplatu, o den později druhou a 1. září třetí. Útočníci podle něj spojují dvě chyby do řetězce, kterým se do serveru dostanou bez hesla a spustí na něm vlastní kód. CISA obě zapsala 31. srpna mezi aktivně zneužívané a americkým federálním úřadům dala lhůtu do 14. září.
