Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
Dokument z dílny Crypto Forum Research Group popisuje čtyři šifry postavené na jediném kole AES. Proti AES-GCM slibují vyšší propustnost na procesorech s instrukcemi AES a mírnější limity na počet zpráv zašifrovaných jedním klíčem. Standardem IETF se tím ale nestávají.
Knihovna rustls od verze 0.23.13 propouštěla zprávy handshaku TLS 1.3, které měly dorazit zašifrované a dorazily v otevřeném textu. Opravu přineslo vydání 0.23.45 ze 14. září 2026 a funkčně tutéž chybu mělo do letošního ledna i Go.
Služba, která majiteli domény hlásí každý nový certifikát nalezený ve veřejných logech, posílala hlavně zprávy o rutinním obnovování. Cloudflare je teď odfiltruje podle otisku veřejného klíče a nechá projít jen certifikáty, které nevydal. Dohled tím po letech opouští veřejnou betu.
Škodlivý server umí klientovi, který si zapnul ověřování OCSP odpovědí, ukrojit kus paměti při každém spojení. OpenSSL označil chybu za nízkou a opravné vydání kvůli ní nechystá, zatímco známka CVSS připojená k záznamu CVE má 7,5 bodu z deseti.
Kdo dnes navrhuje nový protokol postavený na TLS, musí v něm vyžadovat verzi 1.3. Starší 1.2 smí zůstat nanejvýš jako nevýchozí možnost pro nasazení, které si to vynutí. Na DTLS se pravidlo nevztahuje v žádné jeho verzi, protože DTLS 1.3 se zatím tolik nepoužívá.
