Standardní knihovna Pythonu dostala tabulku osmi otisků veřejných klíčů, které modul ssl odmítne bez ohledu na nastavení programu i na to, čemu věří operační systém. Jsou to klíče mezilehlých autorit eMudhra, které se daly spočítat z certifikátu. Oprava má číslo CVE-2026-115557 a vyšla v pěti větvích naráz.
Soukromé klíče osmi mezilehlých certifikátů autority eMudhra byla čísla menší než 256, takže je mohl spočítat kdokoli. Chrome, Firefox, Apple i Microsoft je zablokovali, Google navíc vyřazuje celý kořen emSign ECC Root CA - G3. Programy mimo prohlížeče potřebují aktualizované úložiště certifikátů.
Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
Dokument z dílny Crypto Forum Research Group popisuje čtyři šifry postavené na jediném kole AES. Proti AES-GCM slibují vyšší propustnost na procesorech s instrukcemi AES a mírnější limity na počet zpráv zašifrovaných jedním klíčem. Standardem IETF se tím ale nestávají.
Knihovna rustls od verze 0.23.13 propouštěla zprávy handshaku TLS 1.3, které měly dorazit zašifrované a dorazily v otevřeném textu. Opravu přineslo vydání 0.23.45 ze 14. září 2026 a funkčně tutéž chybu mělo do letošního ledna i Go.
Služba, která majiteli domény hlásí každý nový certifikát nalezený ve veřejných logech, posílala hlavně zprávy o rutinním obnovování. Cloudflare je teď odfiltruje podle otisku veřejného klíče a nechá projít jen certifikáty, které nevydal. Dohled tím po letech opouští veřejnou betu.
Škodlivý server umí klientovi, který si zapnul ověřování OCSP odpovědí, ukrojit kus paměti při každém spojení. OpenSSL označil chybu za nízkou a opravné vydání kvůli ní nechystá, zatímco známka CVSS připojená k záznamu CVE má 7,5 bodu z deseti.
Kdo dnes navrhuje nový protokol postavený na TLS, musí v něm vyžadovat verzi 1.3. Starší 1.2 smí zůstat nanejvýš jako nevýchozí možnost pro nasazení, které si to vynutí. Na DTLS se pravidlo nevztahuje v žádné jeho verzi, protože DTLS 1.3 se zatím tolik nepoužívá.
