Výrobce systému na správu tisku PaperCut vydal 27. srpna 2026 nouzovou záplatu, o den později druhou a 1. září třetí. Útočníci podle něj spojují dvě chyby do řetězce, kterým se do serveru dostanou bez hesla a spustí na něm vlastní kód. CISA obě zapsala 31. srpna mezi aktivně zneužívané a americkým federálním úřadům dala lhůtu do 14. září.
Rámec Next.js vydal 25. srpna 2026 opravné verze 16.3.3 a 15.5.24. Zavírají dvě chyby označené jako kritické a obě dovolují spustit na serveru cizí kód bez přihlášení. Tu první nemá na svědomí sám rámec, ale knihovna libheif, ke které se dostane přes balík sharp; než oprava projde celým řetězcem, přestal Next.js zpracovávat vstupní obrázky AVIF.
Rozhraní AF_ALG, kterým se programy dostanou ke kryptografii uvnitř linuxového jádra, je od verze 7.2 zavržené. Přispěla k tomu chyba Copy Fail: skript o 732 bajtech s ní podle autorů získá práva správce na každé distribuci vydané od roku 2017. Fedora schválila změnu, která k rozhraní v příštím vydání pustí jen tři známé programy.
Výpočetní engine Ray odmítal požadavky z prohlížeče podle toho, jestli hlavička User-Agent začíná slovem Mozilla. Ve Firefoxu a Safari jde ta hlavička přepsat ze skriptu, takže spolu s útokem DNS rebinding stačilo k převzetí vývojářského stroje otevřít cizí stránku. CISA zranitelnost CVE-2025-62593 zapsala 17. srpna 2026 do katalogu známých zneužívaných chyb.
Zranitelnost ShieldBreak obchází červencovou opravu Defenderu a z běžného účtu dá práva SYSTEM na plně aktualizovaných Windows. Microsoft jí 14. srpna přidělil číslo CVE-2026-69414, ale opravenou verzi u ní zatím neuvádí. Nálezce ji zveřejnil bez upozornění, protože s firmou vede spor o hlášení chyb.
Americká agentura CISA zapsala 18. září do katalogu zneužívaných zranitelností tři chyby jádra Linuxu najednou. Nejvážnější z nich se dá spustit po síti a záznam CVE jí dává 9,8 bodu z deseti. Na nápravu mají americké federální úřady tři dny.
Autoři knihovny PyJWT zveřejnili 29. a 30. září deset bezpečnostních hlášení k verzi 2.13.0 a starším. Čtyři z nich popisují totéž: kontrola, která má zabránit použití veřejného klíče jako tajemství pro HMAC, se dívá jen na to, jak je klíč zapsaný. Opravené jsou od 11. září ve verzi 2.14.0.
Vývojáři curlu vydali 14. října verzi 8.23.0 a spolu s ní popsali chybu CVE-2026-94265. Stačilo, aby přesměrování vedlo na adresu se jménem a heslem, a klient se u cizího serveru plně přihlásil protokolem Kerberos. Týká se to dvou vydání, 8.21.0 a 8.22.0.
Bezpečnostní tým PHP vydal 21. října 2026 opravné verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Zavírají dvě chyby jádra jazyka, CVE-2026-109618 a CVE-2026-109619, obě se známkou 9,2. Vznikají tím, jak PHP uklízí paměť po přerušeném požadavku, a za určitých podmínek vedou ke spuštění kódu bez přihlášení.
