Zranitelnost CVE-2026-96951 s hodnocením doloženým jako závažná a skóre CVSSv3 8,8 postihuje Windows Shell a spočívá v nesprávném ošetření příkazů. Neoprávněný útočník ji může po síti zneužít například pomocí sociálního inženýrství k obejití bezpečnostní funkce Mark of the Web, přičemž chyba byla zneužívána jako zero-day a agentura CISA ji zařadila do katalogu KEV.
V Microsoft .Net bylo objeveno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené odepření služby.
V aplikaci Microsoft Office bylo odhaleno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci oprávnění nebo narušení důvěrnosti dat.
V produktech Ivanti byly odhaleny mnohočetné zranitelnosti. Některé z nich umožňují útočníkovi vzdálené spuštění libovolného kódu, eskalaci oprávnění nebo narušení důvěrnosti dat.
Francouzský CERT-FR informuje o odhalení mnoha zranitelností v produktech Citrix. Některé z těchto chyb umožňují útočníkovi vzdálené spuštění libovolného kódu, navýšení oprávnění nebo způsobení odmítnutí služby.
V nástroji Curl bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, vzdálené odmítnutí služby nebo narušení důvěrnosti dat.
V produktech Fortinet bylo odhaleno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené odepření služby.
V produktech Mozilla bylo podle bezpečnostního varování CERT-FR odhaleno více zranitelností. Některé z nich mohou útočníkovi umožnit zvýšení oprávnění, vzdálené odepření služby nebo narušení důvěrnosti dat.
V produktu MongoDB Server bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu a vyvolání vzdáleného odepření služby.
CERT-FR informuje o zranitelnosti v produktu Symantec Endpoint Detection and Response. Chyba útočníkovi umožňuje provést vzdálené nepřímé vložení kódu (XSS).
V hypervizoru Xen bylo odhaleno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit spuštění libovolného kódu, eskalaci privilegií nebo narušení důvěrnosti dat.
CERT-FR informuje o odhalení několika zranitelností v produktech Adobe. Některé z nich umožňují útočníkovi vzdálené spuštění libovolného kódu, navýšení oprávnění nebo vzdálené odepření služby.
Podle společnosti Rapid7 vydal Microsoft v říjnu 2026 opravy pro 1 413 zranitelností ve svých produktech, z nichž 1 102 připadá na Windows. Jedna ze zranitelností, CVE-2026-96951 ve Windows Shell umožňující obejití mechanismu Mark of the Web, je podle Microsoftu aktivně zneužívána v praxi. Balíček oprav dále řeší například pět chyb umožňujících vzdálené spuštění kódu v Outlooku bez nutnosti interakce uživatele.
Kritická zranitelnost typu 'heap buffer overflow' v interpretu a vykreslovacím jádře Ghostscript, evidovaná jako CVE-2026-39919, může podle zdroje umožnit vzdálené spuštění kódu. Útok lze provést prostřednictvím speciálně upravených PDF souborů.
Podle společnosti Qualys vydal Microsoft v říjnu 2026 svou dosud nejrozsáhlejší sadu bezpečnostních záplat řešící 1414 zranitelností, z nichž je 78 kritických. Přehled zmiňuje také aktivně zneužívanou chybu CVE-2026-96951 ve Windows Shell i související říjnové aktualizace od společnosti Adobe.
Společnost Microsoft vydala říjnové bezpečnostní aktualizace, které opravují 1415 zranitelností včetně 85 kritických. Podle informací Microsoftu je jedna z chyb (CVE-2026-96951 ve Windows Shell) aktivně zneužívána v praxi.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech společnosti Fortinet, mezi které patří například FortiAnalyzer, FortiManager, FortiMail či FortiSIEM. Chyby zahrnují SQL injection, libovolný zápis do souborů nebo nesprávné řízení přístupu a zdroj doporučuje aplikovat příslušné aktualizace.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktu Portal for ArcGIS ve verzích starších než 12.2. Správcům doporučuje seznámit se s bezpečnostním bulletinem a aplikovat potřebné aktualizace.
Vydavatel Microsoft v rámci říjnového Patch Tuesday 2026 vydal bezpečnostní opravy pro rekordních 1 411 zranitelností. Podle zdroje je mezi nimi jedna aktivně zneužívaná a dvě veřejně známé nultodenní zranitelnosti.
ZDI shrnuje říjnové bezpečnostní aktualizace, v nichž Microsoft opravil rekordních 1 415 zranitelností a Adobe vydala 11 bulletinů pokrývajících 174 chyb. Zranitelnost CVE-2026-96951 ve Windows Shell je podle zprávy aktivně zneužívána v praxi k obcházení ochran Mark of the Web.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech Ivanti Connect Secure, Neurons Patch for Intune a Xtraction. Podle oznámení zařadila americká agentura CISA zranitelnost CVE-2026-CVE-2026-104935 do katalogu aktivně zneužívaných chyb.
Společnost Microsoft vydala opravy pro 1 417 zranitelností, z nichž 76 je hodnoceno jako kritických. Podle zdroje je zranitelnost CVE-2026-96951 ve Windows Shell již aktivně zneužívána k obcházení funkce Mark of the Web, zatímco podrobnosti o chybě CVE-2026-108398 v .NET Frameworku byly veřejně známé před vydáním.
Kanadské centrum pro kybernetickou bezpečnost informuje o zranitelnostech v produktech Citrix UniconOS a XenServer. Úřad doporučuje uživatelům a správcům zkontrolovat bezpečnostní bulletiny a aplikovat potřebné aktualizace.
Podle NCSC-NL společnost Microsoft opravila zranitelnosti v různých součástech nástrojů pro vývojáře, jako jsou .NET, Visual Studio Code nebo ASP.NET Core. Útočníci by tyto chyby mohli zneužít například ke spuštění libovolného kódu, odepření služby, zvýšení oprávnění či přístupu k citlivým datům.
Microsoft opravil bezpečnostní chyby v nástrojích Configuration Manager a Defender. Místní útočník je může zneužít k eskalaci oprávnění (CVE-2026-88075 s CVSS 8.80, CVE-2026-102204 s CVSS 7.80) nebo k získání přístupu k citlivým datům (CVE-2026-70264 s CVSS 5.50).
NCSC-NL informuje, že Microsoft opravil zranitelnosti v různých komponentách ekosystému Dynamics. Útočník může tyto chyby zneužít ke spuštění libovolného kódu, eskalaci oprávnění nebo neoprávněnému přístupu k citlivým datům.
Kanadské centrum pro kybernetickou bezpečnost upozornilo na zranitelnosti v produktech Commvault Cloud a Grid CVFS. Správcům a uživatelům doporučuje seznámit se s bezpečnostními informacemi a aplikovat potřebné aktualizace.
Podle NCSC-NL opravila společnost Microsoft v systému Windows 1159 zranitelností. Z nich 53 dosahuje skóre CVSS 9 a vyššího, přičemž útočníkům umožňují vzdálené spuštění libovolného kódu bez autentizace i interakce uživatele, eskalaci oprávnění nebo vydávání se za jiného uživatele.
Podle NCSC-NL opravil Microsoft řadu zranitelností v produktech Office a souvisejících komponentách, které umožňují spuštění kódu, zvýšení oprávnění či únik dat. Zranitelnost CVE-2026-96951 byla podle výrobce terčem omezeného a cíleného zneužití.
Microsoft opravil zranitelnosti v komponentách služby Azure, jako jsou Key Vault, DevOps, API center a Storage. Útočník mohl chyby zneužít k obejití bezpečnostních opatření, eskalaci oprávnění, spuštění kódu nebo přístupu k citlivým datům. Podle nizozemského NCSC byly chyby CVE-2026-83943, CVE-2026-96207, CVE-2026-69435 a CVE-2026-83947 opraveny centrálně přímo Microsoftem a nevyžadují žádnou akci uživatelů.
Podle NCSC-NL společnost Microsoft opravila zranitelnosti v databázi SQL Server. Útočník by tyto chyby mohl zneužít k vyvolání odepření služby, eskalaci oprávnění, spuštění libovolného kódu a získání přístupu k citlivým datům.
Zranitelnost CVE-2026-96940 s hodnocením CVSS 8,8 způsobená slabou autorizací umožňuje autentizovanému útočníkovi přes síť navýšit svá oprávnění. Útočník tak může získat neoprávněný přístup ke schránkám jiných uživatelů v rámci stejné organizace a číst jejich e-maily i přílohy, přičemž Microsoft na tento problém vydal bezpečnostní opravy.
Docker oznámil kritickou zranitelnost CVE-2026-105445 ve službě Docker Hub. Podle zdroje umožňovala útočníkům přistupovat ke kontejnerovým repozitářům jiných uživatelů pomocí osobního přístupového tokenu (PAT).
Společnost Ivanti opravila zranitelnost v produktu Connect Secure, která neautentizovanému útočníkovi umožňuje spouštět libovolné příkazy na zasaženém systému. Výrobce uvádí, že byl informován o aktivním zneužívání této chyby jako zero-day. NCSC-NL upozorňuje na riziko brzkého zveřejnění exploit kódu a následného rozsáhlého zneužití.
Bezpečnostní analýza nástroje LiteLLM odhalila závažné chyby včetně CVE-2026-35029 a CVE-2026-59823. Podle výzkumníků chybějící kontrola oprávnění u koncového bodu '/config/update' umožňovala přihlášeným uživatelům číst libovolné soubory, převzít administrátorský účet nebo vzdáleně spustit kód. Další zranitelnost typu SSRF umožňovala krádež klíčů k poskytovatelům modelů. Všechny uvedené problémy byly vyřešeny ve verzi LiteLLM 1.83.9.
Podle italského CSIRT vydala Mozilla bezpečnostní aktualizace pro Firefox a Firefox ESR. Tyto záplaty řeší celou řadu bezpečnostních zranitelností, z nichž 30 má vysokou závažnost.
Podle společnosti Microsoft obsahuje aplikace Microsoft Office OneNote zranitelnost typu 'command injection' označenou jako CVE-2026-97781. Chyba způsobená nesprávným ošetřením speciálních prvků v příkazu umožňuje neoprávněnému útočníkovi vzdáleně spustit kód přes síť.
Zranitelnost typu přetečení vyrovnávací paměti na haldě v implementaci Microsoft QUIC umožňuje neautorizovanému útočníkovi vzdáleně spustit kód přes síť. Bezpečnostní chyba je vedena pod označením CVE-2026-105016.
Podle společnosti Microsoft umožňuje nesprávné ověřování zadaného typu vstupu v rozhraní .NET Framework neautorizovanému útočníkovi provádět neoprávněné manipulace po síti. Chyba je evidována pod označením CVE-2026-97801.
Podle společnosti Microsoft obsahuje funkce Windows SmartScreen zranitelnost způsobenou nesprávným vyhodnocením ekvivalence cest. Neautorizovaný útočník může této chyby zneužít přes síť k obejití bezpečnostních funkcí.
Podle společnosti Microsoft umožňuje dereference nedůvěryhodného ukazatele ve Windows Virtualization-Based Security (VBS) Enclave autorizovanému útočníkovi lokálně zvýšit svá oprávnění. Chyba je evidována pod označením CVE-2026-108471.
Podle společnosti Microsoft obsahuje součást Windows Search chybu typu 'use after free', identifikovanou jako CVE-2026-108136. Zranitelnost umožňuje autorizovanému útočníkovi lokálně navýšit svá oprávnění.
Podle společnosti Microsoft obsahuje Windows Backup Engine chybu nesprávného zpracování odkazů před přístupem k souboru. Autorizovaný útočník může tuto zranitelnost zneužít k lokálnímu zvýšení oprávnění.
Podle společnosti Microsoft umožňuje uvolnění neplatného ukazatele nebo reference v součásti Windows Modern Device Management (MDM) autorizovanému útočníkovi lokálně zvýšit svá oprávnění. Zranitelnost je evidována pod označením CVE-2026-108133.
Podle společnosti Microsoft umožňuje zranitelnost typu 'double free' ve Windows Kerberos autorizovanému útočníkovi lokálně navýšit svá oprávnění. Chyba je evidována pod identifikátorem CVE-2026-108132.
Podle společnosti Microsoft obsahuje služba Active Directory Federation Services (AD FS) zranitelnost CVE-2026-108131. Chyba umožňuje neautorizovanému útočníkovi provádět podvržení identity (spoofing) po síti.
Podle společnosti Microsoft umožňuje přetečení vyrovnávací paměti na haldě ve Windows Virtualization-Based Security (VBS) Enclave autorizovanému útočníkovi lokálně zvýšit svá oprávnění. Chyba je evidována pod označením CVE-2026-108130.
Čtení mimo vymezený rozsah paměti v roli DNS Server umožňuje autorizovanému útočníkovi získat informace po síti. Zranitelnost je evidována pod označením CVE-2026-108129.
Společnost Microsoft informovala o zranitelnosti typu out-of-bounds read v roli DNS Server evidované pod označením CVE-2026-108128. Podle zdroje umožňuje autorizovanému útočníkovi získat po síti citlivé informace.
V roli DNS Server byla zjištěna zranitelnost typu 'out-of-bounds read', evidovaná jako CVE-2026-108127. Podle zdroje umožňuje autorizovanému útočníkovi získat informace po síti.
Společnost Microsoft informovala o zranitelnosti CVE-2026-97844 v roli DNS Server způsobené čtením mimo vymezený rozsah paměti. Autorizovaný útočník může této chyby zneužít k získání informací po síti.
Podle společnosti Microsoft umožňuje chyba čtení mimo vymezený rozsah v roli DNS Server autorizovanému útočníkovi získat informace po síti. Zranitelnost je sledována pod označením CVE-2026-97840.
Podle společnosti Microsoft obsahuje role DNS Server chybu typu out-of-bounds read, která je evidována jako CVE-2026-97839. Autorizovanému útočníkovi umožňuje získat informace po síti.