4535 karet z 5005 položek
· strana 2 z 76
CZ ·
EN/orig
Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Bezpečnostní aktualizace společnosti Progress opravují v softwaru WS_FTP Server více zranitelností, z nichž šest má kritickou a tři vysokou závažnost. WS_FTP Server slouží k bezpečnému přenosu, sdílení a správě souborů v organizacích i s externími partnery.
Výrobce hardwarových peněženek Trezor obdržel věrohodná hlášení o podezření na implantát určený ke krádeži kryptoměn v zařízení Trezor Safe 5. Dotčené zařízení prodal jeho prodejce CryptoBilis v jihovýchodní Asii.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti týkající se řešení Laravel MongoDB ve verzích starších než 5.12.0. Správcům a uživatelům doporučuje seznámit se s dostupnými informacemi a aplikovat potřebné aktualizace.
Kanadské kybernetické centrum informovalo o zranitelnostech v produktech Nomad a Boundary od společnosti HashiCorp. Podle varování mohou chyby umožnit únik ze souborového adresáře pomocí symbolických odkazů nebo provést server-side request forgery.
Projekt Commerce Core pro systém Drupal obsahuje vysoce kritickou zranitelnost typu 'Access bypass' evidovanou jako CVE-2026-118539, pro kterou je k dispozici oficiální oprava. Podle veřejně dostupných zpráv je tato chyba již aktivně zneužívána a existuje pro ni funkční exploit.
Společnost Tenable vydala bezpečnostní aktualizace opravující tři zranitelnosti v nástroji Tenable Identity Exposure, z nichž jedna má kritickou závažnost. Podle zdroje by tato chyba mohla umožnit autentizovanému uživateli s nízkými oprávněními spustit libovolný kód s vyššími právy na dotčeném doménovém řadiči.
Zranitelnost CVE-2026-76418 v Remote Access SSL VPN softwaru Cisco Secure Firewall ASA a FTD umožňuje neautentizovanému vzdálenému útočníkovi vyvolat neočekávaný restart zařízení a způsobit odepření služby (DoS). Podmínkou je dostupnost SSL VPN a aktivní sekundární autentizace u tunnel group; Cisco potvrdilo aktivní zneužívání v síti a vydalo bezpečnostní opravy.
Google vydal aktualizaci prohlížeče Chrome, která opravuje 21 nových bezpečnostních chyb včetně jedné kritické a 19 vysoce závažných. Podle CSIRT Itálie by úspěšné zneužití mohlo útočníkovi umožnit přístup k citlivým datům, narušení dostupnosti, obejití bezpečnostních mechanismů či spuštění libovolného kódu.
CERT Polska v rámci vlastního výzkumu odhalil tři zranitelnosti typu XSS (CVE-2026-105454 až CVE-2026-105456) v softwaru Request Tracker a RT for Incident Response.
Bezpečnostní aktualizace řeší tři zranitelnosti v ServiceNow AI Platform, z nichž jedna má kritickou a jedna vysokou závažnost. Podle zdroje by autentizovaný útočník mohl získat přístup k citlivým informacím, obejít izolační mechanismy platformy a spustit libovolný kód na hostitelském systému.
Juniper podle zprávy NCSC-NL opravil řadu zranitelností v produktech Session Smart Router a Session Smart Conductor. Chyby zahrnují přetečení vyrovnávací paměti, neoprávněné spouštění příkazů pod účtem root, eskalaci oprávnění i odmítnutí služby.
Americká agentura CISA oznámila, že útočníci začali aktivně zneužívat zranitelnost s maximální závažností v systému GitLab. Tato bezpečnostní chyba byla opravena dříve v tomto měsíci.
Podle nizozemského centra NCSC byly v jádře Linuxu opraveny zranitelnosti v síťovém subsystému a TCP zásobníku pro IPv4. Jedna z chyb způsobuje use-after-free při souběhu TCP SYN retransmisí, druhá nazvaná PwnEscape umožňuje únik z virtuálního počítače na hostitele a spuštění kódu skrze nesprávnou validaci kontrolních součtů.
V produktech ESET Endpoint Encryption a Full Disk Encryption byla vyřešena zranitelnost s vysokou závažností. Přihlášený útočník s omezenými právy mohl chybu zneužít k eskalaci oprávnění, přístupu k citlivým informacím, vynucení autentizace vůči vzdáleným systémům nebo v některých případech ke ztrátě přístupu k šifrovaným svazkům.
Bezpečnostní aktualizace pro Mattermost Server opravují dvě zranitelnosti, z nichž jedna dosahuje vysoké závažnosti a zahrnuje obcházení bezpečnostních zásad. Útočník s ověřeným přístupem mohl za určitých podmínek provést neautorizovanou změnu komponent aplikace a následně spustit libovolný kód.
Podle italského CSIRT vydala společnost Progress bezpečnostní aktualizace, které řeší 6 vysoce závažných chyb v produktu Telerik Document Processing Libraries. Vzdálený útočník, v některých případech i neautentizovaný, by mohl narušit dostupnost služby, obejít bezpečnostní mechanismy a číst či zapisovat libovolné soubory na zasažených systémech.
Agentura CISA a italský CSIRT informují o aktivním zneužívání zranitelnosti CVE-2026-41709, kterou výrobce opravil v červenci 2026 a která se týká VMware ESX, Cloud Foundation, vSphere Foundation a Telco Cloud Platform. Chyba může útočníkovi s administrátorskými oprávněními umožnit provádět určité operace bez jejich zaznamenání v systémových lozích.
Drupal podle zprávy varoval správce, aby opravili kritickou zranitelnost umožňující obejití přístupových oprávnění v modulu Commerce Core. Útočníci tuto chybu již aktivně zneužívají v praxi.
Dell opravil několik kritických zranitelností v PowerProtect Data Domain, Data Domain Virtual Edition a Data Domain Management Center. Chyby CVE-2026-103780, CVE-2026-86384, CVE-2026-86397 a CVE-2026-86400 mají skóre CVSS 9.8 a neautentizovanému útočníkovi umožňují vzdálené spouštění příkazů či získání přihlašovacích údajů. Zranitelnosti v Data Domain Management Center se skóre CVSS 9.6 a 9.1 pak umožňují uživateli s nízkými právy získat neoprávněný přístup ke spravovaným systémům či eskalovat…
Španělský institut INCIBE koordinoval zveřejnění zranitelnosti CVE-2026-14467 s hodnocením CVSS 8.2 v editoru komentářů diskusního webu Forocoches. Chyba umožňuje útočníkovi vložením obrázku s externí adresou URL získat informace o uživatelích, například IP adresu nebo hlavičku User-Agent. Tým Forocoches již zranitelnost opravil.
Podle bezpečnostní firmy NebuSec umožňovala zranitelnost v aplikaci Telegram pro Android ve spojení s dalšími chybami převzít plnou kontrolu nad zařízením poté, co oběť přijala hlasový hovor. Zranitelnost se týkala verzí 8.6.2 až 12.10.3 a Telegram ji opravil ve verzi 12.10.4 vydané koncem září.
Americká agentura CISA přidala do katalogu známých zneužívaných zranitelností chybu CVE-2026-111357, která spočívá v chybějící autentizaci pro kritickou funkci v produktu Ivanti Connect Secure. Termín pro provedení nápravných opatření stanovila na 2. listopadu 2026.
Americká agentura CISA přidala na katalog aktivně zneužívaných zranitelností chybu CVE-2026-118527 v řešení Ivanti Connect Secure. Jedná se o zranitelnost typu 'Generation of Predictable Numbers or Identifiers' a termín pro její nápravu byl stanoven na 13. listopadu 2026.
V produktech IBM bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, vzdálené odmítnutí služby nebo narušení důvěrnosti dat.
V linuxovém jádře distribuce SUSE bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit narušení důvěrnosti dat, obejití bezpečnostních zásad nebo vyvolání odepření služby.
Ve verzi linuxového jádra od společnosti Red Hat bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené odepření služby.
V produktech MongoDB bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit narušení integrity dat, provedení SQL injection nebo obejití bezpečnostních politik.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Podle CERT-FR bylo v nástroji Suricata odhaleno několik zranitelností. Útočníkům umožňují vyvolat bezpečnostní problém, který vydavatel blíže nespecifikoval.
Certifikační autorita eMudhra kvůli chybě při generování vytvořila osm mezilehlých certifikátů s triviálně odvoditelnými privátními klíči, což útočníkům umožňuje vydávat podvržené certifikáty a napodobovat servery či služby. Certifikáty již zablokovaly společnosti Google, Mozilla, Apple i Microsoft a jazyk Go vydal opravy 1.27.3 a 1.26.10 pod označením CVE-2026-111943.
V CPythonu byla odhalena zranitelnost, která útočníkovi umožňuje vyvolat bezpečnostní problém blíže neupřesněný vydavatelem. Informovalo o tom francouzské středisko CERT-FR.
Bezpečnostní aktualizace řeší několik zranitelností v různých produktech Supermicro, z nichž jedna má kritickou a čtyři vysokou závažnost. Podle CSIRT Itálie by chyby mohly útočníkovi umožnit spuštění libovolného kódu, přístup k citlivým informacím, zvýšení oprávnění či obejití bezpečnostních a autentizačních mechanismů.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Během vlastního výzkumu odhalil tým CERT Polska dvě zranitelnosti typu XSS v softwaru Zimbra Collaboration. Zranitelnosti jsou evidovány pod označeními CVE-2026-66911 a CVE-2026-66912.
Projekt Jenkins vydal bezpečnostní aktualizace pro stejnojmenný automatizační server, které opravují více zranitelností. Třináct z těchto chyb dosahuje vysoké závažnosti.
Společnost MongoDB vydala bezpečnostní aktualizace opravující několik zranitelností, z nichž dvě mají vysokou závažnost, v produktech Database Tools a Laravel. Podle CSIRT Itálie by úspěšné zneužití těchto chyb mohlo útočníkovi umožnit obejít bezpečnostní mechanismy a manipulovat s daty v zasažených systémech.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnost v aplikaci Mattermost, která se týká verzí 11.10.0, 11.9.2, 11.8.6, 11.7.11 a starších. Organizace doporučuje sledovat bezpečnostní aktualizace výrobce a aplikovat potřebné opravy.
Společnost Elastic vydala bezpečnostní aktualizace pro platformu Elastic Cloud Enterprise (ECE), které opravují několik zranitelností včetně tří s vysokou závažností. Podle oznámení souvisejí s nesprávným zpracováním odkazů před přístupem k souborům a místnímu útočníkovi by mohly umožnit přístup k citlivým informacím, úpravu či ztrátu dat a obejití autentizačních mechanismů.
Americká agentura CISA varovala federální úřady před vysoce závažnou zranitelností v linuxovém jádře umožňující eskalaci privilegií. Podle agentury ji útočníci v reálném provozu řetězí s chybami známými jako PHP2Shell.
Podle italského CSIRT bylo vyřešeno 15 zranitelností v open-source platformě pro automatizaci pracovních postupů n8n. Zdroj uvádí, že 13 z těchto chyb dosahuje vysoké závažnosti.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v platformě n8n ve verzích starších než 2.44.1 a 2.43.5. Chyba spočívající ve speciálně upraveném Workflow ID umožňuje získat přístup k datovým tabulkám v jiných projektech, přičemž středisko doporučuje aplikovat potřebné aktualizace.
Podle italského CSIRT vyšly bezpečnostní aktualizace pro aplikaci Grafana, které opravují pět zranitelností, z toho tři s vysokou závažností. Útočníci by v případě zneužití za specifických podmínek mohli obejít bezpečnostní mechanismy, získat přístup k citlivým informacím a neoprávněně upravit konfiguraci cílových systémů.
Hitachi Energy informuje o zranitelnostech CVE-2026-10756 a CVE-2026-106087 v zařízeních řady TRO600, které mohou útočníkům umožnit neoprávněný přístup k citlivým funkcím či čtení libovolných souborů včetně hesel. Výrobce doporučuje provést aktualizaci na opravené verze 9.1.2.0 nebo 9.2.2.1.
Modul Siemens Mendix SAML obsahuje zranitelnost CVE-2026-89209 typu 'capture-replay' v autentizačních tocích iniciovaných IdP, která neautentizovanému vzdálenému útočníkovi umožňuje získat neoprávněný přístup znovupoužitím platného SAML tvrzení. Zranitelnost má CVSS 6.8 a Siemens pro dotčené verze vydal bezpečnostní aktualizace.
Hitachi Energy informuje o zranitelnostech typu vkládání příkazů operačního systému a Dirty Frag v produktech CoreTec. Podle zdroje mohou vést k narušení důvěrnosti, integrity i dostupnosti nebo k eskalaci oprávnění na úroveň root. Pro nápravu výrobce doporučuje přechod na verzi 5.0.0.
V produktu Sophos UTM byla vyřešena kritická zranitelnost. Podle zdroje by její zneužití mohlo neautentizovanému vzdálenému útočníkovi umožnit spuštění libovolného kódu se zvýšenými oprávněními na zasažených systémech.
Společnost Juniper Networks vydala bezpečnostní aktualizace, které opravují 18 zranitelností v produktech Session Smart Router a Session Smart Conductor. Dvě z těchto chyb mají kritickou a osm vysokou závažnost.
Společnost Cisco vydala bezpečnostní aktualizace opravující zero-day zranitelnost typu denial-of-service v softwaru Adaptive Security Appliance (ASA) a Threat Defense (FTD). Podle zdroje útočníci tuto chybu aktivně zneužívají ke vzdálenému shození zranitelných firewallů.
Chyba typu 'out-of-bounds write' v rámci CoreGraphics (CVE-2026-86950) umožňuje útočníkům spustit libovolný kód při zpracování zákeřného souboru. Společnost Apple uvedla, že zranitelnost mohla být zneužita v sofistikovaných cílených útocích na systémy iOS před verzí iOS 27, a vydala bezpečnostní záplaty pro širokou škálu svých zařízení včetně starších verzí.
CERT Polska informoval o nahlášení tří zranitelností v softwaru Szafir. Zranitelnosti jsou evidovány pod označeními CVE-2026-93570, CVE-2026-93571 a CVE-2026-106036.
INCIBE koordinovalo zveřejnění pěti středně závažných zranitelností v aplikaci SABBATIC pro digitalizaci účtenek a faktur. Chyby zahrnují uložené XSS (CVE-2026-5697 až CVE-2026-5700) a CSRF (CVE-2026-5702). Výrobce tyto zranitelnosti opravil ve verzích 7.96.0.1 a 7.96.0.2.
INCIBE koordinovalo zveřejnění středně závažné zranitelnosti CVE-2026-7190 v konfiguraci PHP-CGI/PHP-FPM softwaru ICTBroadcast od ICT Innovations. Chyba typu reflektované XSS v koncovém bodu 'login.php' může útočníkovi umožnit spustit libovolný JavaScript v prohlížeči oběti po otevření škodlivého odkazu. Podle oznámení byla chyba opravena v březnu 2026.
Zdroj uvádí, že zranitelnost typu 'integer underflow' v komponentě IPv6 AH Routing Header umožňuje místnímu útočníkovi eskalovat oprávnění. K jejímu zneužití musí útočník nejprve získat možnost spouštět kód s nízkými právy. Zranitelnost je vedena pod označením CVE-2026-80844 a organizace ZDI jí přiřadila skóre CVSS 8.8.
V jádře Linuxu byla odhalena zranitelnost typu 'use-after-free' v protokolu Logitech HIDPP označená jako CVE-2026-93826. Místní útočník s možností spouštět nízkoúrovňový kód ji může zneužít ke zvýšení oprávnění; organizace ZDI jí přiřadila skóre CVSS 7.8.