Podle společnosti Cisco obsahoval software Cisco Secure Firewall Management Center (FMC) několik zranitelností s kritickou závažností (CVE-2026-76412, CVE-2026-76413 a CVE-2026-76420). Vzdálený útočník mohl získat oprávnění uživatele root a provádět padělání či impersonaci relací. Výrobce vydal aktualizace a uvádí, že neexistují žádná náhradní řešení.
Podle společnosti Cisco obsahují rozhraní Cisco Identity Services Engine a ISE-PIC zranitelnosti CVE-2026-20285 a CVE-2026-20286, které umožňují autentizovanému útočníkovi s administrátorskými údaji upravovat popisy souborů. Výrobce vydal opravné softwarové aktualizace.
Podle společnosti Cisco obsahují implementace Object Group Search v systémech ASA a FTD zranitelnosti CVE-2026-20120 a CVE-2026-20121, které neautentizovanému vzdálenému útočníkovi umožňují obejít řízení přístupu. Chyby vznikly logickým pochybením při naplňování politik a Cisco k jejich vyřešení vydalo aktualizace.
Podle společnosti Cisco obsahují produkty Cisco Identity Services Engine (ISE) a Cisco ISE-PIC zranitelnosti, které autentizovanému vzdálenému útočníkovi umožňují provést útok typu command injection a spustit libovolné příkazy s oprávněním uživatele root. Útočník ke zneužití potřebuje platné administrátorské přihlašovací údaje a společnost Cisco již vydala bezpečnostní aktualizace, které tyto chyby opravují.
Podle společnosti Cisco obsahuje webové rozhraní Identity Services Engine chybu typu reflected cross-site scripting (CVE-2026-20309), kterou může neautentizovaný vzdálený útočník zneužít přiměním uživatele ke kliknutí na upravený odkaz. Úspěšný útok umožňuje spuštění libovolného skriptu nebo přístup k citlivým informacím v prohlížeči; výrobce již vydal bezpečnostní aktualizace.
Podle společnosti Cisco obsahují produkty Cisco Identity Services Engine a Cisco ISE-PIC zranitelnosti typu path traversal, které umožňují vzdálenému útočníkovi provést odpovídající útok na zasažené zařízení. Výrobce vydal bezpečnostní aktualizace a uvádí, že pro zranitelnosti neexistují žádná náhradní řešení.
Společnost Cisco vydala bezpečnostní aktualizace pro Cisco Identity Services Engine a ISE Passive Identity Connector, které řeší více interně nalezených zranitelností. Podle výrobce je jedna z opravených chyb aktivně zneužívána v praxi a neexistují pro ně žádná alternativní řešení.
Cisco informuje o zranitelnosti CVE-2026-20290 v jádře Snort 2 softwaru Cisco Secure Firewall Threat Defense, způsobené neúplným ověřováním SSL certifikátů. Vzdálený neautentizovaný útočník může odesláním upraveného požadavku na navázání SSL spojení vyvolat restart jádra a způsobit odepření služby (DoS). Výrobce již vydal softwarové opravy.
Podle společnosti Cisco obsahuje webové rozhraní pro správu ThousandEyes Virtual Appliance zranitelnost CVE-2026-20350, která přihlášenému vzdálenému útočníkovi s oprávněními správce umožňuje spouštět libovolné příkazy operačního systému s právy rootu. Příčinou je nedostatečná validace vstupů a výrobce pro vyřešení chyby vydal aktualizace softwaru.
Cisco informuje o zranitelnosti CVE-2026-20248 v implementaci DNS over TCP u produktů Cisco Secure Firewall ASA a FTD, která může neověřenému vzdálenému útočníkovi umožnit vyvolat restart zařízení a způsobit odepření služby. Pro úspěšné zneužití musí mít útočník možnost reagovat na DNS dotazy zařízení podvrženou odpovědí, přičemž Cisco již vydalo opravné aktualizace.
Společnost Cisco vydala bezpečnostní aktualizace pro software ASA, FTD a FMC, které řeší vícero interně odhalených zranitelností. Podle výrobce jsou dvě z těchto zranitelností aktivně zneužívány v praxi a neexistují pro ně žádná náhradní řešení.
Podle společnosti Cisco obsahoval software Cisco Secure Firewall Management Center více zranitelností, které vzdálenému útočníkovi umožňovaly získat přístup na úrovni uživatele root, stahovat citlivé soubory, provést SQL injection nebo vyvolat odepření služby (DoS). Výrobce vydal bezpečnostní aktualizace a uvádí, že pro tyto chyby nejsou k dispozici žádná náhradní řešení.
Podle společnosti Cisco obsahoval systém Cisco Identity Services Engine více zranitelností, které neautentizovanému lokálnímu útočníkovi umožňovaly obejít autentizaci nebo získat citlivé informace. Společnost vydala opravné aktualizace a uvádí, že pro chyby neexistují žádná náhradní řešení.
Podle společnosti Cisco způsobuje nesprávná správa vyrovnávací paměti při zpracování TLS 1.3 spojení v softwaru Cisco Secure Firewall Threat Defense možnost pádu procesu LINA a restartu zařízení. Neautentizovaný vzdálený útočník může odesláním upraveného paketu vyvolat odepření služby (DoS), přičemž zranitelnost je evidována pod CVE-2026-20135 a Cisco již vydalo opravné aktualizace.
Cisco vydalo bezpečnostní aktualizace řešící zranitelnosti v softwaru Secure Firewall Management Center a Secure Firewall Threat Defense. Podle výrobce mohou neautentizovaní útočníci chyby zneužít k obejití autentizace protokolu sftunnel nebo k vyvolání odepření služby (DoS).
Podle společnosti Cisco může zranitelnost CVE-2026-20352 v RADIUS funkci Cisco Identity Services Engine umožnit neověřenému útočníkovi na dálku způsobit odepření služby odesláním speciálně vytvořeného požadavku. Vydavatel oznámil, že vydal softwarové opravy a že pro zranitelnost neexistuje žádné náhradní řešení.
Podle společnosti Cisco obsahují produkty Identity Services Engine a ISE-PIC zranitelnosti, které vzdálenému útočníkovi umožňují obejít autentizaci REST API, vzdáleně spustit kód nebo provést útoky typu SQL injection a XXE. Výrobce vydal opravné aktualizace softwaru a upozorňuje, že pro chyby neexistují náhradní řešení.
Podle společnosti Cisco obsahují systémy Identity Services Engine (ISE) zranitelnosti CVE-2026-20282, CVE-2026-20283 a CVE-2026-20284, které mohou autentizovanému vzdálenému útočníkovi umožnit SQL injection, úpravu dat či spuštění příkazů na úrovni operačního systému. Cisco pro zasažená zařízení vydalo bezpečnostní aktualizace.
Společnost Cisco oznámila více zranitelností v řešení Cisco Identity Services Engine, které mohou přihlášenému vzdálenému útočníkovi s administrátorskými oprávněními umožnit spuštění libovolných příkazů v operačním systému. Zranitelnosti CVE-2026-20176, CVE-2026-20211 a CVE-2026-20307 mají kritickou závažnost a výrobce pro ně vydal bezpečnostní aktualizace.
Cisco informuje o kritické zranitelnosti CVE-2026-20242 ve funkci External Database Access softwaru Cisco Secure Firewall Management Center. Chyba způsobená nezabezpečenou deserializací Java bajtového proudu může vzdálenému útočníkovi umožnit spuštění libovolných příkazů s právy root. K jejímu zneužití je nutné ovládat zařízení uvedené na seznamu povolených externích databází. Společnost Cisco již vydala opravné aktualizace a uvádí, že neexistují žádná náhradní řešení.
Zranitelnost CVE-2026-20250 v softwaru Cisco Secure Firewall ASA a FTD pro zařízení řad 3100 a 4200 umožňuje neautentizovanému vzdálenému útočníkovi vyvolat stav odmítnutí služby. Podle výrobce je příčinou nesprávná správa prostředků při zpracování DTLS zpráv a k dispozici jsou již bezpečnostní aktualizace.
Oracle vydal zářijovou sadu Critical Security Patch Update, která opravuje 673 bezpečnostních chyb napříč různými produktovými řadami. Celkem 104 zranitelností má kritickou závažnost a nejvíce oprav získala sada Oracle E-Business Suite.
Společnost Oracle opravila 16 zranitelností v produktech PeopleSoft, které mohou útočníkům umožnit neoprávněný přístup k datům, jejich úpravu či převzetí komponent. Čtyři z těchto chyb lze podle výrobce zneužít vzdáleně bez nutnosti autentizace, přičemž nejvyšší skóre CVSS 8,8 má zranitelnost CVE-2026-83017 v PeopleSoft Enterprise PeopleTools.
Společnost Oracle opravila tři zranitelnosti v produktech Oracle Java SE, včetně Oracle GraalVM for JDK a GraalVM Enterprise Edition. Chyby v komponentě Compiler umožňují neautentizovaným útočníkům vzdálené zneužití přes síť, přičemž nejzávažnější CVE-2026-83357 a CVE-2026-83408 mají CVSS skóre 8,1.
Oracle opravil 50 zranitelností v produktech Oracle Analytics, například v Oracle Business Intelligence Enterprise Edition a Oracle BI Publisher. Čtyři chyby jsou kritické, přičemž zranitelnosti CVE-2026-83269 a CVE-2026-83283 s CVSS 9,8 umožňují neautentizovaným útočníkům vzdálené převzetí zasaženého systému přes protokol HTTP.
Společnost Oracle opravila šest zranitelností v produktech sady Financial Services Applications, z nichž nejvyšší dosahují CVSS skóre 8,0. Dvě z těchto chyb mohou podle zprávy neověření útočníci zneužít vzdáleně přes síť k neoprávněnému přístupu k citlivým datům, jejich úpravě nebo narušení dostupnosti systémů.
Podle nizozemského NCSC opravil Oracle sedm zranitelností v produktech Oracle Enterprise Manager, z nichž tři jsou hodnoceny jako kritické. Chyby CVE-2026-41635, CVE-2026-83355 a CVE-2026-2332 mají skóre CVSS 9,1 či vyšší a neověřeným útočníkům umožňují vzdálené zneužití s dopadem na důvěrnost, integritu i dostupnost systémů.
Společnost Oracle opravila 159 zranitelností v různých produktech sady E-Business Suite. Tři chyby s označením CVE-2026-83327, CVE-2026-83452 a CVE-2026-83462 mají skóre CVSS 9,8 a umožňují neautentizovaným útočníkům vzdálené převzetí zasažených komponent bez nutnosti interakce uživatele.
Společnost Oracle opravila 31 zranitelností v řadě produktů Oracle Communications. Čtyři z nich (CVE-2026-44024, CVE-2026-17544, CVE-2026-71290 a CVE-2026-73194) jsou kritické s CVSS skóre 9,1 či vyšším a umožňují neautentizovaným útočníkům vzdálený přístup k citlivým datům či narušení systémů.
Společnost Oracle opravila 27 zranitelností v Commerce Platform a souvisejících produktech, přičemž 16 z nich lze podle výrobce zneužít vzdáleně bez nutnosti autentizace. Nejzávažnější chyby s CVSS skóre 8,2 se nacházejí v komponentách Experience Manager a Forge a úspěšné zneužití může vést k neoprávněnému přístupu k citlivým informacím, úpravě dat nebo narušení dostupnosti.
NCSC-NL informuje, že společnost Oracle opravila 16 zranitelností v databázových produktech včetně Database Server, Autonomous Health Framework a Application Testing Suite. Kritická chyba CVE-2026-83149 s CVSS 9,1 se nachází v nástroji Test Manager for Web Apps v Oracle Application Testing Suite a NCSC doporučuje její přednostní opravu.
Společnost Oracle opravila 153 zranitelností v řadě produktů Oracle Fusion Middleware, z nichž 66 je kritických a 78 zneužitelných vzdáleně bez autentizace. Podle zprávy NCSC-NL dosahuje pět chyb v produktech Access Manager, Forms, Internet Directory, Platform Security for Java a WebLogic Server maximálního skóre CVSS 10,0 a organizace doporučuje přednostní nasazení záplat.
Podle CSIRT Itálie byly vydány bezpečnostní aktualizace řešící 39 zranitelností v produktech HPE Networking EdgeConnect SD-WAN Gateways a Orchestrator. Šest z těchto chyb má kritickou a osmnáct vysokou závažnost.
Bezpečnostní aktualizace řeší vícečetné bezpečnostní zranitelnosti v produktech Firefox, Firefox ESR a Thunderbird. Podle CSIRT Itálie je mezi nimi 33 chyb s vysokou závažností.
Agentura CISA přidala do katalogu známých zneužívaných zranitelností (KEV) chybu CVE-2026-58704, která se týká nesprávné autorizace v zařízeních Google Pixel a je podle důkazů aktivně zneužívána. Americké federální úřady mají na základě směrnice BOD 26-04 povinnost upřednostnit nápravu takto evidovaných vysoce rizikových zranitelností.
CERT Polska informoval o nahlášení šesti zranitelností ve firmwaru routerů WNC T-Mobile 5G Box IDU. Chyby jsou sledovány pod identifikátory CVE-2026-58146, CVE-2026-58147 a CVE-2026-40854 až CVE-2026-40857.
Podle italského CSIRT vydala společnost Atlassian bezpečnostní aktualizace řešící zranitelnosti v produktu Crowd Data Center včetně jedné s vysokou závažností. Útočník bez autentizace by mohl této chyby zneužít k obejití autentizačních mechanismů a získání přístupu k vyhrazeným funkcím či prostředkům na zasažených systémech.
Společnost Oracle vydala zářijový balík bezpečnostních záplat Critical Patch Update, který opravuje četné zranitelnosti napříč více produkty. Podle CSIRT Itálie je mezi opravenými chybami 97 s kritickou a 485 s vysokou závažností.
Bezpečnostní aktualizace platformy MISP opravují několik zranitelností, včetně jedné kritické a dvou vysoce závažných. Podle zdroje by jejich zneužití mohlo útočníkovi umožnit obejít autentizační a bezpečnostní mechanismy a získat přístup k citlivým informacím v cílových systémech.
Zářijové bezpečnostní aktualizace pro zařízení Google Pixel opravují podle zdroje řadu zranitelností. Mezi nimi je 46 chyb označených jako kritické a 63 s vysokou závažností.
Společnost Google vydala aktualizaci webového prohlížeče Chrome, která opravuje 42 bezpečnostních zranitelností. Podle oznámení mají tři z nich kritickou a 28 vysokou závažnost.
Podle italského CSIRT vydal Squid bezpečnostní aktualizace řešící tři zranitelnosti, z nichž jedna má vysokou závažnost. Tato chyba by mohla útočníkovi umožnit obejít bezpečnostní prvky a změnit obsah uložený v mezipaměti pomocí speciálně vytvořených HTTP požadavků.
Podle oznámení CERT@VDE obsahují zařízení Carlo Gavazzi Automation řad YL212* a YN115* bezpečnostní zranitelnosti umožňující obejití autentizace a spuštění kódu pomocí command injection a local file inclusion. Útočníci mohou rovněž zneužít path traversal k získání citlivých údajů včetně hashů hesel nebo privátních klíčů.
V zařízeních Pepperl+Fuchs řad ICE2 a ICE3 byly zjištěny zranitelnosti umožňující obejití autentizace. Podle bezpečnostního oznámení VDE-2026-014 mohou útočníci pomocí vkládání příkazů a lokálních souborů spouštět kód nebo číst citlivá data, jako jsou hashe hesel a privátní klíče.
CERT@VDE informuje o bezpečnostních chybách ve firmwaru zařízení Phoenix Contact IOL MA8 EIP DI8 a IOL MA8 PN DI8. Tyto zranitelnosti umožňují obejít autentizaci, provést spuštění kódu nebo získat citlivé informace včetně hashů hesel a soukromých klíčů.
Podle oznámení byly vydány bezpečnostní aktualizace pro komunikační platformu Mattermost, které opravují chybu s vysokou závažností. Zranitelnost by autentizovaným útočníkům mohla umožnit obejít bezpečnostní omezení na zasažených systémech.
Google vydal bezpečnostní záplaty ze září 2026, které řeší 110 zranitelností v zařízeních Pixel. Mezi opravenými chybami je i jedna zero-day zranitelnost, která je podle zprávy aktivně zneužívána v cílených útocích.
Podle Zero Day Initiative umožňuje zranitelnost přetečení haldy v mDNS útočníkům v sousední síti spustit libovolný kód na zasažených instalacích NoMachine. Ke zneužití chyby CVE-2026-92208 s hodnocením CVSS 8.8 není vyžadována autentizace.
Podle organizace ZDI umožňuje zranitelnost v softwaru NoMachine lokálním útočníkům zvýšit svá oprávnění v systému. K jejímu zneužití je nejprve potřeba možnost spouštět nízkoúrovňový kód na cílovém zařízení, přičemž chyba byla označena jako CVE-2026-92209 s hodnocením CVSS 7.8.
Podle Zero Day Initiative obsahuje NoMachine zranitelnost typu Server-Side Request Forgery evidovanou jako CVE-2026-92210. Vzdálený neautentizovaný útočník může iniciovat libovolné požadavky ze strany serveru a získat citlivé informace, přičemž chyba obdržela skóre CVSS 7.2.
V aplikaci GIMP byla zjištěna zranitelnost CVE-2026-92183 se skóre CVSS 7.8, která spočívá v přetečení vyrovnávací paměti na zásobníku při zpracování souborů APNG. Podle zdroje může vzdálený útočník chybu zneužít ke spuštění libovolného kódu, pokud uživatel navštíví škodlivou stránku nebo otevře podvržený soubor.
Podle Zero Day Initiative umožňuje zranitelnost v konektoru Airbyte OneDrive vzdáleným ověřeným útočníkům iniciovat libovolné požadavky na straně serveru. Chyba vedená jako CVE-2026-92204 získala CVSS skóre 7.7.
Podle Zero Day Initiative obsahuje BusyBox zranitelnost typu directory traversal v součásti libarchive evidovanou jako CVE-2026-92205 se závažností CVSS 6.1. Chyba umožňuje vzdáleným útočníkům vytvářet libovolné soubory, zneužití však vyžaduje interakci uživatele v podobě otevření škodlivého souboru nebo návštěvy škodlivé stránky.
Podle ZDI byla v rámci CrewAI crewAI odhalena zranitelnost CVE-2026-92206 se závažností CVSS 8.8. Chyba vzniká při nebezpečné reflexi během načítání agenta a vyžaduje interakci uživatele, který musí z repozitáře načíst škodlivou konfiguraci.
V produktu MindsDB byla odhalena zranitelnost CVE-2026-92207 umožňující vzdáleným ověřeným útočníkům spustit libovolný kód prostřednictvím vkládání kódu v OpenBBtable. Zero Day Initiative ohodnotila tuto bezpečnostní chybu skóre CVSS 8.8.
Podle Zero Day Initiative umožňuje zero-day zranitelnost v komponentě HTTP Proxy systému Microsoft Windows místním útočníkům eskalovat svá oprávnění. Ke zneužití chyby musí mít útočník na cílovém zařízení možnost spouštět kód s nízkými oprávněními; ZDI chybě přiřadila skóre CVSS 5.3.
V produktech NGINX Plus a NGINX Open Source byla v modulu ngx_http_v3_module nalezena zranitelnost CVE-2026-90439. Při použití protokolu HTTP/3 s OpenSSL verze 3.5.0 a staršími může dojít k přetečení vyrovnávací paměti na haldě, což vzdálenému útočníkovi umožňuje vyvolat odepření služby (DoS) nebo způsobit omezené poškození dat.
NCSC-FI informuje o vydání bezpečnostního varování organizace Mozilla, které řeší závažné zranitelnosti ve webovém prohlížeči Firefox 156. Opravy byly vydány také pro verze Firefox ESR 153.3, ESR 140.16 a ESR 115.41.