4537 karet z 5007 položek
· strana 4 z 76
CZ ·
EN/orig
Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Společnost Qualys upozorňuje, že oprava zranitelnosti dekodéru Brotli (CVE-2026-111497) a dalších chyb v Node.js probíhá pomalu a miliony instalací zůstávají neaktualizované. Zpráva doporučuje dočasná mitigační opatření a využití stávajících bezpečnostních nástrojů typu WAF, IPS či EDR k omezení útočných cest před provedením kompletního upgradu.
V prohlížeči Apple Safari byla odhalena zranitelnost typu 'type confusion' při zpracování jsToWasm IC Entrypoint, která vzdáleným útočníkům umožňuje spustit libovolný kód. Ke zneužití chyby s označením CVE-2026-86974 a skóre CVSS 8.8 je nutná interakce uživatele, konkrétně návštěva škodlivé stránky nebo otevření podvrženého souboru.
V systému Apple macOS byla identifikována zranitelnost typu out-of-bounds read v komponentě CoreText, která vzdáleným útočníkům umožňuje získat citlivé informace. Ke zneužití chyby s označením CVE-2026-112656 a skóre CVSS 3.3 je vyžadována interakce uživatele, konkrétně otevření škodlivého souboru nebo návštěva podvodné stránky.
Podle Zero Day Initiative umožňuje zranitelnost CVE-2026-6064 v AVG Internet Security místním útočníkům eskalovat oprávnění. Ke zneužití musí útočník nejprve získat možnost spouštět kód s nízkými právy na cílovém systému; závažnost byla stanovena na CVSS 7.3.
V systému Valkey byla odhalena zranitelnost způsobená chybou zkrácení číselné hodnoty v funkci clusterCreatePublishMsgBlock, která umožňuje vzdáleným ověřeným útočníkům spustit libovolný kód. Organizace ZDI této zranitelnosti přiřadila hodnocení CVSS 8.8.
Podle ZDI umožňuje zranitelnost CVE-2026-118613 vzdáleným útočníkům spustit libovolný kód na dotčených instalacích Ultralytics skrze deserializaci nedůvěryhodných dat v 'torch_load'. K jejímu zneužití je vyžadována interakce uživatele, který musí otevřít škodlivý soubor nebo navštívit škodlivou stránku; závažnost CVSS byla stanovena na 7.8.
Podle Zero Day Initiative umožňuje zero-day zranitelnost v Ultralytics vzdáleným útočníkům spustit libovolný kód. Ke zneužití chyby s hodnocením CVSS 7.8 a označením CVE-2026-118614 je vyžadována interakce uživatele, konkrétně otevření škodlivého souboru nebo návštěva podvodné stránky.
V nástroji Ultralytics byla odhalena zranitelnost typu command injection, sledovaná pod označením CVE-2026-118615 a se skóre CVSS 7,8. Podle iniciativy ZDI umožňuje vzdálenému útočníkovi spustit libovolný kód, vyžaduje však interakci uživatele v podobě otevření škodlivého souboru nebo návštěvy podvodné stránky.
V nástroji Ultralytics byla v rámci zranitelnosti CVE-2026-118616 s hodnocením CVSS 7.8 odhalena chyba v 'parse_model', která umožňuje injektáž a vzdálené spuštění kódu. Útok vyžaduje interakci uživatele, konkrétně otevření škodlivého souboru nebo návštěvu zákeřné stránky.
V instalacích nástroje Ultralytics byla odhalena zranitelnost typu 'deserializace nedůvěryhodných dat' v funkci 'load_dataset_cache_file'. Podle ZDI umožňuje vzdáleným útočníkům spustit libovolný kód, vyžaduje však interakci uživatele, který musí otevřít škodlivý soubor nebo navštívit podvrženou stránku.
V nástroji Ultralytics byla v souvislosti s funkcí 'parse_model' odhalena zranitelnost umožňující vzdálené spuštění libovolného kódu. Ke zneužití chyby s označením CVE-2026-118618 a hodnocením CVSS 7.8 je vyžadována interakce uživatele, konkrétně otevření škodlivého souboru nebo návštěva podvodné stránky.
V nástroji Ultralytics byla odhalena zero-day zranitelnost typu path traversal při stahování z Google Drive, identifikovaná jako CVE-2026-118619 se skóre CVSS 8.8. Chyba umožňuje vzdáleným útočníkům spustit libovolný kód, vyžaduje však interakci uživatele v podobě návštěvy škodlivé stránky nebo otevření podvrženého souboru.
Podle Zero Day Initiative umožňuje zranitelnost CVE-2026-118601 síťově přilehlým útočníkům spustit libovolný kód na zařízeních Alpine iLX-F511 pomocí pevně zakódovaných přihlašovacích údajů k SSH. K jejímu zneužití není vyžadována autentizace a byla ohodnocena skóre CVSS 6.3.
Zdroj uvádí, že zranitelnost v zařízení Alpine iLX-F511 umožňuje lokálnímu útočníkovi eskalovat oprávnění. Ke zneužití chyby s označením CVE-2026-118602 a skóre CVSS 7.8 musí útočník nejprve získat možnost spouštět nízkoúrovňový kód.
Podle Zero Day Initiative umožňuje zranitelnost CVE-2026-118603 v zařízení Alpine iLX-F511 síťově přilehlým útočníkům spustit libovolný kód. Ke zneužití přetečení zásobníku při zpracování vCard je nutná interakce uživatele, konkrétně připojení k podvrženému Bluetooth zařízení, přičemž zranitelnost má hodnocení CVSS 8.0.
V zařízeních Alpine iLX-F511 byla zjištěna zranitelnost typu přetečení vyrovnávací paměti na zásobníku, evidovaná jako CVE-2026-118604. Podle organizace ZDI umožňuje fyzicky přítomnému útočníkovi bez nutnosti autentizace spustit libovolný kód, přičemž závažnost byla ohodnocena skóre CVSS 6.8.
V zařízeních Alpine iLX-F511 byla odhalena zranitelnost CVE-2026-118605 s hodnocením CVSS 8.0, která umožňuje útočníkům v síťovém dosahu vzdáleně spustit libovolný kód. Ke zneužití je podle organizace ZDI nejprve nutné spárovat s cílovým systémem škodlivé Bluetooth zařízení.
Zdroj uvádí, že zranitelnost CVE-2026-118606 v zařízeních Alpine iLX-F511 umožňuje útočníkům v sousední síti spustit libovolný kód bez nutnosti autentizace. Chyba byla demonstrována na soutěži Pwn2Own a ZDI jí přiřadila skóre CVSS 8.8.
Podle Zero Day Initiative umožňuje zranitelnost v komponentě diagapp zařízení Alpine iLX-F511 fyzicky přítomnému útočníkovi spustit libovolný kód bez nutnosti autentizace. Chyba byla odhalena v rámci soutěže Pwn2Own, nese označení CVE-2026-118607 a dosáhla skóre CVSS 6.8.
Podle Zero Day Initiative obsahuje zařízení Alpine iLX-F511 zranitelnost typu čtení mimo vymezený rozsah, která umožňuje útočníkům v dosahu sítě získat citlivé informace. Útok vyžaduje spárování škodlivého Bluetooth zařízení s cílovým systémem a chyba získala hodnocení CVSS 3.5 s identifikátorem CVE-2026-118608.
V zařízení Alpine iLX-F511 byla v obsluze připojení Android Auto odhalena zranitelnost typu přetečení vyrovnávací paměti na zásobníku, evidovaná jako CVE-2026-118609. Podle Zero Day Initiative umožňuje fyzicky přítomnému útočníkovi bez nutnosti autentizace vzdáleně spustit libovolný kód, přičemž závažnost dosahuje skóre CVSS 6.8.
Zero Day Initiative informuje o zranitelnosti přetečení zásobníku ve službě Android Auto v zařízeních Alpine iLX-F511. Chyba s označením CVE-2026-118610 a hodnocením CVSS 8.8 umožňuje neautentizovaným útočníkům v přilehlé síti spustit libovolný kód.
V zařízeních Alpine iLX-F511 byla odhalena zranitelnost typu přetečení haldy při zpracování paketů Bluetooth OBEX. Fyzicky přítomný neautentizovaný útočník může podle organizace ZDI chybu zneužít ke vzdálenému spuštění libovolného kódu, přičemž zranitelnost CVE-2026-118611 obdržela skóre CVSS 6.8.
Produkty Mitsubishi Electric jako GENESIS64, ICONICS Suite a další obsahují chyby umožňující spuštění libovolného kódu, obejití autentizace či provádění neoprávněných operací. Zranitelnosti dosahují CVSS 9.1 a výrobce pro vybrané systémy vydal opravné verze.
EPICS Base ve verzích do 7.0.10 obsahuje zranitelnosti s CVSS až 9,8, které mohou útočníkovi umožnit způsobit odepření služby, poškození paměti, únik citlivých informací nebo potenciální spuštění libovolného kódu. Zranitelnost CVE-2026-114595 spočívá v přetečení celého čísla při zpracování síťových požadavků a komunita EPICS vydala opravu ve verzi 7.0.11.
Produkty Moxa Remote Connect Suite (MRC Client) do verze v4.2.0 a řada OnCell G3150A-LTE obsahují chyby CVE-2026-111459, CVE-2026-111460 a CVE-2026-111461 s CVSS 7,7. Tyto zranitelnosti umožňují útoky man-in-the-middle, zneužití statických klíčů i vzdálené spuštění příkazů při zapnuté správě přes SMS, přičemž výrobce již připravil opravy.
Finský úřad NCSC-FI informoval o vydání bezpečnostních aktualizací pro operační systémy a software společnosti Apple. Závažnost chyb dosahuje podle hodnocení CVSSv3.1 skóre 8.8 a pro opravu jsou k dispozici oficiální záplaty.
Zranitelnost CVE-2026-46300, označovaná jako Fragnesia, postihuje subsystém XFRM ESP-in-TCP v linuxovém jádře a neprivilegovanému uživateli může umožnit získat práva roota. Pro chybu je dostupný exploit PoC a americká agentura CISA ji zařadila do svého katalogu aktivně zneužívaných zranitelností.
V produktech Mozilla bylo zjištěno více zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené odepření služby.
CERT-FR informuje o odhalení několika zranitelností v prohlížeči Microsoft Edge. Útočníkům mohou umožnit vzdálené spuštění libovolného kódu a obejití bezpečnostních zásad.
Podle CERT-FR bylo v řešení Mitel OpenScape Endpoint Management odhaleno více zranitelností. Útočníkovi mohou umožnit neoprávněné zvýšení oprávnění a obejití bezpečnostních politik.
V produktech Veeam byly odhaleny četné zranitelnosti. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo narušení důvěrnosti dat.
Podle CERT-FR bylo v prohlížeči Google Chrome odhaleno několik zranitelností. Útočníkům mohou umožnit vyvolat bezpečnostní incident, jehož podrobnosti vydavatel blíže nespecifikoval.
Agentura CISA zařadila chybu CVE-2026-48356 v produktech Adobe Commerce a Magento do katalogu aktivně zneužívaných zranitelností KEV. Zranitelnost spočívá v neomezeném nahrávání souborů nebezpečného typu.
Společnost Microsoft vydala mimořádné aktualizace pro Windows, které odstraňují důvěru v certifikáty spojené s kompromitovanými klíči certifikační autority eMudhra. Cílem je ochránit systémy, které nepřijímají automatické aktualizace důvěryhodných certifikátů.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech společnosti Hitachi, mezi které patří řady HiRDB Server, JP1 a firmware pro řadu TRO600. Organizace doporučuje uživatelům a správcům seznámit se s podrobnostmi a aplikovat potřebné aktualizace.
Bezpečnostní tým Tailscale podle zprávy pracuje na opravách téměř tuctu zranitelností. Tyto chyby by útočníci mohli zneužít ke krádeži přihlašovacích údajů, pádu serverů nebo získání rootovských oprávnění.
V open source platformě Nextcloud Server bylo zjištěno 10 nových zranitelností, z nichž jedna má vysokou závažnost. Podle italského CSIRT by její zneužití mohlo útočníkovi umožnit narušit dostupnost služby na zasažených systémech.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na dvě potvrzené zranitelnosti v produktu Kantech Entrapass od společnosti Johnson Controls ve verzích starších než 9.20. Uživatelům a správcům doporučuje seznámit se s podrobnostmi a aplikovat potřebné aktualizace.
Chyba typu 'type confusion' v prohlížeči Microsoft Edge založeném na platformě Chromium umožňuje neautorizovanému útočníkovi vzdálené spuštění kódu přes síť. Problém je evidován pod označením CVE-2026-62765.
Podle společnosti Microsoft umožňuje neúplný seznam zakázaných vstupů v prohlížeči Microsoft Edge (Chromium-based) neautorizovanému útočníkovi obejít bezpečnostní prvek po síti. Zranitelnost je evidována pod označením CVE-2026-96196.
Podle společnosti Microsoft umožňuje nesprávné ověření kryptografického podpisu v prohlížeči Microsoft Edge (Chromium-based) neautorizovanému útočníkovi provádět podvržení identity po síti. Chyba je sledována pod označením CVE-2026-88078.
Podle společnosti Microsoft obsahuje prohlížeč Edge založený na platformě Chromium zranitelnost CVE-2026-20942 způsobenou nesprávným omezením vykreslovaných vrstev či rámců uživatelského rozhraní. Neautorizovaný útočník může této chyby zneužít k podvržení obsahu přes síť.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktu Esri ArcGIS Server ve verzích starších než 12.1. Zdroj doporučuje uživatelům i správcům prostudovat vydaný bezpečnostní bulletin a aplikovat potřebné aktualizace.
CERT Polska informuje o nálezu zranitelnosti typu uložený Cross-Site Scripting v softwaru tia Viewer od KGS Software. Problém je evidován pod označením CVE-2026-105987.
Podle zprávy společnost Apple zpětně vydala bezpečnostní záplaty pro starší iPhony a iPady. Tyto opravy řeší zero-day zranitelnost v komponentě CoreGraphics, která byla podle dostupných informací aktivně zneužívána při mimořádně sofistikovaných cílených útocích na zařízení se systémem iOS.
Zdroj uvádí, že byly vydány bezpečnostní aktualizace řešící mnohočetné zranitelnosti v systémech HPE Aruba Networking AOS-8 a AOS-10 pro správu podnikových Wi-Fi sítí. Celkem 32 chyb má kritickou a 31 vysokou závažnost.
Podle INCIBE-CERT obsahuje aplikace PuMuKIT ve verzích starších než 5.0.8 závažnou zranitelnost CVE-2026-4337 se skóre CVSS 8.8. Chyba umožňuje neautentizovanému útočníkovi nahrávat libovolné soubory na server do jakéhokoli zapisovatelného adresáře a případně soubory i mazat; řešení zatím není k dispozici.
CERT Polska informoval o nahlášení tří zranitelností s identifikátory CVE-2026-107145 až CVE-2026-107147. Chyby se nacházejí v doplňku twofactor_gauthenticator určeném pro aplikaci Roundcube.
Společnost Apple vydala bezpečnostní aktualizace řešící 327 nových zranitelností, z nichž 20 má kritickou a 231 vysokou závažnost. Opravy se týkají systémů iOS, iPadOS, macOS Golden Gate, macOS Tahoe, macOS Sequoia, tvOS, watchOS, visionOS a prohlížeče Safari.
INCIBE informoval o dvou vysoce závažných zranitelnostech typu cross-site scripting (XSS) v platformě Cloud BI Platform od společnosti Sisense. Chyby CVE-2026-117493 a CVE-2026-117494 se skóre CVSS 8.3 umožňují spuštění škodlivého kódu v prohlížeči přes API widgetů BloX nebo přes SVG obrázky v asistentovi. Podle zdroje zatím nebylo ohlášeno žádné řešení.
Pro poštovní a kolaborační server IceWarp Server jsou k dispozici aktualizace a mitigace řešící kritické zranitelnosti PHP2Shell (CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560) v integrovaném interpretu PHP. Americká agentura CISA potvrdila, že tyto zranitelnosti jsou již aktivně zneužívány při útocích, a zařadila je do svého katalogu.
NCSC-NL informuje, že společnost Apple opravila zranitelnosti v operačních systémech iOS a iPadOS. Tyto chyby zahrnovaly mimo jiné poškození paměti, eskalaci oprávnění nebo únik ze sandboxu, přičemž útočníkům umožňovaly přístup k citlivým datům či vyvolání stavu denial-of-service.
NCSC-NL informuje, že společnost Apple opravila četné zranitelnosti v systému macOS, konkrétně ve verzích Golden Gate 27.2, Sequoia 15.8.2, Tahoe 26.7.2 a Monterey 12.4. Chyby správy paměti, oprávnění a validace vstupů mohly útočníkům umožnit eskalaci privilegií, obcházení sandboxu či funkce Gatekeeper, přístup k citlivým datům a vyvolání odmítnutí služby.