4526 karet z 4995 položek
· strana 7 z 76
CZ ·
EN/orig
Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
GitLab opravil 12 zranitelností v Community Edition a Enterprise Edition, mezi nimiž je kritická chyba CVE-2026-110264 s CVSS 10,0 umožňující neautentizované vzdálené spuštění kódu. Dvě chyby CVE-2026-15723 a CVE-2026-112212 mají vysokou závažnost a GitLab zatím neeviduje aktivní zneužívání.
Společnost Oracle opravila několik zranitelností v nástrojích JD Edwards EnterpriseOne Tools verzí 9.2.0.0 až 9.2.26.5. Podle NCSC-NL mohou neautentizovaní či nízko oprávnění útočníci přes síťové protokoly manipulovat s daty a v některých případech získat plnou kontrolu nad systémem.
Splunk vydal bezpečnostní aktualizace opravující četné zranitelnosti v produktech Splunk SOAR a Splunk Enterprise, z nichž 4 mají kritickou a 13 vysokou závažnost. Vzdálenému útočníkovi mohou umožnit přístup k citlivým informacím nebo obejití autentizačních, autorizačních a dalších bezpečnostních mechanismů.
Podle CSIRT Itálie je k dispozici funkční kód (PoC) pro zneužití zranitelnosti CVE-2026-114509 v open-source frameworku Laravel. Úspěšné zneužití této chyby může útočníkovi umožnit obejít autentizační mechanismy a vydávat se za jiného uživatele.
Podle Zero Day Initiative obsahuje NoMachine zranitelnost přetečení vyrovnávací paměti na haldě v komponentě nxwebrunner (CVE-2026-114549). Chyba umožňuje vzdáleným neautentizovaným útočníkům spustit libovolný kód a má přiřazeno skóre CVSS 9.8.
V nástroji NVIDIA Megatron Bridge byla odhalena zranitelnost CVE-2026-24250 s hodnocením CVSS 7.8, která umožňuje vzdálené spuštění libovolného kódu při zpracování souborů YAML. Podle Zero Day Initiative vyžaduje zneužití interakci uživatele, konkrétně otevření škodlivého souboru nebo návštěvu podvodné stránky.
Neautentizovaný vzdálený útočník může odesláním speciálně upravených VBA dat vyvolat přetečení zásobníku v dekompresním enginu systému Cisco Snort 3. Zatímco Cisco uvádí střední závažnost s dopadem na odepření služby (DoS) a vydalo opravy i alternativní řešení, Zero Day Initiative hodnotí zranitelnost se skóre CVSS 8.1 s rizikem vzdáleného spuštění kódu.
V postižených instalacích OpenSSL byla nalezena zranitelnost způsobená použitím externě řízeného formátovacího řetězce v CMP, evidovaná jako CVE-2026-63073. Podle organizace ZDI umožňuje neautentizovaným vzdáleným útočníkům získat citlivé informace a má hodnocení CVSS 6.5.
Zranitelnost CVE-2026-34182 při zpracování CMS AuthEnvelopedData v OpenSSL umožňuje útočníkům v sousední síti manipulovat se zprávami kvůli nesprávnému ověření kontrolní hodnoty integrity. Ke zneužití musí mít útočník nejprve možnost tyto zprávy upravovat; ZDI zranitelnosti přiřadila skóre CVSS 3.1.
Společnost Cisco vydala sérii bezpečnostních upozornění pro více svých produktů včetně řad Expressway, Unified Communications, Snort 3 nebo směrovačů ASR 9000. Mezi řešenými problémy je kritická chyba CVE-2026-76466 s CVSS 9.8 umožňující vzdálené spuštění kódu v Cisco Expressway, která byla opravena ve verzi X15.5.20.
GitLab vydal bezpečnostní opravy pro verze CE a EE, které řeší více zranitelností včetně kritické chyby CVE-2026-110264 se skóre CVSS 10.0. Tato chyba přetečení celého čísla při kompilaci regulárních výrazů mohla neautentizovanému útočníkovi umožnit spuštění libovolného kódu na serveru.
V nástroji Unbound bylo odhaleno několik zranitelností včetně závažné chyby typu 'use-after-free' (CVE-2026-97206) či rizik otravy mezipaměti. Vývojáři vydali bezpečnostní opravu ve verzi 1.26.2.
Americká agentura CISA vydala šest bezpečnostních upozornění týkajících se průmyslových řídicích systémů (ICS) se závažností CVSSv3.1 až 8.8. Zranitelnosti a dostupné opravy se týkají produktů společností HMS Networks, WAGO, Moxa a Hitachi Energy.
V nástroji ISC BIND bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu a způsobení odepření služby.
Ve výrobcích SolarWinds bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkům umožnit zvýšení oprávnění, podvržení požadavků na straně serveru (SSRF) či vzdálené spuštění skriptů (XSS).
V produktech Cisco bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené vyvolání odepření služby.
Podle CERT-FR bylo v prostředí Node.js odhaleno několik zranitelností. Některé z nich umožňují útočníkovi vzdálené spuštění libovolného kódu, obejití bezpečnostních zásad nebo vyvolání blíže nespecifikovaného bezpečnostního problému.
V produktech Splunk byly objevenyčetné zranitelnosti. Podle CERT-FR mohou útočníkovi umožnit spuštění libovolného kódu, narušení důvěrnosti dat nebo vzdálené vložení škodlivého kódu prostřednictvím XSS.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v řadě produktů společnosti Cisco, včetně Cisco IOS XR Software, Expressway Series, Snort 3 nebo Cyber Vision. Středisko doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace.
Organizace ISC vydala bezpečnostní aktualizace pro DNS software BIND 9 a BIND Supported Preview Edition, které opravují čtyři zranitelnosti s vysokou závažností. Chyby mohou umožnit spuštění libovolného kódu nebo narušení dostupnosti služby v důsledku vyčerpání prostředků, poškození paměti či neočekávaného ukončení procesu named.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v rozsáhlé řadě produktů společnosti Oracle, včetně MySQL, PeopleSoft nebo Java SE. Správcům a uživatelům doporučuje seznámit se s podrobnostmi a nasadit potřebné aktualizace, jakmile budou dostupné.
Společnost Cisco vydala bezpečnostní aktualizace, které řeší 34 zranitelností v jejích produktech. Podle zdroje je 5 těchto chyb hodnoceno jako kritické a 17 jako vysoce závažné.
Podle společnosti Cisco obsahuje detekční engine Snort 3 zranitelnost CVE-2026-76445 způsobenou chybou v logice zpracování hlaviček GTP v kodeku. Vzdálený neautentizovaný útočník může odesláním upraveného fragmentovaného UDP datagramu vyvolat nekonečnou smyčku a způsobit odepření služby (DoS). Výrobce vydal aktualizace softwaru a k dispozici jsou také zástupná řešení.
Chyba v modulu Secure Firewall Posture pro Cisco Secure Client umožňuje přihlášenému lokálnímu útočníkovi zvýšit svá oprávnění na úroveň SYSTEM nebo root. Zranitelnost identifikovaná jako CVE-2026-76462 vznikla nedostatečným ověřováním vstupu v IPC kanálu a společnost Cisco na ni vydala bezpečnostní aktualizace.
Společnost Cisco vydala bezpečnostní aktualizace pro zranitelnost CVE-2026-20221 v detekčním modulu Snort 3 způsobenou nesprávným zpracováním vnořeného GRE provozu. Vzdálený neautentizovaný útočník může odesláním speciálně vytvořeného GRE paketu vyvolat neočekávaný restart modulu a způsobit odepření služby (DoS) nebo obejití detekce.
Cisco informuje o zranitelnosti v implementaci řídicího soketu v Open Source Snort 3, která může přihlášenému místnímu útočníkovi s nízkými právy umožnit spouštění libovolných příkazů. Chyba způsobená chybějícím ověřováním také umožňuje číst a zapisovat do paměti procesu. Společnost vydala bezpečnostní aktualizace, které problém řeší, přičemž žádná náhradní řešení nejsou k dispozici.
Cisco vydalo bezpečnostní aktualizaci pro zařízení Cisco Expressway Series, konkrétně Expressway-C a Expressway-E, která opravuje několik interně zjištěných chyb s vysokou závažností. Podle výrobce nejsou známy případy aktivního zneužití a pro zranitelnosti neexistují žádná náhradní řešení.
Zranitelnost CVE-2026-76487 v Cisco Unified CM a Unified CM SME způsobená nesprávnou validací vstupů HTTP požadavků umožňuje neověřenému vzdálenému útočníkovi obejít řízení přístupu. Útočník může odesláním upraveného požadavku získat přístup k nepovoleným částem sítě. Cisco vydalo bezpečnostní aktualizace, které chybu řeší, přičemž žádná náhradní řešení nejsou k dispozici.
Společnost Cisco vydala aktualizace softwaru Cisco IOS XR pro směrovače řad ASR 9000 a 9900 i ASR 9902 a 9903, které řeší zranitelnost CVE-2026-76505. Vzdálený neautentizovaný útočník může pomocí speciálně vytvořených IPv4 paketů způsobit chybu síťového procesoru, restart linkové karty a odepření služby.
Podle společnosti Cisco obsahuje řada zařízení Cisco Expressway zranitelnost způsobenou nedostatečnou kontrolou autorizace u HTTP požadavků. Neautentizovaný vzdálený útočník může pomocí upraveného URL získat přístup k citlivým informacím. Výrobce vydal aktualizace softwaru, které chybu řeší, a upozorňuje, že neexistují žádná náhradní řešení.
Společnost Cisco oznámila kritickou zranitelnost v databázové službě zařízení Cisco Expressway Series, která neověřenému vzdálenému útočníkovi umožňuje spustit libovolné příkazy operačního systému jako root. Chybu způsobují persistentní cookies a nedostatečné ověřování klientských certifikátů, přičemž výrobce již vydal opravné aktualizace.
Společnost Cisco vydala bezpečnostní aktualizace řešící interně odhalené zranitelnosti v softwaru Snort 3, včetně chyb zápisu mimo hranice paměti CVE-2026-20043. Podle vydavatele neexistují žádná náhradní řešení a chyby nejsou v praxi aktivně zneužívány.
Společnost Cisco oznámila zranitelnosti v detekčním enginu Snort 3, které mohou neověřenému vzdálenému útočníkovi umožnit vyvolat neočekávaný restart a způsobit odepření služby (DoS). Výrobce již vydal softwarové aktualizace, přičemž žádná náhradní řešení nejsou k dispozici.
Více produktů Cisco obsahuje zranitelnost v komponentě Snort 3 SMTP MIME Decoder, která může neautentizovanému vzdálenému útočníkovi umožnit vyvolat restart detekčního jádra a způsobit odepření služby (DoS). Chyba CVE-2026-20011 spočívá v nedostatečné kontrole chyb při parsování polí MIME v SMTP hlavičkách a společnost Cisco již na tento problém vydala softwarové aktualizace.
Společnost Cisco vydala bezpečnostní opravy řešící interně odhalené zranitelnosti v několika produktech Unified Communications, včetně Unified CM a Cisco Emergency Responder. Podle výrobce nebyly tyto chyby aktivně zneužívány a nejsou pro ně k dispozici žádná náhradní řešení.
V open-source nástroji Ollama pro lokální běh velkých jazykových modelů byla zjištěna zranitelnost typu 'relative path traversal' s označením CVE-2026-103663. Pro tuto chybu je dostupný koncept zneužití (PoC), který by mohl neautentizovanému vzdálenému útočníkovi umožnit spuštění libovolného kódu na zasažených systémech.
Společnost Oracle opravila 33 zranitelností v produktech Oracle Analytics, včetně Oracle Business Intelligence Enterprise Edition a Oracle BI Publisher. Podle nizozemského NCSC lze 14 z nich zneužít vzdáleně bez nutnosti autentizace, přičemž nejvyšší hlášené skóre CVSS 3.1 dosahuje hodnoty 9,1.
Podle nizozemského NCSC opravila společnost Oracle celkem 110 zranitelností v různých produktech řady Oracle Communications s maximálním CVSS skóre 9,8. Až 77 z těchto chyb mohou neautentizovaní útočníci zneužít na dálku přes síť k neoprávněnému přístupu k datům, jejich modifikaci či narušení dostupnosti systémů.
V produktu Acronis Cyber Infrastructure byly zjištěny dvě bezpečnostní zranitelnosti, z nichž jedna dosahuje vysoké závažnosti. Útočník by jejich zneužitím mohl získat přístup k citlivým informacím a manipulovat s daty na zasažených systémech.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti ovlivňující verze PHP starší než 8.x. Organizace doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace, jakmile budou k dispozici.
Kanadské kybernetické centrum upozornilo na zranitelnost v prohlížeči Google Chrome pro stolní počítače ve verzích předcházejících 56.0.8078.47/.48 pro Windows a Mac a 156.0.8078.47 pro Linux. Centrum doporučuje uživatelům a správcům zkontrolovat podrobnosti a aplikovat potřebné aktualizace.
Bezpečnostní aktualizace pro platformu SolarWinds Observability Self-Hosted ve verzích před 2026.4 řeší čtyři zranitelnosti včetně chyby CVE-2026-28328 s vysokou závažností. Tato zranitelnost spočívající v porušeném schématu autorizace může přihlášenému útočníkovi s nízkými oprávněními umožnit přístup k citlivým informacím a jejich úpravu.
Oracle podle oznámení vyřešil 194 zranitelností v balíku E-Business Suite a souvisejících komponentách pro verze 12.2.3 až 12.2.15. Chyby mohou útočníkům s přístupem k síti umožnit neoprávněný přístup k datům, jejich úpravu či smazání, a v nejzávažnějších případech i vzdálené spuštění kódu.
Knihovna RingRTC pro hlasové a video hovory v aplikaci Signal obsahovala ve verzích starších než 2.72.0 kritickou chybu CVE-2026-113380 s CVSS 9,3, která mohla druhému účastníkovi umožnit pokračovat v odposlechu i po položení hovoru. Zranitelnost byla opravena v samotné knihovně a podle dostupných informací není známo její aktivní zneužívání.
Britské Národní středisko kybernetické bezpečnosti (NCSC) vyzývá tamní organizace, aby se připravily na okamžitou aktualizaci systémů využívajících PHP.
NCSC-NL informuje o opravách zranitelností v produktech Oracle MySQL, včetně MySQL Serveru, Clusteru, Enterprise Backup, Connectors a Routeru. Chyby mohou umožnit neoprávněný přístup k datům, jejich úpravu nebo vyvolání stavu odepření služby, přičemž nejvyšší CVSS skóre dosahuje 9,8.
Oracle vyřešil několik zranitelností v produktu Oracle Enterprise Manager ve verzích 13.5 a 24.1, které se nacházejí například v komponentách Base Platform, Data Guard Management, Siebel a Virtualization. Chyby mohou vést k neoprávněnému přístupu k citlivým datům, jejich úpravám, spuštění libovolného kódu či narušení integrity a dostupnosti, přičemž dvě z nich lze zneužít vzdáleně bez autentizace.
Nizozemské NCSC informuje o vydání oprav pro bezpečnostní chyby v Oracle PeopleSoft Enterprise a PeopleTools. Zranitelnosti mohou vést k neoprávněnému přístupu k datům, jejich úpravě nebo k odmítnutí služby (DoS), přičemž některé lze zneužít po síti i bez nutnosti autentizace.
Podle CSIRT Itálie byly vydány bezpečnostní aktualizace pro Apache Tomcat, které odstraňují několik zranitelností včetně tří kritických. Vzdálený neautentizovaný útočník by mohl tyto chyby zneužít k obejití autentizačních mechanismů nebo k přístupu k citlivým informacím.
Google vydal aktualizaci pro webový prohlížeč Chrome, která opravuje 353 nových bezpečnostních zranitelností. Podle oznámení má 6 z těchto chyb kritickou a 61 vysokou závažnost.
Společnost Oracle vydala říjnový balík Critical Patch Update, který opravuje četné zranitelnosti napříč různými produkty. Z celkového počtu chyb je 64 označeno jako kritických a 383 s vysokou závažností.
Google oznámil přechod prohlížeče Chrome 156 do stabilního kanálu pro systémy Windows, Mac a Linux. Tato aktualizace podle zprávy obsahuje celkem 353 bezpečnostních oprav.
Byl vydán souhrn bezpečnostních aktualizací pro verze 1.6 LTS a 1.7 aplikace Roundcube Webmail. Podle vydavatele obě verze opravují nedávno nahlášené bezpečnostní zranitelnosti.
Podle zdroje umožňuje zranitelnost typu 'authentication bypass' označená jako CVE-2026-97406 obejít požadavky na passkey během vydávání tokenů v Xerj Console API. Útočník s platným tokenem tak může vytvářet nezávislé a trvalé přihlašovací údaje, čímž si udrží přístup a potenciálně zvýší oprávnění i po odvolání původního tokenu.
V softwaru Apache Tomcat bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit narušení důvěrnosti dat, obejití bezpečnostních zásad nebo vyvolání blíže nespecifikovaného bezpečnostního problému.