GitLab vydal verze 19.0.2, 18.11.5 a 18.10.8 pro edice Community a Enterprise, které opravují řadu zranitelností včetně chyb s vysokou závažností. Mezi nejvážnější patří převzetí cizího účtu přes Group SAML Identity API nebo spuštění kódu v Analytics Dashboardu. Výrobce důrazně doporučuje všem správcům instalací okamžitý přechod na opravené verze.
V softwaru LabX Standard v21.3.22 bylo zjištěno více zranitelností. Většina z nich byla opravena ve verzi v21.4.23, chyby CVE-2025-69419, CVE-2026-0915, CVE-2025-15467 a CVE-2025-58187 však zatím vyřešeny nejsou a oprava má vyjít v nadcházejících verzích.
Bezpečnostní aktualizace řeší dvě nové zranitelnosti s vysokou závažností v knihovně Micrometer pro Spring. Podle zdroje jde o knihovnu pro sběr metrik, kterou využívá stejnojmenný open-source framework pro Javu.
Bezpečnostní aktualizace řeší zranitelnost v softwaru pro správu webových serverů Plesk, konkrétně v komponentě APS Catalog. Podle zdroje by zneužití této chyby mohlo přihlášenému útočníkovi umožnit navýšení oprávnění na dotčených systémech.
Podle bezpečnostního varování CERT@VDE obsahují verze firmwaru PLCnext starší než 2026.0.3 zranitelnosti týkající se instalace aplikací a zpracování konfiguračních souborů. Přihlášení útočníci mohou narušit integritu, dostupnost i celkovou bezpečnost zařízení PLCnext Control. Problémy jsou opraveny od verze 2026.0.3.
Podle italského CSIRT byly vydány bezpečnostní aktualizace pro open-source poštovní klient Roundcube Webmail. Opravy řeší celkem osm zranitelností, z nichž čtyři mají vysokou závažnost.
Podle bezpečnostního upozornění CERT@VDE jsou titrátory EVA Karl Fischer od společnosti METTLER TOLEDO se softwarem ve verzích starších než 2.0.2.6 zasaženy zranitelnostmi knihovny libpng. Jedná se o chyby identifikované jako CVE-2026-33416 a CVE-2026-33636.
Podle bezpečnostního varování obsahuje CODESYS Development System dvě zranitelnosti umožňující lokální eskalaci oprávnění v nástrojích PackageManager a IPM. Nástroje při spuštění s administrátorskými právy vytvářejí dočasné adresáře s nezabezpečenými výchozími oprávněními, což lokálním uživatelům s nízkými právy dovoluje upravit zaváděcí soubory nebo nahradit ověřené instalační soubory škodlivými.
Podle bezpečnostního oznámení VDE-2026-009 obsahuje REST API zařízení JUMO chybu umožňující útok na odepření služby (DoS). Nesprávná implementace volby arrayLimit v modulu qs pro Node.js umožňuje útočníkovi odeslat požadavky s velkými či vnořenými poli, což vede k pádu webového serveru a restartu zařízení.
V produktech Helmholz myREX24V2 a myREX24V2.virtual bylo odhaleno několik zranitelností. Podle bezpečnostního oznámení mohou chyby útočníkům umožnit vzdálené spuštění kódu, SQL injection nebo únik informací.
V přihlašovacím dialogu CODESYS Visualization byla zjištěna zranitelnost, kvůli níž nemusí být autentizační údaje dostatečně izolovány při souběžném přihlašování více uživatelů. Podle vydavatele tak může přihlášený uživatel vizualizace získat přihlašovací údaje zadané jiným uživatelem, přičemž problém lze vyvolat lokálně i vzdáleně v rámci aktivní relace.
Podle bezpečnostního oznámení VDE-2024-017 obsahují produkty Pepperl+Fuchs řad ICE2 a ICE3 kritické zranitelnosti způsobené zastaralými softwarovými komponentami. Chyby mohou vést k odmítnutí služby, obejití autentizace a úniku informací.
Společnost GitLab vydala verze 18.11.3, 18.10.6 a 18.9.7 pro edice Community Edition a Enterprise Edition. Tyto verze řeší řadu chyb a bezpečnostních zranitelností včetně několika vysoce závažných chyb typu XSS a DoS. Vydavatel důrazně doporučuje okamžitý přechod na opravené verze u všech instalací spravovaných samotnými uživateli.
V ovladači Windows Cloud Files Mini Filter Driver byla zjištěna zranitelnost typu 'use after free'. Podle Microsoftu umožňuje autorizovanému útočníkovi lokálně zvýšit svá oprávnění.
Podle bezpečnostního oznámení obsahuje knihovna protokolu CODESYS Modbus TCP Server chybu ve správě prostředků spojenou se souběhem při zpracování spojení. Útočník může vyčerpat maximální povolený počet připojení a zabránit navazování nových spojení, stávající relace však zůstávají funkční.
V aplikaci WhatsApp byly zjištěny dvě středně závažné zranitelnosti pro systémy Windows, iOS a Android. Podle CSIRT Itálie mohou útočníkovi umožnit spuštění libovolného kódu a přesměrování obětí na škodlivé URL adresy.
Google vydal květnové bezpečnostní aktualizace, které opravují kritickou zranitelnost v operačním systému Android. Její zneužití by útočníkovi v lokální síti mohlo umožnit spuštění libovolného kódu.
Podle bezpečnostního upozornění PPSA-2026-002 je systém PASvisu Runtime zasažen zranitelností v komponentě třetí strany. Útočník může tuto chybu zneužít prostřednictvím škodlivých webových požadavků.
Bezpečnostní upozornění VDE-2026-015 informuje o zranitelnostech v zařízeních Helmholz WALL IE souvisejících s firmwarem. Podle zdroje problém spočívá v použití prolomeného nebo rizikového kryptografického algoritmu.
Podle bezpečnostního oznámení VDE-2026-032 obsahuje zobrazovací jednotka zařízení Endress+Hauser MCS200HW zranitelnost v sudo spojenou s funkcí chroot.
Microsoft přidal software SQL do tabulky bezpečnostních aktualizací kvůli zranitelnosti eskalace privilegií identifikované jako CVE-2026-32176. Zákazníkům provozujícím podporované verze SQL doporučuje přejít na uvedenou verzi.
Podle společnosti Microsoft se v aplikaci Remote Desktop Client nachází zranitelnost typu 'use-after-free' identifikovaná jako CVE-2026-32157. Neoprávněný útočník může této chyby využít ke spuštění kódu přes síť.
Podle společnosti Microsoft obsahuje služba Windows Server Update Service zranitelnost typu 'race condition' při souběžném provádění se sdíleným prostředkem bez řádné synchronizace. Tato chyba identifikovaná jako CVE-2026-26174 umožňuje autorizovanému útočníkovi lokálně navýšit svá oprávnění.
V bezpečnostním upozornění VDE-2024-008 byla oznámena zranitelnost ve funkci Web-Based Management (WBM) produktů Wago, která se projevuje při aktivním OpenVPN.
Podle italského CSIRT bylo zaznamenáno aktivní zneužívání zranitelnosti CVE-2026-35616 v řešení FortiClient EMS, kterou výrobce již dříve opravil. Útočníkům může tato chyba umožnit eskalaci oprávnění a vzdálené spuštění libovolného kódu na zasažených zařízeních.
CERT@VDE informuje o chybě typu heap buffer overflow v komponentě ubusd systému OpenWrt ve verzích starších než 24.10.4. Zranitelnost v kódu pro parsování registrace událostí umožňuje útočníkovi potenciálně spustit libovolný kód v kontextu démona ubus a obejít kontrolu listen ACL, protože se kód spouští ještě před ověřením oprávnění.
VDE informuje o bezpečnostním upozornění VDE-2025-107, které se týká vícečetných zranitelností v komponentě od společnosti Qualcomm. Tato komponenta je nedílnou součástí rádiového čipu používaného v několika produktech výrobce Endress+Hauser.
Organizace CERT@VDE informovala o několika zranitelnostech v zařízeních společnosti Endress+Hauser. Chyby souvisejí s běhovým prostředím e!Runtime a frameworkem CODESYS V3.
Elastic Security Labs zveřejnil detekční pravidla a rozbor útoku na dodavatelský řetězec zahrnujícího kompromitované verze balíčku Axios 1.14.1 a 0.30.4. Útočníci podle zprávy zneužili tranzitivní závislost plain-crypto-js@4.2.1 k nasazení multiplatformního RAT na systémech Linux, Windows a macOS.
Podle bezpečnostního oznámení VDE-2026-010 bylo v produktech WAGO Solution Builder a WAGO Device Sphere identifikováno několik zranitelností. Chyby postihují součásti zodpovědné za autentizaci a systémovou komunikaci.
Podle bezpečnostního oznámení VDE-2026-021 obsahuje nástroj WAGO VC Hub zranitelnosti v komponentě Magick.NET-Q16-AnyCPU, která vychází z ImageMagick a slouží ke zpracování nahraných obrázků. Nahrávat obrázky mohou pouze autentizovaní uživatelé s oprávněním 'Design Project Permission'.
V produktech Helmholz myREX24V2 a myREX24V2.virtual bylo odhaleno několik zranitelností pod označením VDE-2026-025. Tyto chyby mohou podle vydavatele neověřenému útočníkovi umožnit vzdálené spuštění kódu nebo vložení SQL dotazu.
VDE-2026-020: Ve spravovaných přepínačích společnosti WAGO byla zjištěna zranitelnost. Neověřený útočník může zařízení plně ovládnout prostřednictvím nedokumentované funkce.