4561 karet z 5035 položek
· strana 9 z 77
CZ ·
EN/orig
Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Agentura CISA upozorňuje na zranitelnosti v produktu MicroSCADA X SYS600 od Hitachi Energy, které mohou vést k injektování vzorců do CSV, neoprávněné manipulaci s objekty a eskalaci oprávnění. Chyby postihují verze 10.7 a starší a částečně verzi 10.8, přičemž výrobce nabízí opravu a doporučuje mitigační opatření.
Produkty Moxa AIG-302 s firmwarem ThingsPro Edge do verze 1.4.0 obsahují dvě zranitelnosti (CVE-2026-109812 a CVE-2026-109813), které útočníkům v sousední síti umožňují získat citlivá data a narušit důvěrnost i integritu komunikace. Podle agentury CISA zatím není známo žádné veřejné zneužití a výrobce poskytl opravu ve verzi 1.4.1.
Agentura CISA informuje o zranitelnostech ve firmwaru CMU pro zařízení Hitachi Energy řady RTU500. Zneužití chyb může narušit důvěrnost, integritu a dostupnost systému, například způsobit odepření služby (DoS). Výrobce připravil opravné aktualizace firmwaru.
Podle agentury CISA obsahují zařízení WAGO s WAGO OS Linux dvě zranitelnosti ve webovém rozhraní WBM. Přihlášený útočník s nízkými oprávněními může obejít autorizaci nebo vložit příkazy operačního systému při konfiguraci routování.
Agentura CISA informuje o zranitelnostech v ovladačích HMS Networks PEAK-System PCAN pro Windows, které mohou způsobit pád jádra systému. Výrobce chyby opravil ve verzi 5.1.4 a doporučuje provést aktualizaci.
Francouzský poskytovatel cloudu a hostingu OVHcloud varuje uživatele před kompromitací svého open-source nástroje příkazového řádku. Útočníci do něj vložili malware zaměřený na krádeže citlivých vývojářských dat.
V síti bylo zaznamenáno aktivní zneužívání zranitelností CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 a CVE-2026-96656 v aplikaci Plex Media Server, které výrobce již opravil. Podle zdroje je k dispozici také funkční exploit (Proof of Concept) umožňující zřetězení těchto chyb.
Podle bezpečnostního oznámení obsahují verze Festo AX OS 25.0.1.46 a 25.9.2.4 v zařízení CEPE zranitelnosti OpenSSL označené jako CVE-2025-15467 a CVE-2025-69419. Útok může nastat při zpracování podvrženého firmwaru, klíčů, souborů PKCS#12, CMS/PKCS#7 nebo digitálně podepsaných objektů, přičemž zneužití typicky vyžaduje přihlášeného uživatele s vysokými oprávněními.
Společnost ASUS vydala bezpečnostní aktualizace, které řeší tři zranitelnosti v softwaru Armoury Crate a ve firmwaru routerů ASUS. Dvě z těchto chyb jsou podle zdroje hodnoceny jako vysoce závažné.
Podle oznámení PPSA-2026-005 obsahuje webový konfigurační nástroj Pictory před verzí 2.17.0 zranitelnost typu CSRF, která umožňuje převzetí relace. Balíček revpipyload před verzí 0.11.1 obsahuje chybu ve správě souborů rozhraní XML-RPC, díky níž může útočník přistupovat k libovolným souborům nebo je mazat v rozsahu oprávnění daného procesu.
Jaderný modul piControl používaný v počítačích IndustrialPI obsahuje ve verzích starších než 2.8.0-1 více zranitelností. Úspěšné zneužití těchto chyb může vést k poškození paměti jádra a k odmítnutí služby.
Podle CERT@VDE obsahuje software STARe v20.00 externí komponentu IBM Db2 12.1.2 zasaženou zranitelností CVE-2026-10109. Chyba souvisí s nesprávným zpracováním DRDA handshake před autentizací v dotčených verzích IBM Db2.
INCIBE koordinovalo zveřejnění dvou středně závažných zranitelností ve verzi 2025.61 open-source účetního softwaru FacturaScripts. Chyby CVE-2026-11959 a CVE-2026-11960 umožňují útok typu stored XSS s možným navýšením oprávnění a enumeraci uživatelských jmen neověřeným útočníkem. Opravy byly podle zdroje vydány v podobě konkrétních commitů.
Byly vydány bezpečnostní aktualizace, které v open source e-mailovém klientu Roundcube Webmail řeší 20 zranitelností, z nichž 6 má vysokou závažnost. Útočníci by tyto chyby mohli zneužít k obejití bezpečnostních mechanismů a k manipulaci s daty a obsahem v zasažených systémech.
Byly vydány bezpečnostní aktualizace řešící vysoce závažnou chybu v open source poštovním klientu Roundcube Webmail. Zranitelnost by podle oznámení mohla vzdálenému ověřenému útočníkovi umožnit spouštění libovolných příkazů protokolu IMAP na cílových systémech.
Bezpečnostní aktualizace řeší v redakčním systému Craft CMS několik zranitelností včetně jedné kritické a sedmi s vysokou závažností. Podle CSIRT Itálie mohou chyby vzdálenému útočníkovi umožnit obejít autentizaci, získat přístup k citlivým informacím nebo spustit libovolný kód.
Zranitelnost CVE-2026-102503 s hodnocením CVSSv4.0 9.3 v Google OSS Agent Mesh umožňuje útočníkům obejít bezpečnostní politiky biscuit. Vstupní bod '/libp2p-http' neprovádí žádnou autorizaci, což libovolnému uzlu dovoluje vyvolat zaregistrované backendové nástroje bez registrace nebo platného tokenu.
Podle zdroje obsahuje MCP proxy v projektu Google OSS Agent Mesh kritickou chybu CVE-2026-103091 s CVSS 9.3 způsobenou chybějící autorizací. Jakýkoli ověřený člen sítě může spustit libovolný nástroj na jakémkoli uzlu s plnými právy pro čtení, zápis i spouštění, k čemuž stačí znát pouze URL řídicí roviny.
V systému MISP byla zjištěna bezpečnostní chyba v logice viditelnosti návrhů (shadow atributů) vedená jako CVE-2026-112178. Autorizační kontrola přijala libovolný atribut nesoucí skupinu pro sdílení uživatele bez ověření úrovně distribuce a zároveň odepřela přístup vlastnické organizaci k jejím vlastním atributům určeným pouze pro danou organizaci.
Podle NCSC-FI obsahuje platforma MISP zranitelnost CVE-2026-112188 s CVSS skóre 7.1 v mechanismu vyhledávání nastavení serveru. Chyba umožňuje přihlášenému uživateli získat citlivá konfigurační data, která měla být skryta, a k dispozici je oficiální oprava.
Podle NCSC-FI obsahuje platforma MISP zranitelnost CVE-2026-112192 při zpracování nastavení pluginů modulů. Při přípravě nastavení dodaných modulem pro rozhraní API server opomíjí příznaky 'redacted' a 'cli_only', což umožňuje odhalení skrytých hodnot i jejich úpravu přes API.
Podle NCSC-FI obsahují zařízení D-Link E15, M32, R15 a R32 zranitelnost CVE-2026-112146 v komponentě MQTT Broker se souborem '/etc/emDaemon/passwd'. Chyba spočívá v přítomnosti pevně zakódovaných přihlašovacích údajů, je vzdáleně zneužitelná a je pro ni dostupný funkční exploit. Problém s hodnocením CVSSv3.1 7.4 má k dispozici oficiální opravu.
V systému MikroTik RouterOS byla v souboru ipt_SAME.ko zjištěna zranitelnost CVE-2026-112158 typu integer overflow s CVSS 7.1. Chybu lze zneužít vzdáleně a zdroj doporučuje přechod na verze 7.21.5 a 7.23.1.
Americká agentura CISA přidala zranitelnost CVE-2026-96652 v Plex Media Serveru do svého katalogu aktivně zneužívaných chyb. Termín pro zavedení nápravných opatření stanovila na 3. listopadu 2026.
Agentura CISA přidala zranitelnost CVE-2026-96654 v aplikaci Plex Media Server do svého katalogu aktivně zneužívaných slabin. Pro dotčené subjekty stanovila termín nápravy do 23. října 2026.
Agentura CISA zařadila zranitelnost CVE-2026-96655 typu Server-Side Request Forgery v produktu Plex Media Server do svého katalogu aktivně zneužívaných zranitelností (KEV). Termín pro provedení nápravných opatření stanovila na 3. listopadu 2026.
Americká agentura CISA přidala zranitelnost CVE-2026-96656 do katalogu aktivně zneužívaných zranitelností (KEV). Problém se týká aplikace Plex Media Server a termín pro nápravu byl stanoven na 23. října 2026.
Útočníci aktivně zneužívají zranitelnost typu 'OS command injection' v produktu SiteGuard Server Edition, která jim umožňuje spouštět příkazy s oprávněními root nebo SYSTEM. Americká agentura CISA zařadila tuto chybu vedenou pod CVE-2026-106931 do svého katalogu známých zneužívaných zranitelností.
Podle CERT-FR bylo v řešení Mattermost Server odhaleno několik zranitelností. Útočníkům umožňují vyvolat bezpečnostní problém, který vydavatel blíže nespecifikoval.
Ve frameworku Laravel bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vyvolat vzdálené odmítnutí služby, narušit integritu dat nebo obejít bezpečnostní politiky.
Bezpečnostní tým Unit 42 informuje o aktivním zneužívání zranitelnosti CVE-2026-0257 v systému PAN-OS. Součástí zprávy jsou indikátory aktivity a doporučená opatření ke zmírnění rizik.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktu Eptura Archibus ve verzích starších než 2025.02. Organizace doporučuje zkontrolovat dostupné informace a aplikovat potřebné aktualizace.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v celé řadě produktů Red Hat, mezi nimiž jsou Red Hat Enterprise Linux, OpenShift či Ansible Automation Platform. Správcům doporučuje sledovat bezpečnostní oznámení výrobce a aplikovat dostupné aktualizace.
Společnost F5 vydala mimořádné bezpečnostní záplaty řešící několik chyb ve webovém serveru NGINX. Podle zdroje zahrnují i tři kritické zranitelnosti, které útočníkům umožňují spustit kód na napadnutelných systémech.
Kanadské středisko pro kybernetickou bezpečnost aktualizovalo varování k produktům Redis Software a Redis OSS/CE. Podle veřejně dostupných zpráv je zranitelnost CVE-2026-25243 aktivně zneužívána v praxi.
SonicWall vydal bezpečnostní aktualizace pro Network Security Manager, které řeší dvě zranitelnosti s vysokou závažností. Útočníkovi mohou umožnit vzdálené spuštění libovolného kódu, obejití bezpečnostních zásad, eskalaci privilegií nebo přístup k citlivým informacím, přičemž italský CSIRT uvádí jako podmínku autentizaci.
Společnost MongoDB vydala bezpečnostní aktualizace, které opravují pět nových zranitelností v MongoDB Serveru, z nichž tři mají vysokou závažnost. Útočník by mohl za určitých podmínek tyto chyby zneužít k narušení dostupnosti služby na zasažených systémech.
NCSC-NL informuje, že Drupal opravil zranitelnosti v modulech Field UI, Entity List, Navigation, Link a v administračním motivu Gin. Moduly Field UI a Entity List obsahují chybu umožňující vzdálené spuštění kódu i bez autentizace přes cizí moduly či vlastní kód, zatímco ostatní součásti trpí chybami typu XSS. Podle zdroje je doporučeno nepoužívat neznámé a nedůvěryhodné moduly a doplňky.
V redakčním systému Drupal byly odhaleny tři zranitelnosti, z nichž jedna má kritickou závažnost. Podle CSIRT Itálie by její zneužití mohlo neautentizovanému vzdálenému útočníkovi umožnit spuštění libovolného kódu na zasažených systémech.
Podle INCIBE-CERT obsahuje MobaXterm Personal Edition (Portable) verzi 26.4 GA chybu CVE-2026-112161 se závažností 8,5 CVSS v4.0. Aplikace rozbaluje soubor CygUtils64.plugin bez ověření integrity, což místnímu útočníkovi s právy zápisu umožňuje podvrhnout knihovnu cygwin1.dll a spustit kód s oprávněními oběti. Řešením je aktualizace na verzi 26.5 nebo novější.
Zranitelnost neoprávněné autorizace CVE-2026-106030 s CVSS 6,8 v NordVPN pro Windows umožňuje lokálnímu útočníkovi s nízkými oprávněními zastavit nechráněné systémové služby a změnit typ jejich spouštění. Útok probíhá přes pojmenovanou rouru voláním metod ISettingsGrpc, přičemž chráněné systémové služby jako Windows Defender ovlivnit nelze a k dispozici je oficiální oprava.
Projekt Apache Camel vydal 38 bezpečnostních upozornění k opraveným zranitelnostem. Všechny chyby byly odstraněny ve verzích 4.18.5, 4.22.1 a 4.23.0, přičemž větev 4.14.x již dosáhla konce životnosti a záplaty neobdrží.
CERT-FR informuje o odhalení několika zranitelností v prohlížeči Microsoft Edge. Útočníkům mohou umožnit vzdálené spuštění libovolného kódu a způsobit další, blíže nespecifikovaný bezpečnostní problém.
V produktech NGINX Plus, NGINX Ingress Controller, NGINX JavaScript a NGINX Gateway Fabric byly zjištěny mnohočetné zranitelnosti se závažností CVSS dosahující až 9,2. Podle CERT-FR tyto chyby v produktech F5 umožňují vzdálené spuštění libovolného kódu, vzdálené odmítnutí služby i narušení důvěrnosti dat, přičemž k dispozici je oficiální oprava.
CERT-FR upozorňuje na více zranitelností v Roundcube Webmail. Útočník může některé z těchto chyb zneužít ke vzdálenému spuštění libovolného kódu, falšování požadavků na straně serveru (SSRF) nebo vzdálenému cross-site scriptingu (XSS).
CERT-FR upozorňuje na četné zranitelnosti v produktu Stormshield Network Security. Podle bezpečnostního varování mohou útočníkovi umožnit narušení integrity dat, vzdálené spuštění skriptů (XSS) nebo obejití bezpečnostních zásad.
CERT-FR informuje o nálezu několika zranitelností v produktu Juniper Networks Session Smart Router. Útočníkovi mohou umožnit vyvolat blíže nespecifikovaný bezpečnostní problém.
Podle NCSC-FI obsahují verze FreeRDP od 2.0.0 do 3.32.0 chybu typu heap out-of-bounds write při zpracování zpráv NTLM. Neautentizovaný útočník může odesláním speciálně upravené zprávy AUTHENTICATE_MESSAGE zapsat 16 nulových bajtů za hranici alokované paměti.
Podle zdroje obsahuje FreeRDP od verze 3.14.1 do verzí před 3.32.0 zranitelnost podtečení celého čísla v komponentě WinPR BMP writer, sledovanou jako CVE-2026-111881 s CVSS skóre 7.2. Útočník může prostřednictvím škodlivého obsahu schránky RDP způsobit pád klienta nebo zápis mimo vyhrazenou paměť.
Kritická chyba CVE-2026-102764 se skóre CVSS 9,3 postihuje BeyondTrust Remote Support do verze 26.2.3 a umožňuje neautentizovanému útočníkovi vzdáleně nahrávat či modifikovat soubory a ovládnout zařízení. Zranitelnost byla zneužita jako zero-day aktérem ARMORY CASTLE a útočníci ji nadále aktivně využívají; výrobce již vydal bezpečnostní opravy.
Drupal opravil dvě kritické zranitelnosti, které útočníkům umožňují vzdálené spuštění kódu na webech s jakoukoli podporovanou verzí tohoto redakčního systému. Podle zdroje Drupal varuje, že se brzy mohou objevit funkční exploity.
Několik zranitelností ve verzích 0.6.0 až 1.1.4 umožňuje útočníkům mazat chráněná data, získat přihlašovací údaje a vydávat se za legitimní uživatele nebo způsobit pád serveru. Eclipse Foundation doporučuje přechod na opravenou verzi 1.1.5, přičemž zprávy uvádějí závažnost CVSS až 9,1.
Aplikace EseeCloud do verze 4.9.6 a firmware do verze 4.9.86.0 obsahují chyby CVE-2026-107617, CVE-2026-97858 a CVE-2026-105664, které mohou útočníkovi umožnit převzít kontrolu nad zasaženými IP kamerami. Nejzávažnější z nich je kritická chyba CVE-2026-107617 s CVSS 9,8 spočívající v použití natvrdo zakódovaných přihlašovacích údajů.
V síťovém analytickém nástroji CISA Malcolm bylo odhaleno několik chyb včetně obcházení autentizace, neoprávněné autorizace, SSRF a CSRF. Problémy umožňují přístup k interním rozhraním či vyčerpání diskového prostoru a byly opraveny ve verzích v26.08.0 a v26.09.0.
Google Chrome aktualizoval kanál Extended Stable pro systémy Windows a Mac na verzi 152.0.7977.169. Vydání obsahuje 10 bezpečnostních oprav s kritickou závažností.
Podle NCSC-FI byla vydána aktualizace prohlížeče Google Chrome na verze 155.0.8059.84/.85 pro Windows a Mac a 155.0.8059.84 pro Linux. Vydání obsahuje 10 bezpečnostních oprav.
Kanadské kybernetické centrum informovalo o zranitelnostech v prohlížeči Google Chrome ve verzích starších než 155.0.8059.84/.85 pro Windows a Mac a 155.0.8059.84 pro Linux. Centrum doporučuje uživatelům a správcům prostudovat dostupné informace a aplikovat potřebné aktualizace.
Bezpečnostní výzkumníci varují před možným brzkým zneužitím kritické zranitelnosti CVE-2026-103849 v platformách Magento a Adobe Commerce. Chyba podle nich může útočníkům umožnit spuštění libovolného PHP kódu na serverech internetových obchodů.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktu BMC Helix Network Management ve verzích starších než 26.3.01. Organizace doporučuje správcům zkontrolovat odkazy na vydané poznámky a aplikovat potřebné aktualizace.