4527 karet z 4996 položek
· strana 1 z 76
CZ ·
EN/orig
Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Podle italského CSIRT byly vydány bezpečnostní aktualizace pro PostgreSQL psqlODBC, které opravují zranitelnosti včetně šesti s vysokou závažností. Útočníci by v případě jejich zneužití mohli vzdáleně, a v některých případech i bez autentizace, upravovat data nebo spouštět libovolný kód.
Podle zdroje byly vydány bezpečnostní aktualizace, které opravují dvě vysoce závažné zranitelnosti v platformě cPanel & WHM. Útočníci by jejich zneužitím mohli neoprávněně číst kalendářové události a kontakty bez autentizace, případně zapisovat libovolné soubory se zvýšenými oprávněními.
Zyxel vydal bezpečnostní aktualizace řešící dvě vysoce závažné zranitelnosti ve firmwaru některých přístupových bodů, zařízení FWA7, bezpečnostních routerů a přepínačů řady GS1900. Podle zdroje by útočník v místní nebo přilehlé síti mohl tyto chyby zneužít ke zvýšení oprávnění a za určitých podmínek ke spuštění libovolného kódu.
MediaTek vydal bezpečnostní bulletin pro listopad 2026, který opravuje 56 zranitelností v jeho čipsetech pro mobilní zařízení a vestavěné systémy. Podle zprávy je 6 z těchto chyb hodnoceno jako kritických a 16 jako vysoce závažných.
INCIBE koordinoval zveřejnění 15 zranitelností v cloudovém podnikovém softwaru ALO Suite od AM System, z nichž jedna má vysokou a 14 střední závažnost. Chyby zahrnují eskalaci oprávnění, IDOR, clickjacking a uložený XSS ve verzi 25_09_15.03_35, přičemž výrobce je opravil ve verzi 26_04_15.03_10.
Pro nedávno opravenou zranitelnost systému Android označenou jako CVE-2026-58882 byl zveřejněn funkční koncept exploit kódu (PoC). Tato chyba, přezdívaná jako 'SMS of Death', umožňuje útočníkům na neaktualizovaných zařízeních vzdáleně narušit mobilní služby nebo vyvolat pád telefonu odesláním speciálně upravené textové zprávy.
Směrovače značky Welotec obsahují podle upozornění CERT@VDE více zranitelností ve webové správě a funkcích souvisejících s VPN. Vzdálený útočník s vysokými oprávněními může vložit příkazy nebo vyvolat přetečení vyrovnávací paměti, což může vést ke spuštění příkazů s právy uživatele root nebo k odmítnutí služby.
Italský CSIRT v rámci koordinovaného zveřejňování zranitelností informoval o bezpečnostních chybách nalezených v produktu Magistra od společnosti Galeno Sistemi. Tento software slouží pro správu lékárenských galenických laboratoří.
Bezpečnostní bulletin pro systém Android obsahuje podrobnosti o zranitelnostech ovlivňujících zařízení se systémem Android. Nejzávažnější z nich je kritická chyba v komponentě Framework, která může vést ke vzdálenému spuštění kódu bez nutnosti dodatečných oprávnění či interakce uživatele. Všechny uvedené problémy řeší úroveň bezpečnostních záplat 2026-11-05 nebo novější.
Společnost Huawei vydala měsíční bezpečnostní aktualizace pro své vlajkové modely telefonů a tabletů. Zpráva uvádí, že aktualizace obsahuje opravy chyb od společnosti Huawei i z knihoven třetích stran s maximálním skóre CVSSv3.1 dosahujícím hodnoty 7.5.
Bezpečnostní bulletin společnosti MediaTek informuje o zranitelnostech zjištěných v některých čipových sadách této značky. Výrobci zařízení obdrželi oznámení a bezpečnostní záplaty s předstihem nejméně dvou měsíců a podle MediaTeku zatím nejsou hlášeny žádné případy aktivního zneužití.
V systému Eclipse ThreadX byly identifikovány závažné bezpečnostní chyby CVE-2026-114408, CVE-2026-115654 a CVE-2026-115653. Tyto zranitelnosti mohou umožnit pád IP vlákna po zpracování ICMPv6 zpráv, neoprávněné ovládání cizích vláken uživatelským modulem či privilegovaný zápis do paměti na portech Cortex-M.
NCSC-FI informuje o sérii závažných zranitelností v Control Web Panelu (CWP), které dosahují skóre CVSS až 9.3. Chyby zahrnují command injection, SQL injection či obcházení autentizace a útočníkům umožňují vzdálené spouštění příkazů s právy roota. K dispozici jsou oficiální opravy.
Chyba typu 'use-after-free' při navazování IPv4 TCP spojení (CVE-2026-98432) může neautentizovanému vzdálenému útočníkovi umožnit spuštění kódu s právy root. Výzkumníci demonstrovali funkční exploit na systémech s MPTCP, aktivní zneužívání však hlášeno nebylo a hodnocení závažnosti se u jednotlivých distributorů liší od CVSS 5,9 po 9,8.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Kanadské kybernetické centrum informovalo o zranitelnosti v produktu SUSE Rancher, která umožňuje obejít povolené adresy v meta proxy a provést útok server-side request forgery. Problém se týká verzí starších než 2.11.19, 2.12.15, 2.13.11, 2.14.7 a 2.15.3, přičemž centrum doporučuje aplikovat dostupné aktualizace.
Kanadské kybernetické centrum upozorňuje na zranitelnosti v produktech společnosti Barracuda Networks. Chyby umožňující obejití autorizace před autentizací a injektáž příkazů postihují například Email Security Gateway před verzí 9.4.0.030, Load Balancer ADC před 6.4.0, WAF před 11.0.1 a další zařízení.
Italský CSIRT informuje o několika zranitelnostech v open-source databázové knihovně SQLite, z nichž čtyři mají vysokou závažnost. Útočník by mohl tyto chyby zneužít ke vkládání systémových příkazů, manipulaci s pamětí zasažených procesů nebo k narušení dostupnosti služeb.
Správce open-source platební brány BTCPay Server varuje uživatele před útoky, při nichž hackeři vysávají prostředky z 'hot wallets' na zastaralých instancích. Podle zdroje vývojáři vyzývají k instalaci nejnovější verze.
Kanadské středisko pro kybernetickou bezpečnost upozornilo na zranitelnosti postihující řadu produktů společnosti Red Hat, včetně systémů Red Hat Enterprise Linux, OpenShift Container Platform či Keycloak. Správcům a uživatelům doporučuje prověřit vydaná bezpečnostní oznámení a aplikovat dostupné aktualizace.
Kanadské kybernetické centrum upozorňuje na zranitelnosti v produktech Dell OpenManage Enterprise a řadě PowerProtect Data Domain. Správcům doporučuje prověřit dostupné odkazy a aplikovat potřebné aktualizace.
Kanadské kybernetické centrum upozorňuje na zranitelnosti v prohlížeči Google Chrome pro desktop ve verzích předcházejících 156.0.8078.79/.80 pro Windows a Mac a 156.0.8078.79 pro Linux. Uživatelům a správcům doporučuje aplikovat dostupné aktualizace.
Společnost Synology podle zprávy varovala zákazníky před nárůstem útoků ransomwaru C3RB3R cílících na síťová úložiště NAS. Výrobce uživatelům doporučuje zařízení neprodleně aktualizovat.
V systému pro správu výuky a obsahu Chamilo LMS byly zjištěny čtyři bezpečnostní zranitelnosti, z nichž dvě mají vysokou závažnost. Podle CSIRT Itálie by tyto chyby mohly vzdálenému útočníkovi za určitých podmínek umožnit spuštění libovolného kódu nebo kompromitaci existujícího účtu včetně administrátorského.
Bezpečnostní aktualizace řeší tři zranitelnosti s vysokou závažností v produktech ManageEngine SharePoint Manager Plus, ManageEngine Password Manager Pro a PAM360. Dotčené nástroje slouží ke správě a monitorování prostředí SharePoint, správě přihlašovacích údajů, privilegovaných účtů a administrativních přístupů.
Společnost Ivanti vydala bezpečnostní aktualizace pro dvě zranitelnosti brány vzdáleného přístupu Connect Secure (ICS). Podle zdroje byly tyto chyby řetězeny v zero-day útocích nejméně od 1. října.
Podle nizozemského NCSC opravila společnost Canonical zranitelnost CVE-2026-112816 v HTTPS API nástroje LXD, způsobenou nesprávným ověřováním řetězce certifikátů. Neautentizovaný útočník s přístupem k síti a veřejnému certifikátu důvěryhodného klienta se mohl za daného klienta vydávat, což při dostatečných právech umožňovalo získat přístup roota na podkladovém hostiteli.
V nástroji Microsoft Qlib byla v komponentě StaticDataLoader odhalena zranitelnost způsobená deserializací nedůvěryhodných dat, která umožňuje vzdálené spuštění libovolného kódu. Ke zneužití je vyžadována interakce uživatele, například otevření škodlivého souboru nebo návštěva záškodnické stránky, přičemž iniciativa ZDI chybě přiřadila skóre CVSS 7.8.
Podle Zero Day Initiative obsahuje nástroj Microsoft Qlib zranitelnost v komponentě RestrictedUnpickler způsobenou deserializací nedůvěryhodných dat. Chyba umožňuje vzdáleným útočníkům spustit libovolný kód, vyžaduje však interakci uživatele v podobě otevření škodlivého souboru nebo návštěvy podvodné stránky. ZDI jí přiřadila závažnost CVSS 7.8.
Podle ZDI umožňuje zranitelnost v komponentě MLflowRecorder nástroje Microsoft Qlib vzdáleným útočníkům spustit libovolný kód prostřednictvím deserializace nedůvěryhodných dat. K úspěšnému zneužití je vyžadována interakce uživatele, který musí navštívit škodlivou stránku nebo otevřít škodlivý soubor. ZDI chybě přiřadila skóre CVSS 7.8.
Podle NCSC-FI byla v Java vazbách Apache Thrift nalezena zranitelnost typu 'nekontrolovaná rekurze' s označením CVE-2026-120135 a hodnocením CVSS 8.2. Problém se týká verzí před 0.24.0 a je k dispozici oficiální oprava.
Chyba typu 'authentication bypass by spoofing' v Ivanti Connect Secure (CVE-2026-104935 s CVSS 8,6) umožňuje neautentizovanému útočníkovi vzdáleně spouštět libovolné příkazy. Zranitelnost je aktivně zneužívána v útocích k exfiltraci dat a krádeži přihlašovacích údajů; výrobce již vydal bezpečnostní opravy.
Zranitelnost CVE-2026-118147 v Microsoft Visual Studio je způsobena nesprávným ověřováním certifikátů a neoprávněnému útočníkovi umožňuje provádět spoofing přes síť. Podle NCSC-FI má tato důležitá chyba CVSS skóre 7,4 a je k dispozici oficiální oprava.
V prohlížeči Microsoft Edge bylo objeveno několik zranitelností. Podle CERT-FR umožňují útočníkovi vyvolat bezpečnostní problém, který vydavatel blíže nespecifikoval.
V produktu Tenable Identity Exposure bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, vzdálené odepření služby a narušení důvěrnosti dat.
V aplikaci Redmine bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění cross-site scriptingu (XSS), obejití bezpečnostních zásad a vyvolání odepření služby.
Kritická chyba přetečení celého čísla v kompilátoru regulárních výrazů CI/CD (CVSS 10.0) v GitLab CE a EE umožňuje vzdálené spuštění libovolného kódu. Výrobce vydal opravy pro verze 19.2.8, 19.3.5 a 19.4.2 a agentura CISA později zařadila zranitelnost mezi aktivně zneužívané.
V modulu kodeku MINA 3.0 byla zjištěna kritická zranitelnost CVE-2026-118636 s CVSS 9.8 umožňující vzdálené spuštění kódu kvůli absenci filtrování tříd. Vývojáři uvedli, že větev 3.0.0 je neaktivní a opravu pro ni nevydají, proto doporučují přechod na nejnovější větev Apache MINA 2.2.X.
Podle finského úřadu NCSC-FI byla v json-glib nalezena závažná zranitelnost CVE-2026-120194 s CVSS 7.5, která způsobuje nekonečnou smyčku při vyhodnocování výrazů s negativním krokem. Aplikace zpracovávající útočníkem řízené výrazy JSONPath tak může zamrznout a dojít k odepření služby; k dispozici je oficiální oprava.
Finské NCSC informuje o vydání verzí RT 5.0.11 a RT 6.0.4, které řeší řadu bezpečnostních chyb. Podle zdroje je uživatelům doporučeno co nejdříve provést aktualizaci.
Servicenet vydal opravy pro tři zranitelnosti ve svých platformách včetně kritické chyby CVE-2026-103093 v ServiceNow AI Platform, která umožňuje únik ze sandboxu a spuštění kódu na hostitelském systému. Další zranitelnosti zahrnují ukládání hesel v otevřeném textu (CVE-2026-103094) a obcházení oddělení domén v aplikaci SR – CSM – Task Plan Templates Store (CVE-2026-6877).
Veeam vydal opravy pro tři zranitelnosti (CVE-2023-22793, CVE-2026-107238 a CVE-2026-107239) v produktu Veeam Management Pack for Microsoft System Center, které umožňují vzdálené spuštění kódu. Nejzávažnější kritická chyba s CVSS 9,3 dovoluje neautentizovanému útočníkovi spustit kód ve službě Veeam Virtualization Extensions, zatímco další dvě vyžadují specifická uživatelská oprávnění.
V systému Dahua Intelligent Connection Center byla nalezena kritická zranitelnost CVE-2025-31704 s CVSS skóre 9,8. Vzdálený útočník může odesláním speciálně vytvořeného požadavku spustit libovolné příkazy a dosáhnout vzdáleného spuštění kódu.
V prohlížeči Google Chrome bylo zjištěno více zranitelností s hodnocením až Critical a CVSSv3.1 9,6, které útočníkům umožňují vyvolat blíže nespecifikované bezpečnostní problémy. Pro systémy Windows, Mac a Linux byla vydána oficiální oprava v aktualizacích na verze 156.0.8078.79/.80.
Finské NCSC informuje o čtyřech zranitelnostech v systému Moodle (CVE-2026-119553 až CVE-2026-119556) se závažností CVSS až 7.1. Chyby zahrnují path traversal při importu otázek, SQL injection v doplňku External database enrolment a neoprávněný přístup k informacím či skrytým známkám.
Finské NCSC informuje o závažné zranitelnosti CVE-2026-119408 v nástroji n8n s hodnocením CVSS 8.7. Přihlášený uživatel s oprávněním upravovat workflow může prostřednictvím uzlů Function, Function Item nebo LangChain Code spustit libovolný kód v hlavním procesu aplikace a obejít tak izolaci.
Finský NCSC-FI informuje o několika zranitelnostech v SQLite ve verzích před 3.54.0. Chyby zahrnují přetečení vyrovnávací paměti na haldě, vyčerpání zásobníku, use-after-free či únik informací a k dispozici je oficiální oprava.
Byla vydána oficiální oprava pro systém Dell OpenManage Enterprise, která řeší několik bezpečnostních zranitelností s hodnocením CVSSv3.1 až 8.8. Podle zdroje by útočníci mohli tyto chyby zneužít ke kompromitaci zasaženého systému.
V nástroji GIMP byla odhalena zranitelnost CVE-2026-119528 se závažností CVSSv3.1 7.8, způsobená chybou v modulu pro načítání PSD souborů. Otevření speciálně vytvořeného souboru může vyvolat přetečení zásobníku, což může vést k pádu aplikace a potenciálnímu spuštění libovolného kódu.
Podle finského úřadu NCSC-FI byly v aplikaci Blender odhaleny závažné zranitelnosti ve verzích před 4.5.15 a řadě 5.x před 5.2.3. Útočníci mohou pomocí speciálně upravených souborů vyvolat pád aplikace, vyzrazení paměti nebo spustit škodlivý kód.
Bezpečnostní aktualizace společnosti Progress opravují v softwaru WS_FTP Server více zranitelností, z nichž šest má kritickou a tři vysokou závažnost. WS_FTP Server slouží k bezpečnému přenosu, sdílení a správě souborů v organizacích i s externími partnery.
Výrobce hardwarových peněženek Trezor obdržel věrohodná hlášení o podezření na implantát určený ke krádeži kryptoměn v zařízení Trezor Safe 5. Dotčené zařízení prodal jeho prodejce CryptoBilis v jihovýchodní Asii.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti týkající se řešení Laravel MongoDB ve verzích starších než 5.12.0. Správcům a uživatelům doporučuje seznámit se s dostupnými informacemi a aplikovat potřebné aktualizace.
Kanadské kybernetické centrum informovalo o zranitelnostech v produktech Nomad a Boundary od společnosti HashiCorp. Podle varování mohou chyby umožnit únik ze souborového adresáře pomocí symbolických odkazů nebo provést server-side request forgery.
Projekt Commerce Core pro systém Drupal obsahuje vysoce kritickou zranitelnost typu 'Access bypass' evidovanou jako CVE-2026-118539, pro kterou je k dispozici oficiální oprava. Podle veřejně dostupných zpráv je tato chyba již aktivně zneužívána a existuje pro ni funkční exploit.
Společnost Tenable vydala bezpečnostní aktualizace opravující tři zranitelnosti v nástroji Tenable Identity Exposure, z nichž jedna má kritickou závažnost. Podle zdroje by tato chyba mohla umožnit autentizovanému uživateli s nízkými oprávněními spustit libovolný kód s vyššími právy na dotčeném doménovém řadiči.
Zranitelnost CVE-2026-76418 v Remote Access SSL VPN softwaru Cisco Secure Firewall ASA a FTD umožňuje neautentizovanému vzdálenému útočníkovi vyvolat neočekávaný restart zařízení a způsobit odepření služby (DoS). Podmínkou je dostupnost SSL VPN a aktivní sekundární autentizace u tunnel group; Cisco potvrdilo aktivní zneužívání v síti a vydalo bezpečnostní opravy.
Google vydal aktualizaci prohlížeče Chrome, která opravuje 21 nových bezpečnostních chyb včetně jedné kritické a 19 vysoce závažných. Podle CSIRT Itálie by úspěšné zneužití mohlo útočníkovi umožnit přístup k citlivým datům, narušení dostupnosti, obejití bezpečnostních mechanismů či spuštění libovolného kódu.