Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Hitachi Energy informuje o zranitelnostech CVE-2026-10756 a CVE-2026-106087 v zařízeních řady TRO600, které mohou útočníkům umožnit neoprávněný přístup k citlivým funkcím či čtení libovolných souborů včetně hesel. Výrobce doporučuje provést aktualizaci na opravené verze 9.1.2.0 nebo 9.2.2.1.
Hitachi Energy informuje o zranitelnostech typu vkládání příkazů operačního systému a Dirty Frag v produktech CoreTec. Podle zdroje mohou vést k narušení důvěrnosti, integrity i dostupnosti nebo k eskalaci oprávnění na úroveň root. Pro nápravu výrobce doporučuje přechod na verzi 5.0.0.
Produkty Mitsubishi Electric jako GENESIS64, ICONICS Suite a další obsahují chyby umožňující spuštění libovolného kódu, obejití autentizace či provádění neoprávněných operací. Zranitelnosti dosahují CVSS 9.1 a výrobce pro vybrané systémy vydal opravné verze.
EPICS Base ve verzích do 7.0.10 obsahuje zranitelnosti s CVSS až 9,8, které mohou útočníkovi umožnit způsobit odepření služby, poškození paměti, únik citlivých informací nebo potenciální spuštění libovolného kódu. Zranitelnost CVE-2026-114595 spočívá v přetečení celého čísla při zpracování síťových požadavků a komunita EPICS vydala opravu ve verzi 7.0.11.
Produkty Moxa Remote Connect Suite (MRC Client) do verze v4.2.0 a řada OnCell G3150A-LTE obsahují chyby CVE-2026-111459, CVE-2026-111460 a CVE-2026-111461 s CVSS 7,7. Tyto zranitelnosti umožňují útoky man-in-the-middle, zneužití statických klíčů i vzdálené spuštění příkazů při zapnuté správě přes SMS, přičemž výrobce již připravil opravy.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech společnosti Hitachi, mezi které patří řady HiRDB Server, JP1 a firmware pro řadu TRO600. Organizace doporučuje uživatelům a správcům seznámit se s podrobnostmi a aplikovat potřebné aktualizace.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na dvě potvrzené zranitelnosti v produktu Kantech Entrapass od společnosti Johnson Controls ve verzích starších než 9.20. Uživatelům a správcům doporučuje seznámit se s podrobnostmi a aplikovat potřebné aktualizace.
Americká agentura CISA vydala 20 bezpečnostních upozornění týkajících se průmyslových řídicích systémů (ICS). Varování s nejvyšším skóre CVSS 10.0 pokrývají stovky zranitelností a týkají se mimo jiné produktů společností Siemens, InterSystems Corporation, Kiloview a Meari.
V dodatečném subsystému GNU/Linux pro Siemens SIMATIC S7-1500 TM MFP V1.1.1 bylo identifikováno několik zranitelností. Výrobce připravuje opravy a do jejich vydání doporučuje omezit přístup k interaktivnímu shellu pouze na důvěryhodné pracovníky a spouštět pouze aplikace z prověřených zdrojů.
Agentura CISA varuje před DoS zranitelností CVE-2024-7322 v pojistkách Siemens SENTRON 3NA COM ve verzích starších než V5.2. Chyba při zpracování zpráv pro správu sítě může vést ke změně identifikátoru uzlu a k obnovení provozu může být nutné celou síť znovu ustavit.
Podle agentury CISA obsahují zařízení SIMATIC S7-1500 vícečetné zranitelnosti ve webovém serveru. Útočník by mohl spustit škodlivý kód v relaci prohlížeče přihlášeného uživatele a provádět operace na PLC v rozsahu jeho oprávnění. Společnost Siemens připravuje opravy a prozatím doporučuje zavést specifická opatření ke zmírnění rizik.
Zařízení Siemens Industrial Edge obsahují zranitelnosti typu 'path traversal', které mohou autentizovanému vzdálenému útočníkovi umožnit přístup k citlivým interním informacím. Podle agentury CISA společnost Siemens vydala opravné verze pro vybrané zasažené produkty a doporučuje aktualizaci na nejnovější verze i nasazení dodatečných protiopatření.
Podle agentury CISA obsahují vybrané průmyslové počítače Siemens SIMATIC IPC zranitelnost CVE-2026-72895, způsobenou přítomností testovacího klíče dodavatele BIOSu v databázi UEFI Secure Boot. Místní útočník s fyzickým či administrativním přístupem by mohl ochranu Secure Boot obejít a spustit podepsaný systém či aplikaci. Společnost Siemens vydala nové verze firmwaru a doporučuje aktualizaci.
Zařízení Siemens RUGGEDCOM CROSSBOW Station Access Controller (SAC) obsahuje v integrované komponentě SQLite několik zranitelností, které mohou útočníkovi umožnit spuštění libovolného kódu, odmítnutí služby nebo získání citlivých informací. Společnost Siemens vydala opravnou verzi a doporučuje aktualizovat na verzi V6.0 nebo novější.
Zranitelnost typu 'DLL sideloading' (CVE-2026-110936) v Siemens Software Center před verzí V4.0.9.8 umožňuje autentizovanému lokálnímu útočníkovi spustit libovolný kód s právy aplikace. Podle výrobce i agentury CISA je chyba aktivně zneužívána a Siemens pro ni vydal opravnou verzi V4.0.9.8.
Podle agentury CISA obsahuje produkt Siemens PSS SINCAL zranitelnost typu zápis mimo vyhrazenou paměť v ovladači WibuKey (CVE-2026-84854). Chyba může útočníkovi umožnit způsobit pád systému a stav odmítnutí služby nebo modifikovat paměť jádra. Problém se týká konfigurací se starším typem hardwarového klíče WibuKey a výrobce doporučuje instalaci opraveného běhového prostředí nebo aktualizaci na novější verzi.
Produkty Siemens Capital Embedded AR Classic obsahují chybu CVE-2026-89208 typu 'out-of-bounds read', která neověřenému vzdálenému útočníkovi umožňuje číst data mimo vyhrazené hranice paketu. Výrobce vydal opravu pro verzi R20-11 a doporučuje přechod na verzi V2303 nebo novější a aplikaci síťové segmentace.
CISA a Siemens informují o zranitelnosti CVE-2026-59241 v softwaru SIMATIC WinCC, která autentizovanému uživateli s přístupem k databázi umožňuje spustit příkazy na hostitelském systému. Siemens pro některé verze vydal bezpečnostní aktualizace a doporučuje jejich instalaci či nasazení ochranných opatření.
V dodatečném subsystému GNU/Linux ve firmwaru V3.1.7 pro jednotky Siemens SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP bylo zjištěno více než 400 zranitelností. Siemens připravuje opravy a do jejich vydání doporučuje omezit přístup k interaktivnímu shellu subsystému pouze na důvěryhodné osoby a spouštět aplikace pouze z prověřených zdrojů.
Aplikace Siemens Industrial Edge App Publisher obsahuje zranitelnosti CVE-2026-78556 a CVE-2026-78557 spočívající v chybné validaci certifikátů a neošetřeném vstupu z backendu. Útočník v síti může tyto chyby zkombinovat, vydávat se za řídicí server a dosáhnout vzdáleného spuštění kódu na cílovém stroji. Siemens vydal opravu a doporučuje přechod na verzi V1.27.9 nebo novější.
Podle agentury CISA se zranitelnosti v Nozomi Guardian/CMC týkají také průmyslových zařízení Siemens RUGGEDCOM APE1808. Chyby mohou útočníkům umožnit manipulaci s daty, zachycení přihlašovacích údajů, narušení dohledu nad sítí nebo podvržení identity přes CSRF.
Agentura CISA upozorňuje na četné zranitelnosti v produktu Siemens RUGGEDCOM CROSSBOW ve verzích starších než V6.0, které útočníkům umožňují provádět SQL injection, získat přihlašovací údaje správce, eskalovat oprávnění či způsobit odmítnutí služby. Společnost Siemens vydala opravnou verzi a doporučuje aktualizovat na V6.0 nebo novější.
CISA varuje před několika zranitelnostmi v produktech Siemens APOGEE, TALON a Desigo PXC/PXM, které mohou neověřenému útočníkovi umožnit způsobit odepření služby nebo číst data z paměti. Siemens vydal pro vybraná zařízení aktualizace a pro produkty bez dostupných oprav doporučuje uplatnit zmírňující opatření včetně síťové segmentace.
Knihovna .NET Client Library pro SIMATIC S7 Webserver API obsahuje chyby umožňující získat citlivé informace nebo zapisovat soubory mimo určený adresář. Siemens vydal opravné verze V3.3.61 a V3.3.62 a doporučuje provést aktualizaci.
Americká agentura CISA vydala šest bezpečnostních upozornění týkajících se průmyslových řídicích systémů (ICS) se závažností CVSSv3.1 až 8.8. Zranitelnosti a dostupné opravy se týkají produktů společností HMS Networks, WAGO, Moxa a Hitachi Energy.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktu GeoVision GV-ASManager ve verzích starších než V6.3.0. Organizace doporučuje uživatelům a správcům zkontrolovat odkazy a aplikovat potřebné aktualizace, jakmile budou k dispozici.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktu Advantech ADAM-3600 ve verzích starších než v2.8.5.0. Centrum doporučuje uživatelům a správcům sledovat vydané informace a aplikovat potřebné aktualizace.
Agentura CISA upozorňuje na zranitelnosti v produktu MicroSCADA X SYS600 od Hitachi Energy, které mohou vést k injektování vzorců do CSV, neoprávněné manipulaci s objekty a eskalaci oprávnění. Chyby postihují verze 10.7 a starší a částečně verzi 10.8, přičemž výrobce nabízí opravu a doporučuje mitigační opatření.
Produkty Moxa AIG-302 s firmwarem ThingsPro Edge do verze 1.4.0 obsahují dvě zranitelnosti (CVE-2026-109812 a CVE-2026-109813), které útočníkům v sousední síti umožňují získat citlivá data a narušit důvěrnost i integritu komunikace. Podle agentury CISA zatím není známo žádné veřejné zneužití a výrobce poskytl opravu ve verzi 1.4.1.
Agentura CISA informuje o zranitelnostech ve firmwaru CMU pro zařízení Hitachi Energy řady RTU500. Zneužití chyb může narušit důvěrnost, integritu a dostupnost systému, například způsobit odepření služby (DoS). Výrobce připravil opravné aktualizace firmwaru.
Podle agentury CISA obsahují zařízení WAGO s WAGO OS Linux dvě zranitelnosti ve webovém rozhraní WBM. Přihlášený útočník s nízkými oprávněními může obejít autorizaci nebo vložit příkazy operačního systému při konfiguraci routování.
Agentura CISA informuje o zranitelnostech v ovladačích HMS Networks PEAK-System PCAN pro Windows, které mohou způsobit pád jádra systému. Výrobce chyby opravil ve verzi 5.1.4 a doporučuje provést aktualizaci.
Podle bezpečnostního oznámení obsahují verze Festo AX OS 25.0.1.46 a 25.9.2.4 v zařízení CEPE zranitelnosti OpenSSL označené jako CVE-2025-15467 a CVE-2025-69419. Útok může nastat při zpracování podvrženého firmwaru, klíčů, souborů PKCS#12, CMS/PKCS#7 nebo digitálně podepsaných objektů, přičemž zneužití typicky vyžaduje přihlášeného uživatele s vysokými oprávněními.
Podle oznámení PPSA-2026-005 obsahuje webový konfigurační nástroj Pictory před verzí 2.17.0 zranitelnost typu CSRF, která umožňuje převzetí relace. Balíček revpipyload před verzí 0.11.1 obsahuje chybu ve správě souborů rozhraní XML-RPC, díky níž může útočník přistupovat k libovolným souborům nebo je mazat v rozsahu oprávnění daného procesu.
Jaderný modul piControl používaný v počítačích IndustrialPI obsahuje ve verzích starších než 2.8.0-1 více zranitelností. Úspěšné zneužití těchto chyb může vést k poškození paměti jádra a k odmítnutí služby.
Několik zranitelností ve verzích 0.6.0 až 1.1.4 umožňuje útočníkům mazat chráněná data, získat přihlašovací údaje a vydávat se za legitimní uživatele nebo způsobit pád serveru. Eclipse Foundation doporučuje přechod na opravenou verzi 1.1.5, přičemž zprávy uvádějí závažnost CVSS až 9,1.
Aplikace EseeCloud do verze 4.9.6 a firmware do verze 4.9.86.0 obsahují chyby CVE-2026-107617, CVE-2026-97858 a CVE-2026-105664, které mohou útočníkovi umožnit převzít kontrolu nad zasaženými IP kamerami. Nejzávažnější z nich je kritická chyba CVE-2026-107617 s CVSS 9,8 spočívající v použití natvrdo zakódovaných přihlašovacích údajů.
Agentura CISA vydala šest varování pro průmyslové řídicí systémy (ICS), která upozorňují na aktuální bezpečnostní problémy a zranitelnosti. Nejvyšší skóre CVSSv3.1 dosahuje hodnoty 9.8 a pro řešení chyb jsou k dispozici oficiální opravy.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v softwaru American Dynamics VMS od společnosti Johnson Controls před verzí 3.10. Správcům doporučuje sledovat dostupné informace a instalovat potřebné aktualizace.
Kanadské kybernetické centrum informovalo o zranitelnosti spočívající v nedostatečném ověřování autenticity dat v zařízeních Schneider Electric Sage RTU. Chyba se týká modelů Sage RTU 1410/1430/1450, 2400, 3030 Magnum a 4400 ve verzích starších než C3414-500-S02L0 a centrum doporučuje aplikovat příslušné záplaty.
Agentura CISA upozorňuje na zranitelnost CVE-2026-107777 typu path traversal v aplikaci Thermo Fisher Torrent Suite Software ve verzích 5.18 a starších. Úspěšné zneužití může přihlášenému útočníkovi umožnit čtení libovolných souborů na Torrent Serveru. Výrobce zranitelnost opravil a doporučuje aktualizovat na verzi 5.22 nebo novější.
Zranitelnost CVE-2026-92817 s CVSS 8,8 v modulu Ignition Perspective umožňuje přihlášenému uživateli s nízkými právy eskalovat oprávnění na úroveň Designer. Útočník tak může spustit libovolný kód v kontextu procesu Ignition Gateway; výrobce vydal opravy ve verzích 8.3.9 a 8.1.55.
Podle rumunského úřadu DNSC, který se odvolává na francouzský CERT-FR, došlo k bezpečnostnímu incidentu cílícímu na zranitelnosti v chladicích zařízeních.
Americká agentura CISA vydala dvě bezpečnostní upozornění týkající se průmyslových řídicích systémů. Zranitelnosti s nejvyšším skóre CVSS 8.8 a dostupným náhradním řešením postihují software Ignition od Inductive Automation a zařízení SWIFI-SE2KIC od Swann Communications.
Podle italského CSIRT vydala společnost Siemens bezpečnostní aktualizace pro opravu mnoha zranitelností ve svých produktech. Z těchto chyb jsou čtyři hodnoceny jako kritické a 14 jako vysoce závažné.
Podle nizozemského NCSC společnost Siemens odstranila zranitelnosti v produktech Desigo, Industrial Plus, RUGGEDCOM, SIMATIC a SIPLUS. Chyby mohou útočníkovi s přístupem k produkčnímu prostředí umožnit spuštění kódu s právy roota či správce, odmítnutí služby, eskalaci oprávnění nebo manipulaci s daty.
V produktu Schneider Electric Harmony byla zjištěna zranitelnost. Podle francouzského úřadu CERT-FR může útočníkovi umožnit obejít bezpečnostní politiku.
CERT-FR informoval o rozsáhlých kompromitacích zařízení Danfoss řad AK-SM a AK-SC. Upozorňuje, že vystavení rozhraní pro správu do internetu odporuje osvědčeným postupům, a pokud je vzdálená správa nutná, doporučuje ji dočasně omezit.
Agentura CISA informuje o zranitelnostech v produktech openPDC a openHistorian organizace Grid Protection Alliance. Chyby zahrnují nebezpečnou deserializaci i chybějící autentizaci a nejvážnější dosahuje skóre CVSS 9.8. Výrobce připravil opravy ve verzích openPDC 2.9.482 a openHistorian 2.8.585.
Agentura CISA informovala o zranitelnostech v softwaru Satel Netco Design před verzí v2.1.7. Chyby mohou útočníkovi umožnit spouštění skriptů v prohlížeči, vyčerpání systémových prostředků, manipulaci se soubory i spuštění libovolného kódu. Výrobce doporučuje aktualizovat na verzi v2.1.7.
Agentura CISA informuje o několika zranitelnostech v zařízeních N-Tron řady 700 společnosti Red Lion Controls. Útočník může získat administrátorský přístup, upravovat konfigurace nebo vyvolat opakovaný restart přepínače.
Služba COMBIVIS Control Runtime založená na Dockeru obsahuje několik zranitelností převzatých z CODESYS Runtime Toolkit 3.5.21.10. Podle oznámení jsou tyto bezpečnostní chyby vyřešeny ve verzi COMBIVIS Control Runtime 2.1.0.
Americká agentura CISA vydala šest bezpečnostních upozornění týkajících se průmyslových řídicích systémů (ICS). Upozornění pokrývají zranitelnosti v produktech společností Hitachi Energy, Johnson Controls a knihovně Savannah lwIP, přičemž nejvyšší hodnocení CVSS dosahuje 9.8.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktu Illustra Standard - L4L China od společnosti Johnson Controls ve verzích starších než 6.0.0.66394. Uživatelům a správcům doporučuje sledovat dostupné informace a aplikovat potřebné aktualizace.
INCIBE informoval o zranitelnosti typu path traversal v zařízení SenNet Datalogger Serie 200 od společnosti Satel Iberia, která slouží ke správě budov. Chyba sledovaná jako CVE-2026-5703 umožňuje přihlášenému uživateli číst libovolné systémové soubory a výpis adresářů přes webový portál. Výrobce problém odstranil ve verzi V7.2a.
Ve starších verzích firmwaru CMU pro řadu Hitachi Energy RTU500 (verze 11.x a starší, které jsou již po skončení životnosti) bylo zjištěno několik zranitelností s CVSS až 9,8. Chyby mohou neautentizovaným útočníkům umožnit nahrát vlastní firmware, zapisovat do souborového systému, spouštět příkazy či modifikovat aplikace; výrobce doporučuje přechod na podporované verze 12.7.8 nebo 13.9.1 a novější.
Agentura CISA varuje před kritickou zranitelností CVE-2026-15340 v Savannah lwIP SMTP client verze 2.2.1, která vzniká nekontrolováním velikosti vstupu. Úspěšné zneužití může vést k pádu zařízení nebo ke vzdálenému spuštění kódu, přičemž oprava byla vydána v podobě patche.
Agentura CISA informovala o zranitelnosti v produktu Hitachi Energy SOI ve verzích 2.0.0 až 2.2.0, která je způsobená komponentou Apache ActiveMQ. Chyba CVE-2026-34197 umožňuje přihlášenému útočníkovi vzdálené spuštění libovolného kódu, přičemž výrobce pro nápravu vydal opravný balíček SOI EP2.
Agentura CISA varuje před zranitelnostmi CVE-2026-27872 a CVE-2026-27873 ve firmwaru Johnson Controls EasyIO FG verze <=2.0b52, které mohou útočníkovi umožnit neoprávněný přístup a ovládnutí zařízení. Produkt dosáhl konce životnosti i podpory a výrobce pro něj nevydá žádné opravy, proto doporučuje přechod na novější řadu a aplikaci ochranných opatření.