Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Výrobce hardwarových peněženek Trezor obdržel věrohodná hlášení o podezření na implantát určený ke krádeži kryptoměn v zařízení Trezor Safe 5. Dotčené zařízení prodal jeho prodejce CryptoBilis v jihovýchodní Asii.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Certifikační autorita eMudhra kvůli chybě při generování vytvořila osm mezilehlých certifikátů s triviálně odvoditelnými privátními klíči, což útočníkům umožňuje vydávat podvržené certifikáty a napodobovat servery či služby. Certifikáty již zablokovaly společnosti Google, Mozilla, Apple i Microsoft a jazyk Go vydal opravy 1.27.3 a 1.26.10 pod označením CVE-2026-111943.
Node.js vydal opravy pro podporované řady 22.x, 24.x a 26.x, které řeší zranitelnosti v Brotli dekodéru, překladu DNS a validaci TLS certifikátů. Tyto chyby představují riziko vzdáleného spuštění kódu nebo odposlechu provozu, přičemž možný dopad na své produkty prověřují například společnosti Cisco a Splunk.
Opuštěný aktualizační mechanismus aplikace Time4Popcorn stahoval aktualizace přes nešifrovaný protokol HTTP a bez ověření digitálních podpisů, což umožňovalo vzdálené spuštění kódu (CVE-2026-30612). Výzkumníci ze společnosti Eye Security zaregistrovali opuštěnou aktualizační doménu a přes tento mechanismus doručili opravu, která zranitelný aktualizátor na milionech zařízení se systémy Windows a macOS vzdáleně deaktivovala.
Podle NCSC-NL opravila společnost Google zranitelnost v knihovně Brotli, kterou využívá mimo jiné prostředí Node.js. Neautentizovaný útočník může vzdáleně podvrhnout upravená komprimovaná data a způsobit odmítnutí služby, získat přístup k citlivým datům z paměti nebo spustit libovolný kód.
Podle oznámení došlo ke kompromitaci soukromých klíčů osmi mezilehlých certifikačních autorit společnosti eMudhra, z nichž šest sloužilo k vydávání TLS certifikátů a dvě k podepisování kódu. Incident se týká také odpovídajících mezilehlých certifikátů s křížovým podpisem od společnosti Sectigo.
Podle agentury CISA obsahuje produkt Siemens PSS SINCAL zranitelnost typu zápis mimo vyhrazenou paměť v ovladači WibuKey (CVE-2026-84854). Chyba může útočníkovi umožnit způsobit pád systému a stav odmítnutí služby nebo modifikovat paměť jádra. Problém se týká konfigurací se starším typem hardwarového klíče WibuKey a výrobce doporučuje instalaci opraveného běhového prostředí nebo aktualizaci na novější verzi.
Podle vydaného oznámení společnost Splunk opravila zranitelnosti v balíčcích třetích stran v produktu Splunk Enterprise. Aktualizace se týká verzí 10.4.4, 10.2.8, 10.0.11 a 9.4.16 nebo vyšších.
Francouzský poskytovatel cloudu a hostingu OVHcloud varuje uživatele před kompromitací svého open-source nástroje příkazového řádku. Útočníci do něj vložili malware zaměřený na krádeže citlivých vývojářských dat.
Podle CERT@VDE obsahuje software STARe v20.00 externí komponentu IBM Db2 12.1.2 zasaženou zranitelností CVE-2026-10109. Chyba souvisí s nesprávným zpracováním DRDA handshake před autentizací v dotčených verzích IBM Db2.
Docker oznámil kritickou zranitelnost CVE-2026-105445 ve službě Docker Hub. Podle zdroje umožňovala útočníkům přistupovat ke kontejnerovým repozitářům jiných uživatelů pomocí osobního přístupového tokenu (PAT).
Společnost Splunk oznámila vyřešení zranitelností (CVE) v balíčcích třetích stran pro Splunk Enterprise. Opravy se týkají verzí 10.4.3, 10.2.7, 10.0.10 a 9.4.15 nebo novějších.
Bezpečnostní aktualizace řeší vysoce závažnou chybu v open source platformě Conda pro správu prostředí a balíčků Pythonu. Podle italského CSIRT by zneužití pomocí speciálně vytvořených balíčků mohlo útočníkovi umožnit zapisovat či přepisovat soubory na neočekávaných místech.
Několik verzí produktů TRUMPF obsahuje runtime prostředí Wibu CodeMeter se zranitelnostmi, které mohou útočníkům umožnit například eskalaci oprávnění. Závažnost problému byla klasifikována se skóre CVSS 8.6 a k dispozici je oficiální oprava.
Podle bezpečnostního oznámení obsahují produkty LabX Standard a LabX Enterprise ve verzích 21.3.22 až 21.4.23 řadu zranitelností v externích komponentách. Výrobce tyto chyby opravil ve verzích LabX Standard v21.4.25 a LabX Enterprise v21.4.25 s tím, že zbývající nedostatky vyřeší v nadcházejících vydáních.
Bezpečnostní výzkumníci zjistili pět kritických zranitelností v populárních WordPressových pluginech a motivech (WPMU DEV Dashboard, Avada, TranslatePress, Pods a GiveWP), které by mohly umožnit útočníkům neoprávnený přístup, převzetí účtu či vzdálené spuštění kódu. Zdroj uvádí, že jsou dostupné oficiální opravy a všechny chyby mají hodnotu CVSS 9,8 nebo 10,0.
VDE informuje o bezpečnostním upozornění VDE-2025-107, které se týká vícečetných zranitelností v komponentě od společnosti Qualcomm. Tato komponenta je nedílnou součástí rádiového čipu používaného v několika produktech výrobce Endress+Hauser.
Elastic Security Labs zveřejnil detekční pravidla a rozbor útoku na dodavatelský řetězec zahrnujícího kompromitované verze balíčku Axios 1.14.1 a 0.30.4. Útočníci podle zprávy zneužili tranzitivní závislost plain-crypto-js@4.2.1 k nasazení multiplatformního RAT na systémech Linux, Windows a macOS.