Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Podle NCSC-FI byla v Java vazbách Apache Thrift nalezena zranitelnost typu 'nekontrolovaná rekurze' s označením CVE-2026-120135 a hodnocením CVSS 8.2. Problém se týká verzí před 0.24.0 a je k dispozici oficiální oprava.
V modulu kodeku MINA 3.0 byla zjištěna kritická zranitelnost CVE-2026-118636 s CVSS 9.8 umožňující vzdálené spuštění kódu kvůli absenci filtrování tříd. Vývojáři uvedli, že větev 3.0.0 je neaktivní a opravu pro ni nevydají, proto doporučují přechod na nejnovější větev Apache MINA 2.2.X.
V systému Apache Kafka bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené odepření služby a narušení důvěrnosti či integrity dat.
Podle CSIRT Itálie byly vydány bezpečnostní aktualizace pro Apache Tomcat, které odstraňují několik zranitelností včetně tří kritických. Vzdálený neautentizovaný útočník by mohl tyto chyby zneužít k obejití autentizačních mechanismů nebo k přístupu k citlivým informacím.
V softwaru Apache Tomcat bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit narušení důvěrnosti dat, obejití bezpečnostních zásad nebo vyvolání blíže nespecifikovaného bezpečnostního problému.
Projekt Apache Camel vydal 38 bezpečnostních upozornění k opraveným zranitelnostem. Všechny chyby byly odstraněny ve verzích 4.18.5, 4.22.1 a 4.23.0, přičemž větev 4.14.x již dosáhla konce životnosti a záplaty neobdrží.
V komponentě OidcClientCodeRequestFilter knihovny Apache CXF byla zjištěna kritická chyba CVE-2026-71575 s CVSS 9.1 způsobená nesouladem jednotek času a obrácenou polaritou porovnání. Systémy využívající metodu setMaxAgeOffset tak tiše přijímaly relace libovolného stáří a obcházely požadavky na opětovné ověření uživatele. Zdroj doporučuje přejít na opravené verze 4.2.4, 4.1.9 nebo 3.6.13.
V Apache Struts bylo objeveno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, vzdálené odepření služby nebo narušení důvěrnosti dat.
Americká agentura CISA přidala chybu CVE-2016-3081 v Apache Struts do svého katalogu aktivně zneužívaných zranitelností (KEV). Jedná se o zranitelnost typu command injection, přičemž termín pro její nápravu byl stanoven na 11. října 2026.
Zranitelnosti CVE-2026-63277 a CVE-2026-59265 s CVSS 6,3 umožňují útočníkům spustit kód ihned po otevření zákeřné tabulky bez obvyklého varování před makry, pokud je povolena podpora Javy. LibreOffice již vydal opravy ve verzích 26.2.5 a 26.8.0, zatímco Apache OpenOffice má všechny verze do 4.1.16 zasažené a oprava se teprve testuje; k chybě existuje proof of concept a zneužití v praxi hlášeno nebylo.
Apache Software Foundation vydala aktualizace řešící bezpečnostní zranitelnosti v open source frameworku Apache Struts. Tři z opravených chyb dosahují podle oznámení vysoké závažnosti.
Agentura CISA informovala o zranitelnosti v produktu Hitachi Energy SOI ve verzích 2.0.0 až 2.2.0, která je způsobená komponentou Apache ActiveMQ. Chyba CVE-2026-34197 umožňuje přihlášenému útočníkovi vzdálené spuštění libovolného kódu, přičemž výrobce pro nápravu vydal opravný balíček SOI EP2.
Podle italského CSIRT vyšly bezpečnostní aktualizace řešící několik zranitelností v Apache HTTP Serveru. Z celkového počtu chyb jsou 3 hodnoceny jako kritické a 13 jako vysoce závažné.
V Apache HTTP Serveru bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění kódu, vzdálené odmítnutí služby nebo narušení důvěrnosti dat.
Agentura CISA upozorňuje na pět zranitelností v systému řízení přístupu Armatura One, včetně kritické chyby deserializace v integrovaném Apache ActiveMQ. Útočník může získat přístup k databázi, spustit libovolný kód s nejvyššími oprávněními nebo ovládnout systém kontroly fyzického přístupu. Výrobce vydal opravné verze V4.7.2 a V4.6.1_USA.
Finské NCSC informuje o kritických zranitelnostech v projektech Apache MINA SSHD a PLC4X. Chyby umožňují například obcházení autentizace, vyčerpání paměti či shození spojení, přičemž k dispozici jsou již oficiální opravy.
V Apache Roller 6.1.5 bylo odhaleno několik zranitelností včetně deserializace nedůvěryhodných dat, obcházení autorizace a SSRF. Chyby mohou umožnit vzdálené spuštění kódu i neoprávněnou manipulaci s obsahem; zdroj doporučuje aktualizaci na verzi 6.1.6.
Podle NCSC-FI obsahuje Apache ActiveMQ Artemis před verzí 2.34.0 zranitelnost nebezpečné reflexe s CVE-2026-101292 a skóre CVSS 8.2. Ověřený aktér může odesláním podvrženého paketu přimět broker načíst libovolnou třídu, což může vést k odepření služby či manipulaci se stavem brokera.
Apache vydal bezpečnostní aktualizace opravující 15 zranitelností v produktech Apache Tomcat a Apache Tomcat Native, z nichž 4 mají kritickou a 9 vysokou závažnost. Podle zprávy by jejich zneužití mohlo útočníkům umožnit obejít bezpečnostní mechanismy, pozměnit obsah HTTP požadavků nebo narušit dostupnost služeb.
Finský úřad NCSC-FI informuje o odhalení několika závažných zranitelností v podporovaných verzích Apache Tomcat s CVSS skóre až 9.8. Chyby zahrnují obcházení přístupových omezení, falšování zpráv, nesprávné ověřování odvolaných certifikátů či vzdálené vyvolání odmítnutí služby.
Podle CERT-FR bylo v softwaru Apache Tomcat odhaleno několik zranitelností. Útočník může některé z nich zneužít ke vzdálenému způsobení odepření služby, narušení integrity dat nebo k obejití bezpečnostních politik.
Podle italského CSIRT byly vydány bezpečnostní aktualizace pro Apache Airflow, které řeší tři zranitelnosti včetně jedné kritické. Její zneužití by útočníkovi umožnilo obejít bezpečnostní mechanismy na zasažených systémech.
Dříve vydaná oprava kritické zranitelnosti v Apache MINA nebyla správně přenesena do větví 2.0.x a 2.1.x. Verze dříve považované za opravené tak zůstávají zranitelné vůči obejití povoleného seznamu při zpracování serializovaných objektů Java, což může vést ke vzdálenému spuštění kódu.
Apache Software Foundation vydala bezpečnostní aktualizace pro Apache NiFi a Apache NiFi Registry, které opravují několik chyb včetně dvou s vysokou závažností. Podle CSIRT Itálie mohou tyto zranitelnosti útočníkovi umožnit operace se soubory mimo určený adresář, manipulaci s daty, obcházení bezpečnostních opatření nebo kompromitaci systému prostřednictvím speciálně upravených HTTP požadavků.
V nástroji Apache ZooKeeper bylo odhaleno několik zranitelností. Podle bezpečnostního varování mohou útočníkovi umožnit narušit důvěrnost a integritu dat nebo obejít bezpečnostní politiku.