Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Projekt Commerce Core pro systém Drupal obsahuje vysoce kritickou zranitelnost typu 'Access bypass' evidovanou jako CVE-2026-118539, pro kterou je k dispozici oficiální oprava. Podle veřejně dostupných zpráv je tato chyba již aktivně zneužívána a existuje pro ni funkční exploit.
Drupal podle zprávy varoval správce, aby opravili kritickou zranitelnost umožňující obejití přístupových oprávnění v modulu Commerce Core. Útočníci tuto chybu již aktivně zneužívají v praxi.
NCSC-NL informuje, že Drupal opravil zranitelnosti v modulech Field UI, Entity List, Navigation, Link a v administračním motivu Gin. Moduly Field UI a Entity List obsahují chybu umožňující vzdálené spuštění kódu i bez autentizace přes cizí moduly či vlastní kód, zatímco ostatní součásti trpí chybami typu XSS. Podle zdroje je doporučeno nepoužívat neznámé a nedůvěryhodné moduly a doplňky.
V redakčním systému Drupal byly odhaleny tři zranitelnosti, z nichž jedna má kritickou závažnost. Podle CSIRT Itálie by její zneužití mohlo neautentizovanému vzdálenému útočníkovi umožnit spuštění libovolného kódu na zasažených systémech.
Drupal opravil dvě kritické zranitelnosti, které útočníkům umožňují vzdálené spuštění kódu na webech s jakoukoli podporovanou verzí tohoto redakčního systému. Podle zdroje Drupal varuje, že se brzy mohou objevit funkční exploity.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na kritickou zranitelnost v Drupal core umožňující vzdálené spuštění kódu (SA-CORE-2026-014). Problém se týká verzí starších než 11.4.10, 11.3.19 a 10.6.19 a úřad doporučuje aplikovat potřebné aktualizace či opatření.
Zdroj informuje o kritických zranitelnostech v jádře Drupal core a doplňcích Entity List a Gin Admin Theme. Chyby umožňují vzdálené spuštění kódu (například v modulech Field UI a Entity List) nebo cross-site scripting (XSS). K dispozici je oficiální oprava.
Ve frameworku Drupal bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu a provedení útoku cross-site scripting (XSS).
Bezpečnostní tým Drupalu publikoval 26 nových varování týkajících se zranitelností v rozšiřujících modulech, z nichž nejzávažnější dosahují vysoce kritické úrovně. Chyby zahrnují například injektáž PHP objektů, obcházení přístupových práv, XSS nebo chyby v autentizaci.
Projekt Drupal využívá pro WYSIWYG úpravy knihovnu CKEditor, pro kterou byla vydána bezpečnostní oprava. Podle oznámení může útočník s právem vytvářet či upravovat obsah zneužít zranitelnost typu XSS a zacílit na uživatele s přístupem ke CKEditoru, včetně administrátorů webu.
Francouzský národní bezpečnostní úřad CERT-FR informoval o odhalení několika zranitelností v systému Drupal. Podle varování mohou útočníkovi umožnit provést vzdálené vložení škodlivého kódu prostřednictvím zranitelnosti typu XSS.