Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Pravidelný přehled uvádí rozsáhlé krádeže kryptoměn na platformách Binance a Polymarket i úniky dat u Japan Airlines a floridského úřadu pro vzdělávání. Shrnuje také zapojení AI nástrojů útočníky, aktivní zneužívání zranitelností v jádře Linuxu či softwaru Cisco a kampaň Yoba šířící malware přes falešné aplikace ChatGPT.
Projekt Commerce Core pro systém Drupal obsahuje vysoce kritickou zranitelnost typu 'Access bypass' evidovanou jako CVE-2026-118539, pro kterou je k dispozici oficiální oprava. Podle veřejně dostupných zpráv je tato chyba již aktivně zneužívána a existuje pro ni funkční exploit.
Drupal podle zprávy varoval správce, aby opravili kritickou zranitelnost umožňující obejití přístupových oprávnění v modulu Commerce Core. Útočníci tuto chybu již aktivně zneužívají v praxi.
NCSC-NL informuje, že Drupal opravil zranitelnosti v modulech Field UI, Entity List, Navigation, Link a v administračním motivu Gin. Moduly Field UI a Entity List obsahují chybu umožňující vzdálené spuštění kódu i bez autentizace přes cizí moduly či vlastní kód, zatímco ostatní součásti trpí chybami typu XSS. Podle zdroje je doporučeno nepoužívat neznámé a nedůvěryhodné moduly a doplňky.
V redakčním systému Drupal byly odhaleny tři zranitelnosti, z nichž jedna má kritickou závažnost. Podle CSIRT Itálie by její zneužití mohlo neautentizovanému vzdálenému útočníkovi umožnit spuštění libovolného kódu na zasažených systémech.
Drupal opravil dvě kritické zranitelnosti, které útočníkům umožňují vzdálené spuštění kódu na webech s jakoukoli podporovanou verzí tohoto redakčního systému. Podle zdroje Drupal varuje, že se brzy mohou objevit funkční exploity.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na kritickou zranitelnost v Drupal core umožňující vzdálené spuštění kódu (SA-CORE-2026-014). Problém se týká verzí starších než 11.4.10, 11.3.19 a 10.6.19 a úřad doporučuje aplikovat potřebné aktualizace či opatření.
Zdroj informuje o kritických zranitelnostech v jádře Drupal core a doplňcích Entity List a Gin Admin Theme. Chyby umožňují vzdálené spuštění kódu (například v modulech Field UI a Entity List) nebo cross-site scripting (XSS). K dispozici je oficiální oprava.
Ve frameworku Drupal bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu a provedení útoku cross-site scripting (XSS).
Bezpečnostní tým Drupalu publikoval 26 nových varování týkajících se zranitelností v rozšiřujících modulech, z nichž nejzávažnější dosahují vysoce kritické úrovně. Chyby zahrnují například injektáž PHP objektů, obcházení přístupových práv, XSS nebo chyby v autentizaci.
Projekt Drupal využívá pro WYSIWYG úpravy knihovnu CKEditor, pro kterou byla vydána bezpečnostní oprava. Podle oznámení může útočník s právem vytvářet či upravovat obsah zneužít zranitelnost typu XSS a zacílit na uživatele s přístupem ke CKEditoru, včetně administrátorů webu.
Francouzský národní bezpečnostní úřad CERT-FR informoval o odhalení několika zranitelností v systému Drupal. Podle varování mohou útočníkovi umožnit provést vzdálené vložení škodlivého kódu prostřednictvím zranitelnosti typu XSS.
NCSC-FI upozornilo na 17 zranitelností v Drupalu a jeho modulech. Mezi nimi jsou kritické chyby v modulech Internationalization Single Sign-On, PanKM, Powerful Surveys a dalších, způsobující obcházení přístupu, chyby typu cross-site scripting a úniky informací. Zdroj doporučuje nainstalovat oficiální opravy.
V Drupal Core existuje zranitelnost SQL injection v databázové abstrakční API, kterou lze bez ověření zneužít při nasazení PostgreSQL. Zdroj vydává aktualizované verze Drupal (11.3.10, 11.2.12, 10.6.9, 10.5.10 a další) včetně bezpečnostních oprav pro závislosti Symfony a Twig, které ovlivňují všechny instalace Drupal.