Mae nifer o wendidau peryglus wedi cael eu darganfod yn ystod y dyddiau diwethaf, a gellir manteisio ar y rhan fwyaf ohonynt o bell:
- Yn y datganiad clwt o fframwaith amlgyfrwng GStreamer 1.28.2, nodwyd 11 o wendidau, tri ohonynt yn cael eu hachosi gan orlifiadau byffer a gallant arwain at weithredu cod wrth brosesu cynwysyddion amlgyfrwng MKV (CVE heb ei aseinio) a MOV/MP4 (CVE-2026-5056) wedi'u crefftio'n arbennig, yn ogystal Γ’ ffrydiau H.266/VVC (CVE heb ei aseinio). Mae'r wyth gwendid sy'n weddill yn cael eu hachosi gan orlifiadau cyfanrif neu ddadgyfeirio pwyntydd NULL a gallant arwain at wadu gwasanaeth neu ollyngiadau gwybodaeth wrth brosesu data WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub, ac SRT/WebVTT. Mae perygl y gwendidau yn GStreamer yn cael ei waethygu gan y ffaith ei fod yn cael ei ddefnyddio yn GNOME i ddadansoddi metadata wrth fynegeio ffeiliau newydd yn awtomatig, h.y. I ymosod, mae'n ddigon lawrlwytho ffeil i'r cyfeiriadur mynegeio ~/Downloads.
- Π gweinydd Mae wyth gwendid wedi'u nodi mewn argraffu CUPS, a gellir manteisio ar ddau ohonynt (CVE-2026-34980 a CVE-2026-34990) i gyflawni gweithredu cod o bell gyda breintiau gwraidd trwy anfon cais wedi'i grefftio'n arbennig i'r gweinydd argraffu. Mae'r gwendid cyntaf yn caniatΓ‘u i ymosodwr heb ei ddilysu gyflawni gweithredu cod gyda breintiau'r defnyddiwr lp trwy anfon swydd argraffu wedi'i chrefftio'n arbennig (mae'r broblem yn cael ei hachosi gan drin nodau porthiant llinell sydd wedi dianc yn anghywir). Mae'r ail wendid yn caniatΓ‘u cynyddu breintiau o'r defnyddiwr lp i'r gwraidd trwy addasu ffeiliau gyda breintiau gwraidd trwy amnewid argraffydd ffuglennol. Nid oes diweddariad CUPS sy'n trwsio'r gwendidau hyn ar gael eto.
- Mae datganiad clwt o lyfrgell cryptograffig wolfSSL, fersiwn 5.9.1, wedi'i gyhoeddi, gan drwsio 21 o wendidau. Mae un mater wedi'i raddio fel un critigol, ac mae naw wedi'u graddio fel un uchel (gan achosi llygredd cof). Mae'r gwendid critigol (CVE-2026-5194) yn cael ei achosi gan ddiffyg maint hash a dilysu OID. Mae hyn yn caniatΓ‘u nodi hashes llai, a thrwy hynny wanhau cryfder algorithmau llofnod digidol ECDSA/ECC, DSA, ML-DSA, ED25519, ac ED448 ac osgoi dilysu sy'n seiliedig ar dystysgrifau. Darganfuwyd y gwendid gan beirianwyr Anthropic yn ystod adolygiad cod gyda model AI.
- Mae fersiynau clytio o lyfrgell cryptograffig OpenSSL 3.6.2, 3.5.6, 3.4.5, a 3.3.7 wedi'u cyhoeddi, gan drwsio saith gwendid. Gall y gwendid mwyaf difrifol (CVE-2026-31790) arwain at ollwng data sensitif sy'n weddill yn y byffer ar Γ΄l gweithrediad blaenorol. Achosir y broblem gan ddefnyddio cof heb ei gychwyn wrth amgΓ‘u allweddi RSA KEM (RSASVE).
Mae bregusrwydd arall (CVE-2026-31789) yn cael ei achosi gan orlif byffer a gall arwain at weithredu cod wrth berfformio gweithrediadau trosi llinyn-i-hecsadegol wrth brosesu tystysgrifau X.509 a grefftwyd yn arbennig. Mae'r broblem hon wedi'i graddio fel un ddiniwed oherwydd dim ond llwyfannau 32-bit y mae'n effeithio arnynt. Mae'r bregusrwyddau sy'n weddill yn cael eu hachosi gan ddarllen data o fyffer y tu allan i'r terfynau, cyrchu cof sydd eisoes wedi'i ryddhau, a dadgyfeirio pwyntydd nwl.
- Mae bregusrwydd critigol (CVE-2026-32922) gyda sgΓ΄r difrifoldeb o 10 allan o 10 wedi'i drwsio yn OpenClaw 2026.3.11, yr asiant AI OpenClaw sy'n caniatΓ‘u i fodelau AI ryngweithio ag amgylcheddau system (e.e., rhedeg cyfleustodau a gweithio gyda ffeiliau). Mae'r bregusrwydd yn cael ei achosi gan y gorchymyn "/pairapprove" nad yw'n gwirio caniatΓ’d yn iawn, gan ganiatΓ‘u i unrhyw ddefnyddiwr sydd Γ’ breintiau paru (y lefel breintiau isaf sy'n ofynnol i gael mynediad i OpenClaw) hawlio hawliau gweinyddwr drostynt eu hunain a chael rheolaeth lwyr dros yr amgylchedd. I gyflawni ymosodiad, cysylltwch ag OpenClaw, gofynnwch am gofrestru dyfais ffug gyda mynediad operator.admin, ac yna cymeradwywch eu cais eu hunain gyda'r gorchymyn "/pairapprove", gan ennill rheolaeth lwyr dros yr enghraifft OpenClaw a dargedir a'r holl wasanaethau cysylltiedig.
Ychydig ddyddiau ynghynt, darganfuwyd bregusrwydd tebyg (CVE-2026-33579) yn OpenClaw, gan ganiatΓ‘u osgoi gwiriadau mynediad a chael breintiau gweinyddwr. Mae'r ymchwilwyr a ddarganfu'r broblem yn dyfynnu ystadegau sy'n dangos 135 o achosion OpenClaw sydd ar gael i'r cyhoedd ar-lein, ac mae 63% ohonynt yn caniatΓ‘u cysylltiadau heb eu dilysu.
- Mae bregusrwydd (CVE-2026-39860) wedi'i nodi yn y rheolwr pecynnau Nix a ddefnyddir yn y dosbarthiad NixOS. Mae lefel difrifoldeb critigol (9 allan o 10) wedi'i aseinio iddo. Mae'r bregusrwydd yn caniatΓ‘u i unrhyw ffeil yn y system gael ei throsysgrifennu, yn dibynnu ar ganiatΓ’d y broses gefndir Nix, sy'n rhedeg gyda breintiau gwraidd mewn NixOS a gosodiadau aml-ddefnyddiwr. Achosir y broblem gan atgyweiriad amhriodol ar gyfer bregusrwydd CVE-2024-27297 yn 2024. Mae camfanteisio'n digwydd trwy amnewid dolen symbolaidd mewn cyfeiriadur o fewn amgylchedd adeiladu ynysig lle ysgrifennwyd yr allbwn adeiladu. Trwsiwyd y bregusrwydd yn Nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3, a 2.28.6.
- Yn y craidd Linux Mae pum gwendid a nodwyd yn ystod arbrofion gyda phecyn cymorth Claude Code ac sy'n effeithio ar is-systemau nfsd, io_uring, futex, a ksmbd (1, 2) wedi'u trwsio. Mae'r gwendid yn y gyrrwr NFS yn caniatΓ‘u i gynnwys cof y cnewyllyn gael ei ddarganfod trwy anfon ceisiadau at weinydd NFS. Mae'r broblem yn cael ei hachosi gan nam sydd wedi bod yn bresennol ers cnewyllyn 2.6.0 (2003).
Ffynhonnell: opennet.ru
