Hiljuti tuvastatud ohtlike haavatavuste kontroll, mis võimaldavad süsteemis saada root-juurdepääsu või saavutada kaugkoodi täitmist:
- 20 haavatavust Apache httpd-s, sealhulgas bufferi ülevool mod_vhost_alias'is (CVE-2026-63292), mis võimaldab potentsiaalselt kaugelt koodi täita, kui saata HTTP-päring suure HTTP-pealkirjaga Host. Haavatavus ilmneb, kui VirtualDocumentRoot direktiivi all on määratud hosti nime asendussüntaks ja suurendatud on piirangut LimitRequestFieldSize.
Muud ohtlikud probleemid: juurdepääs mälu vabastamise järel mod_rewrite'is, kasutades konstruktsiooni %{LA-U:HTTP:…} (CVE-2026-56154); bufferi ülevool mod_charset_lite'is (CVE-2026-56153); juba vabastatud mälule juurdepääs mod_http2-s (CVE-2026-57941); bufferi ülevool failide teede analüüsimisel Windowsis (CVE-2026-59685); täisarvude ülevool mod_dav_fs-is (CVE-2026-93546). Probleemid on kõrvaldatud väljaandes 2.4.69.
- 9 haavatavust FreeBSD-s. Tuvastatud probleemide seas on: bufferi ülevool, mis viib koodi täitmiseni tuuma tasemel süsteemikõnede semop manipuleerimise korral (CVE-2026-58098); õiguste tõus tänu mälu juurde pääsemisele pärast vabastamist kqueue'is (CVE-2026-58099); juurdepääs juurkataloogist välja isoleeritud jail-keskkonnas (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); tuuma krahh spetsiaalselt kujundatud võrgupaketi saatmise tõttu KTLS-i sisselülitamisel (CVE-2026-101302); võrgu isoleerimise mehhanismide ümberminek jailis (CVE-2026-101303). Haavatavused on kõrvaldatud FreeBSD värskendustes 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 ja 14.4-RELEASE-p10.
- 6 haavatavust LibreOffice'is, mis tulenevad spetsiaalselt kujundatud dokumentide avamisest, viies koodi täitmiseni (CVE-2026-63277, eksploit), kirjutamiseni juhuslikesse failidesse (CVE-2026-63266) või kohalike failide sisu lekkimiseni (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Probleemid on kõrvaldatud LibreOffice versioonides 26.2.5 ja 26.8.0.
- Haavatavus (CVE-2026-59265, eksploit) Apache OpenOffice'is, mis põhjustab koodi täitmise spetsiaalselt kujundatud dokumendi avamise tõttu Java integratsioonifunktsioonides esineva vea tõttu. Probleem kõrvaldatakse väljaandes 4.1.17, mis on hetkel versioonikandidaadi testimise faasis.
- Haavatavused serveris CUPS-i printit. Praegu on avalikustatud ainult teavet 14 probleemist, mille ohtlikkuse tase on alla 7 (CVSS), ja loetelu ohtlikumatest probleemidest avaldatakse pärast embargo lõppemist, et anda aega paranduste sisestamiseks distributsioonidesse. Kõige ohtlikumad avalikustatud haavatavused võimaldavad tõsta õigusi (CVE ei ole määratud) ja kaugjuhitult täita oma koodi lp kasutaja õigustes (CVE-2026-55453), kui pöörduda ründaja kontrolli all oleva IPP-printeri poole. Probleemid on lahendatud CUPS 2.4.20 väljaandes.
- Haavatavus (CVE-2026-80521, eksploid) Linuxi kernelis, mis võimaldab pääseda hulknurga süsteemi isoleeritud konteinerist. Haavatavus on põhjustatud võistlusolukorrast AF_UNIX sokettide teostuses, mis viib mälu vabastamise järel mälule pöördumiseni, mida saab kasutada suvalise koodi täitmiseks kernelitasemel. Probleem on lahendatud augustikuiste kerneliuuendustega.
- Debian GNU/Liux 13 jaoks on avaldatud Linuxi kerneli 6.12.111-1 paketi uuendus, mis sisaldab 1313 haavatavuse parandust.
- Haavatavus (CVE-2026-94545) Next.js platvormis, mis võimaldab kaugelt autentimiseta oma koodi serveris käivitada, saates päringu SVG-pildi genereerimiseks, kui serveris on OG-kaartide (Open Graph) eelvaate töötleja. Probleem on seotud Satori raamatukogu haavatavusega, mida kasutatakse HTML-i ja CSS-i SVG-ks muutmiseks. Haavatavus on põhjustatud korraliku escape-märgisüsteemi kontrolli puudumisest enne nende asendamist SVG-failis, mida oleks saanud kasutada <script> sildi lisamiseks SVG-märgistusele, mis täideti serveris, kui SVG konverteeriti rastervormingusse. Probleem on lahendatud Satori 0.33.5 ja Next.js 15.5.26, 16.3.6 ja 16.4.0 versioonides.
- Haavatavused (CVE-2026-33937, CVE-2026-106445) JavaScripti raamatukogus handlebars.js, millel on 50 miljonit allalaadimist nädalas ja 17 tuhat sõltuvat projekti. Haavatavused võimaldavad korraldada JavaScriptikoodi kaugkohtlemist serveris (raamatukogu kasutamisel Node.js-ga) masteriseeritud AST-objektide (Abstract Syntax Tree) sisestamise kaudu lisaks stringi mallidele. Probleemid on lahendatud versioonis 4.7.10.
- Krüptograafias wolfSSL 5.9.4 on parandatud 11 haavatavust, millest kõige ohtlikumad võimaldavad autentimise kõrvalejätmist vale sertifikaatide kasutamise kaudu.
- 6 haavat Flatpak'i iseseisvates paketihalduri süsteemis, sealhulgas probleemid, mis võimaldavad kustutada (CVE-2026-97023) ja kirjutada (CVE-2026-97024) faile põhihäälestuses root'i õigustes, samuti saata signaale protsessidele väljaspool isoleeritud keskkonda (CVE-2026-97029). Probleemid on kõrvaldatud Flatpak 1.18.4 väljaandes.
- Haavatavus PCRE2 raamatukogus, mis on põhjustatud bufrist ülevoost JIT-kompileeritud regulaarsetes väljendites. Valmistatud eksploit, mis võimaldab kaugtäidete käivitamist PHP projektides, nagu phpMyAdmin, kui ründaja määratud regulaarset väljendit töödeldakse PCRE2 baasil olevates funktsioonides. Probleem on lahendatud libpcre2 versioonis 10.49.
- 14 haavatavust krüptograafia raamatukogus OpenSSL, millest ohtlikumad võivad põhjustada protsessi mälu sisu leket DTLS ühenduse tõhususe käitlemisel (CVE-2026-84782), mälu juurde pääsemise pärast vabanemist, kui sama sertifikaadi X.509 poole pöördub mitmest niidist (CVE-2026-84783), ning privaatvõtmete taastamine aegade analüüsi kaudu allikatelt, kui genereerida SM2 ja brainpoolP384r1 allkirjastamise operatsioone (CVE-2026-54872, CVE-2026-77696). Probleemid on kõrvaldatud OpenSSL väljaannetes 4.0.3, 3.6.5, 3.5.9 ja 3.4.8.
- Avalikustatud on eksploit PostgreSQL andmebaasi haavatavuse (CVE-2026-15742) jaoks, mis võimaldab käivitada koodi serveris, millel on selle andmebaasi käitamiseks vajalikud kasutaja õigused, saatmise kaudu spetsiaalselt vormistatud väärtusi SQL funktsioonidesse levenshtein() ja levenshtein_less_equal(). Haavatavus on lahendatud PostgreSQL väljaannetes 18.6, 17.11, 16.15, 15.19 ja 14.24.
- Gitea koostööplatvormi 28.0.0 ja 28.1.0 värskendustes on kõrvaldatud kümneid haavatavusi, sealhulgas pull-päringu saatmine muudatuste kinnitamise mehhanismi kõrval (CVE-2026-104632), koodi käivitamine CI-s fork'ist (CVE-2026-94205), ja autentimise möödamine sisseehitatud SSH-serveris, kuna andmebaasist valiku tegemisel ei arvestatud sümbolite suurt ja väikest tähemärki (CVE-2026-103059).
- Bufferi ülevool (CVE-2026-102633) libexpat raamatukogus, mis tekib 32-bitistel platvormidel spetsiaalselt vormistatud XML-failide töötlemisel. Probleem on lahendatud väljaandes 2.9.0.
- Kaks haavatavust FreeIPMI paketis, mis haldab serveritega, mis toetavad IPMI (Intelligent Platform Management Interface) liidest. Üks haavatavustest põhjustab bufrist ülevoo spetsiaalselt vormistatud hostinime töötlemisel. Probleemid on lahendatud FreeIPMI versioonis 1.6.20.
- IBM ja Red Hat tuvastasid ja valmistavad ette parandusi enam kui 400 haavatavuse kohta avatud Java raamatukogudes projekti Lightwell raames.
Allikas: opennet.ru
