Beberapa kerentanan berbahaya telah ditemukan dalam beberapa hari terakhir, sebagian besar di antaranya dapat dieksploitasi dari jarak jauh:
- Dalam rilis patch kerangka kerja multimedia GStreamer 1.28.2, 11 kerentanan diidentifikasi, tiga di antaranya disebabkan oleh buffer overflow dan berpotensi menyebabkan eksekusi kode saat memproses kontainer multimedia MKV (CVE belum ditetapkan) dan MOV/MP4 (CVE-2026-5056) yang dibuat khusus, serta aliran H.266/VVC (CVE belum ditetapkan). Delapan kerentanan lainnya disebabkan oleh integer overflow atau dereferensi pointer NULL dan dapat menyebabkan penolakan layanan atau kebocoran informasi saat memproses data WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub, dan SRT/WebVTT. Bahaya kerentanan di GStreamer diperparah oleh fakta bahwa ia digunakan di GNOME untuk mengurai metadata saat secara otomatis mengindeks file baru, yaitu. Untuk menyerang, cukup dengan mengunduh file ke direktori terindeks ~/Downloads.
- В server Delapan kerentanan telah diidentifikasi dalam pencetakan CUPS, dua di antaranya (CVE-2026-34980 dan CVE-2026-34990) dapat dieksploitasi untuk mencapai eksekusi kode jarak jauh dengan hak akses root dengan mengirimkan permintaan yang dibuat khusus ke server cetak. Kerentanan pertama memungkinkan penyerang yang tidak terautentikasi untuk mencapai eksekusi kode dengan hak akses pengguna lp dengan mengirimkan pekerjaan cetak yang dibuat khusus (masalah ini disebabkan oleh penanganan karakter baris baru yang salah). Kerentanan kedua memungkinkan peningkatan hak akses dari pengguna lp ke root dengan memodifikasi file dengan hak akses root melalui penggantian printer fiktif. Pembaruan CUPS yang memperbaiki kerentanan ini belum tersedia.
- Rilis patch untuk pustaka kriptografi wolfSSL, versi 5.9.1, telah diterbitkan, memperbaiki 21 kerentanan. Satu masalah dinilai kritis, dan sembilan dinilai tinggi (menyebabkan kerusakan memori). Kerentanan kritis (CVE-2026-5194) disebabkan oleh kurangnya validasi ukuran hash dan OID. Hal ini memungkinkan hash yang lebih kecil untuk ditentukan, sehingga melemahkan kekuatan algoritma tanda tangan digital ECDSA/ECC, DSA, ML-DSA, ED25519, dan ED448 serta melewati otentikasi berbasis sertifikat. Kerentanan ini ditemukan oleh para insinyur Anthropic selama tinjauan kode dengan model AI.
- Rilis patch untuk pustaka kriptografi OpenSSL versi 3.6.2, 3.5.6, 3.4.5, dan 3.3.7 telah diterbitkan, memperbaiki tujuh kerentanan. Kerentanan yang paling serius (CVE-2026-31790) dapat menyebabkan kebocoran data sensitif yang tersisa di buffer setelah operasi sebelumnya. Masalah ini disebabkan oleh penggunaan memori yang belum diinisialisasi saat mengenkapsulasi kunci RSA KEM (RSASVE).
Kerentanan lain (CVE-2026-31789) disebabkan oleh buffer overflow dan berpotensi menyebabkan eksekusi kode saat melakukan operasi konversi string ke heksadesimal ketika memproses sertifikat X.509 yang dibuat khusus. Masalah ini dinilai sebagai jinak karena hanya memengaruhi platform 32-bit. Kerentanan lainnya disebabkan oleh pembacaan data dari buffer di luar batas, mengakses memori yang telah dibebaskan, dan melakukan dereferensi pointer null.
- Kerentanan kritis (CVE-2026-32922) dengan tingkat keparahan 10 dari 10 telah diperbaiki di OpenClaw 2026.3.11, agen AI OpenClaw yang memungkinkan model AI untuk berinteraksi dengan lingkungan sistem (misalnya, menjalankan utilitas dan bekerja dengan file). Kerentanan ini disebabkan oleh perintah "/pairapprove" yang tidak memeriksa izin dengan benar, sehingga memungkinkan pengguna mana pun dengan hak akses pemasangan (tingkat hak akses terendah yang diperlukan untuk mengakses OpenClaw) untuk menggunakan hak administrator untuk diri mereka sendiri dan mendapatkan kendali penuh atas lingkungan tersebut. Untuk melakukan serangan, cukup sambungkan ke OpenClaw, minta pendaftaran perangkat dummy dengan akses operator.admin, lalu setujui permintaan mereka sendiri dengan perintah "/pairapprove", sehingga mendapatkan kendali penuh atas instance OpenClaw yang ditargetkan dan semua layanan terkait.
Beberapa hari sebelumnya, kerentanan serupa (CVE-2026-33579) ditemukan di OpenClaw, yang memungkinkan untuk melewati pemeriksaan akses dan mendapatkan hak akses administrator. Para peneliti yang menemukan masalah ini mengutip statistik yang menunjukkan 135 instance OpenClaw yang dapat diakses publik secara online, 63% di antaranya mengizinkan koneksi tanpa otentikasi.
- Sebuah kerentanan (CVE-2026-39860) telah diidentifikasi pada pengelola paket Nix yang digunakan dalam distribusi NixOS. Kerentanan ini telah diberi tingkat keparahan kritis (9 dari 10). Kerentanan ini memungkinkan file apa pun dalam sistem untuk ditimpa, tergantung pada izin proses latar belakang Nix, yang berjalan dengan hak akses root di NixOS dan instalasi multi-pengguna. Masalah ini disebabkan oleh perbaikan yang tidak tepat untuk kerentanan CVE-2024-27297 pada tahun 2024. Eksploitasi terjadi melalui penggantian tautan simbolik dalam direktori di dalam lingkungan build terisolasi tempat output build ditulis. Kerentanan ini telah diperbaiki di Nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3, dan 2.28.6.
- Lima kerentanan pada kernel Linux, yang diidentifikasi selama eksperimen dengan toolkit Claude Code dan mempengaruhi subsistem nfsd, io_uring, futex, dan ksmbd (1, 2), telah diperbaiki. Kerentanan pada driver NFS memungkinkan isi memori kernel untuk ditemukan dengan mengirimkan permintaan ke server NFS. Masalah ini disebabkan oleh bug yang telah ada sejak kernel 2.6.0 (2003).
Sumber: opennet.ru
