מספר פגיעויות מסוכנות שהתגלו לאחרונה מאפשרות גישת root למערכת או ביצוע קוד מרחוק.
- שבע פגיעויות התגלו במערכת ניהול המכולות של LXD ו-11 פגיעויות התגלו בפורק Incus. מספר פגיעויות, המדורגות כקריטיות, מאפשרות למשתמשים מקומיים ללא הרשאות לשנות קבצים במערכת או לבצע קוד עם הרשאות root. הפגיעויות תוקנו ב-LXD 6.9, 5.21.8, 5.0.10 ו-4.0.14, וכן ב-Incus 7.5.1. הבעיות נגרמו עקב טיפול שגוי בנתיב הקבצים, בעיות בקישורים סמליים ואימות קלט חסר בקוד המשמש להעברה וגיבוי של סביבות מבודדות או טעינת תמונות מערכת.
- CVE-2026-85526 - דריסה של קבצים שרירותיים במערכת בעת עיבוד עותק גיבוי המכיל נתיב נקודת הרכבה בצורה "../../../../etc/cron.d" בתת-כרכים[].path.
- CVE-2026-85185 - כתיבה ומחיקה של קבצים שרירותיים על ידי ציון נתיבים עם "../" בשמות מפתחות המשנה של btrfs.
- CVE-2026-87799 – כתיבה לקובץ שרירותי במערכת באמצעות החלפת קישור סמלי במהלך ההעברה מכונות וירטואליות.
- CVE-2026-87798 - פגיעות של העברת קבצים רקורסיבית בספריית הבסיס של מכונה וירטואלית.
- CVE-2026-86334 - חציית ספריית בסיס בעת ייצוא תמונה ממחשב חיצוני שרת.
- CVE-2026-86335 - גישה לתמונות פרטיות של מכונות וירטואליות של משתמשים אחרים.
- CVE-2026-97335 – עקיפת הגבלות גישה לפרויקט.
- פגיעויות במערכת החבילות העצמאית של Flatpak. הבעיות תוקנו ב-Flatpak 1.18.1. הפגיעויות החמורות ביותר כוללות:
- CVE-2026-90616 - שימוש בקישורים סמליים כדי לעקוף בידוד ארגז חול ולקבל גישה מלאה למערכת הקבצים המארחת;
- הסלמת הרשאות לבסיס באמצעות החלפת קישור סמלי (CVE לא הוקצה);
- CVE-2026-9627 - כתיבת קבצים עם הרשאות root באמצעות מניפולציה של נתיב הקובץ;
- CVE-2026-96275 - כתיבת קבצים עם הרשאות root באמצעות מניפולציה של קישור סמלי;
- CVE-2026-96276 - כתיבת קבצים עם הרשאות root באמצעות החלפת "../" בנתיבי קבצים בעת ביצוע הפקודה "flatpak build-init";
- CVE-2026-96279 - קריאת קבצים שרירותיים במערכת המארחת באמצעות קישור קשיח בעת חילוץ ארכיון OCI.
- CVE-2026-92162 - גישה לקבצים מחוץ לספריית הבסיס באמצעות החלפה של "../" בפרמטרים של DeployAppstream.
- CVE-2026-96280 – גלישת מאגר במטפל עדכוני הדלתא של OCI במערכות 32 סיביות.
- שתי פגיעויות קריטיות בפלטפורמת הפיתוח השיתופית GitLab מאפשרות למשתמש מאומת מרחוק לבצע קוד משלו. שרת על ידי החלפת ביטוי רגולרי שנוצר במיוחד בהגדרות CI/CD. הפגיעויות קיימות במנתח הביטויים הרגולריים ונגרמות על ידי גלישה כפולה (CVE-2026-89078) וגלישה של מספר שלם (CVE-2026-93577). הבעיות תוקנו בגרסאות 19.4.1, 19.3.3 ו-19.2.7.
- שתי פגיעויות קריטיות קיימות בפרוטוקול הרשת בו משתמשים צמתים של פלטפורמת הפיתוח השיתופי המבוזרת Radicle. הפגיעות הראשונה מאפשרת צפייה בנתונים המוחלפים בין צמתים באמצעות ניטור תעבורה. הפגיעות השנייה מאפשרת זיוף זהות של צומת וגישה למאגרים פרטיים. יחד, פגיעויות אלו מאפשרות חילוץ של תוכן של כל מאגר מצמתי Radicle.
- פגיעות ליבה Linux, שנגרם על ידי גישה לזיכרון מסוג "שימוש לאחר שחרור" עקב מצב מירוץ במודול espintcp, המשמש לכיסוי פרוטוקול Encapsulating Security Payload (ESP) ב-TCP (ESP-in-TCP, RFC 8229). הבעיה תוקנה בליבת המערכת בפברואר, לפני שחרור גרסה 7.0. לפני מספר ימים נוצרה פרצה פעילה עבור הפגיעות, המאפשרת ביצוע קוד עם הרשאות root במערכת. הפרצה מודגמת ב CentOS זרם 9 ו Ubuntu 26.04 LTS.
- פגיעות קריטית (CVE-2026-87902) במערכת ניהול התוכן WordPress, המאפשר למבקר באתר לא מורשה לבצע קוד PHP בשרת על ידי מניפולציה של תבניות דפים, בתנאי שקובץ pearcmd.php (זמין בתמונה הרשמית של Docker ובתצורת ברירת המחדל של cPanel) קיים בשרת. הבעיה משפיעה גם על fork ClassicPress. הפגיעות מנוצלת באופן פעיל על ידי תוקפים כדי להשתלט על אתרי אינטרנט. תיקון פורק פורסם עבור 25 forks. WordPress, החל מ-7.1.2 וכלה ב-4.7.37.
- 7 פגיעויות ב OpenVPN, כולל בעיות שנגרמו עקב double-free (CVE-2026-84471), escape לא תקין של תווים מיוחדים במהלך הפעלת מפרש הפקודות (CVE-2026-84256), וגלישה של מאגר של בייט בודד במהלך ניתוח אפשרויות DHCP (CVE-2026-81738). הבעיות תוקנו בגרסה. OpenVPN 2.6.23.
- שמונה פגיעויות בחבילת NTFS-3G עלולות לאפשר ביצוע קוד עם הרשאות root בעת עיבוד מחיצות או תמונות דיסק בעלות מבנה מיוחד עם NTFS. כל הפגיעויות נגרמות עקב גלישות מאגר. הבעיות תוקנו בגרסה 2026.9.18 של NTFS-3G.
- פגיעות ב-FreeRDP מאפשרת יצירת חיבור RDP עם שרת ללא אימות. הבעיה תוקנה ב-FreeRDP 3.31.0.
- פגיעות (CVE-2026-87766) בערכת הכלים Bubblewrap sandboxing מאפשרת לכתוב קבצים מחוץ לסביבת sandbox במהלך הגדרת המכולה באמצעות מניפולציה של קישורים סמליים.
- פורסם ניצול לרעה של פגיעות בשרת ההדפסה CUPS. פגיעות זו מאפשרת למשתמש מקומי לקבל הרשאות root על ידי החלפת קובץ /etc/cups/cups-files.conf (על ידי ציון קובץ זה כ-URI של המדפסת) והחלפת הקריאה cups-exec. עדכון CUPS טרם פורסם.
- פגיעות מסוג "use-after-free" (CVE-2026-42007) בשרת ה-IMAP של Dovecot אפשרה למשתמש מאומת לבצע קוד שרירותי בשרת באמצעות סקריפט Sieve שנבנה במיוחד. פגיעות זו תוקנה ב-Dovecot 2.4.5.
מקור: OpenNet.ru
