Wykryte w ostatnim czasie niebezpieczne luki, umożliwiające uzyskanie dostępu root do systemu lub zdalne wykonanie kodu:
- 20 luk w Apache httpd, w tym przepełnienie bufora w mod_vhost_alias (CVE-2026-63292), potencjalnie umożliwiające zdalne wykonanie kodu poprzez wysłanie żądania HTTP z dużą wartością nagłówka Host. Luka objawia się, gdy w dyrektywie VirtualDocumentRoot podany jest specyfikator zastępowania nazwy hosta oraz zwiększono limit LimitRequestFieldSize.
Wśród innych niebezpiecznych problemów: odwołanie do pamięci po jej zwolnieniu w mod_rewrite przy użyciu konstrukcji %{LA-U:HTTP:…} (CVE-2026-56154); przepełnienie bufora w mod_charset_lite (CVE-2026-56153); odwołanie do już zwolnionej pamięci w mod_http2 (CVE-2026-57941); przepełnienie bufora przy analizie ścieżek plików w Windows (CVE-2026-59685); przepełnienie liczby całkowitej w mod_dav_fs (CVE-2026-93546). Problemy zostały usunięte w wydaniu 2.4.69.
- 9 luk w FreeBSD. Wśród wykrytych problemów: przepełnienie bufora, prowadzące do wykonania kodu na poziomie jądra podczas manipulacji z wywołaniem systemowym semop (CVE-2026-58098); podwyższenie uprawnień z powodu odwołania do pamięci po jej zwolnieniu w kqueue (CVE-2026-58099); wyjście poza katalog główny izolowanego środowiska jail (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); awaria jądra przez wysłanie specjalnie przygotowanego pakietu sieciowego przy włączonym KTLS (CVE-2026-101302); obejście mechanizmów izolacji sieci w jail (CVE-2026-101303). Luki zostały usunięte w aktualizacjach FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 i 14.4-RELEASE-p10.
- 6 luk w LibreOffice, prowadzących do wykonania kodu podczas otwierania specjalnie przygotowanych dokumentów (CVE-2026-63277, exploit), zapisu do dowolnych plików (CVE-2026-63266) lub wycieku zawartości lokalnych plików (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Problemy zostały usunięte w LibreOffice 26.2.5 i 26.8.0.
- Luka (CVE-2026-59265, exploit) w Apache OpenOffice, prowadząca do wykonania kodu przy otwieraniu specjalnie przygotowanego dokumentu z powodu błędu w funkcjach integracji z Java. Problem zostanie rozwiązany w wydaniu 4.1.17, które jest na etapie testowania kandydata do wydania.
- Luki w serwerze Wydania CUPS. Jak dotąd ujawniono tylko informacje o 14 problemach z poziomem zagrożenia poniżej 7 (CVSS), a lista poważniejszych problemów zostanie opublikowana po wygaśnięciu embarga, dającym czas na wprowadzenie poprawek w dystrybucjach. Najpoważniejsze z ujawnionych luk umożliwiają podniesienie uprawnień (CVE nie został przydzielony) oraz zdalne wykonanie kodu z uprawnieniami użytkownika lp (CVE-2026-55453) podczas korzystania z drukarki IPP kontrolowanej przez przestępcę. Problemy zostały rozwiązane w wydaniu CUPS 2.4.20.
- Luka (CVE-2026-80521, exploit) w jądrze Linux, umożliwiająca dostęp do systemu gospodarza z izolowanego kontenera. Luka spowodowana jest stanem wyścigu w implementacji gniazd AF_UNIX, prowadzącym do dostępu do pamięci po jej zwolnieniu, co może być wykorzystywane do wykonania dowolnego kodu na poziomie jądra. Problem został rozwiązany w aktualizacjach jądra z sierpnia.
- Dla Debian GNU/Linux 13 opublikowano aktualizację pakietu z jądem Linux 6.12.111-1, w której naprawiono 1313 luk.
- Luka (CVE-2026-94545) na platformie Next.js, umożliwiająca zdalne wykonanie kodu na serwerze bez mandatu uwierzytelniającego poprzez wysyłanie żądania generacji obrazu SVG, przy obecności na serwerze przetwornika do podglądu kart OG (Open Graph). Problem wiąże się z luką w bibliotece Satori, używanej do przekształcania HTML i CSS w SVG. Luka spowodowana jest brakiem odpowiedniej walidacji znaków escape przed ich wstawieniem do pliku SVG, co mogło być wykorzystane do dodania tagu do markup SVG, który był wykonywany na serwerze podczas konwersji SVG na format rastrowy. Problem został rozwiązany w Satori 0.33.5 i Next.js 15.5.26, 16.3.6 oraz 16.4.0.
- Luki (CVE-2026-33937, CVE-2026-106445) w bibliotece JavaScript handlebars.js, mającej 50 mln pobrań tygodniowo i 17 tysięcy zależnych projektów. Luki pozwalają na zdalne wykonanie kodu JavaScript na serwerze (przy użyciu biblioteki z Node.js) poprzez wstawienie już utworzonych obiektów AST (Abstract Syntax Tree) do szablonów, oprócz szablonów tekstowych. Problemy zostały rozwiązane w wersji 4.7.10.
- W bibliotece kryptograficznej wolfSSL 5.9.4 naprawiono 11 luk, z których najpoważniejsze umożliwiają obejście uwierzytelniania przy użyciu fałszywych certyfikatów.
- 6 podatności w systemie samowystarczalnych pakietów Flatpak, w tym problemy pozwalające na usunięcie (CVE-2026-97023) i zapisanie (CVE-2026-97024) plików w głównym systemie z uprawnieniami roota, a także na wysyłanie sygnałów do procesów poza izolowanym środowiskiem (CVE-2026-97029). Problemy zostały naprawione w wersji Flatpak 1.18.4.
- Podatność w bibliotece PCRE2, wywołana przepełnieniem bufora w JIT-kompilatorze wyrażeń regularnych. Przygotowano exploita, który umożliwia zdalne wykonanie kodu w projektach PHP, takich jak phpMyAdmin, przy przetwarzaniu wskazanych przez atakującego wyrażeń regularnych w funkcjach bazujących na PCRE2. Problem został rozwiązany w wersji libpcre2 10.49.
- 14 podatności w bibliotece kryptograficznej OpenSSL, z których najgroźniejsze mogą prowadzić do wycieku zawartości pamięci procesu przy manipulacjach związanych z negocjacją połączenia DTLS (CVE-2026-84782), dostępu do pamięci po jej zwolnieniu przy jednoczesnym dostępie do jednego certyfikatu X.509 z różnych wątków (CVE-2026-84783), oraz do rekonstrukcji kluczy prywatnych z analizy czasu wykonania operacji przez zewnętrzne kanały przy generacji podpisów SM2 i brainpoolP384r1 (CVE-2026-54872, CVE-2026-77696). Problemy zostały naprawione w wersjach OpenSSL 4.0.3, 3.6.5, 3.5.9 i 3.4.8.
- Opublikowano exploita dla podatności w bazie danych PostgreSQL (CVE-2026-15742), który pozwala na wykonanie kodu na serwerze z uprawnieniami użytkownika, pod którym działa baza danych, poprzez wysłanie specjalnie sformatowanych wartości do funkcji SQL levenshtein() i levenshtein_less_equal(). Podatność została naprawiona w wersjach PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.
- W aktualizacjach platformy współpracy Gitea 28.0.0 i 28.1.0 naprawiono kilka dziesiątek podatności, w tym możliwość wysłania pull requesta z pominięciem mechanizmu potwierdzania zmian (CVE-2026-104632), wykonanie kodu w CI z forku (CVE-2026-94205), oraz obejście uwierzytelniania w wbudowanym serwerze SSH z powodu ignorowania wielkości liter przy pobieraniu z bazy danych (CVE-2026-103059).
- Przepełnienie bufora (CVE-2026-102633) w bibliotece libexpat, występujące na 32-bitowych platformach przy przetwarzaniu specjalnie sformatowanych plików XML. Problema została naprawiona w wersji 2.9.0.
- Dwie podatności w pakiecie FreeIPMI do zarządzania serwerami, wspierającym interfejs IPMI (Intelligent Platform Management Interface). Jedna z podatności prowadzi do przepełnienia bufora podczas przetwarzania specjalnie sformatowanej nazwy hosta. Problemy zostały naprawione w wersji FreeIPMI 1.6.20.
- W ramach projektu Lightwell firmy IBM i Red Hat zidentyfikowano i przygotowano poprawki dla ponad 400 luk w otwartych bibliotekach języka Java.
Źródło: opennet.ru
