СигурностДве критични дупки в самия PHP могат да пуснат код отдалеч без вход, поправки има за 8.2 до 8.5, а 8.1 и по-старите вече не получават обновления от проектаНа 21 октомври PHP пусна 8.5.12, 8.4.27, 8.3.36 и 8.2.35 срещу две критични дупки с CVSS v4.0 9.2, при които заявка без удостоверяване може да изпълни код. Cloudflare пише, че са известни като PHP2Shell. На 23 октомври PHP описа и трета, която сама нарича малко вероятна.СигурностNode.js закърпи десет дупки, а една от тях, в разкомпресирането на Brotli, може да стигне до изпълнение на кодБюлетинът на Node.js от 21 октомври обхваща четири High, три Medium и три Low. Единствената, при която бюлетинът пише за изпълнение на код, CVE-2026-111497, е в декодера на Brotli и засяга 26.x, 24.x и 22.x. Поправките са във v22.23.4, v24.22.1 и v26.12.1.СигурностКлючовете на осем междинни сертификата на eMudhra са компрометирани, а Firefox ги блокира за под три часа, без обновяване на браузъраMozilla получи доклад, че частните ключове на осем междинни сертификата на eMudhra са компрометирани, а с такива ключове могат да се издават фалшиви HTTPS сертификати. Не е грешка в код, а компрометирани ключове.СигурностBeyondTrust: нулев ден в Remote Support е използван на 29 август, поправката е от 8 октомври, а производителят подозира шпионска група с връзки към КитайНа 15 октомври BeyondTrust публикува бюлетин BT26-05 за CVE-2026-102764, дупка в Remote Support, която при определени условия дава операции с файлове върху устройството. По данни на компанията е използвана на 29 август срещу двама клиенти, а производителят предупреждава, че след обявата групата обикновено минава към масови атаки срещу всеки необновен екземпляр.СигурностИмейл шлюзът на Cisco пак дава root с едно писмо, този път през прикачения файл, а в същия ден и PAN-OS влезе в каталога на атакуванитеНа 14 октомври Cisco обяви CVE-2026-76519: в Secure Email Gateway с включен File Reputation писмо с подготвен прикачен файл записва файлове и пуска команди с root права, без вход. Cisco казва, че дупката вече се експлоатира. Същия ден CISA вписа в каталога и CVE-2026-0322 в PAN-OS, която иска влязъл нападател с високи права.СигурностIvanti закърпи част от дупката през юли, но само за новата платформа, а Connect Secure и Windows Shell влязоха в каталога на атакуванитеНа 13 октомври Ivanti публикува бюлетин за CVE-2026-104935: заобикаляне на автентикацията в Connect Secure, което дава отдалечено изпълнение на команди без вход. По данни на Ivanti част от дупката е закърпена още през юли, но само във версия 25.1.3.0. В същия ден CISA вписа в каталога на атакуваните и дупка в Windows Shell, със срок 16 октомври за гражданските федерални агенции в САЩ.СигурностНова критична дупка в NetScaler при SAML, CVE-2026-107406: поправката е 14.1-73.46 или 13.1-64.29Citrix издаде бюлетин CTX697191 на 8 октомври: препълване на паметта с оценка 9.5, което води до изпълнение на код или отказ на услугата. Засегнат е NetScaler, настроен като SAML SP или IdP, а при IdP попадат и версиите от последните две надграждания. Бюлетинът не пише за експлоатация.СигурностCISA, FBI и NSA предупреждават за китайската Integrity Tech, а пет стари дупки от съвета влязоха в каталога KEV със срок 11 октомвриСъветът AA26-281A от 8 октомври описва как фирмата осигурява инструменти и инфраструктура на нападатели, чиито техники CISA нарича съвместими с Flax Typhoon. Същия ден KEV получи пет дупки от списъка му, най-новата с номер от 2023.
83 материала