Varnostni raziskovalci so onesposobili zapuščen posodobitveni mehanizem v aplikaciji Time4Popcorn, ki je po njihovih ocenah ogrožal milijone računalnikov. Ranljivost CVE-2026-30612 je ocenjena kot kritična, saj je omogočala oddaljeno izvajanje kode.
27.10.2026, 09:30Varnostni raziskovalci so onesposobili zapuščen posodobitveni mehanizem v aplikaciji Time4Popcorn, ki je po njihovih ocenah ogrožal milijone računalnikov. Ranljivost CVE-2026-30612 je ocenjena kot kritična, saj je omogočala oddaljeno izvajanje kode.
Varnostno podjetje Calif je objavilo delujoč proof-of-concept exploit, ki na OpenBSD 7.9 pridobi root dostop z verigo okoli 37 let starega celoštevilskega prekoračenja v Sistemu V deljenega pomnilnika in dodatne jedrne napake. OpenBSD je obe težavi odpravil, preden je bil izkoristek javno objavljen.
PHP je izdal nove Windows gradnje (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1), ki odpravljajo kritično ranljivost v knjižnici Brotli, znano kot HTTP2Shell. Hkrati sta na voljo popravka za dve PHP ranljivosti, ki sta uvrščeni v katalog CISA KEV.
Varnostno podjetje Calif je objavilo delujoč proof-of-concept exploit, ki na OpenBSD 7.9 pridobi root dostop z verigo okoli 37 let starega celoštevilskega prekoračenja v Sistemu V deljenega pomnilnika in dodatne jedrne napake. OpenBSD je obe težavi odpravil, preden je bil izkoristek javno objavljen.
PHP je izdal nove Windows gradnje (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1), ki odpravljajo kritično ranljivost v knjižnici Brotli, znano kot HTTP2Shell. Hkrati sta na voljo popravka za dve PHP ranljivosti, ki sta uvrščeni v katalog CISA KEV.
Ta teden so prevladovale kritične ranljivosti v omrežni in poslovni infrastrukturi – od ArubaOS, PHP in FortiSIEM do Palo Alto Networks – obenem pa so poročila razkrila uporabo avtonomnih AI agentov za množične vdore in nadaljevanje mednarodnega pregona kibernetskega kriminala.
Ranljivost CVE-2026-111497 v Brotli dekoderju presega okvire Node.js in prizadene tudi .NET aplikacije, FFmpeg, ClickHouse ter Apache Arrow. Gre za prekoračitev medpomnilnika, ki jo je NVD ocenil kot kritično.
OpenAI in Anthropic sta objavila nova spoznanja o tem, kako napredni AI modeli iščejo poti mimo postavljenih omejitev, medtem ko NVD beleži štiri nove ranljivosti, med njimi kritično napako v Kata Containers z javno dostopno PoC referenco.
V Strands Agents SDK je bila odkrita ranljivost CVE-2026-115419, ki pri strežniku Agent2Agent (A2A) omogoča nepravilno izolacijo stanja pogovora med različnimi uporabniki. Popravek je na voljo v različicah 1.43.0 (Python) in 1.5.0 (TypeScript).
HPE je izdal varnostne popravke za 72 ranljivosti v ArubaOS, med njimi osem z najvišjo oceno resnosti 10.0 oziroma 9.8. Nekatere od njih omogočajo napad brez veljavnih poverilnic in izvajanje ukazov z najvišjimi pravicami.
V knjižnici GraphQL-core je bila odkrita ranljivost CVE-2026-75507, ki omogoča napad na razpoložljivost prek kvadratne zahtevnosti validacije poizvedb. Gre za nadaljevanje problematike, ki jo je leta 2023 že naslavljal CVE-2023-26144 v sorodni knjižnici graphql-js.
PHP Foundation je izdala varnostne popravke za dve kritični ranljivosti, CVE-2026-109618 in CVE-2026-109619, ki omogočata oddaljeno izvajanje kode. SI-CERT, Arnes in URSIV pozivajo organizacije k nujni posodobitvi prizadetih sistemov.
V odprtokodni knjižnici RingRTC, ki poganja klice v Signalu, je bila odkrita kritična ranljivost CVE-2026-113380. Po navedbah virov lahko zlonamerni udeleženec klica prepreči pravilno zaprtje povezave in tako še naprej posluša zvok po tem, ko uporabnik misli, da je klic končan.
INTERPOL je v okviru operacije Serengeti III, ki je potekala med 29. junijem in 31. avgustom 2026, razbil 10.909 zlonamernih mrež in zasegel več kot 105 milijonov dolarjev. Pri akciji je sodelovalo 21 držav, aretiranih je bilo 1.462 osumljencev.
Kitajsko govoreči napadalec je po navedbah preiskave Reuters uporabil avtonomne AI agente za vdor v spletna mesta več kot 100 podjetij, med njimi Deere, SharkNinja in Cummins. Kampanja je po navedbah vira stala le okoli 5.000 dolarjev v AI žetonih.
