Ranjivosti
CVE ranjivosti i bezbednosne zakrpe
Drupal zakrpio kritične ranjivosti u modulima Field UI i Entity List
Zakrpe za dve ranjivosti izvršavanja koda dostupne su od 14. oktobra. Iskorišćavanje zavisi od dodatnih modula ili prilagođenog koda.
OpenBSD: istraživači demonstrirali lokalno preuzimanje root privilegija
Istraživanje „Big Fish“ povezuje staru grešku u brojaču deljene memorije sa drugim propustom u kernelu. Ispravke za OpenBSD 7.9 i 7.8 objavljene su u septembru.
Countly XSS ranjivost omogućava zloupotrebu sesije globalnog administratora
CVE-2026-44977 omogućava korisniku sa pravima nad aplikacijom da postavi aktivni sadržaj koji se izvršava kada globalni administrator otvori pregled. Ispravke su dostupne.
Adobe Acrobat: objavljeni detalji PDF propusta ispravljenog u septembru
Remedio je opisao CVE-2026-81983, propust pri obradi slike u PDF-u koji može omogućiti izvršavanje koda. Adobe je ispravku objavio 8. septembra 2026, a napad zahteva otvaranje zlonamernog dokumenta.
Silent Lynx: WinRAR propust korišćen za isporuku malvera vladinim institucijama
Cisco Talos i Recorded Future opisali su kampanje u Centralnoj Aziji i CIS regionu. Jedan lanac napada koristi CVE-2025-8088, ispravljen u WinRAR-u 7.13, za postavljanje PickleShell malvera.
OPNsense: GeoIP propust omogućava prelazak sa ograničenog naloga na root
CVE-2026-57155 zahteva nalog sa dozvolom Firewall: Alias: Edit i pristup upravljačkom interfejsu. Proizvođač navodi ispravke u verzijama 26.1.11 i 26.4.1p1.
Istraživač prijavio prompt injection napad preko ChatGPT–GitHub integracije
Sunil Tripathy opisuje test u kojem je AI agent navodno upisao workflow u drugi repozitorijum i poslao probnu tajnu. Tačan opseg integracije i nezavisna potvrda nalaza ostaju nerazjašnjeni.
Znuny: ispravljeno zaobilaženje prijave u HTTPBasicAuth konfiguracijama
CVE-2026-93483 omogućava lažno predstavljanje postojećeg korisnika u određenim HTTPBasicAuth konfiguracijama. Ispravke su dostupne u Znuny LTS 6.5.25 i 7.3.7.
Wheels 4.1.2 ispravlja SQL injekciju u upitima sa tekstualnim vrednostima
CVE-2026-110911 pogađa Wheels od 1.1.8 do 4.1.1 kada aplikacija prosleđuje nepouzdane podatke određenim API-jima za upite. Ispravka je dostupna u verziji 4.1.2.
Microsoft ispravio tri AD FS ranjivosti, uključujući zloupotrebu SAML odgovora
Oktobarske ispravke obuhvataju tri propusta u Active Directory Federation Services. Njihove CVSS 3.1 ocene su 5,9, 9,1 i 7,5; Microsoft pri objavi nije prijavio eksploataciju.
PAN-OS: ograničena eksploatacija propusta CVE-2026-0322, dostupne ispravke
Palo Alto Networks potvrdio je veoma ograničenu eksploataciju CVE-2026-0322. Propust ima ocenu High, CVSS 4.0 8,6, i zahteva prethodno autentifikovan pristup sa visokim privilegijama.
Abandoned Cart Pro za WooCommerce: zakrpa za preuzimanje korisničkih naloga
CVE-2026-97657 u dodatku Abandoned Cart Pro za WooCommerce omogućava zaobilaženje prijave i preuzimanje naloga povezanih sa napuštenim korpama. Pogođene su verzije do 10.8.0, a ispravka je dostupna u verziji 10.8.1.
Bricksforge: aktivni pokušaji iskorišćavanja ranjivosti za izvršavanje PHP koda
CVE-2026-85097 omogućava neautentifikovano postavljanje i izvršavanje PHP koda. Wordfence navodi CVSS 3.1 ocenu 9.8, a Patchstack potvrđuje aktivne pokušaje eksploatacije. Dostupna su bezbednosna ažuriranja.
UNISOC: ranjivost u obradi SIB1 poruka može omogućiti izvršavanje koda
CVE-2026-66086 pogađa modemski softver na UNISOC čipsetima T8100, T9100 i UDX710. Proizvođač opisuje mogućnost udaljenog izvršavanja koda ili uskraćivanja usluge; konkretne zakrpljene verzije nisu navedene u javnom biltenu.
NVIDIA DCGM Exporter: ranjivost omogućava iscrpljivanje resursa i prekid nadzora
CVE-2026-47483 ima CVSS 3.1 ocenu 8.2 (High). NVIDIA navodi ispravku u DCGM Exporteru 4.8.2, dok istraživanje LAVA pokazuje rizik javno dostupnih metrika i interfejsa za profilisanje.
rtMedia ranjivost omogućava brisanje datoteka: dostupna verzija 4.7.14
CVE-2026-105892 pogađa rtMedia do verzije 4.7.13 uključujući. Patchstack navodi CVSS 9.8 i ispravku u verziji 4.7.14.
Floci: ispravljeno udaljeno izvršavanje koda kroz VTL šablone
CVE-2026-108598 omogućava izvršavanje komandi bez autentifikacije ako napadač može da pristupi Floci servisu. Pogođene su verzije od 1.1.0 do izdanja pre 2.2.0.
Wukong HRM: zaobilaženje autentifikacije ugrožava podatke zaposlenih
CVE-2026-108707 omogućava pristup HRM API-ju bez autentifikacije u pogođenom Wukong_HRM kodu. Potvrđena ispravljena verzija nije navedena u proverenom savetu.
Kritična SQL injection ranjivost u NetBoard CRM demo platformi
INCIBE-CERT je objavio CVE-2026-12260 u NetBoard CRM demo platformi, sa CVSS 4.0 ocenom 10. Na dan objave, 8. oktobra, rešenje nije prijavljeno, a aktivna eksploatacija nije navedena.
TLS propust u PHP biblioteci maclof/kubernetes-client ispravljen u verziji 0.32.0
CVE-2026-105223 pogađa maclof/kubernetes-client od 0.17.0 do verzija pre 0.32.0. Bez CA podataka TLS provera može biti isključena; zakrpa je dostupna.
Legcord ranjivost omogućava operacije nad fajlovima izvan direktorijuma tema
CVE-2026-105293 pogađa Legcord 1.1.0–1.3.0. Napad zahteva izvršavanje skripte u Discord stranici; potvrđena zakrpa nije pronađena u proverenim izvorima.
Kritična ranjivost u AhsayCBS omogućava izvršavanje sistemskih komandi
CVE-2026-105134 omogućava udaljeno izvršavanje komandi u AhsayCBS. CVE zapis navodi ispravku u verziji 10.3.4; aktivna eksploatacija nije potvrđena u proverenim izvorima.
FortiMail: potvrđena eksploatacija CVE-2026-104286, primeniti privremene mere
Fortinet potvrđuje napade preko kritične ranjivosti FortiMail-a. Ispravke su u obaveštenju označene kao predstojeće; preporučene su privremene mere i provera mogućeg upada.
Divi Membership: verzija 3.0.0 ispravlja zaobilaženje autentifikacije
CVE-2026-19660 omogućava neprijavljenom napadaču pristup postojećem korisničkom nalogu, uključujući administratorski. Pogođene su verzije do 2.3.0, a zakrpa je dostupna u 3.0.0.
DevKit Pro: zakrpljeno zaobilaženje prijave na administratorski nalog
CVE-2026-14378 pogađa WordPress dodatak DevKit Pro do verzije 2.3.0. Wordfence potvrđuje ispravku u 2.3.1 i CVSS 3.1 ocenu 9,8.
Apache HTTP Server 2.4.69 ispravlja 20 ranjivosti
Izdanje od 1. oktobra donosi pet ispravki sa Apache ocenom moderate i 15 sa ocenom low. Uticaj zavisi od modula i konfiguracije.
Teledyne FLIR PackBot: nešifrovani saobraćaj omogućava preuzimanje upravljačke sesije
CVE-2026-14984 pogađa Aware2 do verzije 6.9.0.2 uključujući i nju. Napadač na istom lokalnom mrežnom segmentu može presresti podatke sesije i ometati upravljanje robotom.
TeamViewer objavio zakrpe za pet ranjivosti visokog rizika
TeamViewer je ispravio pet ranjivosti u Full Client i Host komponentama. Uslovi napada razlikuju se po grešci i platformi; dostupne su verzija 15.82 i ispravke za određene starije grane.
MikroTik RouterOS: zakrpa za kritičnu ranjivost veb upravljanja
CVE-2026-84411 omogućava napad bez autentifikacije na dostupni servis za veb upravljanje. CISA navodi RouterOS pre verzije 7.24 kao pogođen.
ASUS objavio ispravku za ranjivost koja omogućava uključivanje Telneta uz visoke privilegije
CVE-2026-13313 omogućava autentifikovanom napadaču sa visokim privilegijama da uključi Telnet i izvršava komande kao root. ASUS je potvrdio bezbednosno ažuriranje; CVSS 4.0 ocena je 8,9, odnosno High.