Автор Tell HN признаёт, что своей публикацией случайно сорвал координированное раскрытие двух PHP RCE — CVE-2026-109618 и CVE-2026-109619. Он пишет, что не хотел побочных эффектов и берёт ответственность на себя, а последствия уже прилетели в расписание disclosure и в чужую рабочую нагрузку.
Lexi Groves рассказывает, что из найденных в 2025 году багов (подделка подписи, повреждение памяти в парсере PGP) часть не пофикшена до сих пор. Главный разработчик Werner Koch вместо патча объявил уязвимую функцию «вредной». В докладе демонстрируют новые дыры и обсуждают состояние security в 2026.
Ars Technica пишет, что Microsoft исправила 0-day, который первым раскрыл Nightmare Eclipse, и заодно, похоже, закрыла ещё одну отдельную дыру, тоже им обнаруженную. История получилась почти бытовая: исследователь спорит с вендором, вендор спорит в ответ, а потом всё равно выпускает патч.