Автор выложил сайт, предлагающий взломать его и украсть биткоин, используя реальную RCE-уязвимость в PHP, которую он недавно исследовал. Пока неизвестно, удалось ли кому-то успешно применить эксплойт. Детали уязвимости не раскрыты.
Проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие CVE-2026-109618 и CVE-2026-109619: неаутентифицированный RCE через повреждение памяти при OOM и через устаревшее глобальное состояние между запросами. Для mod_php есть продемонстрированный эксплойт, срабатывающий до выполнения любого кода приложения. PHP 7.4–8.1 получат только бэкпорты, официальных патчей от проекта им не будет.
В curl 8.23.0 закрыли опасный Use-After-Free в HTTP/2. Уязвимость нашла команда Anthropic через свой OSS Scanner. Атакующий может выполнить код на клиенте, но для успеха нужно совпадение кучи условий — размер аплоада ~135 КБ, специфичный дистрибутив и TLS-стек. В реальности скорее упадёт, чем выполнит код.
GitLab сообщил о проблеме максимального уровня опасности, которая позволяет выполнить код. Детали не раскрыты: известно только то, что есть в заголовке.
Исследователь Симон Кёк обнаружил, что Google хранит в Flask-сессионной cookie pickle-сериализованный объект OAuth2WebServerFlow вместе с client_secret в открытом виде. Этот же secret подходит для подписи cookie, что позволило подделать сессию и добиться выполнения произвольного кода через pickle.loads. Уязвимость подтверждена через time.sleep: сервер Google ждал 3, 5 и 8 секунд в строгом соответствии с переданным значением.
Microsoft предупреждает об эксплуатации CVE-2026-73570 в Zimbra Collaboration Suite. Уязвимость позволяет удалённо выполнять команды ОС без аутентификации через SNMP-нотификации. Скомпрометировано 274 инстанса, атакующие воровали бэкапы почты и учётные данные.
Уязвимость в get_page_template() позволяет неавторизованному атакующему подсунуть произвольный .php-файл из-за пределов директории темы. Для эксплуатации нужны темы с папкой page- (Twenty Twelve, Neve, Hestia) и наличие pearcmd.php — например, в официальном Docker-образе PHP. Исправление вышло в WordPress 7.1.2, бэкпортировано до версии 4.7. Нашёл Robert Ressl.
Исходный патч для CVE-2024-53920 в Emacs не закрыл проблему. Bas Alberts обнаружил, что просмотр или редактирование недоверенных файлов в режимах, отличных от Lisp, также приводит к выполнению произвольного кода. Уязвимость затрагивает Emacs 24 и новее, фикс выйдет в версии 31.2.
В Forgejo обнаружена критическая уязвимость удалённого выполнения кода, затрагивающая версии ≤16.0.3. Патч выпущен в версии 16.0.4. Подробности атаки не раскрыты, но рекомендуется немедленное обновление.
Уязвимость sandbox-обхода в Chromium получила идентификатор CVE-2026-85046 и уже используется в атаках. NVD не раскрывает детали, но рекомендует срочное обновление. Вероятно, затрагивает все браузеры на Chromium.
В screensharingd на macOS ≤ 26.5 (Tahoe) ошибка в валидации длины SRP-кадра: если длина ≥ 32768 (бит 15 установлен), код возвращает успешный статус от предыдущего чтения, а не ошибку. Злоумышленник получает root-доступ без пароля — через файловые операции StartFileReceive/StartFileSend (root) и crontab. Исправлено в macOS 26.6 (2026-07-27).
Исследователи из Ethiack нашли цепочку arbitrary file read → RCE в Rails, если включён Active Storage с vips-процессором и принимаются картинки от недоверенных пользователей. Уязвимы Rails 7.0–8.1.3 по умолчанию, 6.x — только с кастомной настройкой. Фикс требует Rails 7.2.3.2/8.0.5.1/8.1.3.1 и libvips ≥ 8.13, иначе Active Storage упадёт на старте.
Searchlight Cyber обнаружила уязвимость удалённого выполнения кода без авторизации в WordPress Core. Атака не требует предварительных условий и работает на чистой установке. Затронуты версии 6.9.0-6.9.4 и 7.0.0-7.0.1, исправления вышли в 6.9.5 и 7.0.2. Технические детали пока не раскрыты, доступен чекер.
LWN пишет, что в GNU Guix нашли три уязвимости в утилите guix substitute и ещё одну в командах guix pull и guix time-machine. Диапазон последствий — от remote privilege escalation до чтения локальных файлов; для одной из дыр достаточно, чтобы система просто попыталась скачать бинарный substitute.
В Guix нашли сразу четыре проблемы: три в guix substitute и одну в guix pull / guix time-machine. LWN отдельно подчёркивает, что риск варьируется от local disclosure до remote privilege escalation, а одна из уязвимостей срабатывает уже на этапе загрузки бинарных пакетов.
На блоге kimiblock.top описали дыру в KDE Plasma, которая ломает песочницу и даёт выполнение произвольного кода. По самой формулировке уже ясно, что это не «ну, теоретически может быть плохо», а вполне конкретный security-факап, который интересен именно техникой обхода, а не очередным «обновите всё срочно».