drošība
Ievainojamības, ielāpi un izmeklējumi. Bez panikas, ar konkrētiem rīcības soļiem.
$ ls | wc -l → 162 raksti
Microsoft jūlijā ielāpo 569 ievainojamības — lielākais Patch Tuesday vēsturē, divas jau izmanto uzbrukumos
Microsoft 14. jūlijā slēdza 569 ievainojamības — lielākais Patch Tuesday laidiens vēsturē. Divas kļūdas jau izmanto reālos uzbrukumos.
SleeperGem izplata trīs ļaunus RubyGems, kas izpildās tikai uz izstrādātāja datora — CI serverī tie klusē
Drošības firma StepSecurity atklāja kampaņu, kurā trīs RubyGems pakotnes lejupielādē svešu kodu, bet CI serverī apzināti klusē un aktivizējas tikai uz izstrādātāja portatīvā datora.
uv 0.11.28 noraida ZIP arhīvus, ko agrāk pieņēma: 15 labojumi pret parsēšanas atšķirībām
uv 0.11.28 noraida ZIP arhīvus ar neviennozīmīgu saturu — 15 labojumi aizver parsēšanas atšķirības, ko izmanto gan pret pip, gan pret antivīrusiem.
QEMU viesa aģents ļauj parastam lietotājam kļūt par root ar simbolisko saišu triku
CVE-2026-12080: QEMU viesa aģenta komanda guest-ssh-add-authorized-keys ļauj parastam viesa lietotājam ar simbolisko saišu triku iegūt root tiesības. Kļūda ir ielāpota.
refuse ievieto sevi starp npm un reģistru — un atsaka 362 000 zināmu ievainojamību, pirms tās nonāk uz diska
Trīs jauni rīki — refuse, nproxy un Thinkst Package Proxy — pārtver katru pakotnes instalāciju un salīdzina to ar CVE datubāzi, pirms kods nonāk uz diska. Daļējs iemesls ir AI aģenti, kas palaiž npm install paši.
OX Security atrod ļaunkodu npm organizācijā @asyncapi — četras pakotnes ar 2 miljoniem lejupielāžu nedēļā
OX Security 14. jūlijā atklāja, ka npm organizācijā @asyncapi ievietots ļaunkods četrās pakotnēs ar vairāk nekā 2 miljoniem lejupielāžu nedēļā. Kods zog npm, PyPI un Cargo marķierus un pats izplatās tālāk.
.NET jūlija atjauninājums aizver 17 caurumus — SslStream ielaida neautorizētus klientus
Microsoft 14. jūlijā izlaida .NET servisa atjauninājumu ar 17 drošības labojumiem. Versijas 10.0.10, 9.0.18 un 8.0.29 aizver SslStream autorizācijas apiešanu, XML šifrēšanas caurumus un HTTP/2 atteikumu.
WordPress ielāpo wp2shell: viens anonīms pieprasījums izpilda kodu uz noklusējuma vietnes — CVSS 9,8
17. jūlijā WordPress izlaida 7.0.2 un 6.9.5 un aizvēra wp2shell — anonīmi izmantojamu koda izpildes caurumu ar CVSS 9,8. Ievainojama ir noklusējuma instalācija bez neviena spraudņa.
Dependabot tagad gaida trīs dienas pirms versijas atjauninājuma — instalācijas slānis to neievēro
GitHub 14. jūlijā ieslēdza Dependabot noklusējuma nogaidi: versiju atjauninājumu pull request atveras tikai pēc trīs dienām. Aizsardzība tomēr beidzas pie instalācijas slāņa.
Bad Epoll: parasts lietotājs iegūst root uz Linux kodola 6.4 un jaunākiem — publiskais exploit strādā 99% gadījumu
Bad Epoll (CVE-2026-46242) ļauj lietotājam bez īpašām tiesībām iegūt root uz Linux kodola 6.4 un jaunākiem. Publiskotais izmantošanas kods sasniedz root ap 99% gadījumu un aizsniedz arī Android.