# ievainojamība
$ ls | wc -l → 31 raksti
wp2shell ļauj pārņemt WordPress vietni bez paroles — ielāps klāt, uzbrukumi jau sākušies
Divu kļūdu ķēde wp2shell ļauj bez paroles palaist kodu uz noklusējuma WordPress vietnes. Ielāpi 6.8.6, 6.9.5 un 7.0.2 iznākuši 17. jūlijā, bet publisks PoC un aktīvi uzbrukumi jau notiek.
libssh2 caurums ļauj ļaunam SSH serverim palaist kodu uz klienta — pirms pieteikšanās, bez paroles
SSH bibliotēkas libssh2 kļūda CVE-2026-55200 ļauj ļaunam serverim palaist kodu uz klienta pirms pieteikšanās. Skarti curl, Git klienti un PHP.
7-Zip 26.02 aizver XZ dekodera caurumu — sagatavots arhīvs var palaist kodu, un atjauninājums nenāk pats
CVE-2026-14266 ir heap bufera pārpilde 7-Zip XZ dekoderā: sagatavots .xz fails var palaist kodu. Labots versijā 26.02, kas jāuzstāda pašrocīgi.
Adobe aizver septiņas CVSS 10.0 kļūdas ColdFusion un Campaign Classic — vienu jau izmanto uzbrucēji
Adobe ārpuskārtas ielāps aizver deviņas kļūdas ColdFusion un Campaign Classic; septiņām no tām ir CVSS 10.0. Path traversal kļūdu CVE-2026-48282 uzbrucēji sāka izmantot dažu stundu laikā pēc publiskošanas.
Oracle PeopleSoft nulles dienas kļūda: ShinyHunters ielauzušies 300 instancēs pirms ielāpa
Oracle PeopleSoft nulles dienas kļūda CVE-2026-35273 (CVSS 9,8) ļauj izpildīt kodu bez pieteikšanās. ShinyHunters jau ielauzušies vairāk nekā 100 organizācijās.
libssh2 caurums CVE-2026-55200: ļaunprātīgs SSH serveris var pārņemt klientu bez paroles
libssh2 versijās līdz 1.11.1 ietilpst kaudzes pārpilde, ko iedarbina serveris, nevis klients. CVSS 9.2, labots 1.11.2, un daudzi rīki bibliotēku iesaista statiski.
PraisonAI CVE-2026-61447: uzvednes injekcija palaiž patvaļīgu Python kodu, CVSS 10.0
PraisonAI aģentu ietvarā atklāts CVSS 10.0 caurums: uzvednes injekcija palaiž patvaļīgu Python kodu un noplūdina visus vides noslēpumus. Labots 1.6.78.
CVE-2026-8451: Citrix NetScaler SAML parsers atmiņas noplūde — ekspluatēts 48 stundu laikā
Citrix NetScaler CVE-2026-8451 ļauj bez akreditācijas datiem lasīt ierīces atmiņu. Ekspluatācija sākās 48 stundu laikā — 71 uzbrucējs četrās dienās.
Proto6: seši protobuf.js caurumi pārvērš shēmu par izpildāmu kodu
Cyera pētnieki atklāja sešus caurumus protobuf.js — bibliotēkā ar 48 miljoniem lejupielāžu nedēļā. Divi ved uz koda izpildi, jo shēma tiek kompilēta ar Function().
CVE-2026-46817: Oracle Payments modulis pieejams bez paroles — uzbrucēji to izmanto kopš 27. jūnija
Oracle E-Business Suite versijās 12.2.3–12.2.15 ir CVSS 9.8 caurums, kas ļauj bez autentifikācijas pārņemt Payments moduli. Pirmie uzbrukumi fiksēti 27. jūnijā, pirms publiska PoC.