Sérülékenységi közlemények

Legutóbbi kiadási összefoglalók

Microsoft · 2026. október 11.Microsoft 2026. 41. heti frissítése: parancsinjektálás és tanúsítvány-ellenőrzés a 11 CVE középpontjábanIBM · 2026. október 11.IBM Security Verify Access 2026. 41. heti kiadása: 22 CVE, ebből öt kritikus hibaCisco · 2026. október 11.Cisco 2026. évi 41. heti sérülékenységei: hitelesítést nem igénylő NX-OS, Splunk és License On-Prem hibák emelkednek ki az 59 CVE közülNyílt forráskódú üzleti platformok · 2026. október 4.Nyílt forráskódú üzleti platformok, 2026. 40. hete: magas súlyosságú Joomla-hibák vezetik a 30 biztonsági közleménytOracle · 2026. szeptember 16.Oracle 2026. szeptemberi kritikus biztonsági közleménye: 330 javítás, hitelesítés nélküli Fusion Middleware hibákApple · 2026. szeptember 15.Apple biztonsági frissítések, 2026. szeptember: nyolc javítás, közülük négy súlyos macOS-sérülékenységPalo Alto Networks · 2026. szeptember 13.Palo Alto Networks 2026. 37. hét: kilenc javítás, középpontban a PAN-OS XML puffertúlcsordulásFortinet · 2026. szeptember 13.Fortinet 2026. 37. hét: kritikus FortiMonitorOnSight hitelesítésmegkerülés vezeti a 10 CVE-tSAP · 2026. szeptember 8.SAP Security Patch Day, 2026. szeptember: 19 javításból négy kritikus sérülékenység

• Kritikus 9.1 CVE-2026-93895, CVE-2026-95695, CVE-2026-95696 IBM 2026. október 14.

  IBM WebSphere Application Server Liberty hozzáférés-szabályozási, jogosultság-ellenőrzési és szolgáltatásmegtagadási (DoS) hibái (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696)

  Az IBM WebSphere Application Server Liberty 20.0.0.12-től 26.0.0.10-ig terjedő verziói három hibát tartalmaznak: hozzáférés-szabályozás megkerülése (CVE-2026-93895, CVSS 9,1), helytelen jogosultság-ellenőrzés (CVE-2026-95695, CVSS 7,4) és szolgáltatásmegtagadás (CVE-2026-95696, CVSS 6,5). A javítás elérhető; a telepítéséig korlátozza a gRPC-felületek elérhetőségét.

• Kritikus 9.1 CVE-2026-96252 Microsoft 2026. október 14.

  Microsoft AD FS-sérülékenység: hitelesítés nélküli támadók identitást hamisíthatnak a hálózaton keresztül (CVE-2026-96252)

  A Microsoft 2026. októberi frissítése az AD FS kritikus identitáshamisítási hibáját (CVE-2026-96252) javítja, amely a hálózaton keresztül, hitelesítő adatok nélkül érhető el. Telepítse a javított buildeket az érintett Windows Server- és Windows 10-verziókhoz.

• Kritikus 9.3 CVE-2026-70279 Microsoft 2026. október 14.

  Microsoft Exchange Server XSS-hibája hamisítást tesz lehetővé (CVE-2026-70279)

  A Microsoft Exchange Server 2016 CU23, a 2019 CU14 és CU15, valamint a Subscription Edition RTM kiadása webhelyek közötti szkriptelési (XSS) hibát tartalmaz, amely hálózaton keresztül hamisítást tesz lehetővé. A Microsoft fontosnak minősítette; a CVE-rekord 9,3-es CVSS-pontszámot rendel hozzá. Telepítse a 2026. októberi kumulatív frissítéseket.

• Kritikus 9.1 CVE-2026-93909 IBM 2026. október 14.

  IBM WebSphere Application Server Liberty: hitelesítés megkerülése, ha a samlWeb-2.0 engedélyezve van (CVE-2026-93909)

  Az IBM WebSphere Application Server Liberty 17.0.0.3-tól 26.0.0.10-ig terjedő verzióiban hitelesítés megkerülését lehetővé tevő hiba található, ha a samlWeb-2.0 funkció engedélyezve van. A CVSS-pontszám 9,1, kritikus besorolású. Az IBM javítást adott ki; telepítse a gyártói frissítést, és korlátozza a hozzáférést a javítás telepítéséig.

• Kritikus 9.8 CVE-2026-97749 Microsoft 2026. október 14.

  Microsoft Office Outlook double free sérülékenysége jogosulatlan távoli kódfuttatást tesz lehetővé (CVE-2026-97749)

  A Microsoft Office Outlook kritikus double free sérülékenységet tartalmaz (CVE-2026-97749), amely lehetővé teheti, hogy jogosulatlan támadó a hálózaton keresztül, felhasználói beavatkozás nélkül kódot futtasson. A Microsoft 365 Apps for Enterprise és az Office LTSC 2021/2024 termékekhez a 2026. októberi biztonsági javításokat kell telepíteni.

• Magas 8.5 CVE-2026-109612 Frappe / ERPNext 2026. október 13.

  Tárolt XSS a Frappe ERPNext jelentésnézetében: hitelesített felhasználók szkriptet futtathatnak (CVE-2026-109612)

  A Frappe ERPNext 15.120.0 előtti, valamint a 16.x sorozat 16.33.0 előtti verzióiban tárolt XSS (cross-site scripting) hiba található a jelentésnézetekben. A rekordok létrehozására jogosult, hitelesített felhasználók olyan neveket menthetnek el, amelyek hatására a jelentést megnyitó másik felhasználó böngészője szkriptet futtat. Frissítsen a 15.120.0 vagy a 16.33.0 verzióra.

• Magas 8.5 CVE-2026-109604 Frappe / ERPNext 2026. október 13.

  ERPNext tárolt XSS-hibája az eszköznézetben szkriptet futtat az áldozatok munkamenetében (CVE-2026-109604)

  ERPNext 15.112.0 előtti verzióiban és a 16.x ág 16.23.0 előtti verzióiban tárolt XSS-hiba található az eszköznézetben. Egy alacsony jogosultságú, hitelesített felhasználó rosszindulatú nevet adhat egy rekordnak, és a szkript később minden olyan felhasználó munkamenetében lefut, aki megnyitja az adott eszköznézetet. Frissítsen az erpnext 15.112.0 vagy a 16.23.0 verzióra.

• Magas 8.7 CVE-2026-109652 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext: szerveroldali sablon-injektálás az üzenetmezőkben – hitelesített felhasználók adatokat olvashatnak és írhatnak (CVE-2026-109652)

  A Frappe ERPNext 15.119.1 előtti verziói és a 16.x sorozat 16.32.0 előtti kiadásai az üzenetmezőkön keresztül elérhető szerveroldali sablon-injektálást tartalmaznak. Az általános üzemeltetési szerepkörrel rendelkező hitelesített felhasználók adatbázisadatokat olvashatnak vagy írhatnak, dokumentumokat törölhetnek, kimenő kéréseket indíthatnak és e-maileket küldhetnek. Frissítsen az ERPNext 15.119.1 vagy 16.32.0 verzióra.

• Magas 8.7 CVE-2026-109608 Frappe / ERPNext 2026. október 13.

  SQL-injekció a Frappe ERPNextben: bármely hitelesített felhasználó kiváltságos fiók szintjére emelheti jogosultságait (CVE-2026-109608)

  A Frappe ERPNext 15.121.0 előtti verzióiban, valamint a 16.0.0-beta.1-től a 16.34.0 előtti verziókig SQL-injekciós sérülékenység található, mert egyes végpontok nem ellenőrzik a bemenetet. Bármely hitelesített felhasználó – a szerepkör nélkülieket is beleértve – érzékeny adatokat olvashat, és kiváltságos fiók szintjére emelheti jogosultságait. A hibát az erpnext 15.121.0 és 16.34.0 verzió javítja.

• Magas 8.7 CVE-2026-109667 Frappe / ERPNext 2026. október 13.

  Jogosultságszint-emelés a Frappe ERPNextben: hitelesített felhasználók kiemelt jogosultságú fiókokat hozhatnak létre (CVE-2026-109667)

  A Frappe ERPNext 15.111.0 előtti, valamint a 16.x sorozat 16.22.0 előtti verziói lehetővé teszik bármely hitelesített felhasználó számára – akár operatív szerepkör nélkül is –, hogy kiemelt jogosultságú fiókokat hozzon létre egy olyan rekordlétrehozó végponton keresztül, ahol a jogosultság-ellenőrzések ki vannak kapcsolva. Javítva az erpnext 15.111.0 és 16.22.0 verziójában.

• Magas 8.7 CVE-2024-58390 Frappe / ERPNext 2026. október 13.

  Frappe: jogosultságszint-emelés System Manager szerepig dokumentumművelettel (CVE-2024-58390)

  A Frappe 14.81.4 előtti verziói és a 15.x sorozat 15.41.0 előtti verziói nem megfelelő jogosultságkezelési hibát tartalmaznak (CVE-2024-58390). Egy hitelesített Website User szerepű felhasználó egy dokumentumműveletet további lépésekkel kombinálva System Manager jogosultságot szerezhet. Frissítsen a 14.81.4 vagy a 15.41.0 verzióra.

• Magas 8.2 CVE-2023-54411 Frappe / ERPNext 2026. október 13.

  Frappe keretrendszer nyomtatási nézetének gyenge hitelesítése jogosultság nélküli dokumentum-hozzáférést tesz lehetővé (CVE-2023-54411)

  A Frappe keretrendszer 13.32.0 előtti verziói gyenge hitelesítést használnak a nyomtatási nézet eléréséhez. Egy hitelesítés nélküli támadó más, engedélyezőlistán szereplő API-végpontok adataiból levezetheti a nyomtatási nézet kulcsát, és jogosultság nélkül tekinthet meg dokumentumokat. Javítva a frappe 13.32.0 verzióban.

• Magas 8.6 CVE-2026-109633 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext nyilvános foglalási oldalán található tárolt XSS-hiba fiókátvételt tesz lehetővé (CVE-2026-109633)

  A Frappe ERPNext 15.119.1 előtti, valamint a 16.x ág 16.32.0 előtti kiadásai tárolt XSS-hibát tartalmaznak a nyilvános foglalási oldalon. Egy hitelesítést nem igénylő támadó olyan szkriptet küldhet be, amely akkor fut le, amikor egy emelt jogosultságú felhasználó megtekinti az oldalt, és ez fiókátvételt tesz lehetővé. Frissítsen a 15.119.1 vagy a 16.32.0 verzióra.

• Magas 8.6 CVE-2025-71432 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext reflektált XSS-hibája fiókátvételt tesz lehetővé (CVE-2025-71432)

  A Frappe ERPNext 14.92.1 előtti verziói, valamint a 15.x sorozat 15.83.0 előtti verziói reflektált XSS-hibát tartalmaznak, amely hitelesített munkamenetben tetszőleges JavaScript-kód futtatását teszi lehetővé. Ha egy bejelentkezett felhasználó megnyit egy speciálisan kialakított hivatkozást, a támadó átveheti a fiókját. Frissítsen ERPNext 14.92.1 vagy 15.83.0 verzióra.

• Kritikus 10.0 CVE-2026-89111 SAP 2026. október 13.

  CVE-2026-89111: SAP Cloud SDK for Python OAuth2 SSRF-hibája ügyfél-hitelesítő adatokat szivárogtat ki

  Az SAP Cloud SDK for Python kritikus OAuth2 SSRF-sérülékenységet tartalmaz (CVE-2026-89111). A 0.45.2 előtti sap-cloud-sdk verziót használó, több bérlős BTP-alkalmazások kiszivárogtathatják az OAuth-ügyfél hitelesítő adatait egy támadó által irányított kiszolgálónak. Az SAP még nem adott ki javítást; korlátozza a kitettséget, és figyelje a kimenő tokenkéréseket.

• Kritikus 9.9 CVE-2026-96012 IBM 2026. október 12.

  IBM Db2 Mirror for i jogosultságszint-emelési hibája hitelesített támadóknak rendszerszintű jogosultság megszerzését teszi lehetővé (CVE-2026-96012)

  Az IBM Db2 Mirror for i 7.4, 7.5 és 7.6 verziójában kritikus jogosultságszint-emelési hiba található. Egy hitelesített támadó megkerülheti az érvényesítési ellenőrzéseket, és kódot futtatva emelt szintű jogosultságokat szerezhet. Telepítse az IBM javítását, és vizsgálja felül a hozzáféréseket.

• Heti összefoglaló Kritikus 9.1 11 érintett CVE Microsoft 2026. október 11.

  Microsoft 2026. 41. heti frissítése: parancsinjektálás és tanúsítvány-ellenőrzés a 11 CVE középpontjában

  A Microsoft 2026. 41. heti frissítése 11 CVE-t fed le az UFO, a Kiota, a SimpleChat és a MsQuic projektekben. Egyik CVE sem szerepel a CISA KEV katalógusában, és egyiknek sincs ismert aktív kihasználása. Két kritikus hiba: a MsQuic tanúsítvány-ellenőrzésének megkerülése, valamint hitelesített parancsinjektálás az UFO-ban. Az internet felől elérhető QUIC-komponenseket és az automatizálást kezelje elsőként.

• Heti összefoglaló Kritikus 9.8 22 érintett CVE IBM 2026. október 11.

  IBM Security Verify Access 2026. 41. heti kiadása: 22 CVE, ebből öt kritikus hiba

  Az IBM 2026. 41. hetében 22 CVE-azonosítót tett közzé az IBM Security Verify Access rendszerhez. Öt kritikus, köztük hitelesítést nem igénylő távoli kódfuttatást és hitelesítés megkerülését lehetővé tevő sérülékenység; egyik sem szerepel a CISA KEV listán, és egyikhez sem jelöltek ismert aktív kihasználást. Javított verziók: 10.0.9.3 és 11.0.3.1.

• Heti összefoglaló Kritikus 10.0 59 érintett CVE Cisco 2026. október 11.

  Cisco 2026. évi 41. heti sérülékenységei: hitelesítést nem igénylő NX-OS, Splunk és License On-Prem hibák emelkednek ki az 59 CVE közül

  A Cisco 2026. évi 41. heti kiadása 59 CVE-t fed le a Splunk Enterprise, az NX-OS, a License On-Prem és más termékek körében. A kiadás egyetlen CVE-azonosítója sem szerepel a CISA KEV listáján. A tizennyolc kritikus hiba – amelyek közül több hitelesítést nem igénylő, hálózaton keresztül elérhető – az NX-OS-t, valamint a hálózatból elérhető Splunk vagy License On-Prem rendszereket teszi a javítások elsődleges prioritásává.

• Kritikus 9.8 CVE-2026-76284 Cisco 2026. október 10.

  Splunk Enterprise: a nem megfelelő semlegesítés hitelesítés nélküli hálózati kompromittálást tesz lehetővé (CVE-2026-76284)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 verzióit kritikus besorolású, nem megfelelő semlegesítésből eredő sérülékenység érinti. Hitelesítést nem igénylő hálózati támadó befolyásolhatja a bizalmasságot, a sértetlenséget és a rendelkezésre állást. Frissítsen a 10.4.3, 10.2.7, 10.0.10 vagy 9.4.15 verzióra.

• Kritikus 9.8 CVE-2026-78401, CVE-2026-78406, CVE-2026-16823 … IBM 2026. október 9.

  IBM Verify Identity Access és Security Verify Access: kritikus deszerializációs és hitelesítési hibák

  Az IBM biztonsági közleménye a Security Verify Access 10.0–10.0.9.2 és a Verify Identity Access 11.0–11.0.3 kritikus hibáit ismerteti, köztük hitelesítés nélkül kihasználható távoli kódfuttatást és a hitelesítés megkerülését. A javítások elérhetők; minél előbb telepítse őket.

• Kritikus 9.1 CVE-2026-16916 IBM 2026. október 9.

  IBM Security Verify Access védelmi mechanizmus hibája távoli kódfuttatást tesz lehetővé (CVE-2026-16916)

  Az IBM Security Verify Access 10.0–10.0.9.2 és az IBM Verify Identity Access 11.0–11.0.3 esetében egy védelmi mechanizmus hibája lehetővé teszi, hogy egy távoli támadó hitelesített, magas jogosultságú fiókkal távolról kódot futtasson. Az IBM szerint elérhető javítás; a CVE-rekord nem sorol fel javított verziókat.

• Kritikus 9.1 CVE-2026-16823 IBM 2026. október 9.

  Hitelesítés megkerülése az IBM Security Verify Access és a Verify Identity Access termékekben (CVE-2026-16823)

  Az IBM Security Verify Access 10.0-tól 10.0.9.2-ig, valamint a Verify Identity Access 11.0-tól 11.0.3-ig terjedő verziói lehetővé teszik, hogy egy hitelesítés nélküli, távoli támadó a nem megfelelő hitelesítés miatt megkerülje a biztonsági korlátozásokat. A CVSS 3.1 szerinti pontszám 9,1. A javítás elérhető az IBM támogatási oldalán.

• Kritikus 9.1 CVE-2026-19491 IBM 2026. október 9.

  Hitelesítés megkerülése az IBM Verify Identity Access és Security Verify Access termékekben (CVE-2026-19491)

  Az IBM Security Verify Access 10.0-tól 10.0.9.2-ig terjedő, valamint az IBM Verify Identity Access 11.0-tól 11.0.3-ig terjedő verziói lehetővé teszik, hogy egy távoli, hitelesítés nélküli támadó megkerülje a hitelesítést. Az IBM már elérhetővé tett javítást; korlátozza a hálózati kitettséget, és telepítse a javítást.

• Kritikus 9.8 CVE-2026-78406 IBM 2026. október 9.

  IBM Security Verify Access és IBM Verify Identity Access deszerializációs hibája hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-78406)

  Hitelesítés nélküli távoli kódfuttatás (RCE) az IBM Security Verify Access 10.0–10.0.9.2 és az IBM Verify Identity Access 11.0–11.0.3 verzióiban, beleértve a konténereket is. Nem megbízható adatok deszerializációja; CVSS 9,8, kritikus. Telepítse az IBM javítását; a CVE-rekordban nincs felsorolva javított verzió.

• Kritikus 9.8 CVE-2026-76268 Cisco 2026. október 8.

  Splunk Enterprise Patroni REST API hiányzó hitelesítése hitelesítés nélküli parancsvégrehajtást tesz lehetővé (CVE-2026-76268)

  A Splunk Enterprise 10.4-es ágának 10.4.3 előtti, valamint a 10.2-es ágának 10.2.7 előtti verziói a keresőfej-klaszter tagjain hitelesítés nélkül teszik elérhetővé a Patroni REST API-t. A hálózati hozzáféréssel rendelkező, hitelesítést nem igénylő támadó operációsrendszer-parancsokat hajthat végre. Frissítsen a Splunk Enterprise 10.4.3 vagy 10.2.7 verzióra.

• Kritikus 9.6 CVE-2026-76464, CVE-2026-76463, CVE-2026-76470 … Cisco 2026. október 7.

  A Cisco Meraki 2026. októberi Security Hardening Release kritikus és magas súlyosságú hibákat javít (CVE-2026-76464 és mások)

  A Cisco Meraki Security Hardening Release 2026. októberi kiadása több hibát javít a Campus Gateway, az MR, az MV és az MX eszközökben. A CVE-2026-76464 (CVSS 9,6) lehetővé teszi, hogy egy szomszédos hálózatból érkező támadó teljes mértékben átvegye az irányítást egy eszköz felett. A Cisco szerint nincs ismert nyilvános kihasználás, és nem létezik kerülő megoldás. Telepítse a frissítést.

• Kritikus 9.1 CVE-2026-20328, CVE-2026-76454, CVE-2026-76437 … Cisco 2026. október 7.

  Cisco License On-Prem sérülékenységei hitelesítés nélküli jelszó-visszaállítást és tetszőleges fájlok írását teszik lehetővé (CVE-2026-20328, CVE-2026-76454)

  A Cisco License On-Prem két kritikus sérülékenységet tartalmaz: hitelesítés nélküli jelszó-visszaállítás, valamint tetszőleges fájlok írása vagy szolgáltatásmegtagadás. Két közepes súlyosságú hiba rendszergazdai hitelesítést igényel. A Cisco kiadta a javításokat; kerülő megoldás nincs. Telepítse a frissítést, és korlátozza a hozzáférést.

• Kritikus 9.8 CVE-2026-76498, CVE-2026-76499, CVE-2026-76500 Cisco 2026. október 7.

  Cisco APIC biztonsági megerősítő kiadása hozzáférés-vezérlési, semlegesítési és erőforrás-kezelési hibákat javít (CVE-2026-76498, CVE-2026-76499, CVE-2026-76500)

  A Cisco 2026. októberi APIC biztonsági megerősítő kiadása több, belső biztonsági felülvizsgálat során felfedezett, 9,8 pontra értékelt sérülékenységet javít, amelyek hálózaton keresztül, hitelesítés nélkül kihasználhatók. Nincs kerülő megoldás; a Cisco az érintett 5.2-es verziókhoz a javított kiadás telepítését javasolja.

• Kritikus 9.8 CVE-2026-76455, CVE-2026-76459, CVE-2026-76453 … Cisco 2026. október 7.

  Cisco NX-OS 2026. októberi biztonsági megerősítő kiadása több kritikus és magas súlyosságú sérülékenységet javít

  A Cisco 2026. októberi NX-OS biztonsági megerősítő kiadása hat sérülékenységet javít az NX-OS, az ACI mód és az UCS Managed rendszerekben; ezek között kritikus, hálózaton keresztül elérhető nem megfelelő hozzáférés-vezérlési és határokon kívüli írási hibák is vannak. Telepítse a kiadást; kerülő megoldás nem létezik.

• Kritikus 10.0 CVE-2026-76480, CVE-2026-76482, CVE-2026-76483 … Cisco 2026. október 7.

  Cisco License On-Prem biztonsági megerősítést tartalmazó kiadása négy biztonsági rést javít (cisco-sa-hardening-ssm-Ph77wdhf)

  A Cisco 2026. októberi, a Cisco License On-Prem (korábban Cisco Smart Software Manager On-Prem) termékhez készült biztonsági megerősítést tartalmazó kiadása négy biztonsági rést javít: CVE-2026-76480, CVE-2026-76482, CVE-2026-76483 és CVE-2026-76484. Három kritikus besorolású. Kerülő megoldás nincs; telepítse a frissítést.

• Kritikus 9.8 CVE-2026-76485, CVE-2026-76486, CVE-2026-76501 Cisco 2026. október 7.

  Cisco Nexus 3000 és 9000 sorozatú switchek NGOAM távoli kódfuttatási sérülékenységei (CVE-2026-76485, CVE-2026-76486, CVE-2026-76501)

  Hitelesítés nélküli távoli támadók root jogosultsággal kódot futtathatnak, vagy a Cisco Nexus 3000-es és 9000-es sorozatú switchek összeomlását idézhetik elő, ha az NGOAM funkció engedélyezve van. Három, 9,8-as kritikus besorolású CVE. A Cisco szerint elérhetők a javítások; ha az NGOAM nem szükséges, kapcsolja ki.

• Kritikus 9.8 CVE-2026-76471 Cisco 2026. október 7.

  Cisco NX-OS NX-API: a távoli kódfuttatási hiba hitelesítés nélkül root parancsvégrehajtást tesz lehetővé (CVE-2026-76471)

  A Cisco NX-OS szoftvert és a Cisco Unified Computing System (Managed) rendszert kritikus, hitelesítést nem igénylő távoli kódfuttatási hiba érinti az NX-API-ban (CVE-2026-76471). A Cisco kiadta a javított szoftvert és a Live Protect-védelmet; nincs kerülő megoldás. Frissítsen a Cisco biztonsági közleménye szerint.

• Kritikus 9.8 CVE-2026-76465 Cisco 2026. október 7.

  Cisco Nexus 3000 és 9000 sorozatú switchek MPLS OAM távoli kódfuttatási sérülékenysége (CVE-2026-76465)

  A Cisco NX-OS MPLS OAM funkciójának kritikus hibája a Nexus 3000 és 9000 sorozatú switcheken lehetővé teszi, hogy hitelesítés nélküli, távoli támadó root jogosultsággal kódot futtasson, vagy újraindítsa az eszközt. A Cisco kiadta a javításokat; ha az MPLS OAM funkciót nem használja, kapcsolja ki.

• Magas 8.6 GHSA-7rqw-r5p3-ff92, GHSA-5qgv-9jcx-wph7, GHSA-h34m-gqcf-25cp GLPI 2026. október 7.

  GLPI 11.0.9 javítja az űrlap-illusztrációk importálásakor kihasználható XSS-t és két jogosultságkezelési hibát

  A GLPI 11.0.9 javít egy nagy súlyosságú, az űrlap-illusztrációk importálásakor kihasználható XSS-t, valamint két közepes súlyosságú jogosultságkezelési hibát. Mindhárom sérülékenység a GLPI 11.0.0-tól a 11.0.9 előtti kiadásokig érinti a telepítéseket; a két jogosultságkezelési hiba a GLPI 0.83-tól a 10.0.27 előtti, illetve a GLPI 9.5.0-tól a 10.0.27 előtti verziókat is érinti. Frissítsen GLPI 11.0.9 vagy 10.0.27 verzióra.

• Heti összefoglaló Magas 8.9 30 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. október 4.

  Nyílt forráskódú üzleti platformok, 2026. 40. hete: magas súlyosságú Joomla-hibák vezetik a 30 biztonsági közleményt

  A Joomla!, a Moodle és a Frappe/ERPNext karbantartói 30 sérülékenységet tettek közzé a héten, ebből 28 CVE-azonosítóval rendelkezik. Hét magas súlyosságú, az élen egy Joomla SSRF és egy MFA-megkerülés áll. Nincs CISA KEV-listás tétel, és nincs ismert aktív kihasználás. Először a Joomla! javításait telepítse, majd a Moodle és a Frappe/ERPNext javításait.

• Kiadási összefoglaló Magas 8.8 1 érintett CVE Microsoft 2026. október 3.

  Microsoft Patch Tuesday, 2026. október: az Exchange Server jogosultságszint-emelési hibáját javító frissítés vezeti az egyetlen CVE-ből álló kiadást

  A Microsoft 2026. októberi Patch Tuesday kiadása egyetlen, a körbe tartozó CVE-t sorol fel: CVE-2026-96940, egy Exchange Servert érintő jogosultságszint-emelési sérülékenység, amelynek CVSS-alappontszáma 8,8, ami magas súlyosságot jelent. Nem szerepel a CISA KEV katalógusában, és nincs jelentés aktív kihasználásáról. Telepítse a megfelelő Exchange biztonsági frissítést.

• Kritikus 9.4 KEV CVE-2026-102490 2026. október 2.

  Zammad jogosultságszint-emelés root szintre, a CISA KEV-listája szerint aktívan kihasznált (CVE-2026-102490)

  CVE-2026-102490: a Zammad 1.5.0-tól a 7.1.0-alpha előtti verziókig lehetővé teszi, hogy a helyi zammad felhasználó root jogosultságra emelkedjen. A CISA a KEV-listáján aktívan kihasználtként tartja nyilván; a javítás a Zammad 7.1.0-alpha kiadásban érhető el.

• Kritikus 9.4 KEV CVE-2026-102489 2026. október 2.

  Zammad: munkamenet-eltérítési sérülékenység távoli kódfuttatáshoz vezet, és aktívan kihasználják (CVE-2026-102489)

  A Zammad 6.3.0-tól a 6.5.4 előtti verziókig terjedő kiadásai munkamenet-eltérítési sérülékenységet tartalmaznak, amely a zammad felhasználó jogosultságával távoli kódfuttatáshoz vezethet. A CISA KEV-katalógusa aktívan kihasználtként tartja nyilván, a javítási határidő 2026. október 5. Frissítsen a Zammad 6.5.4-es verziójára.

• Kritikus 9.8 KEV CVE-2026-104286 Fortinet 2026. október 1.

  CVE-2026-104286: FortiMail path traversal hibája hitelesítés nélküli fájlírást tesz lehetővé a támadók számára

  A FortiMail 7.0.0–7.0.9, 7.2.0–7.2.9, 7.4.0–7.4.6, 7.6.0–7.6.5 és 8.0.0 verziói hitelesítés nélkül kihasználható path traversal sérülékenységben érintettek (CVE-2026-104286), amely speciálisan kialakított HTTP- vagy HTTPS-kérésekkel tetszőleges fájlok írását teszi lehetővé. A Fortinet aktív kihasználásról számol be; javított verzió egyelőre nem szerepel.

• Kritikus 9.8 KEV CVE-2026-76504 Cisco 2026. szeptember 30.

  CVE-2026-76504: Cisco Catalyst SD-WAN Manager API-hitelesítésének megkerülése rendszergazdai hozzáférést ad

  A Cisco Catalyst SD-WAN Manager hitelesítést megkerülő sérülékenysége (CVE-2026-76504) hitelesítés nélküli, rendszergazdai szintű API-hozzáférést tesz lehetővé. A CVSS 3.1 szerinti pontszám 9,8; a sérülékenységet aktívan kihasználják. A Cisco javítást adott ki; frissítsen, és korlátozza a rendszer elérhetőségét.

• Magas 8.9 CVE-2026-92227, CVE-2026-92222, CVE-2026-92231 … Joomla! 2026. szeptember 30.

  Joomla! CMS 5.4.9-es és 6.1.4-es biztonsági frissítése tíz hibát javít, köztük MFA-megkerülést, SSRF-et és XSS-t

  A Joomla! CMS 1.5.0–5.4.8 és 6.0.0–6.1.3 verzióit tíz sérülékenység érinti, köztük MFA-megkerülést, SSRF-et, hozzáférés-vezérlési hibákat, XSS-t és tetszőleges könyvtárak törlését. Frissítsen 5.4.9-re vagy 6.1.4-re.

• Kritikus 9.5 KEV CVE-2026-88772 2026. szeptember 29.

  A Citrix NetScaler ADC és a Citrix NetScaler Gateway memóriatúlcsordulása távoli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé (CVE-2026-88772)

  A Citrix NetScaler ADC és a Citrix NetScaler Gateway kritikus memóriatúlcsordulási hibája (CVE-2026-88772) hitelesítés nélküli távoli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé. A CISA ismert, kihasznált sérülékenységeket tartalmazó katalógusa (KEV) kihasználtként tartja nyilván. Telepítse a javított buildeket: ADC 14.1-73.37, 13.1-64.23; Gateway 14.1-73.37, 13.1-64.23.

• Kritikus 9.5 KEV CVE-2026-88771 2026. szeptember 29.

  Citrix NetScaler ADC és Gateway távoli kódfuttatási hibája hitelesítést nem igénylő támadóknak teszi lehetővé tetszőleges parancsok futtatását (CVE-2026-88771)

  A Citrix NetScaler ADC és Gateway termékekben egy nem megfelelő bemenet-ellenőrzésből eredő hiba lehetővé teszi, hogy hitelesítést nem igénylő támadó a hálózaton keresztül tetszőleges parancsokat futtasson. A CISA KEV-katalógusa aktívan kihasználtként tartja nyilván. Alkalmazza a javított kiadásokat: ADC 14.1-73.37 vagy 13.1-64.23; Gateway 14.1-73.37 vagy 13.1-64.23.

• Magas 8.8 KEV CVE-2026-86950 Apple 2026. szeptember 28.

  Apple iOS és macOS: határon túli írási hiba tetszőleges kódfuttatást tehet lehetővé (CVE-2026-86950)

  Az Apple az iOS és iPadOS 26.7.1, a macOS Sequoia 15.8.1 és a macOS Tahoe 26.7.1 verzióban javította a CVE-2026-86950 jelű hibát. Egy rosszindulatúan kialakított fájl feldolgozása tetszőleges kódfuttatást tehet lehetővé. Az Apple szerint lehetséges, hogy a hibát kifinomult, célzott támadásokban már kihasználták. Telepítse a frissítéseket.

• Heti összefoglaló Kritikus 9.4 KEV 17 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 27.

  Nyílt forráskódú üzleti platformok, 2026. 39. hét: kihasznált WordPress-hiba a 17 sérülékenység között

  2026. 39. hete 17 sérülékenységet hoz a GLPI, a Frappe/ERPNext, a WordPress és a Nextcloud rendszereiben: 16 CVE-azonosítót és egy CVE-azonosító nélküli biztonsági közleményt. A WordPress CVE-2026-87902 jelű hibáját aktívan kihasználják, és szerepel a CISA KEV listáján; a GLPI-ban kritikus távoli kódfuttatási hiba is található. Elsőként a WordPress és a GLPI javításait telepítse.

• Heti összefoglaló Magas 8.8 2 érintett CVE Microsoft 2026. szeptember 27.

  Microsoft 2026. 39. heti sérülékenységei: két Outlook távoli kódfuttatási hibát javítottak

  A Microsoft 39. heti kiadása két magas súlyosságú, Microsoft Office Outlook távoli kódfuttatást lehetővé tevő sérülékenységet fed le, amelyek a Microsoft 365 Apps for Enterprise, az Office LTSC 2021 és az Office LTSC 2024 termékeket érintik. Egyik sem szerepel a CISA KEV-ben, és egyiknek sincs ismert aktív kihasználása. Telepítse az Office biztonsági javításait.

• Kritikus 9.1 CVE-2026-20284, CVE-2026-20283, CVE-2026-20282 Cisco 2026. szeptember 27.

  Cisco ISE: SQL-injektálás, parancsinjektálás és operációsrendszer-írási hozzáférés az API-kban (CVE-2026-20282, CVE-2026-20283, CVE-2026-20284)

  Három, hitelesítést igénylő sérülékenység érinti a Cisco Identity Services Engine terméket: SQL-injektálás az SXP REST API-ban, parancsinjektálás az IPsec Open API-ban, valamint írási hozzáférés speciálisan kialakított HTTP-kéréseken keresztül. A Cisco javításokat adott ki; az IPsec API hibájához kerülő megoldás is létezik.

• Kritikus 9.4 CVE-2026-48482, GHSA-hgr8-qvp5-mhch, CVE-2026-47679 … GLPI 2026. szeptember 26.

  GLPI 11.0.8 javítja az űrlapimporton keresztül történő távoli kódfuttatást (CVE-2026-48482) és más magas súlyosságú hibákat

  A GLPI 11.0.8-as verziója javítja az űrlapimporton keresztül kihasználható kritikus távoli kódfuttatást (CVE-2026-48482), az MFA-hitelesítés megkerülését, az SQL-injekciót, a keresztoldali szkriptelést és más magas súlyosságú problémákat. A GLPI 10.0.26 a korábban érintett kiadási tartományok hibáit javítja. Frissítsen egy javított kiadásra.

• Magas 8.1 KEV CVE-2026-87902 WordPress 2026. szeptember 23.

  WordPress hitelesítés nélküli oldalsablon-útvonal-bejárása távoli kódvégrehajtáshoz vezethet (CVE-2026-87902)

  A WordPress 7.1.2 előtti verzióit érintő, hitelesítést nem igénylő oldalsablon-útvonal-bejárás bizonyos feltételek mellett távoli kódvégrehajtáshoz vezethet. A CISA KEV-katalógusa aktív kihasználást tart nyilván. Azonnal telepítse a szállító által az adott verzióághoz kiadott frissítést, beleértve a 7.1.2-es verziót is.

• Kritikus 9.3 KEV CVE-2026-94127 2026. szeptember 22.

  BIG-IP APM OAuth-sérülékenység hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-94127)

  Az OAuth Authorization Server szerepkörben konfigurált BIG-IP APM hitelesítés nélküli távoli kódfuttatást tesz lehetővé. A CISA a CVE-2026-94127 azonosítót a KEV-katalógusban kihasználtként tartja nyilván. Telepítse a mérnöki gyorsjavításokat az érintett BIG-IP-ágakhoz.

• Kritikus 9.1 CVE-2026-84388 Fortinet 2026. szeptember 22.

  A FortiPAM Chrome-bővítmény nem megfelelő hitelesítése miatt rosszindulatú webhelyek továbbíthatják a böngészőforgalmat (CVE-2026-84388)

  A Fortinet FG-IR-26-168 jelű biztonsági közleménye a CVE-2026-84388 azonosítójú, a FortiPAM Chrome-bővítményt érintő nem megfelelő hitelesítési gyengeséget ismerteti. Egy rosszindulatú webhely a felhasználó böngészőforgalmát a támadó által irányított szervereken keresztül továbbíthatja. Javított verziót vagy kerülő megoldást egyelőre nem tettek közzé.

• Kritikus 9.8 KEV CVE-2026-93616 Check Point 2026. szeptember 22.

  A Check Point Quantum Security Management könyvtárbejárási és fájlfeltöltési hibája hitelesítés nélküli szkriptvégrehajtást tesz lehetővé (CVE-2026-93616)

  A Check Point Quantum Security Management kritikus könyvtárbejárási és fájlfeltöltési hibája (CVE-2026-93616) hitelesítés nélküli támadók számára teszi lehetővé tetszőleges szkriptek futtatását. A CISA KEV aktív kihasználást tart nyilván. Alkalmazza a gyártó SK1000171 cikkében leírt utasításokat.

• Kritikus 9.5 KEV CVE-2026-93952 2026. szeptember 22.

  A VeloCloud Orchestrator On-Prem nem megfelelő bemeneti ellenőrzése lehetővé teszi a privilegizált funkciók távoli elérését (CVE-2026-93952)

  A CVE-2026-93952 kritikus, nem megfelelő bemeneti ellenőrzésből eredő sérülékenység a helyszíni VeloCloud Orchestratorban. A CISA KEV-katalógus aktívan kihasználtként tartja nyilván a sérülékenységet. A felsorolt javított buildek: 5.2.3.16 és 6.4.2.8; telepítse a megfelelő buildet, vagy korlátozza a hálózati elérhetőséget.

• Heti összefoglaló Kritikus 10.0 74 érintett CVE IBM 2026. szeptember 20.

  IBM 38. hét, 2026. szeptember: az MQ és a Verify Access hibái állnak a 74 CVE-t tartalmazó csomag élén

  Az IBM 38. heti csomagja 74 CVE-t tartalmaz: 6 kritikus, 33 magas, 32 közepes és 3 alacsony besorolást. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. Kezelje elsőként az MQ Appliance hitelesítés előtti CVE-2026-10747 azonosítójú hibáját, majd az MQ és a Verify Identity Access hitelesítés nélküli távoli kódfuttatási hibáit, a Sterling File Gateway hitelesítés-megkerülését, valamint az MQ hitelesítést igénylő kódfuttatási hibáit.

• Heti összefoglaló Kritikus 10.0 KEV 85 érintett CVE Cisco 2026. szeptember 20.

  Cisco 2026. 38. heti kiadás: két aktívan kihasznált hiba, 85 CVE az ISE, az e-mail és a tűzfalak terén

  A Cisco 2026. 38. heti kiadása 85 CVE-t tartalmaz: 29 kritikus, 26 magas, 29 közepes és 1 alacsony besorolásút. Két sérülékenységet aktívan kihasználnak, és mindkettő szerepel a CISA KEV katalógusában: a CVE-2026-76461 a Cisco Secure Email Gatewayben, a CVE-2026-76460 pedig az Identity Services Engine-ben. Először ezeket javítsa, majd a többi, internet felől elérhető ISE-, tűzfal- és e-mail-problémát.

• Heti összefoglaló Kritikus 9.6 50 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 20.

  Nyílt forráskódú üzleti platformok, 2026. 38. hét: az 51 biztonsági közlemény élén a Shopware és az ERPNext jogosultsági hibái állnak

  A 38. hét 51 sérülékenységet foglal magában a Shopware, az ERPNext, a WordPress és a Nextcloud rendszerében: 5 rendelkezik CVE-azonosítóval, 46-ot GitHub biztonsági közleményként tartanak nyilván. Egyik sem szerepel a CISA KEV katalógusában, és aktív kihasználást sem jelentettek. A javítási sorrendet a kritikus Shopware webhook-adatszivárgás, valamint az ERPNext SQL injection és tárolt XSS hibái vezetik.

• Kritikus 9.1 CVE-2026-75878 IBM 2026. szeptember 18.

  IBM Sterling File Gateway: hitelesítési megkerülés érvényesítetlen SSO-fejléc miatt (CVE-2026-75878)

  Az IBM Sterling File Gateway 6.2.0.0–6.2.0.6_1, 6.2.1.0–6.2.1.2 és 6.2.2.0–6.2.2.1 verzióiban kritikus hitelesítési megkerülés található, amelyet érvényesítetlen SSO-fejléc tesz lehetővé. Egy távoli támadó teljesen hitelesített munkamenetet szerezhet. Az IBM biztonsági közleményt adott ki.

• Kritikus 9.9 CVE-2026-10858 IBM 2026. szeptember 18.

  IBM MQ for HPE NonStop heap-alapú puffer-alulcsordulása hitelesített támadóknak szolgáltatásmegtagadást vagy kódvégrehajtást tesz lehetővé (CVE-2026-10858)

  Az IBM MQ for HPE NonStop 8.1.0-tól 8.1.0.40-ig terjedő verziói kritikus heap-alapú puffer-alulcsordulást tartalmaznak (CVE-2026-10858). Egy hitelesített támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat. Az IBM közzétette a javítást; telepítse.

• Kritikus 10.0 CVE-2026-10747 IBM 2026. szeptember 18.

  Az IBM MQ Appliance protokollüzenet-feldolgozásában található, hitelesítést nem igénylő heap-alapú puffertúlcsordulás szolgáltatásmegtagadást vagy kódfuttatást tesz lehetővé (CVE-2026-10747)

  Az IBM MQ Appliance protokollüzenet-feldolgozásában kritikus, hitelesítést nem igénylő heap-alapú puffertúlcsordulás található. Egy távoli támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat. Az IBM javítást adott ki; ismert aktív kihasználás nem szerepel a rekordban.

• Kritikus 9.6 GHSA-rv4r-c8v3-3hrc, GHSA-v38v-9h2p-hr8v, GHSA-734c-hv9r-mg2c … Frappe / ERPNext 2026. szeptember 18.

  ERPNext 15 és 16 kritikus fiókátvételi, SQL-injekciós és jogosultság-ellenőrzési hibákat javít

  A Frappe kritikus és magas súlyosságú hibákat javított az ERPNextben, köztük egy hitelesítést nem igénylő, tárolt XSS-ből eredő fiókátvételt és egy bármely hitelesített felhasználó által kihasználható SQL-injekciót. Kerülő megoldás nem létezik. Frissítse a 15.x verziókat legalább a 15.121.3, a 16.x verziókat pedig legalább a 16.35.0 verzióra.

• Magas 7.4 CVE-2026-20222 Cisco 2026. szeptember 17.

  Cisco ASA és FTD EIGRP szolgáltatásmegtagadása lehetővé teszi, hogy szomszédos hálózatból támadók újraindítsák az eszközöket (CVE-2026-20222)

  A Cisco Secure Firewall ASA és FTD szoftverek nagy súlyosságú, EIGRP-vel kapcsolatos szolgáltatásmegtagadási sérülékenységet tartalmaznak (CVSS 7.4). Egy hitelesítést nem igénylő támadó a szomszédos hálózatból ismételt eszköz-újraindulásokat okozhat. Telepítse a Cisco javított szoftverét, és kockázatcsökkentésként engedélyezze az EIGRP-hitelesítést.

• Magas 8.6 CVE-2026-20154 Cisco 2026. szeptember 17.

  Cisco ASA és FTD naplózási hibája távoli szolgáltatásmegtagadást és CPU-kimerítést okozhat (CVE-2026-20154)

  Hitelesítést nem igénylő távoli támadók magas CPU-terhelést és szolgáltatásmegtagadást okozhatnak a Cisco ASA és FTD tűzfalakon, ha TCP SYN-csomagokkal árasztják el az eszközt. Alkalmazza a Cisco naplózási sebességkorlátozó kerülő megoldását, és kísérje figyelemmel a javított kiadásokat.

• Magas 8.6 CVE-2026-20135 Cisco 2026. szeptember 17.

  Cisco Secure Firewall Threat Defense: TLS 1.3 szolgáltatásmegtagadás (CVE-2026-20135)

  A Cisco Secure Firewall Threat Defense szoftverben nagy súlyosságú, TLS 1.3-at érintő szolgáltatásmegtagadási hiba található. Egy hitelesítést nem igénylő távoli támadó összeomlaszthatja a LINA folyamatot, és újraindíthatja a sebezhető eszközt. A javítások elérhetők; telepítse azokat, vagy átmenetileg tiltsa le a TLS 1.3-at.

• Magas 8.6 CVE-2026-20249 Cisco 2026. szeptember 17.

  Cisco ASA és FTD: szolgáltatásmegtagadás az IKEv2-tanúsítványhitelesítésben (CVE-2026-20249)

  A nem hitelesített távoli támadók összeomlaszthatják az IKEv2 VPN-szolgáltatásokat az érintett Cisco ASA és FTD eszközökön, ha a kapcsolatfelépítés során speciálisan kialakított tanúsítványt küldenek. A Cisco javítást adott ki; kerülő megoldás nem áll rendelkezésre.

• Magas 8.6 CVE-2026-20250 Cisco 2026. szeptember 17.

  Cisco Secure Firewall ASA és FTD szoftver DTLS-alapú szolgáltatásmegtagadási sérülékenysége lehetővé teszi, hogy nem hitelesített távoli támadók újraindítsák az érintett eszközöket (CVE-2026-20250)

  A Firepower 3100 és 4200 sorozatú eszközökön futó Cisco Secure Firewall ASA és FTD szoftver hálózaton keresztül elérhető, DTLS-alapú szolgáltatásmegtagadási sérülékenységet tartalmaz. Nem hitelesített támadók speciálisan kialakított DTLS-forgalom küldésével újraindíthatják az eszközt. A Cisco jelzése szerint javítás érhető el, a kerülő megoldás pedig letiltja a DTLS flow offload funkciót.

• Magas 8.6 CVE-2026-20295, CVE-2026-20323 Cisco 2026. szeptember 17.

  Cisco Secure Firewall sftunnel-sérülékenységei: szolgáltatásmegtagadás és hitelesítés megkerülése (CVE-2026-20295, CVE-2026-20323)

  A Cisco Secure Firewall Management Center és a Cisco Secure Firewall Threat Defense szoftverek két nagy súlyosságú sftunnel-sérülékenységet tartalmaznak: távoli memóriakimerítéses szolgáltatásmegtagadást (CVE-2026-20295) és szomszédos hálózatból kihasználható hitelesítés megkerülést root hozzáféréssel (CVE-2026-20323). Javítások elérhetők, kerülő megoldás nincs.

• Kritikus 10.0 KEV CVE-2026-76460 Cisco 2026. szeptember 16.

  Hitelesítés-megkerülés nyit utat a Cisco Identity Services Engine webes felügyeleti felületéhez (CVE-2026-76460)

  A Cisco Identity Services Engine-ben kritikus, API-hitelesítést megkerülő sérülékenység van, amely hitelesítés nélküli távoli hozzáférést tesz lehetővé a webes felügyeleti felülethez. A CISA KEV és a Cisco PSIRT egyaránt megerősíti, hogy a sérülékenységet aktívan kihasználják. Alkalmazza a Cisco iACL-alapú kockázatcsökkentését, korlátozza a kitettséget, és frissítsen javított szoftverkiadásra.

• Kritikus 9.1 CVE-2026-20341, CVE-2026-20340, CVE-2026-20344 … Cisco 2026. szeptember 16.

  A Cisco Secure Firewall Management Center hibái root jogú parancsvégrehajtást, SQL-befecskendezést és szolgáltatásmegtagadást tesznek lehetővé (CVE-2026-20340–CVE-2026-20344)

  A Cisco öt Secure Firewall Management Center sérülékenységet hozott nyilvánosságra: root jogú parancsvégrehajtás, SQL-befecskendezés, tetszőleges fájl letöltése és hitelesítést nem igénylő API-n keresztüli szolgáltatásmegtagadás. Kerülő megoldás nem létezik. Tekintse át a Cisco biztonsági közleményét, korlátozza a felügyeleti hozzáférést, és telepítse a javított szoftvert.

• Kritikus 9.8 CVE-2026-20242 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center Java-deszerializációs hibája root szintű távoli kódvégrehajtást tesz lehetővé (CVE-2026-20242)

  A Cisco Secure Firewall Management Center külső adatbázis-hozzáférést biztosító External Database Access funkciójában kritikus Java-deszerializációs hiba található. Egy hitelesítést nem igénylő, távoli támadó, aki egy konfigurált adatbázis-gazdagépet irányít, root jogosultsággal futtathat parancsokat. A Cisco javításokat tett közzé; a javított kiadás telepítéséig kapcsolja ki az External Database Access funkciót.

• Kritikus 10.0 CVE-2026-76423, CVE-2026-76425, CVE-2026-76424 … Cisco 2026. szeptember 16.

  Cisco ISE REST API hitelesítés megkerülése hitelesítés nélküli adminisztratív hozzáférést ad (CVE-2026-76423)

  A Cisco ISE-t és az ISE-PIC-et több sérülékenység érinti, köztük a CVE-2026-76423 azonosítójú, hitelesítés nélkül kihasználható REST API-s hitelesítésmegkerülést, amelynek CVSS-pontszáma 10. A javítások elérhetők; telepítse a Cisco javított szoftverét, és korlátozza a kitettséget.

• Kritikus 9.9 CVE-2026-20324 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center sftunnel tetszőleges kódfuttatási hibája root jogosultságú parancsok futtatását teszi lehetővé hitelesített támadók számára (CVE-2026-20324)

  A Cisco Secure Firewall Management Center (FMC) sftunnel hibája lehetővé teszi, hogy hitelesített távoli támadó root jogosultsággal parancsokat futtasson. Az érintett kiadások közé tartoznak a 7.0.0 és 7.0.3 közötti verziók, valamint a 7.2.0. A Cisco rendelkezik javítással, kerülő megoldás azonban nem érhető el.

• Kritikus 9.9 CVE-2026-20326, CVE-2026-20322, CVE-2026-20325 … Cisco 2026. szeptember 16.

  Cisco Nexus Dashboard: a 2026. szeptemberi biztonsági megerősítő kiadás hiányzó hitelesítést és injektálási hibákat javít (CVE-2026-20326 és mások)

  A Cisco Nexus Dashboard kiadásait több kritikus sérülékenység érinti, amelyek hiányzó hitelesítésből és injektálási hibákból erednek. A Cisco 2026. szeptemberi biztonsági megerősítő kiadása javítja ezeket; kerülő megoldást nem ismertetnek.

• Kiadási összefoglaló Kritikus 10.0 330 érintett CVE Oracle 2026. szeptember 16.

  Oracle 2026. szeptemberi kritikus biztonsági közleménye: 330 javítás, hitelesítés nélküli Fusion Middleware hibák

  Az Oracle 2026. szeptemberi kritikus hibajavító csomagja 330 CVE-t fed le: 69 kritikus, 234 magas, 24 közepes és 3 alacsony súlyosságú. Egyik CVE-nek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. A hitelesítés nélküli Fusion Middleware hibák – köztük több 10,0 pontszámú – kiemelt figyelmet érdemelnek.

• Kritikus 10.0 CVE-2026-20192, CVE-2026-20130, CVE-2026-20234 … Cisco 2026. szeptember 16.

  A Cisco Identity Services Engine hardening-kiadása több kritikus sérülékenységet javít (CVE-2026-20192 és mások)

  A Cisco Identity Services Engine és az ISE-PIC hardening-kiadást kapott több kritikus sérülékenységhez; egyesek hitelesítés nélkül, a hálózaton keresztül érhetők el. Telepítse a Cisco 2026. szeptemberi kiadását; kerülő megoldás nem érhető el.

• Kritikus 9.9 CVE-2026-20329, CVE-2026-20330, CVE-2026-20332 … Cisco 2026. szeptember 16.

  Cisco Secure Firewall ASA, FTD és FMC biztonsági megerősítő kiadása kritikus és magas súlyosságú sérülékenységeket javít (CVE-2026-20329–CVE-2026-20336)

  A Cisco biztonsági megerősítő frissítést adott ki az ASA-, FTD- és FMC-szoftverekhez, amely nyolc kritikus és magas súlyosságú sérülékenységet javít. Nincs kerülő megoldás; a Cisco szerint nincs ismert aktív kihasználás. Telepítse a gyártói kiadást.

• Kritikus 9.0 CVE-2026-76420, CVE-2026-76412, CVE-2026-76413 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center: root parancsvégrehajtás és jogosultságszint-emelés (CVE-2026-76420, CVE-2026-76412, CVE-2026-76413)

  A Cisco Secure Firewall Management Centerben (FMC) három sérülékenység található: hitelesítést nem igénylő root parancsvégrehajtás az AJP-n keresztül, amikor az sftunnel nem működik, rendszergazdai SSO-token hamisítása, valamint hitelesítést igénylő jogosultságszint-emelés root szintre. A javítások elérhetők; a javított buildekért lásd a Cisco biztonsági közleményét.

• Kritikus 9.9 CVE-2026-20307, CVE-2026-20176, CVE-2026-20211 Cisco 2026. szeptember 16.

  A Cisco Identity Services Engine távoli kódfuttatási sérülékenységei (CVE-2026-20307, CVE-2026-20176, CVE-2026-20211)

  A Cisco Identity Services Engine három kritikus sérülékenysége lehetővé teszi, hogy hitelesített rendszergazdák parancsokat futtassanak az alatta futó operációs rendszeren. Nincs kerülő megoldás; a Cisco már kiadta a javításokat. Korlátozza a felügyeleti hozzáférést, és telepítse a gyártói frissítést.

• Kritikus 9.1 CVE-2026-20306, CVE-2026-20305 Cisco 2026. szeptember 16.

  CVE-2026-20305, CVE-2026-20306: Parancsinjektálás a Cisco Identity Services Engine-ben hitelesített támadók root jogosultságot szerezhetnek

  Két kritikus parancsinjektálási hiba a Cisco Identity Services Engine-ben és az ISE-PIC-ben lehetővé teszi, hogy egy hitelesített rendszergazda root jogosultsággal futtasson kódot. Egycsomópontos ISE-telepítésekben egy kihasznált csomópont elérhetetlenné válhat, és blokkolhatja az új hálózati hozzáféréseket. A Cisco kiadta a javításokat; kerülő megoldás nem létezik.

• Kritikus 9.8 CVE-2026-91843 Check Point 2026. szeptember 16.

  CVE-2026-91843: Check Point Quantum Security Management veremtúlcsordulás – hitelesítés nélküli távoli kódfuttatás

  A Check Point Quantum Security Management bejelentkezési folyamata kritikus, hitelesítést nem igénylő veremtúlcsordulási hibát tartalmaz. Javított kiadás vagy gyártói kerülő megoldás egyelőre nem szerepel a közleményben, ezért korlátozza a Security Management és Log Server rendszerek elérését, és figyelje a szokatlan tevékenységet.

• Kritikus 9.6 GHSA-2qxr-vvj4-5934, GHSA-r432-q883-wgvf, GHSA-8xfc-pww7-3rm5 … Shopware 2026. szeptember 16.

  Shopware 6.7.14.1 és 6.6.10.25: SQL-injekciós, webhook- és jogosultságszint-emelési hibák javítása

  A Shopware kiadta a 6.7.14.1 és a 6.6.10.25 verziót, hogy javítsa az öt biztonsági közleményben szereplő hibákat: a Store API-t érintő SQL-injekciót, a webhook-jogosultságok megkerülését, két jogosultságszint-emelési hibát és a hírlevél dupla opt-in megerősítésének megkerülését. Az üzemeltetőknek frissíteniük kell.

• Kiadási összefoglaló Magas 8.8 8 érintett CVE Apple 2026. szeptember 15.

  Apple biztonsági frissítések, 2026. szeptember: nyolc javítás, közülük négy súlyos macOS-sérülékenység

  Az Apple 2026. szeptemberi biztonsági frissítései nyolc macOS CVE-t tartalmaznak: négy súlyos, négy pedig közepes súlyosságú. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. A legfigyelemreméltóbb egy távolról kihasználható afpfs-kezelési hiba, amely kernelmemória-sérülést okozhat; emellett két helyi jogosultságszint-emelési probléma javítása is sürgős.

• Kiadási összefoglaló Magas 7.8 9 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: kilenc CVE, főként hálózati adatvédelmi és memóriakezelési hibák

  Az Apple 2026. szeptemberi kiadása 9 CVE-t fed le az iOS, iPadOS, macOS, tvOS, watchOS és visionOS rendszerekben. Három súlyos, öt közepes, egy alacsony; egyik sincs a CISA KEV listáján, és egyikről sem rögzítettek kihasználást. Először az iOS/iPadOS 26.6 frissítést telepítse a hálózaton elérhető ujjlenyomat-azonosítási hiba miatt, majd a memóriakezelési javításokat.

• Kiadási összefoglaló Magas 8.8 34 érintett CVE Apple 2026. szeptember 15.

  Apple biztonsági frissítések, 2026. szeptember: hét magas súlyosságú javítás, összesen 34 CVE

  Az Apple 2026. szeptemberi frissítései 34 CVE-t kezelnek a Safari, az iOS, az iPadOS, a macOS, a tvOS, a visionOS és a watchOS rendszerekben. Egyik CVE sem szerepel a CISA KEV-ben. Kezdje a hét magas súlyosságú, webes tartalommal és a rendszermaggal kapcsolatos hibákkal, majd foglalkozzon a közepes és alacsony súlyosságú tételekkel.

• Kiadási összefoglaló Kritikus 9.8 98 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: a 98 javítás élén két kritikus macOS-kernelhiba áll

  Az Apple 2026. szeptemberi biztonsági frissítései 98 CVE-t fednek le: 2 kritikus, 34 magas, 61 közepes és 1 alacsony besorolású hibát. Egyik sem szerepel a CISA KEV listáján, és egyiket sem jelölték kihasználtként. A két kritikus macOS-kernelhiba hitelesítés nélkül, hálózaton keresztül érhető el, ezért először a macOS-t javítsa.

• Kiadási összefoglaló Kritikus 9.8 118 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: 118 javítás között öt kritikus, alaprendszert érintő hiba

  Az Apple 2026. szeptemberi frissítése 118 CVE-t kezel iOS, iPadOS, macOS, tvOS, visionOS, watchOS és Safari rendszereken. A hatókörbe tartozó CVE-k egyikének sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV-katalógusban. Az öt kritikus és 28 magas súlyosságú hiba – elsősorban memóriasérülések és jogosultsági problémák – gyors, széles körű javítást tesz szükségessé.

• Kritikus 9.8 CVE-2026-12351 IBM 2026. szeptember 15.

  Az IBM MQ JNDI-injekció hitelesítést nem igénylő távoli kódfuttatást tesz lehetővé (CVE-2026-12351)

  Az IBM MQ 9.3.0.0, 9.4.0.0 és 10.0.0.0 kiadási vonalai hitelesítést nem igénylő távoli kódfuttatást tesznek lehetővé a nem biztonságos JNDI-keresés révén, ha az IVT-alkalmazás telepítve van. CVSS 9,8 (kritikus). Telepítse az IBM javítását, és ellenőrizze a kiadásához tartozó megfelelő buildet.

• Kritikus 9.8 KEV CVE-2026-76461 Cisco 2026. szeptember 14.

  CVE-2026-76461: SQL-befecskendezés a Cisco Secure Email Gatewayben hitelesítés nélküli távoli parancsvégrehajtást tesz lehetővé

  A Cisco Secure Email Gateway AsyncOS e-mail-értelmezése kritikus SQL-befecskendezési hibát tartalmaz (CVE-2026-76461). Egy távoli, hitelesítést nem igénylő támadó speciálisan kialakított e-mail küldésével root jogosultsággal futtathat parancsokat. A CISA KEV és a Cisco PSIRT megerősítik az aktív kihasználást; telepítse a javított kiadást.

• Kritikus 9.8 CVE-2026-76440, CVE-2026-76441, CVE-2026-76443 … Cisco 2026. szeptember 14.

  A Cisco Secure Email Gateway megerősítő kiadása kritikus és magas súlyosságú sérülékenységeket javít (CVE-2026-76440 és mások)

  A Cisco biztonsági megerősítő kiadást adott ki a Cisco Secure Email és a Cisco Secure Email and Web Manager termékekhez. A sérülékenységek közül négy kritikus, egy pedig magas besorolású, és mindegyik hálózaton keresztül, hitelesítés nélkül érhető el. A Cisco nem tud ismert aktív kihasználásról. Kerülő megoldás nem létezik; telepítse a Cisco biztonsági megerősítő kiadását.

• Heti összefoglaló Magas 8.1 8 érintett CVE IBM 2026. szeptember 13.

  IBM-sérülékenységek, 2026. 37. hét: két magas súlyosságú Db2-hiba és öt WebSphere CVE

  Az IBM 2026. 37. heti kiadása nyolc CVE-t érint a Db2 és a WebSphere Application Server termékekben: kettő magas, hat közepes súlyosságú. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV-jegyzékben. Először a Db2-t javítsa, majd a WebSphere-t állítsa 9.0.5.29 vagy 8.5.5.31 verzióra.

• Heti összefoglaló Magas 7.2 9 érintett CVE Palo Alto Networks 2026. szeptember 13.

  Palo Alto Networks 2026. 37. hét: kilenc javítás, középpontban a PAN-OS XML puffertúlcsordulás

  A Palo Alto Networks 9 CVE-t tett közzé a 2026. szeptember 7–13. közötti hétre: 1 magas, 5 közepes és 3 alacsony súlyosságút. Egyik sem szerepel a CISA KEV listáján, és egyiknek sincs ismert aktív kihasználása. A CVE-2026-0310 egy hitelesítést nem igénylő, a PAN-OS XML-feldolgozásában fellépő puffertúlcsordulás, amely DoS-t vagy root szintű kódfuttatást okozhat. Először a PAN-OS és a Prisma Access rendszereket javítsa, majd az ügynököket és a Checkovot.

• Heti összefoglaló Kritikus 9.6 10 érintett CVE Fortinet 2026. szeptember 13.

  Fortinet 2026. 37. hét: kritikus FortiMonitorOnSight hitelesítésmegkerülés vezeti a 10 CVE-t

  A Fortinet 2026. 37. heti kiadása 10 CVE-t tartalmaz: egy kritikus, kettő magas, öt közepes és kettő alacsony besorolásút. A legfontosabb a CVE-2026-84390, egy hitelesítést nem igénylő hitelesítésmegkerülési sérülékenység a FortiMonitorOnSight-ban. A CVE-k egyike sincs aktívan kihasználtként jelölve, és egyik sem szerepel a CISA KEV katalógusában; javított verziókat sem tettek közzé.

• Heti összefoglaló Kritikus 10.0 KEV 16 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 13.

  Nyílt forráskódú üzleti platformok, 2026. 37. hét: kihasznált Adobe Commerce hiba 17 sérülékenység között

  2026. 37. hét: 17 sérülékenység az Adobe Commerce, a Magento, a Dolibarr, a TYPO3, a Frappe, a WooCommerce és a PrestaShop platformokon; 15 rendelkezik CVE-azonosítóval. A CVE-2026-75650 egy kihasznált, CVSS 10 besorolású Adobe Commerce sablonmotor-hiba, amely szerepel a CISA KEV listáján. Először ezt a gyorsjavítást telepítse, majd a szeptemberi frissítéseket.

• Magas 8.7 CVE-2026-89013, CVE-2026-89012 Dolibarr 2026. szeptember 12.

  Dolibarr 23.0.4–24.0.0: a jogosultság-ellenőrzés és az SQL-szűrő megkerülése fájlokat és jelszókivonatokat tesz elérhetővé (CVE-2026-89013, CVE-2026-89012)

  A Dolibarr 24.0.1-es kiadása két magas súlyosságú hibát javít: egy hitelesítést nem igénylő, fájlok olvasását lehetővé tevő jogosultság-ellenőrzési megkerülést (CVE-2026-89013), valamint egy hitelesítés utáni, az SQL-szűrő tiltólistáját megkerülő hibát, amellyel jelszókivonatok szerezhetők vissza (CVE-2026-89012). Frissítse a 23.0.4 verziótól a 24.0.0 verzióig terjedő példányokat a 24.0.1-es verzióra.

• Kritikus 10.0 KEV CVE-2026-85706 2026. szeptember 12.

  Útvonalbejárás a GitLab repository commits API felületén hitelesítés nélküli fájlolvasást tesz lehetővé (CVE-2026-85706)

  A GitLab CE/EE repository commits API-jában hitelesítés nélkül kihasználható útvonalbejárás a kiszolgálón tárolt fájlokat fedheti fel. Frissítsen az adott verzióághoz tartozó javított kiadásra: 18.11.12, 19.0.9, 19.1.8, 19.2.6 vagy 19.3.2. A CISA KEV aktív kihasználást tart nyilván.

• Kritikus 9.6 CVE-2026-84390 Fortinet 2026. szeptember 11.

  FortiMonitorOnSight: a JWT-hitelesítés megkerülése hitelesítés nélküli webportál-hozzáférést tesz lehetővé (CVE-2026-84390)

  A Fortinet FortiMonitorOnSight webportálja kritikus sérülékenységet tartalmaz, amely lehetővé teszi a JWT-hitelesítés megkerülését (CVE-2026-84390) a 7.2.0–7.2.2 és a 7.2.4–7.2.7 verziókban. Javított verzió vagy kerülő megoldás nem szerepel a közleményben; korlátozza a hálózati kitettséget, és kísérje figyelemmel a hozzáféréseket.

• Magas 7.2 CVE-2026-0310 Palo Alto Networks 2026. szeptember 10.

  A PAN-OS XML-feldolgozás puffertúlcsordulása hitelesítés nélküli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé (CVE-2026-0310)

  A hitelesítést nem igénylő támadó, aki hálózati hozzáféréssel rendelkezik a PAN-OS felügyeleti vagy adatsík-interfészeihez, összeomlaszthatja a VM-Series tűzfalakat, vagy root jogosultságú kódfuttatást érhet el a PA-Series eszközökön. Javított verziók érhetők el; kerülő megoldás nem létezik.

• Kritikus 9.8 CVE-2026-85103 Check Point 2026. szeptember 9.

  Heap-alapú puffertúlcsordulás a Quantum Security Gateway és a Quantum Security Management VPN-tanúsítványainak ASN.1-dekódolásában (CVE-2026-85103)

  A Check Point Quantum Security Gateway és a Quantum Security Management termékeket kritikus heap-alapú puffertúlcsordulás érinti a VPN-tanúsítványok ASN.1-dekódolásában. Hitelesítést nem igénylő távoli támadó képes lehet kódot futtatni. Javított verzió még nem szerepel a gyártói biztonsági közleményben; korlátozza a hálózati kitettséget, és kísérje figyelemmel a gyártó biztonsági közleményét.

• Kritikus 9.8 KEV CVE-2026-85102 Check Point 2026. szeptember 9.

  Check Point Quantum Security Gateway nem megfelelő tanúsítvány-ellenőrzése hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-85102)

  A Check Point Quantum Security Gateway kritikus tanúsítvány-ellenőrzési hibája (CVE-2026-85102) lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak. A CISA KEV aktívan kihasznált sérülékenységként tartja nyilván. Azonnal alkalmazza a Check Point SK1000117 enyhítő intézkedését.

• Magas 7.3 CVE-2026-84393 Fortinet 2026. szeptember 9.

  A FortiOS és a FortiProxy Agentless ZTNA-portáljának nem megfelelő tanúsítvány-ellenőrzése man-in-the-middle támadást tesz lehetővé (CVE-2026-84393)

  Az Agentless ZTNA-portál nem megfelelő tanúsítvány-ellenőrzése a FortiOS 7.6.1–7.6.6 és a FortiProxy 7.6.2–7.6.6 verziókat érinti, és lehetővé teheti, hogy egy távoli, hitelesítést nem igénylő támadó man-in-the-middle támadást hajtson végre. Javított verzió egyelőre nem szerepel.

• Kritikus 9.3 CVE-2026-77109, CVE-2026-76200, CVE-2026-76201 … Adobe Commerce / Magento 2026. szeptember 9.

  Adobe Commerce és Magento Open Source frissítése javítja a helytelen jogosultság-ellenőrzést, a tárolt XSS-t és az útvonalbejárást (APSB26-138)

  Az Adobe Commerce, a Commerce B2B és a Magento Open Source esetében a 2026. szeptemberi buildek telepítése szünteti meg a nyolc hibát: helytelen jogosultság-ellenőrzést, tárolt XSS-t és útvonalbejárást. A legsúlyosabb egy 9,3-as pontszámú tárolt XSS; több jogosultság-ellenőrzési hiba felhasználói beavatkozás nélkül kihasználható. Telepítse a 2026-sep jelű kiadást.

• Kritikus 9.9 KEV CVE-2026-84869 2026. szeptember 8.

  ScreenConnect-kliens vendégről gazdagépre irányuló fájlfuttatása jogosulatlan kódvégrehajtást tesz lehetővé (CVE-2026-84869)

  A 26.6.5 előtti ScreenConnect-klienseket egy 9,9-es besorolású, kritikus vendégről gazdagépre irányuló fájlfuttatási sérülékenység érinti. A CISA aktívan kihasználtként tartja nyilván. Frissítse a klienseket a 26.6.5.9742-es verzióra; a ScreenConnect-kiszolgálókat a hiba nem érinti.

• Kritikus 9.8 CVE-2026-66302 Microsoft 2026. szeptember 8.

  Hitelesítés nélkül kihasználható távoli kódfuttatás a Skype for Business Serverben (CVE-2026-66302)

  A Skype for Business Server kritikus távoli kódfuttatási hibája hitelesítés nélkül, a hálózaton keresztül kihasználható. A Microsoft javított buildeket adott ki a Skype for Business Server 2015 CU13, a 2019 CU8 és a Subscription Edition CU1 kiadásokhoz.

• Magas 7.8 KEV CVE-2026-85880 Microsoft 2026. szeptember 8.

  Windows ALPC heap-alapú puffertúlcsordulása helyi jogosultságszint-emelést tesz lehetővé (CVE-2026-85880)

  A CVE-2026-85880 a Windows ALPC összetevőben található heap-alapú puffertúlcsordulás. Egy hitelesített helyi támadó jogosultságszint-emelésre használhatja ki, és a CISA KEV-katalógusa, valamint a Microsoft aktívan kihasználtként tartják nyilván. A javított Windows-buildök elérhetők.

• Magas 7.8 KEV CVE-2026-81963 Microsoft 2026. szeptember 8.

  Windows Update Stack hivatkozáskövetési hibája helyi jogosultságszint-emelést tesz lehetővé (CVE-2026-81963)

  A Microsoft Windows Update Stack rendszerében egy magas súlyosságú, helyi jogosultságszint-emelést lehetővé tevő hiba található, amelyet a CISA KEV és a Microsoft kihasználtként tart nyilván. Telepítse a Windows 11 és a Windows Server 2025 2026. szeptemberi frissítéseit.

• Kritikus 9.8 CVE-2026-69910 Microsoft 2026. szeptember 8.

  Windows Hyper-V: veremalapú puffertúlcsordulás távoli kódfuttatást tesz lehetővé (CVE-2026-69910)

  A Windows Hyper-V veremalapú puffertúlcsordulása hitelesítés és felhasználói beavatkozás nélkül, hálózaton keresztül kihasználható. A Microsoft kiadta a javított buildeket; telepítse a 2026. szeptemberi biztonsági frissítést.

• Kritikus 9.8 CVE-2026-69845 Microsoft 2026. szeptember 8.

  A Windows DHCP Server heap-alapú puffertúlcsordulása távoli kódfuttatást tesz lehetővé (CVE-2026-69845)

  CVE-2026-69845: A Windows DHCP Server kritikus heap-alapú puffertúlcsordulása hitelesítés nélküli távoli kódfuttatást tesz lehetővé felhasználói beavatkozás nélkül. A sérülékenység a Windows Server 2012, 2012 R2, 2016, 2019, 2022 és 2025, valamint a Windows 10 1607/1809 verzióit érinti. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítéseit.

• Kritikus 9.6 CVE-2026-65669 Microsoft 2026. szeptember 8.

  A Microsoft SQL Server Management Studio 22 injekciós hibája lehetővé teszi, hogy hitelesítés nélküli támadók a hálózaton keresztül jogosultságszint-emelést érjenek el (CVE-2026-65669)

  A Microsoft SQL Server Management Studio 22 22.8.2 előtti kiadásaiban kritikus injekciós hiba (CVSS 9,6) található; ezt a hibát kihasználva egy hitelesítés nélküli támadó a hálózaton keresztül, felhasználói interakcióval jogosultságszint-emelést érhet el. Frissítsen a 22.8.2 verzióra.

• Kiadási összefoglaló Kritikus 10.0 19 érintett CVE SAP 2026. szeptember 8.

  SAP Security Patch Day, 2026. szeptember: 19 javításból négy kritikus sérülékenység

  A 2026. szeptemberi SAP Security Patch Day 19 CVE-t ölel fel: 4 kritikus, 4 magas, 8 közepes és 3 alacsony besorolású. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. Először a hitelesítés nélkül, hálózaton keresztül támadható problémákat kezelje az SAP Extended Passport, az SAP NetWeaver Message Server és az SAP CAP esetében, majd a fennmaradó SAP Note-ok alapján javítsa a többi hibát.

• Kritikus 9.8 CVE-2026-67643 Microsoft 2026. szeptember 8.

  A Microsoft SQL Server heap-alapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak (CVE-2026-67643)

  A Microsoft SQL Server kritikus heap-alapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak. Az SQL Server 2022 és 2025 CU- és GDR-ágához a javított buildek már elérhetők.

• Kiadási összefoglaló Kritikus 9.8 KEV 938 érintett CVE Microsoft 2026. szeptember 8.

  Microsoft Patch Tuesday, 2026. szeptember: két kihasznált Windows-hiba a 938 javítás élén

  A Microsoft 2026. szeptemberi Patch Tuesday-kiadása 938 CVE-t tartalmaz, köztük két, támadásokban már kihasznált Windows jogosultságszint-emelési hibát, amelyek már a CISA KEV-listáján szerepelnek, valamint 41 kritikus besorolású problémát. Először a Windows ALPC-t és a Windows Update Stacket érintő javításokat részesítse előnyben, majd a hálózatról elérhető SQL Server- és Skype for Business-frissítéseket, valamint a Windows-összetevők frissítéseit.

• Kritikus 9.0 CVE-2026-67636 Microsoft 2026. szeptember 8.

  Microsoft SQL Server: hitelesítés nélküli távoli kódfuttatás határokon kívüli olvasás miatt (CVE-2026-67636)

  A Microsoft SQL Server 2019, 2022 és 2025 verziói kritikus súlyosságú, határokon kívüli olvasási hibát tartalmaznak. A hálózaton keresztül, hitelesítés nélkül támadó fél kódot futtathat; a javított buildek elérhetők.

• Kritikus 9.8 CVE-2026-78509 Microsoft 2026. szeptember 8.

  A Microsoft Office Outlook heap-alapú puffertúlcsordulási hibája hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-78509)

  A Microsoft Office Outlook kritikus heap-alapú puffertúlcsordulási hibája (CVE-2026-78509) lehetővé teszi, hogy hitelesítés nélküli támadó hálózaton keresztül kódot futtasson. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítéseit az Ön Office-kiadásához.

• Kritikus 9.0 CVE-2026-67378 Microsoft 2026. szeptember 8.

  CVE-2026-67378: Hitelesítés nélküli távoli kódfuttatás a Microsoft SQL Serverben

  Kritikus, hitelesítés nélkül kihasználható távoli kódfuttatási sérülékenység érinti a Microsoft SQL Server 2019, 2022 és 2025 verzióit. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítését.

• Kritikus 9.8 CVE-2026-69579 Microsoft 2026. szeptember 8.

  Windows Message Queuing use-after-free sebezhetősége távoli kódvégrehajtást tesz lehetővé (CVE-2026-69579)

  A Windows Message Queuing use-after-free sebezhetősége lehetővé teszi, hogy egy támadó hitelesítés nélkül, a hálózaton keresztül kódot futtasson (CVSS 9,8). A Microsoft a 2026. szeptemberi frissítésben tette közzé a javított buildeket. Telepítse ezeket az érintett Windows 10, Windows 11 és Windows Server rendszerekre.

• Kritikus 9.8 CVE-2026-72982 Microsoft 2026. szeptember 8.

  A Windows Netlogon veremalapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak (CVE-2026-72982)

  A Microsoft Windows Netlogon összetevőjében kritikus veremalapú puffertúlcsordulás található (CVE-2026-72982). Hitelesítés nélküli támadó hálózaton keresztül, felhasználói beavatkozás nélkül futtathat kódot. A 2026. szeptemberi biztonsági frissítés tartalmazza a javított buildeket; telepítse őket az érintett Windows-kliensekre és -kiszolgálókra.

• Kritikus 9.8 CVE-2026-72979 Microsoft 2026. szeptember 8.

  Windows DHCP Server use-after-free sérülékenysége távoli kódfuttatást tesz lehetővé (CVE-2026-72979)

  A Windows DHCP Server use-after-free sérülékenysége lehetővé teszi, hogy hitelesítés nélküli támadó a hálózaton keresztül kódot futtasson. A Microsoft a hibát kritikusnak minősíti, és javított buildeket adott ki az érintett Windows Server és Windows 10 verziókhoz. Telepítse mielőbb a 2026. szeptemberi frissítéseket.

• Kritikus 9.1 CVE-2026-69641 Microsoft 2026. szeptember 8.

  Microsoft Exchange Server hiányzó jogosultság-ellenőrzése jogosultságszint-emelést tesz lehetővé (CVE-2026-69641)

  A Microsoft Exchange Server hiányzó jogosultság-ellenőrzésből eredő sérülékenységet tartalmaz (CVE-2026-69641). Egy hitelesített, magas jogosultságú támadó a hálózaton keresztül további jogosultságokat szerezhet. A javított biztonsági frissítések elérhetők; telepítse a felsorolt buildeket. CVSS 9,1.

• Kritikus 9.3 CVE-2026-69356 Microsoft 2026. szeptember 8.

  Microsoft Exchange Server XSS-hibája hálózaton keresztüli hamisítást tesz lehetővé (CVE-2026-69356)

  A Microsoft Exchange Server 2016 CU23, 2019 CU14/CU15 és Subscription Edition RTM kiadásait cross-site scripting (XSS) biztonsági rés érinti, amelynek CVSS-besorolása 9,3 (kritikus). A Microsoft a 2026. szeptemberi biztonsági frissítésekben tette közzé a javított buildeket.

• Kritikus 9.8 CVE-2026-69730 Microsoft 2026. szeptember 8.

  A Windows DNS Server use-after-free típusú sérülékenysége hitelesítés nélküli, távoli kódfuttatást tesz lehetővé (CVE-2026-69730)

  A Windows DNS Server use-after-free sérülékenysége (CVE-2026-69730) jogosultság és felhasználói beavatkozás nélkül, hálózaton keresztül történő kódfuttatást tesz lehetővé. A Microsoft kiadta a javításokat az érintett Windows 10- és Windows Server-buildekhez; telepítse a 2026. szeptemberi frissítést.

• Kritikus 9.8 CVE-2026-69525 Microsoft 2026. szeptember 8.

  CVE-2026-69525: Use-after-free hiba a Windows Remote Desktop Servicesben – nem hitelesített távoli kódfuttatást tesz lehetővé

  A Windows Remote Desktop Services szolgáltatásban található use-after-free (CVE-2026-69525) jogosulatlan távoli kódfuttatást tesz lehetővé a hálózaton keresztül. CVSS-alappontszáma 9,8 (kritikus); a Microsoft fontosként sorolja be. Aktív kihasználást vagy nyilvános közzétételt nem rögzítettek. Telepítse a 2026. szeptemberi biztonsági frissítést.

• Kritikus 9.8 CVE-2026-67631 Microsoft 2026. szeptember 8.

  Microsoft SQL Server heap-alapú puffertúlcsordulása hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-67631)

  A Microsoft SQL Server 2017-től 2025-ig terjedő kiadásait érinti egy kritikus heap-alapú puffertúlcsordulás (CVE-2026-67631), amely lehetővé teszi, hogy hitelesítés nélküli támadó hálózaton keresztül kódot futtasson. Telepítse az Ön ágához tartozó, 2026. szeptemberi biztonsági frissítést; a javított buildeket alább soroljuk fel.

• Kritikus 9.4 CVE-2026-76969 SAP 2026. szeptember 8.

  Az SAP Cloud Application Programming Model hitelesítőadat-kiszivárogtatása hitelesítés nélkül lehetővé teszi a bérlői adatok cseréjét vagy törlését (CVE-2026-76969)

  Azok a több-bérlős SAP Cloud Application Programming Model (CAP) alkalmazások, amelyeknél az @sap/cds-mtxs csomag verziója legfeljebb 1.18.3, legfeljebb 2.7.6, legfeljebb 3.9.6, illetve legfeljebb 4.0.2, hitelesítés nélküli hitelesítőadat-kiszivárogtatást tesznek lehetővé, ami bérlői adatok cseréjéhez vagy törléséhez vezethet. Alkalmazza az SAP Note 3798315 dokumentumot.

• Kritikus 9.0 CVE-2026-66768 SAP 2026. szeptember 8.

  A SAP GUI for Java nem megfelelő hozzáférés-szabályozása tetszőleges parancsok végrehajtását teszi lehetővé (CVE-2026-66768)

  A SAP GUI for Java (BC-FES-JAV 8.10) nem megfelelően érvényesíti a csatlakoztatott háttérrendszer által meghívott funkciókra vonatkozó bizalmi szintű szabályzatot, így egy alacsony jogosultságú támadó tetszőleges parancsokat futtathat az áldozat gépén (CVSS 9). Alkalmazza a SAP Note 3781729 szerinti javítást.

• Kritikus 9.8 CVE-2026-58240 SAP 2026. szeptember 8.

  Hiányzó hitelesítési ellenőrzés az SAP NetWeaver Message Serverben: hitelesítés nélküli támadók komponenseket regisztrálhatnak (CVE-2026-58240)

  Az SAP NetWeaver Message Server KERNEL 9.16, 9.18, 9.19 és 9.20 verziójából hiányzik egy hitelesítési ellenőrzés. A hálózati hozzáféréssel rendelkező, hitelesítés nélküli támadó jogosulatlan komponenst regisztrálhat, ami magas hatást gyakorolhat a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. Alkalmazza az SAP Note 3759472-t.

• Kritikus 10.0 CVE-2026-44756 SAP 2026. szeptember 8.

  Az SAP Extended Passport (EPP) memóriasérülése hitelesítés nélküli hálózati kompromittálódást tesz lehetővé (CVE-2026-44756)

  Az SAP Extended Passport (EPP) feldolgozó összetevője az SAP kernel- és Web Dispatcher-termékvonalakban kritikus memóriasérülési hibát tartalmaz (CVE-2026-44756). Hitelesítés nélküli támadó speciálisan kialakított EPP-fejlécet küldhet, ami nem definiált működést és a folyamat leállását okozhatja. Alkalmazza az SAP Note 3747649 alapján elérhető javítást.

• Kritikus 10.0 KEV CVE-2026-75650 2026. szeptember 7.

  Az Adobe Commerce és a Magento Open Source sablonmotor-hibája hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-75650)

  A CISA KEV katalógusa szerint a CVE-2026-75650 azonosítójú sérülékenységet aktívan kihasználják. Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source sablonmotorjában olyan hiba van, amely hitelesítés nélküli távoli kódfuttatást tesz lehetővé. Telepítse a megfelelő gyorsjavítást, és az internet felől elérhető példányokat tekintse kitettnek.

• Heti összefoglaló Magas 7.5 6 érintett CVE IBM 2026. szeptember 6.

  IBM 2026. 36. hét: hat CVE, élen egy magas súlyosságú Verify Identity Access információfeltárási sérülékenység

  Az IBM 2026. 36. heti csomagja hat CVE-t tartalmaz: egy magas, öt közepes súlyosságút; egyik sem szerepel a CISA KEV-ben, és nincs megerősített aktív kihasználás. A prioritás a CVE-2026-13297, egy hitelesítést nem igénylő információfeltárási sérülékenység a Verify Identity Access és a Security Verify Access termékekben. Először ezt javítsa, majd a Db2 Mirror és az MQ Agent következzen.

• Heti összefoglaló Kritikus 9.8 11 érintett CVE Cisco 2026. szeptember 6.

  Cisco 2026. 36. hete: a 11 CVE-t három kritikus IOS XR- és NX-OS-sérülékenység vezeti

  A Cisco 2026. 36. heti kiadása 11 CVE-t érint: 3 kritikus, 6 magas és 2 közepes besorolású. A CVE-k egyike sincs kihasználtként nyilvántartva, és nincs közöttük CISA KEV-bejegyzés sem. Elsőként az NX-OS Silicon One távoli kódfuttatási hibáját és az IOS XR megerősítési (hardening) kiadását kezelje, majd a SIP- és a Secure Email-javításokat.

• Heti összefoglaló Magas 7.6 2 érintett CVE Nyílt forráskódú üzleti platformok 2026. szeptember 6.

  Nyílt forráskódú üzleti platformok, 2026. 36. hete: SQL-injekció a WooCommerce-ben és hozzáférés-szabályozási gyengeség a Dolibarrban

  Nyílt forráskódú üzleti platformok, 2026. 36. hete: két CVE, egy magas és egy közepes súlyosságú. A WooCommerce 11.0 előtti verzióiban magas súlyosságú SQL-injekció található; a Dolibarrban egy közepes súlyosságú hozzáférés-szabályozási gyengeség található, amelyet a 23.0.4-es verzió javít. Egyik sem szerepel a CISA KEV listáján. Először frissítse a WooCommerce-t.

• Kritikus 10.0 KEV CVE-2026-86218 2026. szeptember 6.

  N-central hitelesítést nem igénylő távoli kódfuttatási sérülékenysége jogosulatlan kódfuttatást tesz lehetővé (CVE-2026-86218)

  Az N-central 2026.3.1.14 előtti kiadásaiban hitelesítést nem igénylő távoli kódfuttatási sérülékenység (CVE-2026-86218) található, amely a CVSS 4.0 szerint 10-es, kritikus besorolású. A CISA KEV katalógusa aktívan kihasználtként tartja nyilván. Azonnal telepítse a javított N-central 2026.3.1.14 kiadást.

• Kritikus 9.2 KEV CVE-2026-86060 2026. szeptember 5.

  MikroTik RouterOS SSH-felhasználónév-hibája jogosultságszint-emelést tesz lehetővé (CVE-2026-86060)

  A MikroTik RouterOS kritikus SSH-bejelentkezési hibát tartalmaz (CVE-2026-86060), amely hitelesítést nem igénylő támadó számára is lehetővé teszi a jogosultságszint-emelést. A CISA KEV-katalógusa kihasználtként tartja nyilván a hibát. Frissítsen a RouterOS 6.49.21, 7.23.4 vagy 7.24.2 verzióra, és korlátozza az SSH elérhetőségét.

• Kritikus 9.8 CVE-2026-11928, CVE-2026-11921, CVE-2026-12101 … IBM 2026. szeptember 5.

  IBM Verify Identity Access és Security Verify Access: puffertúlcsordulás több javított hiba között (CVE-2026-11928)

  Az IBM több sérülékenységet javított a Verify Identity Access és a Security Verify Access termékekben, köztük egy hálózatról elérhető, CVSS 9,8-as pontszámú puffertúlcsordulást. Telepítse az IBM frissítését, és vizsgálja felül az internet felől elérhető példányokat.

• Kritikus 9.8 CVE-2026-20274, CVE-2026-20279, CVE-2026-20275 … Cisco 2026. szeptember 3.

  Cisco IOS XR Software: a 2026. szeptemberi biztonsági megerősítő kiadás belsőleg feltárt sérülékenységeket javít

  A Cisco IOS XR Software terméket több, belső biztonsági vizsgálat során feltárt sérülékenység érinti; ezeket a 2026. szeptemberi biztonsági megerősítő kiadás javítja. Kettő közülük kritikus, és hitelesítés nélkül elérhető; nincs kerülő megoldás. Telepítse a kiadást, és korlátozza az eszközök hálózati kitettségét.

• Kritikus 9.8 CVE-2026-20212 Cisco 2026. szeptember 2.

  Cisco Nexus 3000 és 9000 sorozatú switchek Silicon One HAL távoli kódfuttatás (CVE-2026-20212)

  A Nexus 3000/9000 sorozatú eszközökön futó Cisco NX-OS az alapértelmezett L3 VRF-ben elérhetővé teszi a 43210-es és a 43211-es TCP-portot, ami hitelesítés nélküli, távoli kódfuttatást tesz lehetővé root jogosultságokkal. A CVSS-pontszám 9,8, kritikus. Telepítse a Cisco javítását, és kerülő megoldásként alkalmazzon iACL-eket.

• Kritikus 10.0 KEV CVE-2026-83548 2026. szeptember 1.

  SMA1000 Work Place: hitelesítést nem igénylő SSRF érzékeny funkciókhoz ad hozzáférést (CVE-2026-83548)

  Az SMA1000 Work Place felületén hitelesítést nem igénylő SSRF sérülékenység található (CVE-2026-83548). A CVSS 3.1 szerinti pontszám 10 (kritikus); távoli, nem hitelesített támadók érzékeny funkciókhoz férhetnek hozzá. A CISA KEV aktív kihasználást jelez. Telepítse az alább felsorolt javított buildeket.

• Heti összefoglaló Kritikus 9.6 31 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. augusztus 30.

  Nyílt forráskódú üzleti platformok, 2026. 35. hét: három kritikus Shopware biztonsági közlemény áll a 31 javítás élén

  Nyílt forráskódú üzleti platformok, 2026. 35. hét: 31, ebbe a körbe tartozó sérülékenység a Shopware, a Dolibarr, a Frappe, a Drupal core és az ERP rendszerekben. Három kritikus Shopware biztonsági közlemény és a Dolibarr REST API-hibái emelkednek ki; CISA KEV-bejegyzés nincs, és aktív kihasználásról sem érkezett jelentés. Először a Shopware 6.6.10.23/6.7.13.1 és a Dolibarr 24.0.0 javításait telepítse.

• Kritikus 9.8 KEV CVE-2026-82329 2026. augusztus 28.

  JFrog Artifactory hitelesítési megkerülése hitelesítés nélküli adminisztrátori hozzáférést adhat (CVE-2026-82329)

  A JFrog Artifactory olyan hitelesítési hiányosságot tartalmaz, amely alapértelmezett konfiguráció mellett lehetővé teheti, hogy hitelesítés nélküli, hálózati hozzáféréssel rendelkező támadó adminisztrátori jogosultságokat szerezzen. A CISA aktív kihasználást tart nyilván. A javított kiadások: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 és 7.161.20.

• Kritikus 9.4 KEV CVE-2026-82078 2026. augusztus 28.

  A PaperCut MF/NG nem biztonságos dinamikus osztálybetöltése tetszőleges kódfuttatást tehet lehetővé (CVE-2026-82078)

  A PaperCut MF/NG adatbázis-kapcsolati segédprogramjaiban nem biztonságos dinamikus osztálybetöltési hiba található. Magas jogosultságú támadók, akik képesek módosítani a konfigurációt, tetszőleges Java bytecode-ot futtathatnak. A CISA KEV és az SSVC aktív kihasználást jelez; javított verziók érhetők el. Telepítse a frissítést haladéktalanul.

• Kritikus 9.8 KEV CVE-2026-60004 2026. augusztus 26.

  Távoli kódfuttatás a Gitea diffpatch API-ján keresztül Git hook telepítésével (CVE-2026-60004)

  A Gitea 1.27.1 előtti verziói hitelesítést nem igénylő távoli kódfuttatást tesznek lehetővé a diffpatch API-n keresztül, Git hook telepítésével. A CISA KEV katalógusa szerint a sérülékenységet aktívan kihasználják. Frissítsen a Gitea 1.27.1-es verziójára.

• Kiadási összefoglaló Magas 8.8 5 érintett CVE Apple 2026. augusztus 26.

  Apple biztonsági frissítések, 2026. augusztus: öt CVE, köztük egy nagy súlyosságú Safari CSP-megkerülés

  Az Apple 2026. augusztusi biztonsági frissítései öt CVE-t érintenek: egy nagy, három közepes és egy alacsony súlyosságút. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. Elsőként a nagy súlyosságú Safari Content Security Policy-megkerülést kezelje, ezt követi a hálózati szolgáltatásmegtagadás, majd frissítse az iOS-t, az iPadOS-t, a Safarit és a kapcsolódó Apple-rendszereket.

• Kritikus 9.6 GHSA-6qhw-38wm-7g7h, GHSA-xj2c-8fw5-mr6m, GHSA-xrcf-c96g-q5hr … Shopware 2026. augusztus 25.

  Shopware 6.6.10.23 és 6.7.13.1 javítják az App Script sandboxból való kiszökését, az adminisztrátori fiók átvételét és további hibákat

  A Shopware 6.6.10.23 és 6.7.13.1 kiadásai tíz hibát javítanak, köztük egy kritikus App Script sandboxból való kiszökést, a Host fejléc mérgezésével végrehajtható adminisztrátori fiók átvételét, SQL-injekciót, SSRF-et és útvonal-bejárást. Azonnal frissítsen.

• Magas 8.8 CVE-2026-81730, CVE-2026-71504, CVE-2026-81728 … Dolibarr 2026. augusztus 25.

  Dolibarr 24.0.0 javítja az útvonalbejárási, SQL-injekciós és REST API-s jogosultság-ellenőrzési hibákat

  A 24.0.0-nál korábbi Dolibarr-verziókat tíz magas súlyosságú hiba érinti: hitelesítést nem igénylő útvonalbejárás az EmailCollector mellékletein keresztül, SQL-injekció az importálási és felhasználói API-kban, valamint a REST API jogosultság-ellenőrzésének megkerülései, amelyek jelszavakat, kifizetéseket, banki adatokat és bérszámfejtést érintenek. Frissítsen a 24.0.0-s verzióra.

• Heti összefoglaló Kritikus 10.0 125 érintett CVE Cisco 2026. augusztus 23.

  Cisco-sérülékenységek, 2026. 34. hét: a kritikus Splunk-, Crosswork- és Secure Workload-javítások vezetik a 125 CVE-s listát

  A Cisco 2026. évi 34. hete 125 CVE-t ölel fel: 12 kritikus, 42 magas, 66 közepes és 5 alacsony besorolású. Egyik CVE sem szerepel a CISA KEV listáján, és egyiknek sincs ismert aktív kihasználása. Kezelje prioritásként a Crosswork Planning, a Secure Workload, a Splunk Enterprise beágyazott jelentéseit és a Splunk MCP Server alkalmazást, majd haladjon tovább a fennmaradó magas besorolású Splunk-tételekre.

• Heti összefoglaló Magas 8.9 11 érintett CVE Nyílt forráskódú üzleti platformok 2026. augusztus 23.

  Nyílt forráskódú üzleti platformok, 2026. 34. hét: 11 javítás a Joomla és a WordPress feltöltési és hozzáférési hibáira

  A nyílt forráskódú üzleti platformok 2026. 34. heti összefoglalója (augusztus 17–23.) 11 CVE-t fed le: 10 a Joomla! CMS-t, egy a WordPress-t érinti. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. A négy magas súlyosságú hiba közé tartozik a Joomla SHTML-feltöltése, a WordPress PostScript RCE-je, továbbá egy ACL- és egy MFA-megkerülés. Frissítse a Joomlát 5.4.8 vagy 6.1.3 verzióra; frissítse a WordPress-t.

• Heti összefoglaló Kritikus 9.9 144 érintett CVE IBM 2026. augusztus 23.

  IBM AIX 2026. 34. hét: 32 kritikus sérülékenység, köztük hitelesítést nem igénylő parancsvégrehajtás

  Az IBM 2026. 34. heti kiadása 144 AIX CVE-t tartalmaz; ezek egy része a PowerVM VIOS-t is érinti: 32 kritikus, 79 magas besorolású. Egyik CVE sem szerepel a CISA KEV-katalógusában, és egyikről sem jelentették, hogy aktívan kihasználták volna. A hitelesítést nem igénylő parancsvégrehajtási és memóriasérülési hibákat az AIX és a VIOS rendszereknél az internet felől elérhető gépeken kell először javítani.

• Kritikus 9.1 CVE-2026-76404 Cisco 2026. augusztus 20.

  A Splunk MCP Server app deszerializációs hibája révén az admin szerepkörű felhasználók parancsokat futtathatnak az operációs rendszeren (CVE-2026-76404)

  A Splunk MCP Server app 1.2-es verziójától az 1.2.1-es verzió előtti kiadásokig terjedő változatai kritikus deszerializációs sérülékenységet tartalmaznak (CVSS 9,1). Az admin Splunk szerepkörrel rendelkező támadó tetszőleges parancsokat hajthat végre az operációs rendszeren. A probléma javításához telepítse az 1.2.1-es verziót.

• Kritikus 9.4 CVE-2026-76312 Cisco 2026. augusztus 20.

  Nem megfelelő hozzáférés-szabályozás a Splunk Enterprise beágyazott jelentéseiben hitelesítés nélküli adathozzáférést tesz lehetővé (CVE-2026-76312)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 verzióiban a javított buildek előtt nem megfelelő hozzáférés-szabályozás érvényesül a beágyazott jelentéseknél. Az a hitelesítés nélküli felhasználó, aki el tudja olvasni egy beágyazó oldal HTML-forrását, az abban feltárt munkamenet-adatokat újra felhasználva adatokhoz férhet hozzá, és befolyásolhatja a rendszer sértetlenségét. Telepítse a javított kiadásokat.

• Kritikus 9.4 CVE-2026-76311 Cisco 2026. augusztus 19.

  Splunk Enterprise beágyazott jelentéseinek hozzáférés-szabályozása lehetővé teszi, hogy hitelesítetlen felhasználók dispatch-archívumokat töltsenek le (CVE-2026-76311)

  A Splunk Enterprise 10.4.2, 10.2.6, 10.0.9 és 9.4.14 előtti verziói a beágyazott jelentések dispatch-archívumait érintő, nem megfelelő hozzáférés-szabályozási hibát tartalmaznak. A beágyazott jelentés tokenjével rendelkező hitelesítetlen felhasználó letöltheti az archívumot, és az abban lévő, hozzáférhetővé vált munkamenet-adatokkal hozzáférhet az adatokhoz, valamint befolyásolhatja a sértetlenséget. Frissítsen most.

• Kritikus 9.4 CVE-2026-76310 Cisco 2026. augusztus 19.

  A Splunk Enterprise beágyazott jelentéseinek hozzáférés-szabályozási hibája lehetővé teszi, hogy hitelesítés nélküli felhasználók adminisztratív műveleteket hajtsanak végre (CVE-2026-76310)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 javított buildek előtti verziói kritikus hozzáférés-szabályozási hibát tartalmaznak. A hitelesítés nélküli felhasználó egy beágyazott jelentés tokenjével munkamenet-adatokat szerezhet meg, és a jelentés tulajdonosának jogosultságaival – adott esetben admin szerepkörrel – járhat el. Frissítsen a 9.4.14, 10.0.9, 10.2.6 vagy 10.4.2 verzióra.

• Kiadási összefoglaló Kritikus 10.0 KEV 390 érintett CVE Oracle 2026. augusztus 19.

  Oracle Critical Patch Update, 2026. augusztus: egy kihasznált Identity Manager-sérülékenység a 390 javítás között

  Oracle 2026. augusztusi Critical Patch Update kiadása 390 CVE-t fed le: 84 kritikus és 247 magas. A CVE-2025-61757 az Oracle Identity Managerben aktívan kihasznált, és szerepel a CISA KEV listáján. Először ezt telepítse, majd a hitelesítést nem igénylő Oracle Internet Directory (OID) és WebCenter sérülékenységeket, ezután pedig a teljes frissítést.

• Kritikus 9.5 KEV CVE-2026-72530 2026. augusztus 19.

  TrueConf Server: kitörés az elkülönített környezetből hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-72530)

  A TrueConf Server 5.3.9 előtti (5.3.x), 5.4.9 előtti (5.4.x) és 5.5.5 előtti (5.5.x) kiadásait a 4307-es TCP-porton keresztül egy hitelesítés nélküli támadó kihasználhatja arra, hogy kitörjön az elkülönített környezetből, és kódot futtasson a gazdagépen. A CISA KEV aktív kihasználást tart nyilván. Telepítse a javított buildeket.

• Kritikus 9.3 KEV CVE-2026-72529 2026. augusztus 19.

  A TrueConf Server hiányzó hitelesítése hitelesítés nélküli szkript futtatását teszi lehetővé a 4307/TCP porton keresztül (CVE-2026-72529)

  A CVE-2026-72529 kritikus (CVSS 9.3) súlyosságú hiányzó hitelesítési hiba a TrueConf Serverben. A 4307/TCP porthoz hálózati hozzáféréssel rendelkező távoli támadó hitelesítési adatok nélkül tetszőleges szkriptet futtathat. A CISA KEV aktív kihasználást tart nyilván; a javított verziók: 5.3.9, 5.4.9 és 5.5.5.

• Kritikus 10.0 CVE-2026-20317, CVE-2026-20315, CVE-2026-20231 … Cisco 2026. augusztus 19.

  Cisco Secure Workload 2026. augusztusi megerősítő kiadása nem megfelelő hitelesítést és hozzáférés-szabályozást javít (CVE-2026-20317 és további CVE-k)

  A Cisco Secure Workload 2026. augusztusi megerősítő kiadása több, belső vizsgálat során feltárt, nem megfelelő hitelesítési és hozzáférés-szabályozási sérülékenységet javít. A Cisco nem tud arról, hogy ezeket nyilvánosságra hozták vagy rosszindulatúan kihasználták volna. Telepítse a megerősítő kiadást; kerülő megoldás nem létezik.

• Kritikus 10.0 CVE-2026-20030, CVE-2026-20357, CVE-2026-20358 … Cisco 2026. augusztus 19.

  Cisco Crosswork Planning megerősítő kiadása SQL-befecskendezést, hiányzó hitelesítést és további hibákat javít (CVE-2026-20030, CVE-2026-20357)

  A Cisco Crosswork Planninghoz kiadott 2026. augusztusi megerősítő kiadás négy kritikus, hálózaton keresztül elérhető hibát javít, köztük SQL-befecskendezést és hiányzó hitelesítést. Kerülő megoldás nincs; a Cisco nem jelentett rosszindulatú kihasználást. Telepítse a megerősítő kiadást.

• Kritikus 9.9 CVE-2026-17040, CVE-2026-15068, CVE-2026-16816 … IBM 2026. augusztus 19.

  Az IBM AIX és a PowerVM VIOS kritikus sérülékenységei távoli kódfuttatást tesznek lehetővé (CVE-2026-17040, CVE-2026-15068 és további nyolc)

  Az IBM AIX 7.2/7.3 és a PowerVM VIOS 4.1 kritikus sérülékenységeket tartalmaznak, amelyek távoli, hitelesítést nem igénylő kódfuttatást, parancsinjektálást és jogosultságszint-emelést tesznek lehetővé. Az IBM már kiadta a VIOS javított buildjeit: 4.1.0.50, 4.1.1.30 és 4.1.2.20; ezeket haladéktalanul telepíteni kell.

• Kritikus 9.3 KEV CVE-2026-19490 2026. augusztus 19.

  NetScaler ADC és NetScaler Gateway: hitelesítés megkerülése (CVE-2026-19490)

  A NetScaler ADC és a NetScaler Gateway termékeket kritikus, hálózatról elérhető, hitelesítést megkerülő sérülékenység érinti, a CISA pedig aktív kihasználást tart nyilván. Néhány ADC-kiadáshoz javított buildeket sorolnak fel; ellenőrizze a saját verzióágát, és haladéktalanul korlátozza az eszközök elérhetőségét.

• Magas 8.9 CVE-2026-73337, CVE-2026-73373, CVE-2026-71574 … Joomla! 2026. augusztus 19.

  Joomla! Core biztonsági frissítése javítja az MFA-megkerülést, az SHTML-feltöltéseket és a webservice-ek ACL-hibáit

  A Joomla! Core 4.0.0-5.4.6 és 6.0.0-6.1.2 verziói (valamint a Joomla! Framework Filesystem csomag) több biztonsági hibát tartalmaznak, köztük MFA-megkerülést, SHTML-feltöltési hibát és a webservice-ek ACL-hibáit. Frissítsen a Joomla! CMS 5.4.8 vagy 6.1.3 verziójára.

• Magas 8.2 GHSA-xrwj-pq6w-f8m4, GHSA-w6j9-q9rq-wrqg, GHSA-2cr4-vw9p-pjvf … PrestaShop 2026. augusztus 18.

  PrestaShop 9.1.5 és 8.2.8 kiadásai javítják az SSRF-, SQL-injekciós és hozzáférés-vezérlési hibákat

  A PrestaShop 9.0.0-tól a 9.1.5 előtti verzióig, valamint a 8.0.0-tól a 8.2.8 előtti verzióig terjedő kiadásokat öt biztonsági közlemény érinti: SSRF, CSV-injekció, IP-hamisítás, SQL-injekció és hibás hozzáférés-vezérlés. Frissítsen a PrestaShop 9.1.5 vagy 8.2.8 verzióra.

• Magas 8.8 CVE-2026-65640 WordPress 2026. augusztus 18.

  Távoli kódfuttatás a WordPressben Author szintű felhasználók által feltöltött PostScript-fájl révén (CVE-2026-65640)

  CVE-2026-65640: a WordPress 7.0.4 előtti verzióiban magas súlyosságú távoli kódfuttatási hiba található. Ha az Imagick és a Ghostscript engedélyezve van, egy Author szintű felhasználó rosszindulatú PostScript-fájlt tölthet fel. Frissítsen a WordPress 7.0.4-es verziójára, vagy telepítse a használt ághoz kiadott visszaportolt javítást.

• Kritikus 9.3 KEV CVE-2026-64849 2026. augusztus 17.

  Az MLflow webhook-tesztjében található SSRF hitelesítés nélkül elérhetővé teszi a belső és felhős metaadat-szolgáltatásokat (CVE-2026-64849)

  Az MLflow 3.15.0 előtti verzióiban a webhook-tesztelés során hitelesítés nélkül kihasználható kiszolgálóoldali kéréshamisítási (SSRF) hiba található. A támadók átirányításokkal belső vagy felhős metaadat-szolgáltatásokat érhetnek el, és olvashatják a válaszadatokat. A CISA KEV aktív kihasználást tart nyilván. Frissítsen az MLflow 3.15.0-s verziójára.

• Heti összefoglaló Kritikus 9.1 KEV 7 érintett CVE Nyílt forráskódú üzleti platformok 2026. augusztus 16.

  Nyílt forráskódú üzleti platformok, 2026. 33. hét: egy kihasznált Adobe Commerce sérülékenység hét CVE között

  Nyílt forráskódú üzleti platformok, 2026. 33. hét: hét Adobe Commerce CVE, köztük egy kihasznált, a KEV-listán szereplő nem megfelelő jogosultság-ellenőrzési hiba. Kezelje kiemelten a CVE-2026-71362 azonosítót, és telepítse a 2026. augusztusi Adobe Commerce, B2B és Magento Open Source frissítéseket.

• Kritikus 9.9 GHSA-x635-wr4c-7345, GHSA-6w83-8777-v93q, GHSA-8pr6-r75h-h8xx … Frappe / ERPNext 2026. augusztus 13.

  Frappe/ERPNext 2026. évi 33. heti biztonsági közleményei: jogosultságszint-emelés, SSTI, SQL-injekció és tárolt XSS

  A Frappe 2026. évi 33. heti biztonsági közleményei tíz Frappe- és ERPNext-hibát fednek le, köztük kiemelt jogosultságú fiókok létrehozását, szerveroldali sabloninjektálást, tárolt XSS-t, SQL-injekciót és OAuth-visszaélést. Az alacsony jogosultságú felhasználók átvehetik a webhelyek irányítását. Alkalmazza a felsorolt javításokat; két hiba egyelőre javítatlan marad.

• Kiadási összefoglaló Kritikus 9.8 KEV 375 érintett CVE Microsoft 2026. augusztus 11.

  Microsoft Patch Tuesday, 2026. augusztus: két kihasznált sérülékenység emelkedik ki 375 CVE közül

  A Microsoft 2026. augusztusi Patch Tuesday kiadása 375 CVE-t fed le: 5 kritikus, 246 magas és 124 közepes. Két sérülékenységet kihasználnak, és mindkettő szerepel a CISA KEV listáján: egy SharePoint Server távoli kódfuttatási hibát, valamint egy Windows AFD WinSock jogosultságszint-emelési hibát. Először ezeket javítsa, majd a hálózat felől elérhető kritikus szolgáltatásokat.

• Kritikus 9.1 KEV CVE-2026-48413, CVE-2026-71362, CVE-2026-48414 … Adobe Commerce / Magento 2026. augusztus 11.

  Adobe Commerce APSB26-92: tárolt XSS- és jogosultság-ellenőrzési hibák javítása (CVE-2026-48413 és további öt)

  Az Adobe Commerce APSB26-92 biztonsági közleménye hat hibát javít: a tárolt XSS-sérülékenységeket (CVE-2026-48413 és CVE-2026-48414), valamint a jogosultság-ellenőrzési hibákat (CVE-2026-48415, CVE-2026-48416, CVE-2026-48411, CVE-2026-48412). A kihasznált CVE-2026-71362 külön riasztáson szerepel. Frissítsen a 2026. augusztusi kiadásokra.

• Kritikus 9.1 KEV CVE-2026-71362 2026. augusztus 11.

  Adobe Commerce: hitelesítés nélküli jogosultságszint-emelés hibás jogosultságkezelés miatt (CVE-2026-71362)

  Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source termékeket hibás jogosultságkezelésből eredő sérülékenység (CVE-2026-71362) érinti, amelynek kritikus, 9,1-es CVSS-pontszáma van. A CISA aktívan kihasználtként tartja nyilván. Telepítse a 2026. augusztusi biztonsági frissítéseket 2026. szeptember 27. előtt.

• Kritikus 10.0 KEV CVE-2026-5430 2026. augusztus 6.

  WSO2 JWT-hitelesítés megkerülése hitelesítés nélküli fiókátvételt tesz lehetővé (CVE-2026-5430)

  Több WSO2 API-termék elfogad olyan JWT-ket, amelyeket nem engedélyezett algoritmusokkal írtak alá, így hitelesítés nélküli támadók fiókokat vehetnek át. A CISA KEV listája a CVE-2026-5430-at aktívan kihasználtként tartja nyilván, 2026. szeptember 27-i határidővel; a javított buildek elérhetők.

• Kritikus 9.9 CVE-2026-72911, CVE-2026-13227, CVE-2026-72909 … Frappe / ERPNext 2026. augusztus 5.

  ERPNext 2026. 32. heti biztonsági közleményei: kritikus szerveroldali sablonbefecskendezés (CVE-2026-72911) és hozzáférés-szabályozási hibák

  A Frappe/ERPNext 2026. 32. heti biztonsági közleményei kritikus, hitelesítést igénylő szerveroldali sablonbefecskendezést (CVE-2026-72911), valamint több hozzáférés-szabályozási és tárolt XSS-hibát tartalmaznak. Frissítse az ERPNextet a 15.118.0/16.29.0, a Frappét pedig a 15.109.0/16.19.0 verzióra; a CVE-2026-53569 hibához egyelőre nincs javítás.

• Kritikus 9.9 GHSA-cx24-rr7r-mxrg, GHSA-239h-ffjr-v957, GHSA-3phg-q9w9-4pqw … SuiteCRM 2026. július 31.

  SuiteCRM 7.15.2-nél és 8.10.2-nél korábbi verzióinak hibái SQL-injekciót, kódfuttatást és fiókátvételt tesznek lehetővé

  A SuiteCRM 7.15.2-nél és 8.10.2-nél korábbi verzióiban SQL-injekciós hibák, egy távoli kódfuttatást lehetővé tevő helyi fájl-befoglalási hiba és egy jelszó-visszaállítási fiókátvételi hiba található. Egy hitelesített felhasználó elolvashatja vagy módosíthatja az adatbázist, illetve kódot futtathat. Frissítsen SuiteCRM 7.15.2-re vagy 8.10.2-re; a jelszó-visszaállítási hibát a SuiteCRM-Core 8.10.2 javítja.

• Kritikus 9.9 CVE-2026-65974, CVE-2026-12895, CVE-2026-72908 … Frappe / ERPNext 2026. július 29.

  ERPNext és Frappe 31. heti riasztásai: szerveroldali sablonbefecskendezés, SQL-injekció és hozzáférés-vezérlési hibák (CVE-2026-65974)

  A Frappe és az ERPNext 31. heti riasztásai szerveroldali sablonbefecskendezést (CVE-2026-65974), SQL-injekciót és hozzáférés-vezérlési hibákat ismertetnek. Egy korlátozott jogosultságú, hitelesített felhasználó kódfuttatást érhet el, vagy pénzügyi adatokat olvashat. Frissítsen a 15.112.0/16.23.0 verzióra; a CVE-2026-47185 hibát a Frappe 16.18.0 verziója javítja.