Sérülékenységi közlemények

Legutóbbi kiadási összefoglalók

Nyílt forráskódú üzleti platformok · 2026. november 1.Nyílt forráskódú üzleti platformok, 2026. 44. hét: hitelesítést nem igénylő SQL-befecskendezés és kódfuttatás a 39 biztonsági közlemény középpontjábanApple · 2026. október 29.Apple 2026. szeptemberi iOS-, iPadOS-, macOS- és visionOS-biztonsági frissítései: egy kihasznált hiba két hibajavítást tesz szükségesséIBM · 2026. október 25.IBM 2026. 43. hete: 21 CVE, az élen az MQ Operator és a QRadar hibáivalCisco · 2026. október 25.Cisco-sérülékenységek, 2026. 43. hete: nyolc kritikus hiba 65 CVE-bőlOracle · 2026. október 21.Oracle 2026. októberi Critical Patch Update: 426 javítás, az élen hálózatról elérhető, teljes átvételt lehetővé tevő hibákkalSAP · 2026. október 18.SAP 2026. 42. heti frissítése: négy kritikus sérülékenység emelkedik ki a 20 CVE közülMicrosoft · 2026. október 11.Microsoft 2026. 41. heti frissítése: parancsinjektálás és tanúsítvány-ellenőrzés a 11 CVE középpontjábanPalo Alto Networks · 2026. szeptember 13.Palo Alto Networks 2026. 37. hét: kilenc javítás, középpontban a PAN-OS XML puffertúlcsordulásFortinet · 2026. szeptember 13.Fortinet 2026. 37. hét: kritikus FortiMonitorOnSight hitelesítésmegkerülés vezeti a 10 CVE-t

• Magas 7.3 CVE-2025-61625 Fortinet 2026. november 11.

  FortiManager és FortiAnalyzer útvonal-bejárási hibája: a csak olvasási jogú felhasználók is írhatnak és törölhetnek fájlokat (CVE-2025-61625)

  A FortiManager, a FortiAnalyzer és a FortiManager Cloud rendszert érinti a CVE-2025-61625 azonosítóval jelzett, magas súlyosságú útvonal-bejárási hiba. Egy hitelesített, kizárólag olvasási jogú felhasználó speciálisan kialakított HTTP/HTTPS-kérésekkel fájlokat írhat és törölhet a gazdagépen. Javítás vagy kerülő megoldás egyelőre nem jelent meg.

• Kritikus 9.0 CVE-2026-126261 Fortinet 2026. november 11.

  Fortinet FortiManager FGFM: nem megfelelő jogosultság-ellenőrzés hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-126261)

  A Fortinet FortiManager FGFM komponensében kritikus, nem megfelelő jogosultság-ellenőrzési hiba található. Az FGFM-portot hálózaton elérő, nem hitelesített támadó kódot vagy parancsokat futtathat. Az érintett verziók közé tartozik a 8.0.0, valamint számos 7.6-os, 7.4-es és 7.2-es kiadás; javított verzió egyelőre nem szerepel.

• Kritikus 9.8 CVE-2026-85844 Microsoft 2026. november 10.

  Windows Kerberos hitelesítés megkerülése hálózati jogosultságszint-emelést tesz lehetővé (CVE-2026-85844)

  A Microsoft 2026. novemberi frissítése kijavítja a Windows Kerberos hitelesítés egy kritikus megkerülési hibáját (CVE-2026-85844). Hitelesítés nélküli támadó a hálózaton keresztül, felhasználói beavatkozás nélkül emelheti a jogosultságszintjét. Telepítse a felsorolt frissítéseket a Windows 10, a Windows 11 és a Windows Server rendszereken.

• Közepes 6.5 KEV CVE-2026-124194 Microsoft 2026. november 10.

  Microsoft Outlook hamisítási sérülékenysége jogosulatlan hálózati hamisítást tesz lehetővé (CVE-2026-124194)

  A Microsoft Office Outlook nem figyelmezteti a felhasználókat a nem biztonságos műveletekre, így jogosulatlan támadó hálózaton keresztül hamisítást hajthat végre. A CISA KEV-jegyzéke, az ENISA EUVD és a Microsoft is aktívan kihasználtként tartják nyilván. Telepítse a Microsoft 365 Apps és az Office LTSC 2021/2024 2026. novemberi javított buildjeit.

• Kritikus 9.1 CVE-2026-109798 SAP 2026. november 10.

  SAP BusinessObjects Web Intelligence XXE-hibája hitelesített támadóknak teszi lehetővé szerverfájlok olvasását (CVE-2026-109798)

  Az SAP BusinessObjects Business Intelligence Platform (Web Intelligence) komponense XML External Entity (XXE) hibát tartalmaz (CVE-2026-109798). Egy hitelesített, alacsony jogosultságú támadó érzékeny szerverfájlokat olvashat, és hálózaton keresztül belső rendszereket érhet el. Javított verzió nem szerepel a CVE-rekordban.

• Kritikus 9.9 CVE-2026-76965 SAP 2026. november 10.

  SAP NetWeaver ABAP OS-parancsinjektálás alacsony jogosultságú támadóknak teszi lehetővé parancsok futtatását (CVE-2026-76965)

  Az SAP NetWeaver Application Server ABAP és az ABAP Platform egyes belső funkcióinál hiányzik a jogosultság-ellenőrzés. Egy alacsony jogosultságú hálózati támadó így operációsrendszer-parancsokat futtathat, ami magas hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. A CVE-2026-76965 azonosítóhoz nem szerepel javított kiadás.

• Kritikus 9.9 CVE-2026-109803 SAP 2026. november 10.

  SAP NetWeaver Knowledge Management (XML Forms) kódinjektálási sérülékenysége tetszőleges kódfuttatást tehet lehetővé (CVE-2026-109803)

  Az SAP NetWeaver Knowledge Management (XML Forms) KMC-CM 7.50 verziója kritikus, 9,9-es CVSS-pontszámú kódinjektálási sérülékenységet tartalmaz. Egy hitelesített felhasználó jogosulatlan XSL-transzformációkat indíthat, amelyek az alkalmazás környezetében kódfuttatást eredményezhetnek. Javítás egyelőre nem szerepel; korlátozza a hozzáférést, és kísérje figyelemmel az SAP biztonsági közleményét.

• Kritikus 9.9 CVE-2026-109795 SAP 2026. november 10.

  SAP NetWeaver S4CRM: hiányzó jogosultság-ellenőrzés távoli kódvégrehajtást tesz lehetővé (CVE-2026-109795)

  Az SAP NetWeaver S4CRM 204, 205 és 206, S4CEXT 107, 108 és 109, valamint BBPCRM 713 és 714 összetevőiben hiányzik a jogosultság-ellenőrzés a távolról elérhető funkciókban. Egy alacsony jogosultságú támadó tetszőleges kódot juttathat be és futtathat, CVSS 9,9. Nem szerepel javított verzió; korlátozza a hozzáférést, és folyamatosan figyelje a rendszert.

• Kritikus 10.0 CVE-2026-89103 SAP 2026. november 10.

  SAP Gateway hozzáférés-szabályozási hibája: hitelesítés nélküli támadók belső alkalmazáskiszolgálóként léphetnek fel (CVE-2026-89103)

  Az SAP Gateway alapértelmezett hozzáférés-vezérlő listája (ACL) hitelesítés nélküli hálózati támadót belső alkalmazáskiszolgálóként kezelhet, ami jogosulatlan műveleteket tesz lehetővé, és súlyosan érinti a bizalmasságot, a sértetlenséget és a rendelkezésre állást. CVSS 3.1 pontszám: 10, kritikus. Javított verzió és kerülő megoldás nem érhető el; korlátozza a hálózati kitettséget.

• Kritikus 10.0 CVE-2026-76964 SAP 2026. november 10.

  CVE-2026-76964: Az SAP NetWeaver AS ABAP Internet Communication Manager memóriasérülése hitelesítés nélküli kódfuttatást tesz lehetővé

  Az SAP NetWeaver AS ABAP Internet Communication Manager kritikus memóriasérülési hibát tartalmaz (CVSS 10). Hitelesítést nem igénylő támadók speciálisan kialakított hálózati forgalommal tetszőleges kódot futtathatnak, és teljesen kompromittálhatják a rendszert. Javított verzió egyelőre nincs közzétéve; korlátozza az elérhetőséget és fokozottan figyelje a rendszert.

• Kritikus 10.0 CVE-2026-120017 SAP 2026. november 10.

  SAP NetWeaver AS ABAP SAML2-hitelesítésének megkerülése lehetővé teszi, hogy hitelesítés nélküli támadók felhasználóknak adják ki magukat (CVE-2026-120017)

  Egy hitelesítés nélküli támadó megkerülheti a SAML2-hitelesítést az SAP NetWeaver AS ABAP és az ABAP Platform esetében azáltal, hogy speciálisan kialakított állításokat nyújt be, és így tetszőleges felhasználónak adhatja ki magát. Az érintett SAP_BASIS kiadások listája megtalálható. Javított kiadás egyelőre nem érhető el; korlátozza a kitettséget, és kísérje figyelemmel az SAP biztonsági közleményét.

• Kritikus 9.6 CVE-2026-89119 SAP 2026. november 10.

  Az SAP Web Dispatcher és az Internet Communication Manager CSRF-hibája az operációs rendszer kompromittálódásához vezethet (CVE-2026-89119)

  Az SAP Web Dispatcher és az Internet Communication Manager CSRF-hibával érintett (CVE-2026-89119), CVSS-pontszáma 9,6. A támadó ráveheti a bejelentkezett rendszergazdát egy rosszindulatú hivatkozás megnyitására, ami nem szándékos műveletekhez, végső soron pedig az alapul szolgáló operációs rendszer teljes kompromittálódásához vezethet. Javítás egyelőre nem szerepel a CVE-bejegyzésben.

• Kritikus 9.8 KEV CVE-2026-123218 IBM 2026. november 9.

  IBM Aspera Faspex jogosultság-ellenőrzést megkerülő sérülékenysége révén távoli támadók rendszergazdai irányítást szerezhetnek (CVE-2026-123218)

  Az IBM Aspera Faspex 5.0.0-tól 5.0.19-ig terjedő verzióiban jogosultság-ellenőrzést megkerülő sérülékenység található, amely teljes rendszergazdai jogosultságot adhat. A CISA kihasználtként tartja nyilván. Telepítse az IBM javítását, és ellenőrizze a rendszergazdai hozzáféréseket.

• Kritikus 9.8 KEV CVE-2026-102895 2026. november 9.

  GPUStack 2.2.0 előtti hitelesítés-megkerülése jogosulatlan rendszergazdai hozzáférést ad (CVE-2026-102895)

  A GPUStack 2.2.0 előtti verzióiban kritikus hitelesítés-megkerülés található: egy távoli kérés loopback címről érkezőnek tűnhet, ami jogosulatlan rendszergazdai hozzáférést ad. A CISA KEV és az ENISA EUVD aktív kihasználást rögzít. Frissítsen a 2.2.0-s verzióra.

• Kritikus 9.8 KEV CVE-2026-116779 2026. november 9.

  FreeSWITCH bejövő SIP MESSAGE hibája távoli kódfuttatást tesz lehetővé a chat API-n keresztül (CVE-2026-116779)

  A FreeSWITCH 1.11.3 előtti verzióiban egy távoli fél olyan SIP MESSAGE üzenetet küldhet, amely az api chat protokollt választja ki, és ezzel lehetővé teszi FreeSWITCH API-parancsok és operációsrendszer-parancsok végrehajtását. A CISA és az ENISA aktív kihasználást tart nyilván. Frissítsen a FreeSWITCH 1.11.3 verzióra.

• Magas 8.8 GHSA-h2q4-7fp7-m5jp, GHSA-p292-3rh4-vm4p, GHSA-99cp-c6mm-p7h5 … PrestaShop 2026. november 9.

  PrestaShop 9.2.1 és 8.2.9 javítja a hitelesítést nem igénylő PHP-objektuminjektálást és további súlyos biztonsági hibákat

  A PrestaShop 9.0.0-tól a 9.2.1 előtti verziókig, valamint a 8.0.0-tól a 8.2.9 előtti verziókig terjedő kiadásokat tíz súlyos biztonsági hiba érinti, köztük hitelesítést nem igénylő PHP-objektuminjektálás, a Webservice API jogosultságszint-emelése és tárolt XSS. Frissítsen a 9.2.1-es vagy a 8.2.9-es verzióra.

• Kritikus 9.1 CVE-2026-101117 IBM 2026. november 8.

  IBM WebSphere Extreme Scale CSP-konfigurációs hibája XSS-t és biztonsági korlátozások megkerülését teszi lehetővé (CVE-2026-101117)

  Az IBM WebSphere Extreme Scale 8.6.1.0 és 8.6.2.2 közötti verzióiban a Content Security Policy (CSP) nem megfelelően van konfigurálva. Egy távoli, hitelesítést nem igénylő támadó megkerülheti a biztonsági intézkedéseket, valamint adatokat olvashat vagy módosíthat. Az IBM javítást adott ki; telepítse mielőbb.

• Magas 8.1 CVE-2026-108097 Drupal 2026. november 7.

  Drupal core reflection injection sérülékenysége hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-108097)

  A Drupal core a javított kiadások (10.6.19, 11.3.19, 11.4.10 és 12.0.0-beta2) előtti verzióiban olyan reflection injection sérülékenységet tartalmaz, amely hitelesítés nélküli távoli kódfuttatást tehet lehetővé a hálózaton keresztül. Frissítsen a használt verzióág javított kiadására.

• Kritikus 10.0 CVE-2026-109469 Microsoft 2026. november 7.

  CVE-2026-109469: a Microsoft Entra Device Registration jogosultság-ellenőrzésének megkerülése hitelesítés nélkül is jogosultságszint-emelést tesz lehetővé

  A Microsoft Entra Device Registration kritikus, jogosultság-ellenőrzést megkerülő hibája (CVE-2026-109469, CVSS 10) lehetővé teszi, hogy hitelesítés nélküli támadó hálózaton keresztül jogosultságszint-emelést érjen el. A Microsoft kiadta a javítást; telepítse a biztonsági frissítést.

• Magas 8.5 GHSA-64h3-xccr-q5jr, GHSA-5q53-5vm3-cjq8, GHSA-m668-9q43-8g29 … Frappe / ERPNext 2026. november 6.

  ERPNext és Frappe Framework 45. heti biztonsági közleményei: hiányzó jogosultság-ellenőrzések teszik elérhetővé több modul adatait

  Az ERPNext 15.x/16.x és a Frappe Framework több hiányzó jogosultság-ellenőrzési hibát tartalmaz. Egy alacsony jogosultságú felhasználó a saját hatókörén kívül eső pénzügyi, ügyfél- és e-számla dokumentumokat olvashat, egyes esetekben pedig BOM-okat cserélhet vagy készletfoglalásokat vonhat vissza. A javított kiadásokat alább soroljuk fel; a frissítés kötelező.

• Magas 8.8 CVE-2026-33944 Dolibarr 2026. november 6.

  Dolibarr Third Party frissítési funkciójának SQL-injekciója érzékeny adatok kiolvasását teszi lehetővé hitelesített felhasználók számára (CVE-2026-33944)

  A Dolibarr 22.0.5 előtti, valamint 23.0.0-tól 23.0.1-ig terjedő verziói SQL-injekciót tartalmaznak a Third Party frissítési funkcióban. Egy Third Party rekord létrehozására vagy szerkesztésére jogosult hitelesített felhasználó jelszókivonatokat, API-kulcsokat és üzleti adatokat olvashat ki, vagy rekordokat módosíthat. CVSS 8,8, magas. Korlátozza a hozzáférést, és kövesse a gyártói biztonsági közleményt.

• Kritikus 9.4 CVE-2026-100358 SuiteCRM 2026. november 5.

  SuiteCRM Studio Dropdown Editor PHP-injektálása adminisztrátori szintű távoli kódfuttatást tesz lehetővé (CVE-2026-100358)

  A SuiteCRM 7.15.2 előtti verzióit, valamint a 8.x ág 8.10.2 előtti kiadásait érinti a Studio Dropdown Editor adminisztrátori szintű PHP-injektálási hibája. A rendszergazda olyan tartós PHP-kódot helyezhet el, amely a későbbi oldalbetöltések során a webkiszolgáló-fiók jogosultságával fut le. Tekintse át a karbantartók 7.15.2-es és 8.10.2-es kiadásait, és korlátozza a Studio elérését.

• Kritikus 9.2 CVE-2026-52848 GLPI 2026. november 5.

  GLPI MFA-megkerülés: hitelesítetlen felhasználók kihagyhatják az egyszeri jelszó ellenőrzést (CVE-2026-52848)

  A GLPI 11.0.0-s verziótól a 11.0.8-as verzióig (a 11.0.8-at nem beleértve) MFA-megkerülés található a bejelentkezési folyamatban: egy speciálisan kialakított URL-lel a hitelesítetlen felhasználók kihagyhatják az egyszeri jelszó ellenőrzését. Ismert aktív kihasználásról nem érkezett jelentés; a javítás elérhetőségéről nem szerepel adat, ezért korlátozza a GLPI felület elérhetőségét.

• Magas 8.6 CVE-2026-121559 GLPI 2026. november 4.

  GLPI felhasználóklónozási jogosultságszint-emelés teszi lehetővé, hogy hitelesített felhasználók Super-Admin-fiókokat hozzanak létre (CVE-2026-121559)

  A GLPI 10.0.0-tól a 10.0.28-nál korábbi, valamint a 11.0.0-tól a 11.0.10-nél korábbi verziók lehetővé teszik, hogy egy hitelesített, Technician profillal rendelkező felhasználó klónozzon egy Super-Admin-fiókot, és így a támadó által irányított privilegizált fiókot hozzon létre. A hibát a GLPI 10.0.28 és 11.0.10 verzió javította.

• Kritikus 9.8 CVE-2026-76528 Cisco 2026. november 3.

  Splunk SOAR védelmi mechanizmusának hibája hitelesítés nélküli kompromittálódást tesz lehetővé (CVE-2026-76528)

  A Cisco közzétette a CVE-2026-76528 azonosítójú, kritikus védelmimechanizmus-hibát, amely a Splunk SOAR 8.7.0-nál korábbi verzióit érinti. A hiba hitelesítés nélkül, a hálózaton keresztül érhető el, és a rendszer teljes kompromittálódásához vezethet. Frissítsen a Splunk SOAR 8.7.0 verzióra.

• Kritikus 9.8 CVE-2026-76407 Cisco 2026. november 3.

  A Splunk SOAR nem megfelelő hozzáférés-szabályozása hitelesítés nélküli támadóknak teljes kompromittálást tesz lehetővé a hálózaton keresztül (CVE-2026-76407)

  A Splunk SOAR 8.7.0 előtti verziói nem megfelelő hozzáférés-szabályozási hibát tartalmaznak (CVE-2026-76407); a hiba CVSS-pontszáma 9,8, azaz kritikus. Távoli, hitelesítést nem igénylő támadó a hálózaton keresztül magas hatást érhet el a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. Frissítsen a Splunk SOAR 8.7.0 javított kiadásra.

• Magas 8.7 GHSA-47mc-679g-2jrv, GHSA-3w48-r8r5-mf8c, GHSA-c46f-4v9j-5gpc … GLPI 2026. november 2.

  GLPI 11.0.10 és 10.0.28 több magas súlyosságú biztonsági hibát javít

  A GLPI 11.0.10 és 10.0.28 magas súlyosságú hibákat szüntet meg, köztük visszavert XSS-t, SQL-befecskendezést, jogosultságszint-emelést és a jogosultság-ellenőrzés megkerülését. Aktív kihasználásról nem érkezett jelentés. Az érintett GLPI 10.0.x és 11.0.x telepítéseket frissíteni kell a javított kiadásokra.

• Heti összefoglaló Kritikus 9.4 KEV 39 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. november 1.

  Nyílt forráskódú üzleti platformok, 2026. 44. hét: hitelesítést nem igénylő SQL-befecskendezés és kódfuttatás a 39 biztonsági közlemény középpontjában

  A 2026. 44. heti nyílt forráskódú üzleti platform összefoglaló 39 sérülékenységet sorol fel, ebből 16 rendelkezik CVE-azonosítóval. A legfontosabb hibák: kritikus Frappe útvonal-bejárásos RCE, hitelesítést nem igénylő GLPI SQL-befecskendezés, valamint olyan WordPress Core RCE a törzsfrissítési időablakban, amelyhez nem adtak meg javítást. Nincs KEV-listán szereplő vagy kihasznált sérülékenység. Először a Frappe, a GLPI és a Dolibarr rendszert javítsa.

• Magas 8.1 KEV CVE-2026-119977 WordPress 2026. október 31.

  WordPress Core 4.7–7.1.3: hitelesítés nélküli távoli kódfuttatás a frissítések során (CVE-2026-119977)

  A WordPress Core 4.7–7.1.3 verziói hitelesítés nélküli távoli kódfuttatásra adnak lehetőséget a törzsfrissítések során használt, kiszámítható és weben elérhető átmeneti elérési utakon keresztül. A CISA KEV és az ENISA EUVD kihasználtként tartják nyilván. Azonnal frissítsen az érintett ágnak megfelelő javított kiadásra.

• Kritikus 9.8 CVE-2026-76529 Cisco 2026. október 31.

  Splunk SOAR: az alternatív útvonal nem megfelelő védelme hitelesítés nélküli hálózati támadók teljes kompromittálását teszi lehetővé (CVE-2026-76529)

  A Splunk SOAR 8.7.0 előtti verziói kritikus, az alternatív útvonal nem megfelelő védelméből adódó sérülékenységet tartalmaznak (CVE-2026-76529). Egy távoli támadó hitelesítő adatok és felhasználói beavatkozás nélkül magas szintű hatást gyakorolhat a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. Frissítsen a Splunk SOAR 8.7.0 verziójára.

• Kritikus 9.8 CVE-2026-76408 Cisco 2026. október 31.

  CVE-2026-76408: a Splunk SOAR erőforrás-élettartam-kezelési hibája hitelesítés nélküli kompromittálást tesz lehetővé

  A Splunk SOAR 8.7.0 előtti verzióiban található kritikus erőforrás-élettartam-kezelési sérülékenység hálózaton keresztül, hitelesítő adatok nélkül kihasználható, és akár teljes irányítást is adhat a támadónak. Frissítsen a Splunk SOAR 8.7.0 verzióra. (CVE-2026-76408)

• Magas 8.7 CVE-2026-119144 Frappe / ERPNext 2026. október 30.

  Szerveroldali sabloninjektálás a Frappe Framework üzenetmezőiben: hitelesített támadók magas szintű szerveroldali hatást érhetnek el (CVE-2026-119144)

  A Frappe Framework 15.111.0 előtti, valamint a 16.x ág 16.21.0 előtti verziói szerveroldali sabloninjektálásra sebezhetők az üzenetmezőkben. Egy alacsony jogosultságú, hitelesített felhasználó korlátozás nélküli szerveroldali kiértékelést érhet el, ami magas hatást jelent. Frissítsen a 15.111.0 vagy a 16.21.0 verzióra.

• Kritikus 9.8 CVE-2026-76527 Cisco 2026. október 30.

  Splunk SOAR kivételkezelési hibája hitelesítés nélkül teljes kompromittálódást tesz lehetővé (CVE-2026-76527)

  A 8.7.0 előtti Splunk SOAR kritikus kivételkezelési hibát tartalmaz (CVSS 9,8), amely hálózaton keresztül, hitelesítés nélkül elérhető, és lehetővé teszi az érintett rendszerek teljes kompromittálódását. Frissítsen Splunk SOAR 8.7.0-ra; a CVE-rekord sem kihasználást, sem nyilvános exploitot nem rögzít.

• Kritikus 10.0 KEV CVE-2026-97229 2026. október 29.

  GitLab CE/EE egészszám-túlcsordulása hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-97229)

  A GitLab CE/EE 19.2 a 19.2.8 előtti, a 19.3 a 19.3.5 előtti és a 19.4 a 19.4.2 előtti verzióiban egy 10-es CVSS-alappontszámú egészszám-túlcsordulás található. Egy hitelesítés nélküli támadó speciálisan kialakított CI/CD-s reguláris kifejezéssel kódot futtathat a GitLab-kiszolgálón. A CISA KEV és az ENISA EUVD aktív kihasználást tart nyilván. Telepítse a GitLab 19.2.8, 19.3.5 vagy 19.4.2 verziót.

• Kiadási összefoglaló Magas 8.8 KEV 2 érintett CVE Apple 2026. október 29.

  Apple 2026. szeptemberi iOS-, iPadOS-, macOS- és visionOS-biztonsági frissítései: egy kihasznált hiba két hibajavítást tesz szükségessé

  Az Apple 2026. szeptemberi iOS-, iPadOS-, macOS- és visionOS-frissítései két sérülékenységet javítanak. A CVE-2026-86950 azonosítójú hibát a CISA KEV, az ENISA EUVD és az Apple is kihasználtként tartják nyilván; elsőként ezt a javítást telepítse. A CVE-2026-86990 kamerához való hozzáférést érintő probléma.

• Kiadási összefoglaló Közepes 5.5 1 érintett CVE Apple 2026. október 29.

  Apple 2026. októberi macOS biztonsági frissítései: egy szolgáltatásmegtagadást okozó hibát javítottak a macOS Sequoia 15.8.2-ben

  Az Apple 2026. októberi macOS biztonsági frissítése egy CVE-azonosítót javít: egy egészszám-túlcsordulás a macOS Sequoia rendszerben, amely lehetővé teheti, hogy egy alkalmazás szolgáltatásmegtagadást okozzon. Javítva a macOS 15.8.2 verzióban. Nem szerepel a CISA KEV-ben, és nem ismert, hogy kihasználták volna; telepítse a szokásos javítási ciklusban.

• Kritikus 9.4 CVE-2026-119145 Frappe / ERPNext 2026. október 29.

  Frappe fájlfeltöltési útvonal-bejárása távoli kódfuttatást tesz lehetővé hitelesített felhasználóknak (CVE-2026-119145)

  Egy kritikus útvonal-bejárási hiba a Frappe fájlfeltöltéseiben (CVE-2026-119145) lehetővé teszi, hogy egy hitelesített támadó a szándékolt tárolókönyvtáron kívülre írjon fájlokat, és távolról kódot futtasson. Az érintett verziók a 15.x ágban a 15.121.0 előttiek, a 16.x ágban pedig a 16.34.0 előttiek; frissítsen a Frappe 15.121.0 vagy 16.34.0 verziójára.

• Magas 8.6 KEV CVE-2026-76418 Cisco 2026. október 28.

  Aktívan kihasznált szolgáltatásmegtagadási sérülékenység a Cisco Secure Firewall ASA és FTD SSL VPN szolgáltatásában (CVE-2026-76418)

  A Cisco Secure Firewall ASA és FTD távoli elérésű SSL VPN szolgáltatásában hitelesítést nem igénylő szolgáltatásmegtagadási hiba (CVE-2026-76418) található, amelyet a gyakorlatban már aktívan kihasználnak. A Cisco szerint javított kiadások érhetők el, és kerülő megoldást is biztosít.

• Kritikus 9.2 CVE-2026-118633 Sophos 2026. október 28.

  Sophos SG UTM útvonalbejárási hibája hitelesítést nem igénylő támadóknak teszi lehetővé, hogy rootként kódot futtassanak (CVE-2026-118633)

  A Sophos SG UTM 9.724-es verziójáig bezárólag kritikus útvonalbejárási hibát (CVE-2026-118633) tartalmaz, amely hitelesítést nem igénylő támadóknak teszi lehetővé, hogy root felhasználóként kódot futtassanak, ha az e-mail-proxy vizsgálata engedélyezett; ehhez azonban a támadást több percen át fenn kell tartani. Javított verzió nincs megnevezve; korlátozza az elérhetőséget, és vizsgálja felül az érintett eszközöket.

• Kiadási összefoglaló Magas 7.7 1 érintett CVE Apple 2026. október 28.

  Apple 2026. októberi macOS biztonsági frissítései: határon kívüli írást javítottak a Sequoia és a Tahoe verziókban

  Az Apple 2026. októberi macOS biztonsági frissítései egyetlen CVE-t kezelnek: egy határon kívüli írást, amely lehetővé teheti, hogy egy alkalmazás kernelmemóriába írjon vagy leállítsa a rendszert. A hibát a macOS Sequoia 15.8.2 és a macOS Tahoe 26.7.2 verzióban javították. Nem jelentettek aktív kihasználást, és a hiba nem szerepel a CISA KEV katalógusában; normál javítási ciklusként telepítse.

• Kritikus 9.2 KEV CVE-2026-111497 Microsoft 2026. október 28.

  Microsoft biztonsági közleménye: a Google Brotli-dekódoló határon túli írása távoli kódfuttatást tesz lehetővé (CVE-2026-111497)

  A Google Brotli 1.0.3–1.2.0 verzióiban határon túli írás található, amelyet távoli, nem hitelesített támadó memóriasérülés okozására, adatok kiszivárogtatására, szolgáltatáskiesés előidézésére vagy akár kód futtatására használhat. A CISA KEV és az ENISA aktív kihasználást tart nyilván. Javítások: Brotli 1.0.10, 1.1.1 vagy 1.2.1; CISA-határidő: 2026. november 10.

• Kritikus 9.8 CVE-2026-76301 Cisco 2026. október 28.

  Splunk Enterprise védelmi mechanizmusának hibája hitelesítés nélküli hálózati kompromittálódást tesz lehetővé (CVE-2026-76301)

  A Splunk Enterprise szoftveres megerősítő frissítést adott ki egy kritikus védelmi mechanizmus hibájához (CVSS 9.8). A hiba hitelesítő adatok nélkül, a hálózaton keresztül érhető el. Érintett verziók: a 9.4, 10.0, 10.2 és 10.4 a javított buildek előtti kiadásokban. Frissítsen a 10.4.4, 10.2.8, 10.0.11 vagy 9.4.16 verzióra.

• Kritikus 9.3 KEV CVE-2026-48356, CVE-2026-48358, CVE-2026-47994 … Adobe Commerce / Magento 2026. október 27.

  Adobe Commerce és a Magento APSB26-73 közleménye javítja a kihasznált fájlfeltöltési és egyéb sérülékenységeket (CVE-2026-48356)

  Az Adobe Commerce, a Magento Open Source, az Adobe Commerce B2B és az Adobe Commerce Events esetében szükséges az APSB26-73 javítócsomag. A CVE-2026-48356 azonosítójú, kódvégrehajtást lehetővé tevő, korlátozás nélküli fájlfeltöltési sérülékenység a CISA KEV katalógusában kihasználtként szerepel; a CISA által megadott határidő 2026. november 10. Telepítse a 2026. júliusi javított kiadásokat.

• Kiadási összefoglaló Kritikus 10.0 39 érintett CVE Apple 2026. október 27.

  Apple 2026. októberi biztonsági frissítései iOS-hez és iPadOS-hez, macOS-hez és visionOS-hez: 39 javítás, köztük egy súlyos WebKit-hiba

  Az Apple 2026. októberi, iOS-hez és iPadOS-hez, macOS-hez és visionOS-hez kiadott frissítései 39 CVE-t fednek le, köztük egy súlyos, WebKitben található use-after-free hibát, amely tetszőleges kódfuttatást tehet lehetővé. Egyik CVE-t sem jelölik kihasználtként, és egyik sem szerepel a CISA KEV-katalógusában. Elsőként a Safari 27.2, az iOS és iPadOS 27.2, valamint a macOS 27.2 frissítést telepítse.

• Kiadási összefoglaló Kritikus 9.8 119 érintett CVE Apple 2026. október 27.

  Apple 2026. októberi biztonsági frissítései iOS-hez, iPadOS-hez, macOS-hez és visionOS-hez: 119 javítás, a legkritikusabbak a Safari kódfuttatási hibái

  Az Apple 2026. októberi, iOS/iPadOS, macOS és visionOS rendszerekhez kiadott frissítései 119 CVE-t fednek le. A Safari öt nagy súlyosságú WebKit-hibája rosszindulatú webhelyeken keresztül tesz lehetővé kódfuttatást; egyikük sem szerepel a CISA KEV-listáján. Elsőként az iOS/iPadOS 27.2 vagy 26.7.2, a macOS 27.2/26.7.2/15.8.2, a Safari 27.2 és a visionOS 27.2 verzióra frissítsen.

• Kiadási összefoglaló Kritikus 9.8 123 érintett CVE Apple 2026. október 27.

  Apple 2026. októberi biztonsági frissítései macOS, tvOS és visionOS rendszerekhez: 123 CVE, ebből hat magas súlyosságú javítás

  Az Apple 2026. októberi macOS-, tvOS- és visionOS-frissítései 123 CVE-t kezelnek, és ezek mindegyike a macOS-t érinti. Hat magas súlyosságú, köztük távoli kódfuttatás és root jogosultságszint-emelés, de egyiknél sem jeleznek ismert aktív kihasználást. Először a macOS-t javítsa, majd végezzen kitettség-ellenőrzést.

• Kritikus 9.2 KEV CVE-2026-109619 Palo Alto Networks 2026. október 27.

  Elavult globális állapotból eredő távoli kódfuttatás a PHP-ben (CVE-2026-109619)

  A PHP 8.2-től 8.5-ig terjedő, a javított kiadásoknál korábbi verzióiban kritikus, elavult globális állapotból eredő hiba található, amely távoli kódfuttatáshoz vezethet. A CISA KEV katalógusa kihasználtként tartja nyilván. Frissítsen a 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12 verzióra; a CISA által megadott határidő 2026. október 29.

• Kritikus 9.2 KEV CVE-2026-109618 Palo Alto Networks 2026. október 27.

  Palo Alto Networks Prisma Access és SD-WAN ION termékeket érintő PHP memóriahiány miatti távoli kódfuttatási hiba (CVE-2026-109618)

  A CVE-2026-109618 kritikus PHP memóriahiány miatti sérülékenység (CVSS 4.0: 9,2), amely a Prisma Access, a Prisma Access Agent és a Prisma SD-WAN ION termékeket érinti. A CISA KEV-katalógusa kihasználtként tartja nyilván; a Palo Alto Networks nem tud ismert rosszindulatú kihasználásról. Telepítse a gyártó javított buildjeit, és kapcsolja be a Threat Prevention-védelmet.

• Magas 8.6 CVE-2026-116219 Dolibarr 2026. október 26.

  Dolibarr ERP CRM 24.0.0 előtti verzióiban OS-parancs-befecskendezéssel hitelesített rendszergazdák parancsokat futtathatnak (CVE-2026-116219)

  A Dolibarr ERP CRM 24.0.0 előtti verzióiban OS-parancs-befecskendezés található az adminisztrációs exporteszközben. Egy hitelesített rendszergazda az engedélyezőlistán szereplő mysqldump érték köré további parancsokat fűzhet, és a webkiszolgáló felhasználójaként operációsrendszer-parancsokat hajthat végre. Frissítsen a 24.0.0 verzióra.

• Kritikus 9.6 CVE-2026-107656 Fortinet 2026. október 26.

  FortiSandbox hitelesítésmegkerülési hibája hitelesítés nélküli kódfuttatást tehet lehetővé (CVE-2026-107656)

  A Fortinet FortiSandbox és a FortiSandbox PaaS kritikus hitelesítésmegkerülési hibája (CVE-2026-107656) speciálisan kialakított HTTP-kéréseken keresztül távoli, hitelesítés nélküli kódfuttatást tehet lehetővé. Javított verzió vagy gyártói kerülő megoldás nincs feltüntetve; korlátozza a felügyeleti felület elérését, és folyamatosan figyelje a felületet.

• Heti összefoglaló Magas 7.1 4 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. október 25.

  Nyílt forráskódú üzleti platformok, 43. hét: nagy súlyosságú Frappe SQL-injekció a négy sérülékenység között

  Nyílt forráskódú üzleti platformok, 43. hét: négy sérülékenység a Frappe, a Dolibarr és a WordPress rendszerekben – három CVE-azonosító és egy GitHub biztonsági közlemény. A lista élén egy nagy súlyosságú Frappe vak SQL-injekció áll. Először a Frappe és a Dolibarr javításait telepítse, majd kövesse figyelemmel a WordPress helyzetét.

• Heti összefoglaló Magas 8.8 21 érintett CVE IBM 2026. október 25.

  IBM 2026. 43. hete: 21 CVE, az élen az MQ Operator és a QRadar hibáival

  IBM 2026. 43. hete: 21 CVE (10 magas, 9 közepes, 2 alacsony besorolású), egyik sem szerepel a CISA KEV katalógusában, és egyikről sem jelentettek aktív kihasználást. Az MQ Operatorhoz 15 CVE tartozik; a QRadarhoz két hitelesítést nem igénylő sérülékenység tartozik. Először a QRadart, majd az MQ Operator 3.4.0 verzióját, végül a Verify Identity Access és a Sterling Connect:Direct rendszert javítsa.

• Heti összefoglaló Kritikus 9.9 65 érintett CVE Cisco 2026. október 25.

  Cisco-sérülékenységek, 2026. 43. hete: nyolc kritikus hiba 65 CVE-ből

  A Cisco 43. heti kiadása 65 CVE-t fed le a Splunk, az Expressway, a Unified Communications és a Snort3 esetében. Nyolc sérülékenység kritikus, köztük egy hitelesítést nem igénylő távoli kódfuttatási hiba az Expressway termékben. Nincs KEV-listás tétel. Először az Expressway és a Unified Communications megerősítő javításait telepítse, majd a Splunk és a Splunk SOAR javításai következzenek.

• Kritikus 9.1 CVE-2026-91403 Oracle 2026. október 25.

  Oracle Java SE és GraalVM JSSE-hiba hitelesítés nélküli támadóknak adatok olvasását és módosítását teszi lehetővé (CVE-2026-91403)

  Az Oracle Java SE, a GraalVM for JDK és a GraalVM Enterprise Edition kritikus JSSE-hibát tartalmaz (CVSS 9.1), amely hitelesítés nélküli, hálózati támadóknak teszi lehetővé adatok olvasását és módosítását. Az Oracle elérhetővé tette a javítást; az érintett csapatoknak mielőbb telepíteniük kell.

• Kritikus 9.1 CVE-2026-114820 Oracle 2026. október 25.

  Oracle Java SE és GraalVM JSSE-hibája lehetővé teszi hitelesítés nélküli támadók számára az adatok olvasását és módosítását (CVE-2026-114820)

  Az Oracle Java SE és a GraalVM kritikus JSSE-sérülékenységgel (CVE-2026-114820) rendelkeznek, amely lehetővé teszi, hogy hitelesítés nélküli hálózati támadók adatokat olvassanak és módosítsanak. CVSS 9,1. Az Oracle kiadta a javítást; a javított buildet az Oracle biztonsági közleményében ellenőrizze.

• Kritikus 9.2 KEV CVE-2026-110447 2026. október 23.

  Aktív kihasználás alatt áll a Collabora Online Built-in CODE Server OS-parancs-befecskendezési hibája (CVE-2026-110447)

  A Collabora Online Built-in CODE Server a richdocumentscode nevű Nextcloud-alkalmazás; 26.4.303 előtti verzióiban a proxy.php fájl OS-parancs-befecskendezést tartalmaz, amely távoli kódfuttatást tesz lehetővé, ha a CODE-kiszolgáló nem fut. A CISA KEV és az ENISA EUVD kihasználtként tartják nyilván. Frissítsen a 26.4.303 verzióra.

• Kritikus 9.4 KEV CVE-2026-114625 2026. október 23.

  VeloCloud Orchestrator SQL-injekciós hibája lehetővé teszi hitelesített felhasználóknak, hogy superuser operátori funkciókhoz férjenek hozzá (CVE-2026-114625)

  A VeloCloud Orchestrator helyszíni változata a javított buildek (5.2.3.18, 6.1.3.10 és 6.4.2.12) előtti verziókban kritikus SQL-injekciós hibát tartalmaz (CVSS 9,4). Bármely hitelesített felhasználó superuser operátori hozzáférést szerezhet. A CISA KEV kihasználtként tartja nyilván. Frissítsen a javított buildekre.

• Kiadási összefoglaló Közepes 5.5 1 érintett CVE Apple 2026. október 22.

  Apple 2026. októberi biztonsági frissítései iOS-hez, iPadOS-hez és macOS-hez: egy határokon kívüli írás típusú hibát javítottak

  Az Apple 2026. októberi iOS-, iPadOS- és macOS-frissítései egyetlen CVE-t javítanak: egy határokon kívüli írás típusú hibát, amely lehetővé teheti, hogy egy alkalmazás a rendszer váratlan leállását okozza. A hiba nem szerepel a CISA KEV katalógusában, és aktív kihasználásáról nem érkezett jelentés. A javítás az iOS/iPadOS 26.7, a macOS Sequoia 15.8 és a macOS Tahoe 26.7 verzióban érhető el.

• Kritikus 9.9 CVE-2026-76531 Cisco 2026. október 22.

  Splunk SOAR fájlhozzáférési sérülékenysége lehetővé teszi, hogy alacsony jogosultságú támadók kompromittálják a platformot (CVE-2026-76531)

  A Splunk SOAR 8.7.0 előtti verzióit kritikus fájlhozzáférési sérülékenység érinti (CVE-2026-76531, CVSS 9,9). Alacsony jogosultságú támadó a hálózaton keresztül fájlokhoz vagy könyvtárakhoz férhet hozzá, és kompromittálhatja a platformot. Kihasználásról nem érkezett jelentés. Frissítsen a Splunk SOAR 8.7.0 verzióra.

• Kritikus 9.9 CVE-2026-76302 Cisco 2026. október 22.

  Splunk Enterprise nem megfelelő semlegesítésből eredő sérülékenységei alacsony jogosultságú távoli kompromittálást tesznek lehetővé (CVE-2026-76302)

  A Cisco 2026. októberi, Splunk Enterprise-hoz kiadott biztonsági megerősítő frissítése javítja a CVE-2026-76302 azonosítójú hibacsoportot; ezek a belső vizsgálat során feltárt, nem megfelelő semlegesítésből eredő sérülékenységek kritikus, 9,9-es CVSS-pontszámot kaptak. Egy alacsony jogosultságú távoli támadó súlyos hatású kompromittálást okozhat. Frissítsen a 10.4.4, a 10.2.8, a 10.0.11 vagy a 9.4.16 verzióra.

• Kritikus 9.9 CVE-2026-76299 Cisco 2026. október 22.

  Splunk Enterprise: nem megfelelő hozzáférés-szabályozás révén alacsony jogosultságú hálózati támadók feltörhetik a rendszereket (CVE-2026-76299)

  A Cisco biztonsági megerősítő frissítést adott ki a Splunk Enterprise-hoz. A nem megfelelő hozzáférés-szabályozás révén egy alacsony jogosultságú hálózati támadó magas szintű hatást érhet el a bizalmasságra, a sértetlenségre és a rendelkezésre állásra nézve. Frissítsen a 10.4.4, a 10.2.8, a 10.0.11 vagy a 9.4.16 verzióra.

• Kiadási összefoglaló Kritikus 10.0 426 érintett CVE Oracle 2026. október 21.

  Oracle 2026. októberi Critical Patch Update: 426 javítás, az élen hálózatról elérhető, teljes átvételt lehetővé tevő hibákkal

  Az Oracle 2026. októberi Critical Patch Update kiadása 426 CVE-t kezel. Egyik sem szerepel a CISA KEV-katalógusában, és egyiket sem jelölték kihasználtként. Elsőként az Oracle SOA Suite, az Oracle Access Manager, a Workflow és a WebCenter Sites javítását kezelje: a hitelesítést nem igénylő, hálózatról elérhető hibák CVSS-pontszáma eléri a 10,0-t.

• Kritikus 9.0 CVE-2026-20043, CVE-2026-20291, CVE-2026-20236 … Cisco 2026. október 21.

  Több Cisco terméket érintő Snort 3 biztonsági megerősítő kiadás kritikus határon túli írás típusú sérülékenységet javít (CVE-2026-20043)

  A Cisco 2026. októberi Snort 3 biztonsági megerősítő kiadása belső vizsgálat során talált sérülékenységeket javít, köztük egy kritikus határon túli írást (CVE-2026-20043). Érintett termékek: Cisco Cyber Vision, Open Source Snort3, FTD és UTD SNORT IPS Engine. Kerülő megoldás nincs; telepítse a megerősítő kiadást.

• Kritikus 9.8 CVE-2026-76474, CVE-2026-76473, CVE-2026-76475 … Cisco 2026. október 21.

  Cisco Unified Communications termékek 2026. októberi megerősítő kiadása kritikus hitelesítési és egyéb sérülékenységeket javít

  A Unified Communications termékek 2026. októberi megerősítő kiadása nyolc sérülékenységet javít, köztük egy kritikus, nem megfelelő hitelesítési hibát, amely hitelesítő adatok nélkül, a hálózaton keresztül elérhető. Érintett termékek: Cisco Emergency Responder, Unified CM, IM & Presence, Unity Connection. Telepítse a Cisco javítását; nincs kerülő megoldás.

• Kritikus 9.8 CVE-2026-76466 Cisco 2026. október 21.

  Távoli kódfuttatás a Cisco Expressway adatbázis-szolgáltatásában – hitelesítés nélküli támadók rootként futtathatnak parancsokat (CVE-2026-76466)

  A Cisco Expressway Series adatbázis-szolgáltatásában kritikus, hitelesítést nem igénylő távoli kódfuttatási hiba található. A hálózati hozzáféréssel és az állandó cookie-k birtokában lévő támadó rootként futtathat parancsokat. Az érintett X8.x és X12.5.2 kiadásokhoz a Cisco javított szoftvere szükséges; kerülő megoldás nem létezik.

• Magas 8.1 CVE-2026-104937 Shopware 2026. október 21.

  Shopware 6.7 tárolt cross-site scripting hibája adminisztrátori tokenek ellopásához és távoli kódfuttatáshoz vezethet (CVE-2026-104937)

  A Shopware 6.7-ben tárolt cross-site scripting sérülékenység található. Egy speciálisan kialakított HTML-fájl feltöltésével a támadó ellophatja egy adminisztrátor tokenjét, megfelelő bővítménykezelési jogosultságokkal pedig rosszindulatú bővítményeket telepíthet, amelyek kódot futtatnak a szerveren. Javított verzió egyelőre nem szerepel; korlátozza az adminisztrátori hozzáférést, és vizsgálja felül a feltöltött fájlokat.

• Kiadási összefoglaló Magas 7.8 3 érintett CVE Apple 2026. október 20.

  Apple 2026. októberi macOS biztonsági frissítései: három hiba javítva a Sequoia 15.8 és a Tahoe 26.7 verzióban

  Az Apple kiadta a macOS Sequoia 15.8 és a macOS Tahoe 26.7 verziót, amelyek három macOS-sérülékenységet javítanak. Egy helyi, magas súlyosságú jogosultságszint-emelés igényli a leggyorsabb figyelmet; két közepes súlyosságú hiba a rendszer stabilitását és a kulcstartó sértetlenségét érinti. A CVE-azonosítók egyike sem szerepel a CISA KEV listán, és egyiknél sem jelentettek aktív kihasználást.

• Heti összefoglaló Kritikus 10.0 20 érintett CVE SAP 2026. október 18.

  SAP 2026. 42. heti frissítése: négy kritikus sérülékenység emelkedik ki a 20 CVE közül

  SAP 42. heti frissítése 20 CVE-t sorol fel: négy kritikus, három magas, tizenkettő közepes és egy alacsony besorolású. Egyik CVE sem szerepel a CISA KEV listáján. Kezdje az SAP Cloud SDK-t érintő, hitelesítést nem igénylő SSRF-fel, valamint a NetWeaver/Web Dispatcher hitelesítés nélkül kihasználható memóriasérülési hibájával.

• Heti összefoglaló Kritikus 9.9 30 érintett CVE IBM 2026. október 18.

  IBM 2026. 42. heti biztonsági kiadása: 30 CVE, az élen a WebSphere Liberty és a Db2 Mirror for i kritikus hibáival

  Az IBM 2026. 42. heti kiadása 30 CVE-t fed le: 3 kritikus, 11 magas, 14 közepes és 2 alacsony besorolású. Egyik sem szerepel a CISA ismert, aktívan kihasznált sérülékenységeket tartalmazó (KEV) katalógusában, és egyiknek sincs ismert aktív kihasználása. A legsürgősebb a 9,9-es Db2 Mirror for i jogosultságszint-emelés és a WebSphere Liberty hozzáférés-vezérlési megkerülései. Először a WebSphere-t és a Db2-t javítsa.

• Heti összefoglaló Kritikus 10.0 105 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. október 18.

  Nyílt forráskódú üzleti platformok, 2026. 42. hete: a 105 sérülékenységet kritikus Adobe Commerce és Frappe hibák vezetik

  E platformok karbantartói 105 sérülékenységet adtak ki 2026. 42. hetére: hat kritikus és 61 magas besorolásút. A listát az Adobe Commerce hitelesítést nem igénylő sablonmotor- és jogosultság-ellenőrzési hibái, valamint a Frappe útvonal-bejárási hibája vezeti. Először az októberi Adobe Commerce- és Frappe/ERPNext-kiadások javításait telepítse.

• Kritikus 9.3 KEV CVE-2026-102764 2026. október 16.

  BeyondTrust Remote Support: nem megfelelő eredet-ellenőrzés hitelesítés nélküli fájlműveleteket tesz lehetővé (CVE-2026-102764)

  A BeyondTrust Remote Support a 26.2.3 verzióig bezárólag nem megfelelő eredet-ellenőrzést tartalmaz a belső üzenetkezelésében. Egy támadó, aki a hálózaton keresztül eléri a készüléket, hitelesítés nélkül fájlműveleteket hajthat végre rajta. Javított verzió nem szerepel; a CISA KEV és az ENISA aktív kihasználást tart nyilván. Alkalmazza a gyártói kockázatcsökkentő intézkedéseket, vagy állítsa le a termék használatát.

• Magas 8.6 KEV CVE-2026-0322 Palo Alto Networks 2026. október 15.

  Hitelesített távoli kódfuttatás a PAN-OS felügyeleti felületén (CVE-2026-0322)

  A PAN-OS felügyeleti felülete lehetővé teszi, hogy egy hitelesített, hálózati hozzáféréssel rendelkező támadó root jogosultsággal tetszőleges kódot futtasson. A sérülékenység kihasználását már megfigyelték. Telepítse a javított PAN-OS 10.2, 11.1, 11.2, 12.1 és 12.2 kiadások valamelyikét.

• Kritikus 9.9 GHSA-9pp9-wgp9-3p3j Frappe / ERPNext 2026. október 15.

  Frappe Framework: fájlfeltöltési útvonalbejárási hiba révén hitelesített felhasználók kódfuttatást érhetnek el (GHSA-9pp9-wgp9-3p3j)

  A Frappe Framework 16.34.0 előtti, illetve 15.121.0 előtti verziói olyan fájlfeltöltési útvonalbejárási hibát (GHSA-9pp9-wgp9-3p3j) tartalmaznak, amely lehetővé teszi, hogy egy hitelesített felhasználó a tervezett tárolókönyvtáron kívülre írjon, és távoli kódfuttatást érjen el. Nincs kerülő megoldás; frissítsen a 16.34.0 vagy a 15.121.0 verzióra.

• Magas 8.1 CVE-2026-92922 Adobe Commerce / Magento 2026. október 14.

  Az Adobe Commerce tárolt XSS-hibája lehetővé teszi, hogy magas jogosultságú támadók szkripteket futtassanak az áldozatok böngészőjében (CVE-2026-92922)

  Az Adobe Commerce és a Magento Open Source magas besorolású (CVSS 8.1) tárolt XSS-hibát tartalmaz. Magas jogosultságú támadó szkripteket szúrhat be, amelyek az áldozat böngészőjében futnak le, és így magasabb hozzáférést vagy a munkamenet feletti irányítást szerezhet. Frissítsen a 2026. októberi javított kiadásokra.

• Magas 8.3 CVE-2026-92908 Adobe Commerce / Magento 2026. október 14.

  Az Adobe Commerce hibás jogosultság-ellenőrzése alacsony jogosultsági szintű olvasási és írási hozzáférést tesz lehetővé (CVE-2026-92908)

  A CVE-2026-92908 az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source esetén lehetővé teszi, hogy egy alacsony jogosultságú támadó felhasználói beavatkozás nélkül megkerülje a jogosultság-ellenőrzést, és jogosulatlan olvasási és írási hozzáférést szerezzen. Telepítse az alább felsorolt javított kiadások valamelyikét.

• Magas 8.7 CVE-2026-92911 Adobe Commerce / Magento 2026. október 14.

  Adobe Commerce tárolt cross-site scripting sérülékenysége: alacsony jogosultságú támadók fiókokat vehetnek át (CVE-2026-92911)

  Az Adobe Commerce és a Magento Open Source rendszereit érinti a tárolt cross-site scripting (XSS) sérülékenység (CVE-2026-92911). Alacsony jogosultságú támadó JavaScript-kódot szúrhat be, amely az áldozat böngészőjében fut le, és adott esetben átveheti a fiókját. Az Adobe 2026. októberi biztonsági frissítései javítják a hibát.

• Magas 8.7 CVE-2026-95631 Adobe Commerce / Magento 2026. október 14.

  Adobe Commerce és Magento nem megfelelő bemenetellenőrzése magas jogosultságú támadóknak tetszőleges kód futtatását teszi lehetővé (CVE-2026-95631)

  Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source nem megfelelő bemenetellenőrzési hibát (CWE-20) tartalmaz. Magas jogosultságú támadó felhasználói interakció nélkül tetszőleges kódot futtathat; a CVSS 3.1-es pontszám 8,7. A javított buildek a 2026. októberi kiadásokban érhetők el.

• Kritikus 9.8 CVE-2026-76285 Cisco 2026. október 14.

  Splunk Enterprise: hitelesítés nélkül, távolról kihasználható hiba a kódolási szabványok nem megfelelő betartása miatt (CVE-2026-76285)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 javított buildjei előtti verzióit kritikus, hálózaton keresztül elérhető, a kódolási szabványok nem megfelelő betartásából adódó sérülékenységek érintik (CVE-2026-76285). Frissítsen a 9.4.15, 10.0.10, 10.2.7 vagy 10.4.3 verzióra.

• Kritikus 9.1 CVE-2026-93895, CVE-2026-95695, CVE-2026-95696 IBM 2026. október 14.

  IBM WebSphere Application Server Liberty hozzáférés-szabályozási, jogosultság-ellenőrzési és szolgáltatásmegtagadási (DoS) hibái (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696)

  Az IBM WebSphere Application Server Liberty 20.0.0.12-től 26.0.0.10-ig terjedő verziói három hibát tartalmaznak: hozzáférés-szabályozás megkerülése (CVE-2026-93895, CVSS 9,1), helytelen jogosultság-ellenőrzés (CVE-2026-95695, CVSS 7,4) és szolgáltatásmegtagadás (CVE-2026-95696, CVSS 6,5). A javítás elérhető; a telepítéséig korlátozza a gRPC-felületek elérhetőségét.

• Kritikus 9.1 CVE-2026-96252 Microsoft 2026. október 14.

  Microsoft AD FS-sérülékenység: hitelesítés nélküli támadók identitást hamisíthatnak a hálózaton keresztül (CVE-2026-96252)

  A Microsoft 2026. októberi frissítése az AD FS kritikus identitáshamisítási hibáját (CVE-2026-96252) javítja, amely a hálózaton keresztül, hitelesítő adatok nélkül érhető el. Telepítse a javított buildeket az érintett Windows Server- és Windows 10-verziókhoz.

• Kritikus 9.3 CVE-2026-70279 Microsoft 2026. október 14.

  Microsoft Exchange Server XSS-hibája hamisítást tesz lehetővé (CVE-2026-70279)

  A Microsoft Exchange Server 2016 CU23, a 2019 CU14 és CU15, valamint a Subscription Edition RTM kiadása webhelyek közötti szkriptelési (XSS) hibát tartalmaz, amely hálózaton keresztül hamisítást tesz lehetővé. A Microsoft fontosnak minősítette; a CVE-rekord 9,3-es CVSS-pontszámot rendel hozzá. Telepítse a 2026. októberi kumulatív frissítéseket.

• Kritikus 9.1 CVE-2026-93909 IBM 2026. október 14.

  IBM WebSphere Application Server Liberty: hitelesítés megkerülése, ha a samlWeb-2.0 engedélyezve van (CVE-2026-93909)

  Az IBM WebSphere Application Server Liberty 17.0.0.3-tól 26.0.0.10-ig terjedő verzióiban hitelesítés megkerülését lehetővé tevő hiba található, ha a samlWeb-2.0 funkció engedélyezve van. A CVSS-pontszám 9,1, kritikus besorolású. Az IBM javítást adott ki; telepítse a gyártói frissítést, és korlátozza a hozzáférést a javítás telepítéséig.

• Kritikus 9.8 CVE-2026-97749 Microsoft 2026. október 14.

  Microsoft Office Outlook double free sérülékenysége jogosulatlan távoli kódfuttatást tesz lehetővé (CVE-2026-97749)

  A Microsoft Office Outlook kritikus double free sérülékenységet tartalmaz (CVE-2026-97749), amely lehetővé teheti, hogy jogosulatlan támadó a hálózaton keresztül, felhasználói beavatkozás nélkül kódot futtasson. A Microsoft 365 Apps for Enterprise és az Office LTSC 2021/2024 termékekhez a 2026. októberi biztonsági javításokat kell telepíteni.

• Magas 8.5 CVE-2026-109612 Frappe / ERPNext 2026. október 13.

  Tárolt XSS a Frappe ERPNext jelentésnézetében: hitelesített felhasználók szkriptet futtathatnak (CVE-2026-109612)

  A Frappe ERPNext 15.120.0 előtti, valamint a 16.x sorozat 16.33.0 előtti verzióiban tárolt XSS (cross-site scripting) hiba található a jelentésnézetekben. A rekordok létrehozására jogosult, hitelesített felhasználók olyan neveket menthetnek el, amelyek hatására a jelentést megnyitó másik felhasználó böngészője szkriptet futtat. Frissítsen a 15.120.0 vagy a 16.33.0 verzióra.

• Magas 8.5 CVE-2026-109604 Frappe / ERPNext 2026. október 13.

  ERPNext tárolt XSS-hibája az eszköznézetben szkriptet futtat az áldozatok munkamenetében (CVE-2026-109604)

  ERPNext 15.112.0 előtti verzióiban és a 16.x ág 16.23.0 előtti verzióiban tárolt XSS-hiba található az eszköznézetben. Egy alacsony jogosultságú, hitelesített felhasználó rosszindulatú nevet adhat egy rekordnak, és a szkript később minden olyan felhasználó munkamenetében lefut, aki megnyitja az adott eszköznézetet. Frissítsen az erpnext 15.112.0 vagy a 16.23.0 verzióra.

• Magas 8.7 CVE-2026-109652 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext: szerveroldali sablon-injektálás az üzenetmezőkben – hitelesített felhasználók adatokat olvashatnak és írhatnak (CVE-2026-109652)

  A Frappe ERPNext 15.119.1 előtti verziói és a 16.x sorozat 16.32.0 előtti kiadásai az üzenetmezőkön keresztül elérhető szerveroldali sablon-injektálást tartalmaznak. Az általános üzemeltetési szerepkörrel rendelkező hitelesített felhasználók adatbázisadatokat olvashatnak vagy írhatnak, dokumentumokat törölhetnek, kimenő kéréseket indíthatnak és e-maileket küldhetnek. Frissítsen az ERPNext 15.119.1 vagy 16.32.0 verzióra.

• Magas 8.7 CVE-2026-109608 Frappe / ERPNext 2026. október 13.

  SQL-injekció a Frappe ERPNextben: bármely hitelesített felhasználó kiváltságos fiók szintjére emelheti jogosultságait (CVE-2026-109608)

  A Frappe ERPNext 15.121.0 előtti verzióiban, valamint a 16.0.0-beta.1-től a 16.34.0 előtti verziókig SQL-injekciós sérülékenység található, mert egyes végpontok nem ellenőrzik a bemenetet. Bármely hitelesített felhasználó – a szerepkör nélkülieket is beleértve – érzékeny adatokat olvashat, és kiváltságos fiók szintjére emelheti jogosultságait. A hibát az erpnext 15.121.0 és 16.34.0 verzió javítja.

• Magas 8.7 CVE-2026-109667 Frappe / ERPNext 2026. október 13.

  Jogosultságszint-emelés a Frappe ERPNextben: hitelesített felhasználók kiemelt jogosultságú fiókokat hozhatnak létre (CVE-2026-109667)

  A Frappe ERPNext 15.111.0 előtti, valamint a 16.x sorozat 16.22.0 előtti verziói lehetővé teszik bármely hitelesített felhasználó számára – akár operatív szerepkör nélkül is –, hogy kiemelt jogosultságú fiókokat hozzon létre egy olyan rekordlétrehozó végponton keresztül, ahol a jogosultság-ellenőrzések ki vannak kapcsolva. Javítva az erpnext 15.111.0 és 16.22.0 verziójában.

• Magas 8.7 CVE-2024-58390 Frappe / ERPNext 2026. október 13.

  Frappe: jogosultságszint-emelés System Manager szerepig dokumentumművelettel (CVE-2024-58390)

  A Frappe 14.81.4 előtti verziói és a 15.x sorozat 15.41.0 előtti verziói nem megfelelő jogosultságkezelési hibát tartalmaznak (CVE-2024-58390). Egy hitelesített Website User szerepű felhasználó egy dokumentumműveletet további lépésekkel kombinálva System Manager jogosultságot szerezhet. Frissítsen a 14.81.4 vagy a 15.41.0 verzióra.

• Magas 8.2 CVE-2023-54411 Frappe / ERPNext 2026. október 13.

  Frappe keretrendszer nyomtatási nézetének gyenge hitelesítése jogosultság nélküli dokumentum-hozzáférést tesz lehetővé (CVE-2023-54411)

  A Frappe keretrendszer 13.32.0 előtti verziói gyenge hitelesítést használnak a nyomtatási nézet eléréséhez. Egy hitelesítés nélküli támadó más, engedélyezőlistán szereplő API-végpontok adataiból levezetheti a nyomtatási nézet kulcsát, és jogosultság nélkül tekinthet meg dokumentumokat. Javítva a frappe 13.32.0 verzióban.

• Magas 8.6 CVE-2026-109633 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext nyilvános foglalási oldalán található tárolt XSS-hiba fiókátvételt tesz lehetővé (CVE-2026-109633)

  A Frappe ERPNext 15.119.1 előtti, valamint a 16.x ág 16.32.0 előtti kiadásai tárolt XSS-hibát tartalmaznak a nyilvános foglalási oldalon. Egy hitelesítést nem igénylő támadó olyan szkriptet küldhet be, amely akkor fut le, amikor egy emelt jogosultságú felhasználó megtekinti az oldalt, és ez fiókátvételt tesz lehetővé. Frissítsen a 15.119.1 vagy a 16.32.0 verzióra.

• Magas 8.6 CVE-2025-71432 Frappe / ERPNext 2026. október 13.

  Frappe ERPNext reflektált XSS-hibája fiókátvételt tesz lehetővé (CVE-2025-71432)

  A Frappe ERPNext 14.92.1 előtti verziói, valamint a 15.x sorozat 15.83.0 előtti verziói reflektált XSS-hibát tartalmaznak, amely hitelesített munkamenetben tetszőleges JavaScript-kód futtatását teszi lehetővé. Ha egy bejelentkezett felhasználó megnyit egy speciálisan kialakított hivatkozást, a támadó átveheti a fiókját. Frissítsen ERPNext 14.92.1 vagy 15.83.0 verzióra.

• Kritikus 10.0 CVE-2026-89111 SAP 2026. október 13.

  Az SAP Cloud SDK for Python OAuth2 SSRF-hibája lehetővé teszi a támadók számára a kliens hitelesítő adatok ellopását (CVE-2026-89111)

  Az SAP Cloud SDK for Python kritikus OAuth2 SSRF-sebezhetőséget (CVSS 10) tartalmaz, amely a több-bérlős BTP-alkalmazásokat érinti. A tenant_subdomain paramétert irányító támadó átirányíthatja az OAuth2 tokenkéréseket, és kiszivárogtathatja a kliens hitelesítő adatait. Frissítsen az SAP Cloud 0.55.1 verzióra.

• Kritikus 9.9 CVE-2026-96012 IBM 2026. október 12.

  IBM Db2 Mirror for i jogosultságszint-emelési hibája hitelesített támadóknak rendszerszintű jogosultság megszerzését teszi lehetővé (CVE-2026-96012)

  Az IBM Db2 Mirror for i 7.4, 7.5 és 7.6 verziójában kritikus jogosultságszint-emelési hiba található. Egy hitelesített támadó megkerülheti az érvényesítési ellenőrzéseket, és kódot futtatva emelt szintű jogosultságokat szerezhet. Telepítse az IBM javítását, és vizsgálja felül a hozzáféréseket.

• Heti összefoglaló Kritikus 9.1 11 érintett CVE Microsoft 2026. október 11.

  Microsoft 2026. 41. heti frissítése: parancsinjektálás és tanúsítvány-ellenőrzés a 11 CVE középpontjában

  A Microsoft 2026. 41. heti frissítése 11 CVE-t fed le az UFO, a Kiota, a SimpleChat és a MsQuic projektekben. Egyik CVE sem szerepel a CISA KEV katalógusában, és egyiknek sincs ismert aktív kihasználása. Két kritikus hiba: a MsQuic tanúsítvány-ellenőrzésének megkerülése, valamint hitelesített parancsinjektálás az UFO-ban. Az internet felől elérhető QUIC-komponenseket és az automatizálást kezelje elsőként.

• Heti összefoglaló Kritikus 9.8 22 érintett CVE IBM 2026. október 11.

  IBM Security Verify Access 2026. 41. heti kiadása: 22 CVE, ebből öt kritikus hiba

  Az IBM 2026. 41. hetében 22 CVE-azonosítót tett közzé az IBM Security Verify Access rendszerhez. Öt kritikus, köztük hitelesítést nem igénylő távoli kódfuttatást és hitelesítés megkerülését lehetővé tevő sérülékenység; egyik sem szerepel a CISA KEV listán, és egyikhez sem jelöltek ismert aktív kihasználást. Javított verziók: 10.0.9.3 és 11.0.3.1.

• Heti összefoglaló Kritikus 10.0 59 érintett CVE Cisco 2026. október 11.

  Cisco 2026. évi 41. heti sérülékenységei: hitelesítést nem igénylő NX-OS, Splunk és License On-Prem hibák emelkednek ki az 59 CVE közül

  A Cisco 2026. évi 41. heti kiadása 59 CVE-t fed le a Splunk Enterprise, az NX-OS, a License On-Prem és más termékek körében. A kiadás egyetlen CVE-azonosítója sem szerepel a CISA KEV listáján. A tizennyolc kritikus hiba – amelyek közül több hitelesítést nem igénylő, hálózaton keresztül elérhető – az NX-OS-t, valamint a hálózatból elérhető Splunk vagy License On-Prem rendszereket teszi a javítások elsődleges prioritásává.

• Kritikus 9.8 CVE-2026-76284 Cisco 2026. október 10.

  Splunk Enterprise: a nem megfelelő semlegesítés hitelesítés nélküli hálózati kompromittálást tesz lehetővé (CVE-2026-76284)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 verzióit kritikus besorolású, nem megfelelő semlegesítésből eredő sérülékenység érinti. Hitelesítést nem igénylő hálózati támadó befolyásolhatja a bizalmasságot, a sértetlenséget és a rendelkezésre állást. Frissítsen a 10.4.3, 10.2.7, 10.0.10 vagy 9.4.15 verzióra.

• Kritikus 9.8 CVE-2026-78401, CVE-2026-78406, CVE-2026-16823 … IBM 2026. október 9.

  IBM Verify Identity Access és Security Verify Access: kritikus deszerializációs és hitelesítési hibák

  Az IBM biztonsági közleménye a Security Verify Access 10.0–10.0.9.2 és a Verify Identity Access 11.0–11.0.3 kritikus hibáit ismerteti, köztük hitelesítés nélkül kihasználható távoli kódfuttatást és a hitelesítés megkerülését. A javítások elérhetők; minél előbb telepítse őket.

• Kritikus 9.1 CVE-2026-16916 IBM 2026. október 9.

  IBM Security Verify Access védelmi mechanizmus hibája távoli kódfuttatást tesz lehetővé (CVE-2026-16916)

  Az IBM Security Verify Access 10.0–10.0.9.2 és az IBM Verify Identity Access 11.0–11.0.3 esetében egy védelmi mechanizmus hibája lehetővé teszi, hogy egy távoli támadó hitelesített, magas jogosultságú fiókkal távolról kódot futtasson. Az IBM szerint elérhető javítás; a CVE-rekord nem sorol fel javított verziókat.

• Kritikus 9.1 CVE-2026-16823 IBM 2026. október 9.

  Hitelesítés megkerülése az IBM Security Verify Access és a Verify Identity Access termékekben (CVE-2026-16823)

  Az IBM Security Verify Access 10.0-tól 10.0.9.2-ig, valamint a Verify Identity Access 11.0-tól 11.0.3-ig terjedő verziói lehetővé teszik, hogy egy hitelesítés nélküli, távoli támadó a nem megfelelő hitelesítés miatt megkerülje a biztonsági korlátozásokat. A CVSS 3.1 szerinti pontszám 9,1. A javítás elérhető az IBM támogatási oldalán.

• Kritikus 9.1 CVE-2026-19491 IBM 2026. október 9.

  Hitelesítés megkerülése az IBM Verify Identity Access és Security Verify Access termékekben (CVE-2026-19491)

  Az IBM Security Verify Access 10.0-tól 10.0.9.2-ig terjedő, valamint az IBM Verify Identity Access 11.0-tól 11.0.3-ig terjedő verziói lehetővé teszik, hogy egy távoli, hitelesítés nélküli támadó megkerülje a hitelesítést. Az IBM már elérhetővé tett javítást; korlátozza a hálózati kitettséget, és telepítse a javítást.

• Kritikus 9.8 CVE-2026-78406 IBM 2026. október 9.

  IBM Security Verify Access és IBM Verify Identity Access deszerializációs hibája hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-78406)

  Hitelesítés nélküli távoli kódfuttatás (RCE) az IBM Security Verify Access 10.0–10.0.9.2 és az IBM Verify Identity Access 11.0–11.0.3 verzióiban, beleértve a konténereket is. Nem megbízható adatok deszerializációja; CVSS 9,8, kritikus. Telepítse az IBM javítását; a CVE-rekordban nincs felsorolva javított verzió.

• Kritikus 9.8 CVE-2026-76268 Cisco 2026. október 8.

  Splunk Enterprise Patroni REST API hiányzó hitelesítése hitelesítés nélküli parancsvégrehajtást tesz lehetővé (CVE-2026-76268)

  A Splunk Enterprise 10.4-es ágának 10.4.3 előtti, valamint a 10.2-es ágának 10.2.7 előtti verziói a keresőfej-klaszter tagjain hitelesítés nélkül teszik elérhetővé a Patroni REST API-t. A hálózati hozzáféréssel rendelkező, hitelesítést nem igénylő támadó operációsrendszer-parancsokat hajthat végre. Frissítsen a Splunk Enterprise 10.4.3 vagy 10.2.7 verzióra.

• Kritikus 9.6 CVE-2026-76464, CVE-2026-76463, CVE-2026-76470 … Cisco 2026. október 7.

  A Cisco Meraki 2026. októberi Security Hardening Release kritikus és magas súlyosságú hibákat javít (CVE-2026-76464 és mások)

  A Cisco Meraki Security Hardening Release 2026. októberi kiadása több hibát javít a Campus Gateway, az MR, az MV és az MX eszközökben. A CVE-2026-76464 (CVSS 9,6) lehetővé teszi, hogy egy szomszédos hálózatból érkező támadó teljes mértékben átvegye az irányítást egy eszköz felett. A Cisco szerint nincs ismert nyilvános kihasználás, és nem létezik kerülő megoldás. Telepítse a frissítést.

• Kritikus 9.1 CVE-2026-20328, CVE-2026-76454, CVE-2026-76437 … Cisco 2026. október 7.

  Cisco License On-Prem sérülékenységei hitelesítés nélküli jelszó-visszaállítást és tetszőleges fájlok írását teszik lehetővé (CVE-2026-20328, CVE-2026-76454)

  A Cisco License On-Prem két kritikus sérülékenységet tartalmaz: hitelesítés nélküli jelszó-visszaállítás, valamint tetszőleges fájlok írása vagy szolgáltatásmegtagadás. Két közepes súlyosságú hiba rendszergazdai hitelesítést igényel. A Cisco kiadta a javításokat; kerülő megoldás nincs. Telepítse a frissítést, és korlátozza a hozzáférést.

• Kritikus 9.8 CVE-2026-76498, CVE-2026-76499, CVE-2026-76500 Cisco 2026. október 7.

  Cisco APIC biztonsági megerősítő kiadása hozzáférés-vezérlési, semlegesítési és erőforrás-kezelési hibákat javít (CVE-2026-76498, CVE-2026-76499, CVE-2026-76500)

  A Cisco 2026. októberi APIC biztonsági megerősítő kiadása több, belső biztonsági felülvizsgálat során felfedezett, 9,8 pontra értékelt sérülékenységet javít, amelyek hálózaton keresztül, hitelesítés nélkül kihasználhatók. Nincs kerülő megoldás; a Cisco az érintett 5.2-es verziókhoz a javított kiadás telepítését javasolja.

• Kritikus 9.8 CVE-2026-76455, CVE-2026-76459, CVE-2026-76453 … Cisco 2026. október 7.

  Cisco NX-OS 2026. októberi biztonsági megerősítő kiadása több kritikus és magas súlyosságú sérülékenységet javít

  A Cisco 2026. októberi NX-OS biztonsági megerősítő kiadása hat sérülékenységet javít az NX-OS, az ACI mód és az UCS Managed rendszerekben; ezek között kritikus, hálózaton keresztül elérhető nem megfelelő hozzáférés-vezérlési és határokon kívüli írási hibák is vannak. Telepítse a kiadást; kerülő megoldás nem létezik.

• Kritikus 10.0 CVE-2026-76480, CVE-2026-76482, CVE-2026-76483 … Cisco 2026. október 7.

  Cisco License On-Prem biztonsági megerősítést tartalmazó kiadása négy biztonsági rést javít (cisco-sa-hardening-ssm-Ph77wdhf)

  A Cisco 2026. októberi, a Cisco License On-Prem (korábban Cisco Smart Software Manager On-Prem) termékhez készült biztonsági megerősítést tartalmazó kiadása négy biztonsági rést javít: CVE-2026-76480, CVE-2026-76482, CVE-2026-76483 és CVE-2026-76484. Három kritikus besorolású. Kerülő megoldás nincs; telepítse a frissítést.

• Kritikus 9.8 CVE-2026-76485, CVE-2026-76486, CVE-2026-76501 Cisco 2026. október 7.

  Cisco Nexus 3000 és 9000 sorozatú switchek NGOAM távoli kódfuttatási sérülékenységei (CVE-2026-76485, CVE-2026-76486, CVE-2026-76501)

  Hitelesítés nélküli távoli támadók root jogosultsággal kódot futtathatnak, vagy a Cisco Nexus 3000-es és 9000-es sorozatú switchek összeomlását idézhetik elő, ha az NGOAM funkció engedélyezve van. Három, 9,8-as kritikus besorolású CVE. A Cisco szerint elérhetők a javítások; ha az NGOAM nem szükséges, kapcsolja ki.

• Kritikus 9.8 CVE-2026-76471 Cisco 2026. október 7.

  Cisco NX-OS NX-API: a távoli kódfuttatási hiba hitelesítés nélkül root parancsvégrehajtást tesz lehetővé (CVE-2026-76471)

  A Cisco NX-OS szoftvert és a Cisco Unified Computing System (Managed) rendszert kritikus, hitelesítést nem igénylő távoli kódfuttatási hiba érinti az NX-API-ban (CVE-2026-76471). A Cisco kiadta a javított szoftvert és a Live Protect-védelmet; nincs kerülő megoldás. Frissítsen a Cisco biztonsági közleménye szerint.

• Kritikus 9.8 CVE-2026-76465 Cisco 2026. október 7.

  Cisco Nexus 3000 és 9000 sorozatú switchek MPLS OAM távoli kódfuttatási sérülékenysége (CVE-2026-76465)

  A Cisco NX-OS MPLS OAM funkciójának kritikus hibája a Nexus 3000 és 9000 sorozatú switcheken lehetővé teszi, hogy hitelesítés nélküli, távoli támadó root jogosultsággal kódot futtasson, vagy újraindítsa az eszközt. A Cisco kiadta a javításokat; ha az MPLS OAM funkciót nem használja, kapcsolja ki.

• Magas 8.9 GHSA-7rqw-r5p3-ff92, GHSA-hv93-qr6v-7mpj, GHSA-753w-2942-4pxm … GLPI 2026. október 7.

  GLPI 11.0.9 javítja a hitelesítést nem igénylő SQL-injekciót, a piactéri versenyhelyzetet és más súlyos hibákat

  A GLPI 11.0.9 tíz súlyos biztonsági közleményben szereplő hibát javít, köztük a tervezési funkcióban található, hitelesítést nem igénylő időalapú SQL-injekciót, a rosszindulatú bővítmény telepítését lehetővé tevő piactéri versenyhelyzetet és az MFA megkerülését. A hibák többsége a GLPI 11.0.0-tól a 11.0.9 előtti verziókig érint; háromhoz a 10.0.27 kiadás javítása is elérhető.

• Heti összefoglaló Magas 8.9 30 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. október 4.

  Nyílt forráskódú üzleti platformok, 2026. 40. hete: magas súlyosságú Joomla-hibák vezetik a 30 biztonsági közleményt

  A Joomla!, a Moodle és a Frappe/ERPNext karbantartói 30 sérülékenységet tettek közzé a héten, ebből 28 CVE-azonosítóval rendelkezik. Hét magas súlyosságú, az élen egy Joomla SSRF és egy MFA-megkerülés áll. Nincs CISA KEV-listás tétel, és nincs ismert aktív kihasználás. Először a Joomla! javításait telepítse, majd a Moodle és a Frappe/ERPNext javításait.

• Kiadási összefoglaló Magas 8.8 1 érintett CVE Microsoft 2026. október 3.

  Microsoft Patch Tuesday, 2026. október: az Exchange Server jogosultságszint-emelési hibáját javító frissítés vezeti az egyetlen CVE-ből álló kiadást

  A Microsoft 2026. októberi Patch Tuesday kiadása egyetlen, a körbe tartozó CVE-t sorol fel: CVE-2026-96940, egy Exchange Servert érintő jogosultságszint-emelési sérülékenység, amelynek CVSS-alappontszáma 8,8, ami magas súlyosságot jelent. Nem szerepel a CISA KEV katalógusában, és nincs jelentés aktív kihasználásáról. Telepítse a megfelelő Exchange biztonsági frissítést.

• Kritikus 9.4 KEV CVE-2026-102490 2026. október 2.

  Zammad jogosultságszint-emelés root szintre, a CISA KEV-listája szerint aktívan kihasznált (CVE-2026-102490)

  CVE-2026-102490: a Zammad 1.5.0-tól a 7.1.0-alpha előtti verziókig lehetővé teszi, hogy a helyi zammad felhasználó root jogosultságra emelkedjen. A CISA a KEV-listáján aktívan kihasználtként tartja nyilván; a javítás a Zammad 7.1.0-alpha kiadásban érhető el.

• Kritikus 9.4 KEV CVE-2026-102489 2026. október 2.

  Zammad: munkamenet-eltérítési sérülékenység távoli kódfuttatáshoz vezet, és aktívan kihasználják (CVE-2026-102489)

  A Zammad 6.3.0-tól a 6.5.4 előtti verziókig terjedő kiadásai munkamenet-eltérítési sérülékenységet tartalmaznak, amely a zammad felhasználó jogosultságával távoli kódfuttatáshoz vezethet. A CISA KEV-katalógusa aktívan kihasználtként tartja nyilván, a javítási határidő 2026. október 5. Frissítsen a Zammad 6.5.4-es verziójára.

• Kritikus 9.8 KEV CVE-2026-104286 Fortinet 2026. október 1.

  FortiMail útvonalbejárási hibája hitelesítés nélküli támadók számára lehetővé teszi tetszőleges fájlok írását (CVE-2026-104286)

  A FortiMail 7.0 és 8.0.1 közötti verzióiban kritikus útvonalbejárási hiba (CVE-2026-104286) található, amely hitelesítés nélküli támadóknak speciálisan kialakított HTTP- vagy HTTPS-kérésekkel lehetővé teszi tetszőleges fájlok írását. A CISA KEV listája szerint a hibát már aktívan kihasználják; a javított buildek a 7.4.9, a 7.6.7 és a 8.0.2.

• Kritikus 9.8 KEV CVE-2026-76504 Cisco 2026. szeptember 30.

  CVE-2026-76504: Cisco Catalyst SD-WAN Manager API-hitelesítésének megkerülése rendszergazdai hozzáférést ad

  A Cisco Catalyst SD-WAN Manager hitelesítést megkerülő sérülékenysége (CVE-2026-76504) hitelesítés nélküli, rendszergazdai szintű API-hozzáférést tesz lehetővé. A CVSS 3.1 szerinti pontszám 9,8; a sérülékenységet aktívan kihasználják. A Cisco javítást adott ki; frissítsen, és korlátozza a rendszer elérhetőségét.

• Magas 8.9 CVE-2026-92227, CVE-2026-92222, CVE-2026-92231 … Joomla! 2026. szeptember 30.

  Joomla! CMS 5.4.9-es és 6.1.4-es biztonsági frissítése tíz hibát javít, köztük MFA-megkerülést, SSRF-et és XSS-t

  A Joomla! CMS 1.5.0–5.4.8 és 6.0.0–6.1.3 verzióit tíz sérülékenység érinti, köztük MFA-megkerülést, SSRF-et, hozzáférés-vezérlési hibákat, XSS-t és tetszőleges könyvtárak törlését. Frissítsen 5.4.9-re vagy 6.1.4-re.

• Kritikus 9.5 KEV CVE-2026-88772 2026. szeptember 29.

  A Citrix NetScaler ADC és a Citrix NetScaler Gateway memóriatúlcsordulása távoli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé (CVE-2026-88772)

  A Citrix NetScaler ADC és a Citrix NetScaler Gateway kritikus memóriatúlcsordulási hibája (CVE-2026-88772) hitelesítés nélküli távoli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé. A CISA ismert, kihasznált sérülékenységeket tartalmazó katalógusa (KEV) kihasználtként tartja nyilván. Telepítse a javított buildeket: ADC 14.1-73.37, 13.1-64.23; Gateway 14.1-73.37, 13.1-64.23.

• Kritikus 9.5 KEV CVE-2026-88771 2026. szeptember 29.

  Citrix NetScaler ADC és Gateway távoli kódfuttatási hibája hitelesítést nem igénylő támadóknak teszi lehetővé tetszőleges parancsok futtatását (CVE-2026-88771)

  A Citrix NetScaler ADC és Gateway termékekben egy nem megfelelő bemenet-ellenőrzésből eredő hiba lehetővé teszi, hogy hitelesítést nem igénylő támadó a hálózaton keresztül tetszőleges parancsokat futtasson. A CISA KEV-katalógusa aktívan kihasználtként tartja nyilván. Alkalmazza a javított kiadásokat: ADC 14.1-73.37 vagy 13.1-64.23; Gateway 14.1-73.37 vagy 13.1-64.23.

• Magas 8.8 KEV CVE-2026-86950 Apple 2026. szeptember 28.

  Apple iOS és macOS: határon túli írási hiba tetszőleges kódfuttatást tehet lehetővé (CVE-2026-86950)

  Az Apple az iOS és iPadOS 26.7.1, a macOS Sequoia 15.8.1 és a macOS Tahoe 26.7.1 verzióban javította a CVE-2026-86950 jelű hibát. Egy rosszindulatúan kialakított fájl feldolgozása tetszőleges kódfuttatást tehet lehetővé. Az Apple szerint lehetséges, hogy a hibát kifinomult, célzott támadásokban már kihasználták. Telepítse a frissítéseket.

• Heti összefoglaló Kritikus 9.4 KEV 17 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 27.

  Nyílt forráskódú üzleti platformok, 2026. 39. hét: kihasznált WordPress-hiba a 17 sérülékenység között

  2026. 39. hete 17 sérülékenységet hoz a GLPI, a Frappe/ERPNext, a WordPress és a Nextcloud rendszereiben: 16 CVE-azonosítót és egy CVE-azonosító nélküli biztonsági közleményt. A WordPress CVE-2026-87902 jelű hibáját aktívan kihasználják, és szerepel a CISA KEV listáján; a GLPI-ban kritikus távoli kódfuttatási hiba is található. Elsőként a WordPress és a GLPI javításait telepítse.

• Heti összefoglaló Magas 7.8 2 érintett CVE Microsoft 2026. szeptember 27.

  Microsoft 2026. 39. heti sérülékenységei: két Outlook távoli kódfuttatási hibát javítottak

  A Microsoft 39. heti kiadása két magas súlyosságú, Microsoft Office Outlook távoli kódfuttatást lehetővé tevő sérülékenységet fed le, amelyek a Microsoft 365 Apps for Enterprise, az Office LTSC 2021 és az Office LTSC 2024 termékeket érintik. Egyik sem szerepel a CISA KEV-ben, és egyiknek sincs ismert aktív kihasználása. Telepítse az Office biztonsági javításait.

• Kritikus 9.1 CVE-2026-20284, CVE-2026-20283, CVE-2026-20282 Cisco 2026. szeptember 27.

  Cisco ISE: SQL-injektálás, parancsinjektálás és operációsrendszer-írási hozzáférés az API-kban (CVE-2026-20282, CVE-2026-20283, CVE-2026-20284)

  Három, hitelesítést igénylő sérülékenység érinti a Cisco Identity Services Engine terméket: SQL-injektálás az SXP REST API-ban, parancsinjektálás az IPsec Open API-ban, valamint írási hozzáférés speciálisan kialakított HTTP-kéréseken keresztül. A Cisco javításokat adott ki; az IPsec API hibájához kerülő megoldás is létezik.

• Kritikus 9.4 CVE-2026-48482, CVE-2026-52848, CVE-2026-47678 … GLPI 2026. szeptember 26.

  GLPI 11.0.8 javítja a Form-import távoli kódfuttatási hibáját (CVE-2026-48482, GHSA-6whc-g4h2-98rm)

  A GLPI 11.0.8 egy kritikus Form-import távoli kódfuttatási hibát és kapcsolódó, magas súlyosságú problémákat javít; a 10.0-s ágat a GLPI 10.0.26 fedi le. Kerülő megoldást nem tettek közzé. Az érintett telepítéseknek frissíteniük kell.

• Magas 8.1 KEV CVE-2026-87902 WordPress 2026. szeptember 23.

  WordPress hitelesítés nélküli oldalsablon-útvonal-bejárása távoli kódvégrehajtáshoz vezethet (CVE-2026-87902)

  A WordPress 7.1.2 előtti verzióit érintő, hitelesítést nem igénylő oldalsablon-útvonal-bejárás bizonyos feltételek mellett távoli kódvégrehajtáshoz vezethet. A CISA KEV-katalógusa aktív kihasználást tart nyilván. Azonnal telepítse a szállító által az adott verzióághoz kiadott frissítést, beleértve a 7.1.2-es verziót is.

• Kritikus 9.3 KEV CVE-2026-94127 2026. szeptember 22.

  BIG-IP APM OAuth-sérülékenység hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-94127)

  Az OAuth Authorization Server szerepkörben konfigurált BIG-IP APM hitelesítés nélküli távoli kódfuttatást tesz lehetővé. A CISA a CVE-2026-94127 azonosítót a KEV-katalógusban kihasználtként tartja nyilván. Telepítse a mérnöki gyorsjavításokat az érintett BIG-IP-ágakhoz.

• Kritikus 9.1 CVE-2026-84388 Fortinet 2026. szeptember 22.

  A FortiPAM Chrome-bővítmény nem megfelelő hitelesítése miatt rosszindulatú webhelyek továbbíthatják a böngészőforgalmat (CVE-2026-84388)

  A Fortinet FG-IR-26-168 jelű biztonsági közleménye a CVE-2026-84388 azonosítójú, a FortiPAM Chrome-bővítményt érintő nem megfelelő hitelesítési gyengeséget ismerteti. Egy rosszindulatú webhely a felhasználó böngészőforgalmát a támadó által irányított szervereken keresztül továbbíthatja. Javított verziót vagy kerülő megoldást egyelőre nem tettek közzé.

• Kritikus 9.8 KEV CVE-2026-93616 Check Point 2026. szeptember 22.

  A Check Point Quantum Security Management könyvtárbejárási és fájlfeltöltési hibája hitelesítés nélküli szkriptvégrehajtást tesz lehetővé (CVE-2026-93616)

  A Check Point Quantum Security Management kritikus könyvtárbejárási és fájlfeltöltési hibája (CVE-2026-93616) hitelesítés nélküli támadók számára teszi lehetővé tetszőleges szkriptek futtatását. A CISA KEV aktív kihasználást tart nyilván. Alkalmazza a gyártó SK1000171 cikkében leírt utasításokat.

• Kritikus 9.5 KEV CVE-2026-93952 2026. szeptember 22.

  A VeloCloud Orchestrator On-Prem nem megfelelő bemeneti ellenőrzése lehetővé teszi a privilegizált funkciók távoli elérését (CVE-2026-93952)

  A CVE-2026-93952 kritikus, nem megfelelő bemeneti ellenőrzésből eredő sérülékenység a helyszíni VeloCloud Orchestratorban. A CISA KEV-katalógus aktívan kihasználtként tartja nyilván a sérülékenységet. A felsorolt javított buildek: 5.2.3.16 és 6.4.2.8; telepítse a megfelelő buildet, vagy korlátozza a hálózati elérhetőséget.

• Heti összefoglaló Kritikus 10.0 74 érintett CVE IBM 2026. szeptember 20.

  IBM 38. hét, 2026. szeptember: az MQ és a Verify Access hibái állnak a 74 CVE-t tartalmazó csomag élén

  Az IBM 38. heti csomagja 74 CVE-t tartalmaz: 6 kritikus, 33 magas, 32 közepes és 3 alacsony besorolást. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. Kezelje elsőként az MQ Appliance hitelesítés előtti CVE-2026-10747 azonosítójú hibáját, majd az MQ és a Verify Identity Access hitelesítés nélküli távoli kódfuttatási hibáit, a Sterling File Gateway hitelesítés-megkerülését, valamint az MQ hitelesítést igénylő kódfuttatási hibáit.

• Heti összefoglaló Kritikus 10.0 KEV 85 érintett CVE Cisco 2026. szeptember 20.

  Cisco 2026. 38. heti kiadás: két aktívan kihasznált hiba, 85 CVE az ISE, az e-mail és a tűzfalak terén

  A Cisco 2026. 38. heti kiadása 85 CVE-t tartalmaz: 29 kritikus, 26 magas, 29 közepes és 1 alacsony besorolásút. Két sérülékenységet aktívan kihasználnak, és mindkettő szerepel a CISA KEV katalógusában: a CVE-2026-76461 a Cisco Secure Email Gatewayben, a CVE-2026-76460 pedig az Identity Services Engine-ben. Először ezeket javítsa, majd a többi, internet felől elérhető ISE-, tűzfal- és e-mail-problémát.

• Heti összefoglaló Kritikus 9.6 48 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 20.

  Nyílt forráskódú üzleti platformok, 2026. 38. hét: az 51 biztonsági közlemény élén a Shopware és az ERPNext jogosultsági hibái állnak

  A 38. hét 51 sérülékenységet foglal magában a Shopware, az ERPNext, a WordPress és a Nextcloud rendszerében: 5 rendelkezik CVE-azonosítóval, 46-ot GitHub biztonsági közleményként tartanak nyilván. Egyik sem szerepel a CISA KEV katalógusában, és aktív kihasználást sem jelentettek. A javítási sorrendet a kritikus Shopware webhook-adatszivárgás, valamint az ERPNext SQL injection és tárolt XSS hibái vezetik.

• Kritikus 9.1 CVE-2026-75878 IBM 2026. szeptember 18.

  IBM Sterling File Gateway: hitelesítési megkerülés érvényesítetlen SSO-fejléc miatt (CVE-2026-75878)

  Az IBM Sterling File Gateway 6.2.0.0–6.2.0.6_1, 6.2.1.0–6.2.1.2 és 6.2.2.0–6.2.2.1 verzióiban kritikus hitelesítési megkerülés található, amelyet érvényesítetlen SSO-fejléc tesz lehetővé. Egy távoli támadó teljesen hitelesített munkamenetet szerezhet. Az IBM biztonsági közleményt adott ki.

• Kritikus 9.9 CVE-2026-10858 IBM 2026. szeptember 18.

  IBM MQ for HPE NonStop heap-alapú puffer-alulcsordulása hitelesített támadóknak szolgáltatásmegtagadást vagy kódvégrehajtást tesz lehetővé (CVE-2026-10858)

  Az IBM MQ for HPE NonStop 8.1.0-tól 8.1.0.40-ig terjedő verziói kritikus heap-alapú puffer-alulcsordulást tartalmaznak (CVE-2026-10858). Egy hitelesített támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat. Az IBM közzétette a javítást; telepítse.

• Kritikus 10.0 CVE-2026-10747 IBM 2026. szeptember 18.

  Az IBM MQ Appliance protokollüzenet-feldolgozásában található, hitelesítést nem igénylő heap-alapú puffertúlcsordulás szolgáltatásmegtagadást vagy kódfuttatást tesz lehetővé (CVE-2026-10747)

  Az IBM MQ Appliance protokollüzenet-feldolgozásában kritikus, hitelesítést nem igénylő heap-alapú puffertúlcsordulás található. Egy távoli támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat. Az IBM javítást adott ki; ismert aktív kihasználás nem szerepel a rekordban.

• Kritikus 9.6 GHSA-rv4r-c8v3-3hrc, GHSA-v38v-9h2p-hr8v, GHSA-734c-hv9r-mg2c … Frappe / ERPNext 2026. szeptember 18.

  ERPNext 15 és 16 kritikus fiókátvételi, SQL-injekciós és jogosultság-ellenőrzési hibákat javít

  A Frappe kritikus és magas súlyosságú hibákat javított az ERPNextben, köztük egy hitelesítést nem igénylő, tárolt XSS-ből eredő fiókátvételt és egy bármely hitelesített felhasználó által kihasználható SQL-injekciót. Kerülő megoldás nem létezik. Frissítse a 15.x verziókat legalább a 15.121.3, a 16.x verziókat pedig legalább a 16.35.0 verzióra.

• Magas 7.4 CVE-2026-20222 Cisco 2026. szeptember 17.

  Cisco ASA és FTD EIGRP szolgáltatásmegtagadása lehetővé teszi, hogy szomszédos hálózatból támadók újraindítsák az eszközöket (CVE-2026-20222)

  A Cisco Secure Firewall ASA és FTD szoftverek nagy súlyosságú, EIGRP-vel kapcsolatos szolgáltatásmegtagadási sérülékenységet tartalmaznak (CVSS 7.4). Egy hitelesítést nem igénylő támadó a szomszédos hálózatból ismételt eszköz-újraindulásokat okozhat. Telepítse a Cisco javított szoftverét, és kockázatcsökkentésként engedélyezze az EIGRP-hitelesítést.

• Magas 8.6 CVE-2026-20154 Cisco 2026. szeptember 17.

  Cisco ASA és FTD naplózási hibája távoli szolgáltatásmegtagadást és CPU-kimerítést okozhat (CVE-2026-20154)

  Hitelesítést nem igénylő távoli támadók magas CPU-terhelést és szolgáltatásmegtagadást okozhatnak a Cisco ASA és FTD tűzfalakon, ha TCP SYN-csomagokkal árasztják el az eszközt. Alkalmazza a Cisco naplózási sebességkorlátozó kerülő megoldását, és kísérje figyelemmel a javított kiadásokat.

• Magas 8.6 CVE-2026-20135 Cisco 2026. szeptember 17.

  Cisco Secure Firewall Threat Defense: TLS 1.3 szolgáltatásmegtagadás (CVE-2026-20135)

  A Cisco Secure Firewall Threat Defense szoftverben nagy súlyosságú, TLS 1.3-at érintő szolgáltatásmegtagadási hiba található. Egy hitelesítést nem igénylő távoli támadó összeomlaszthatja a LINA folyamatot, és újraindíthatja a sebezhető eszközt. A javítások elérhetők; telepítse azokat, vagy átmenetileg tiltsa le a TLS 1.3-at.

• Magas 8.6 CVE-2026-20249 Cisco 2026. szeptember 17.

  Cisco ASA és FTD: szolgáltatásmegtagadás az IKEv2-tanúsítványhitelesítésben (CVE-2026-20249)

  A nem hitelesített távoli támadók összeomlaszthatják az IKEv2 VPN-szolgáltatásokat az érintett Cisco ASA és FTD eszközökön, ha a kapcsolatfelépítés során speciálisan kialakított tanúsítványt küldenek. A Cisco javítást adott ki; kerülő megoldás nem áll rendelkezésre.

• Magas 8.6 CVE-2026-20250 Cisco 2026. szeptember 17.

  Cisco Secure Firewall ASA és FTD szoftver DTLS-alapú szolgáltatásmegtagadási sérülékenysége lehetővé teszi, hogy nem hitelesített távoli támadók újraindítsák az érintett eszközöket (CVE-2026-20250)

  A Firepower 3100 és 4200 sorozatú eszközökön futó Cisco Secure Firewall ASA és FTD szoftver hálózaton keresztül elérhető, DTLS-alapú szolgáltatásmegtagadási sérülékenységet tartalmaz. Nem hitelesített támadók speciálisan kialakított DTLS-forgalom küldésével újraindíthatják az eszközt. A Cisco jelzése szerint javítás érhető el, a kerülő megoldás pedig letiltja a DTLS flow offload funkciót.

• Magas 8.6 CVE-2026-20295, CVE-2026-20323 Cisco 2026. szeptember 17.

  Cisco Secure Firewall sftunnel-sérülékenységei: szolgáltatásmegtagadás és hitelesítés megkerülése (CVE-2026-20295, CVE-2026-20323)

  A Cisco Secure Firewall Management Center és a Cisco Secure Firewall Threat Defense szoftverek két nagy súlyosságú sftunnel-sérülékenységet tartalmaznak: távoli memóriakimerítéses szolgáltatásmegtagadást (CVE-2026-20295) és szomszédos hálózatból kihasználható hitelesítés megkerülést root hozzáféréssel (CVE-2026-20323). Javítások elérhetők, kerülő megoldás nincs.

• Kritikus 10.0 KEV CVE-2026-76460 Cisco 2026. szeptember 16.

  Hitelesítés-megkerülés nyit utat a Cisco Identity Services Engine webes felügyeleti felületéhez (CVE-2026-76460)

  A Cisco Identity Services Engine-ben kritikus, API-hitelesítést megkerülő sérülékenység van, amely hitelesítés nélküli távoli hozzáférést tesz lehetővé a webes felügyeleti felülethez. A CISA KEV és a Cisco PSIRT egyaránt megerősíti, hogy a sérülékenységet aktívan kihasználják. Alkalmazza a Cisco iACL-alapú kockázatcsökkentését, korlátozza a kitettséget, és frissítsen javított szoftverkiadásra.

• Kritikus 9.1 CVE-2026-20341, CVE-2026-20340, CVE-2026-20344 … Cisco 2026. szeptember 16.

  A Cisco Secure Firewall Management Center hibái root jogú parancsvégrehajtást, SQL-befecskendezést és szolgáltatásmegtagadást tesznek lehetővé (CVE-2026-20340–CVE-2026-20344)

  A Cisco öt Secure Firewall Management Center sérülékenységet hozott nyilvánosságra: root jogú parancsvégrehajtás, SQL-befecskendezés, tetszőleges fájl letöltése és hitelesítést nem igénylő API-n keresztüli szolgáltatásmegtagadás. Kerülő megoldás nem létezik. Tekintse át a Cisco biztonsági közleményét, korlátozza a felügyeleti hozzáférést, és telepítse a javított szoftvert.

• Kritikus 9.8 CVE-2026-20242 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center Java-deszerializációs hibája root szintű távoli kódvégrehajtást tesz lehetővé (CVE-2026-20242)

  A Cisco Secure Firewall Management Center külső adatbázis-hozzáférést biztosító External Database Access funkciójában kritikus Java-deszerializációs hiba található. Egy hitelesítést nem igénylő, távoli támadó, aki egy konfigurált adatbázis-gazdagépet irányít, root jogosultsággal futtathat parancsokat. A Cisco javításokat tett közzé; a javított kiadás telepítéséig kapcsolja ki az External Database Access funkciót.

• Kritikus 10.0 CVE-2026-76423, CVE-2026-76425, CVE-2026-76424 … Cisco 2026. szeptember 16.

  Cisco ISE REST API hitelesítés megkerülése hitelesítés nélküli adminisztratív hozzáférést ad (CVE-2026-76423)

  A Cisco ISE-t és az ISE-PIC-et több sérülékenység érinti, köztük a CVE-2026-76423 azonosítójú, hitelesítés nélkül kihasználható REST API-s hitelesítésmegkerülést, amelynek CVSS-pontszáma 10. A javítások elérhetők; telepítse a Cisco javított szoftverét, és korlátozza a kitettséget.

• Kritikus 9.9 CVE-2026-20324 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center sftunnel tetszőleges kódfuttatási hibája root jogosultságú parancsok futtatását teszi lehetővé hitelesített támadók számára (CVE-2026-20324)

  A Cisco Secure Firewall Management Center (FMC) sftunnel hibája lehetővé teszi, hogy hitelesített távoli támadó root jogosultsággal parancsokat futtasson. Az érintett kiadások közé tartoznak a 7.0.0 és 7.0.3 közötti verziók, valamint a 7.2.0. A Cisco rendelkezik javítással, kerülő megoldás azonban nem érhető el.

• Kritikus 9.9 CVE-2026-20326, CVE-2026-20322, CVE-2026-20325 … Cisco 2026. szeptember 16.

  Cisco Nexus Dashboard: a 2026. szeptemberi biztonsági megerősítő kiadás hiányzó hitelesítést és injektálási hibákat javít (CVE-2026-20326 és mások)

  A Cisco Nexus Dashboard kiadásait több kritikus sérülékenység érinti, amelyek hiányzó hitelesítésből és injektálási hibákból erednek. A Cisco 2026. szeptemberi biztonsági megerősítő kiadása javítja ezeket; kerülő megoldást nem ismertetnek.

• Kiadási összefoglaló Kritikus 10.0 330 érintett CVE Oracle 2026. szeptember 16.

  Oracle 2026. szeptemberi kritikus biztonsági közleménye: 330 javítás, hitelesítés nélküli Fusion Middleware hibák

  Az Oracle 2026. szeptemberi kritikus hibajavító csomagja 330 CVE-t fed le: 69 kritikus, 234 magas, 24 közepes és 3 alacsony súlyosságú. Egyik CVE-nek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. A hitelesítés nélküli Fusion Middleware hibák – köztük több 10,0 pontszámú – kiemelt figyelmet érdemelnek.

• Kritikus 10.0 CVE-2026-20192, CVE-2026-20130, CVE-2026-20234 … Cisco 2026. szeptember 16.

  A Cisco Identity Services Engine hardening-kiadása több kritikus sérülékenységet javít (CVE-2026-20192 és mások)

  A Cisco Identity Services Engine és az ISE-PIC hardening-kiadást kapott több kritikus sérülékenységhez; egyesek hitelesítés nélkül, a hálózaton keresztül érhetők el. Telepítse a Cisco 2026. szeptemberi kiadását; kerülő megoldás nem érhető el.

• Kritikus 9.9 CVE-2026-20329, CVE-2026-20330, CVE-2026-20332 … Cisco 2026. szeptember 16.

  Cisco Secure Firewall ASA, FTD és FMC biztonsági megerősítő kiadása kritikus és magas súlyosságú sérülékenységeket javít (CVE-2026-20329–CVE-2026-20336)

  A Cisco biztonsági megerősítő frissítést adott ki az ASA-, FTD- és FMC-szoftverekhez, amely nyolc kritikus és magas súlyosságú sérülékenységet javít. Nincs kerülő megoldás; a Cisco szerint nincs ismert aktív kihasználás. Telepítse a gyártói kiadást.

• Kritikus 9.0 CVE-2026-76420, CVE-2026-76412, CVE-2026-76413 Cisco 2026. szeptember 16.

  Cisco Secure Firewall Management Center: root parancsvégrehajtás és jogosultságszint-emelés (CVE-2026-76420, CVE-2026-76412, CVE-2026-76413)

  A Cisco Secure Firewall Management Centerben (FMC) három sérülékenység található: hitelesítést nem igénylő root parancsvégrehajtás az AJP-n keresztül, amikor az sftunnel nem működik, rendszergazdai SSO-token hamisítása, valamint hitelesítést igénylő jogosultságszint-emelés root szintre. A javítások elérhetők; a javított buildekért lásd a Cisco biztonsági közleményét.

• Kritikus 9.9 CVE-2026-20307, CVE-2026-20176, CVE-2026-20211 Cisco 2026. szeptember 16.

  A Cisco Identity Services Engine távoli kódfuttatási sérülékenységei (CVE-2026-20307, CVE-2026-20176, CVE-2026-20211)

  A Cisco Identity Services Engine három kritikus sérülékenysége lehetővé teszi, hogy hitelesített rendszergazdák parancsokat futtassanak az alatta futó operációs rendszeren. Nincs kerülő megoldás; a Cisco már kiadta a javításokat. Korlátozza a felügyeleti hozzáférést, és telepítse a gyártói frissítést.

• Kritikus 9.1 CVE-2026-20306, CVE-2026-20305 Cisco 2026. szeptember 16.

  CVE-2026-20305, CVE-2026-20306: Parancsinjektálás a Cisco Identity Services Engine-ben hitelesített támadók root jogosultságot szerezhetnek

  Két kritikus parancsinjektálási hiba a Cisco Identity Services Engine-ben és az ISE-PIC-ben lehetővé teszi, hogy egy hitelesített rendszergazda root jogosultsággal futtasson kódot. Egycsomópontos ISE-telepítésekben egy kihasznált csomópont elérhetetlenné válhat, és blokkolhatja az új hálózati hozzáféréseket. A Cisco kiadta a javításokat; kerülő megoldás nem létezik.

• Kritikus 9.8 CVE-2026-91843 Check Point 2026. szeptember 16.

  CVE-2026-91843: Check Point Quantum Security Management veremtúlcsordulás – hitelesítés nélküli távoli kódfuttatás

  A Check Point Quantum Security Management bejelentkezési folyamata kritikus, hitelesítést nem igénylő veremtúlcsordulási hibát tartalmaz. Javított kiadás vagy gyártói kerülő megoldás egyelőre nem szerepel a közleményben, ezért korlátozza a Security Management és Log Server rendszerek elérését, és figyelje a szokatlan tevékenységet.

• Kritikus 9.6 GHSA-2qxr-vvj4-5934, GHSA-r432-q883-wgvf, GHSA-8xfc-pww7-3rm5 … Shopware 2026. szeptember 16.

  Shopware 6.7.14.1 és 6.6.10.25: SQL-injekciós, webhook- és jogosultságszint-emelési hibák javítása

  A Shopware kiadta a 6.7.14.1 és a 6.6.10.25 verziót, hogy javítsa az öt biztonsági közleményben szereplő hibákat: a Store API-t érintő SQL-injekciót, a webhook-jogosultságok megkerülését, két jogosultságszint-emelési hibát és a hírlevél dupla opt-in megerősítésének megkerülését. Az üzemeltetőknek frissíteniük kell.

• Kiadási összefoglaló Magas 8.8 8 érintett CVE Apple 2026. szeptember 15.

  Apple biztonsági frissítések, 2026. szeptember: nyolc javítás, közülük négy súlyos macOS-sérülékenység

  Az Apple 2026. szeptemberi biztonsági frissítései nyolc macOS CVE-t tartalmaznak: négy súlyos, négy pedig közepes súlyosságú. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. A legfigyelemreméltóbb egy távolról kihasználható afpfs-kezelési hiba, amely kernelmemória-sérülést okozhat; emellett két helyi jogosultságszint-emelési probléma javítása is sürgős.

• Kiadási összefoglaló Magas 7.8 9 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: kilenc CVE, főként hálózati adatvédelmi és memóriakezelési hibák

  Az Apple 2026. szeptemberi kiadása 9 CVE-t fed le az iOS, iPadOS, macOS, tvOS, watchOS és visionOS rendszerekben. Három súlyos, öt közepes, egy alacsony; egyik sincs a CISA KEV listáján, és egyikről sem rögzítettek kihasználást. Először az iOS/iPadOS 26.6 frissítést telepítse a hálózaton elérhető ujjlenyomat-azonosítási hiba miatt, majd a memóriakezelési javításokat.

• Kiadási összefoglaló Magas 8.8 34 érintett CVE Apple 2026. szeptember 15.

  Apple biztonsági frissítések, 2026. szeptember: hét magas súlyosságú javítás, összesen 34 CVE

  Az Apple 2026. szeptemberi frissítései 34 CVE-t kezelnek a Safari, az iOS, az iPadOS, a macOS, a tvOS, a visionOS és a watchOS rendszerekben. Egyik CVE sem szerepel a CISA KEV-ben. Kezdje a hét magas súlyosságú, webes tartalommal és a rendszermaggal kapcsolatos hibákkal, majd foglalkozzon a közepes és alacsony súlyosságú tételekkel.

• Kiadási összefoglaló Kritikus 9.8 98 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: a 98 javítás élén két kritikus macOS-kernelhiba áll

  Az Apple 2026. szeptemberi biztonsági frissítései 98 CVE-t fednek le: 2 kritikus, 34 magas, 61 közepes és 1 alacsony besorolású hibát. Egyik sem szerepel a CISA KEV listáján, és egyiket sem jelölték kihasználtként. A két kritikus macOS-kernelhiba hitelesítés nélkül, hálózaton keresztül érhető el, ezért először a macOS-t javítsa.

• Kiadási összefoglaló Kritikus 9.8 118 érintett CVE Apple 2026. szeptember 15.

  Apple 2026. szeptemberi biztonsági frissítései: 118 javítás között öt kritikus, alaprendszert érintő hiba

  Az Apple 2026. szeptemberi frissítése 118 CVE-t kezel iOS, iPadOS, macOS, tvOS, visionOS, watchOS és Safari rendszereken. A hatókörbe tartozó CVE-k egyikének sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV-katalógusban. Az öt kritikus és 28 magas súlyosságú hiba – elsősorban memóriasérülések és jogosultsági problémák – gyors, széles körű javítást tesz szükségessé.

• Kritikus 9.8 CVE-2026-12351 IBM 2026. szeptember 15.

  Az IBM MQ JNDI-injekció hitelesítést nem igénylő távoli kódfuttatást tesz lehetővé (CVE-2026-12351)

  Az IBM MQ 9.3.0.0, 9.4.0.0 és 10.0.0.0 kiadási vonalai hitelesítést nem igénylő távoli kódfuttatást tesznek lehetővé a nem biztonságos JNDI-keresés révén, ha az IVT-alkalmazás telepítve van. CVSS 9,8 (kritikus). Telepítse az IBM javítását, és ellenőrizze a kiadásához tartozó megfelelő buildet.

• Kritikus 9.8 KEV CVE-2026-76461 Cisco 2026. szeptember 14.

  CVE-2026-76461: SQL-befecskendezés a Cisco Secure Email Gatewayben hitelesítés nélküli távoli parancsvégrehajtást tesz lehetővé

  A Cisco Secure Email Gateway AsyncOS e-mail-értelmezése kritikus SQL-befecskendezési hibát tartalmaz (CVE-2026-76461). Egy távoli, hitelesítést nem igénylő támadó speciálisan kialakított e-mail küldésével root jogosultsággal futtathat parancsokat. A CISA KEV és a Cisco PSIRT megerősítik az aktív kihasználást; telepítse a javított kiadást.

• Kritikus 9.8 CVE-2026-76440, CVE-2026-76441, CVE-2026-76443 … Cisco 2026. szeptember 14.

  A Cisco Secure Email Gateway megerősítő kiadása kritikus és magas súlyosságú sérülékenységeket javít (CVE-2026-76440 és mások)

  A Cisco biztonsági megerősítő kiadást adott ki a Cisco Secure Email és a Cisco Secure Email and Web Manager termékekhez. A sérülékenységek közül négy kritikus, egy pedig magas besorolású, és mindegyik hálózaton keresztül, hitelesítés nélkül érhető el. A Cisco nem tud ismert aktív kihasználásról. Kerülő megoldás nem létezik; telepítse a Cisco biztonsági megerősítő kiadását.

• Heti összefoglaló Magas 8.1 8 érintett CVE IBM 2026. szeptember 13.

  IBM-sérülékenységek, 2026. 37. hét: két magas súlyosságú Db2-hiba és öt WebSphere CVE

  Az IBM 2026. 37. heti kiadása nyolc CVE-t érint a Db2 és a WebSphere Application Server termékekben: kettő magas, hat közepes súlyosságú. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV-jegyzékben. Először a Db2-t javítsa, majd a WebSphere-t állítsa 9.0.5.29 vagy 8.5.5.31 verzióra.

• Heti összefoglaló Magas 7.2 9 érintett CVE Palo Alto Networks 2026. szeptember 13.

  Palo Alto Networks 2026. 37. hét: kilenc javítás, középpontban a PAN-OS XML puffertúlcsordulás

  A Palo Alto Networks 9 CVE-t tett közzé a 2026. szeptember 7–13. közötti hétre: 1 magas, 5 közepes és 3 alacsony súlyosságút. Egyik sem szerepel a CISA KEV listáján, és egyiknek sincs ismert aktív kihasználása. A CVE-2026-0310 egy hitelesítést nem igénylő, a PAN-OS XML-feldolgozásában fellépő puffertúlcsordulás, amely DoS-t vagy root szintű kódfuttatást okozhat. Először a PAN-OS és a Prisma Access rendszereket javítsa, majd az ügynököket és a Checkovot.

• Heti összefoglaló Kritikus 9.6 10 érintett CVE Fortinet 2026. szeptember 13.

  Fortinet 2026. 37. hét: kritikus FortiMonitorOnSight hitelesítésmegkerülés vezeti a 10 CVE-t

  A Fortinet 2026. 37. heti kiadása 10 CVE-t tartalmaz: egy kritikus, kettő magas, öt közepes és kettő alacsony besorolásút. A legfontosabb a CVE-2026-84390, egy hitelesítést nem igénylő hitelesítésmegkerülési sérülékenység a FortiMonitorOnSight-ban. A CVE-k egyike sincs aktívan kihasználtként jelölve, és egyik sem szerepel a CISA KEV katalógusában; javított verziókat sem tettek közzé.

• Heti összefoglaló Kritikus 10.0 KEV 16 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. szeptember 13.

  Nyílt forráskódú üzleti platformok, 2026. 37. hét: kihasznált Adobe Commerce hiba 17 sérülékenység között

  2026. 37. hét: 17 sérülékenység az Adobe Commerce, a Magento, a Dolibarr, a TYPO3, a Frappe, a WooCommerce és a PrestaShop platformokon; 15 rendelkezik CVE-azonosítóval. A CVE-2026-75650 egy kihasznált, CVSS 10 besorolású Adobe Commerce sablonmotor-hiba, amely szerepel a CISA KEV listáján. Először ezt a gyorsjavítást telepítse, majd a szeptemberi frissítéseket.

• Magas 8.7 CVE-2026-89013, CVE-2026-89012 Dolibarr 2026. szeptember 12.

  Dolibarr 23.0.4–24.0.0: a jogosultság-ellenőrzés és az SQL-szűrő megkerülése fájlokat és jelszókivonatokat tesz elérhetővé (CVE-2026-89013, CVE-2026-89012)

  A Dolibarr 24.0.1-es kiadása két magas súlyosságú hibát javít: egy hitelesítést nem igénylő, fájlok olvasását lehetővé tevő jogosultság-ellenőrzési megkerülést (CVE-2026-89013), valamint egy hitelesítés utáni, az SQL-szűrő tiltólistáját megkerülő hibát, amellyel jelszókivonatok szerezhetők vissza (CVE-2026-89012). Frissítse a 23.0.4 verziótól a 24.0.0 verzióig terjedő példányokat a 24.0.1-es verzióra.

• Kritikus 10.0 KEV CVE-2026-85706 2026. szeptember 12.

  Útvonalbejárás a GitLab repository commits API felületén hitelesítés nélküli fájlolvasást tesz lehetővé (CVE-2026-85706)

  A GitLab CE/EE repository commits API-jában hitelesítés nélkül kihasználható útvonalbejárás a kiszolgálón tárolt fájlokat fedheti fel. Frissítsen az adott verzióághoz tartozó javított kiadásra: 18.11.12, 19.0.9, 19.1.8, 19.2.6 vagy 19.3.2. A CISA KEV aktív kihasználást tart nyilván.

• Kritikus 9.6 CVE-2026-84390 Fortinet 2026. szeptember 11.

  FortiMonitorOnSight: a JWT-hitelesítés megkerülése hitelesítés nélküli webportál-hozzáférést tesz lehetővé (CVE-2026-84390)

  A Fortinet FortiMonitorOnSight webportálja kritikus sérülékenységet tartalmaz, amely lehetővé teszi a JWT-hitelesítés megkerülését (CVE-2026-84390) a 7.2.0–7.2.2 és a 7.2.4–7.2.7 verziókban. Javított verzió vagy kerülő megoldás nem szerepel a közleményben; korlátozza a hálózati kitettséget, és kísérje figyelemmel a hozzáféréseket.

• Magas 7.2 CVE-2026-0310 Palo Alto Networks 2026. szeptember 10.

  A PAN-OS XML-feldolgozás puffertúlcsordulása hitelesítés nélküli kódfuttatást vagy szolgáltatásmegtagadást tesz lehetővé (CVE-2026-0310)

  A hitelesítést nem igénylő támadó, aki hálózati hozzáféréssel rendelkezik a PAN-OS felügyeleti vagy adatsík-interfészeihez, összeomlaszthatja a VM-Series tűzfalakat, vagy root jogosultságú kódfuttatást érhet el a PA-Series eszközökön. Javított verziók érhetők el; kerülő megoldás nem létezik.

• Kritikus 9.8 CVE-2026-85103 Check Point 2026. szeptember 9.

  Heap-alapú puffertúlcsordulás a Quantum Security Gateway és a Quantum Security Management VPN-tanúsítványainak ASN.1-dekódolásában (CVE-2026-85103)

  A Check Point Quantum Security Gateway és a Quantum Security Management termékeket kritikus heap-alapú puffertúlcsordulás érinti a VPN-tanúsítványok ASN.1-dekódolásában. Hitelesítést nem igénylő távoli támadó képes lehet kódot futtatni. Javított verzió még nem szerepel a gyártói biztonsági közleményben; korlátozza a hálózati kitettséget, és kísérje figyelemmel a gyártó biztonsági közleményét.

• Kritikus 9.8 KEV CVE-2026-85102 Check Point 2026. szeptember 9.

  Check Point Quantum Security Gateway nem megfelelő tanúsítvány-ellenőrzése hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-85102)

  A Check Point Quantum Security Gateway kritikus tanúsítvány-ellenőrzési hibája (CVE-2026-85102) lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak. A CISA KEV aktívan kihasznált sérülékenységként tartja nyilván. Azonnal alkalmazza a Check Point SK1000117 enyhítő intézkedését.

• Magas 7.3 CVE-2026-84393 Fortinet 2026. szeptember 9.

  A FortiOS és a FortiProxy Agentless ZTNA-portáljának nem megfelelő tanúsítvány-ellenőrzése man-in-the-middle támadást tesz lehetővé (CVE-2026-84393)

  Az Agentless ZTNA-portál nem megfelelő tanúsítvány-ellenőrzése a FortiOS 7.6.1–7.6.6 és a FortiProxy 7.6.2–7.6.6 verziókat érinti, és lehetővé teheti, hogy egy távoli, hitelesítést nem igénylő támadó man-in-the-middle támadást hajtson végre. Javított verzió egyelőre nem szerepel.

• Kritikus 9.3 CVE-2026-77109, CVE-2026-76200, CVE-2026-76201 … Adobe Commerce / Magento 2026. szeptember 9.

  Adobe Commerce és Magento Open Source frissítése javítja a helytelen jogosultság-ellenőrzést, a tárolt XSS-t és az útvonalbejárást (APSB26-138)

  Az Adobe Commerce, a Commerce B2B és a Magento Open Source esetében a 2026. szeptemberi buildek telepítése szünteti meg a nyolc hibát: helytelen jogosultság-ellenőrzést, tárolt XSS-t és útvonalbejárást. A legsúlyosabb egy 9,3-as pontszámú tárolt XSS; több jogosultság-ellenőrzési hiba felhasználói beavatkozás nélkül kihasználható. Telepítse a 2026-sep jelű kiadást.

• Kritikus 9.9 KEV CVE-2026-84869 2026. szeptember 8.

  ScreenConnect-kliens vendégről gazdagépre irányuló fájlfuttatása jogosulatlan kódvégrehajtást tesz lehetővé (CVE-2026-84869)

  A 26.6.5 előtti ScreenConnect-klienseket egy 9,9-es besorolású, kritikus vendégről gazdagépre irányuló fájlfuttatási sérülékenység érinti. A CISA aktívan kihasználtként tartja nyilván. Frissítse a klienseket a 26.6.5.9742-es verzióra; a ScreenConnect-kiszolgálókat a hiba nem érinti.

• Kritikus 9.8 CVE-2026-66302 Microsoft 2026. szeptember 8.

  Hitelesítés nélkül kihasználható távoli kódfuttatás a Skype for Business Serverben (CVE-2026-66302)

  A Skype for Business Server kritikus távoli kódfuttatási hibája hitelesítés nélkül, a hálózaton keresztül kihasználható. A Microsoft javított buildeket adott ki a Skype for Business Server 2015 CU13, a 2019 CU8 és a Subscription Edition CU1 kiadásokhoz.

• Magas 7.8 KEV CVE-2026-85880 Microsoft 2026. szeptember 8.

  Windows ALPC heap-alapú puffertúlcsordulása helyi jogosultságszint-emelést tesz lehetővé (CVE-2026-85880)

  A CVE-2026-85880 a Windows ALPC összetevőben található heap-alapú puffertúlcsordulás. Egy hitelesített helyi támadó jogosultságszint-emelésre használhatja ki, és a CISA KEV-katalógusa, valamint a Microsoft aktívan kihasználtként tartják nyilván. A javított Windows-buildök elérhetők.

• Magas 7.8 KEV CVE-2026-81963 Microsoft 2026. szeptember 8.

  Windows Update Stack hivatkozáskövetési hibája helyi jogosultságszint-emelést tesz lehetővé (CVE-2026-81963)

  A Microsoft Windows Update Stack rendszerében egy magas súlyosságú, helyi jogosultságszint-emelést lehetővé tevő hiba található, amelyet a CISA KEV és a Microsoft kihasználtként tart nyilván. Telepítse a Windows 11 és a Windows Server 2025 2026. szeptemberi frissítéseit.

• Kritikus 9.8 CVE-2026-69910 Microsoft 2026. szeptember 8.

  Windows Hyper-V: veremalapú puffertúlcsordulás távoli kódfuttatást tesz lehetővé (CVE-2026-69910)

  A Windows Hyper-V veremalapú puffertúlcsordulása hitelesítés és felhasználói beavatkozás nélkül, hálózaton keresztül kihasználható. A Microsoft kiadta a javított buildeket; telepítse a 2026. szeptemberi biztonsági frissítést.

• Kritikus 9.8 CVE-2026-69845 Microsoft 2026. szeptember 8.

  A Windows DHCP Server heap-alapú puffertúlcsordulása távoli kódfuttatást tesz lehetővé (CVE-2026-69845)

  CVE-2026-69845: A Windows DHCP Server kritikus heap-alapú puffertúlcsordulása hitelesítés nélküli távoli kódfuttatást tesz lehetővé felhasználói beavatkozás nélkül. A sérülékenység a Windows Server 2012, 2012 R2, 2016, 2019, 2022 és 2025, valamint a Windows 10 1607/1809 verzióit érinti. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítéseit.

• Kritikus 9.6 CVE-2026-65669 Microsoft 2026. szeptember 8.

  A Microsoft SQL Server Management Studio 22 injekciós hibája lehetővé teszi, hogy hitelesítés nélküli támadók a hálózaton keresztül jogosultságszint-emelést érjenek el (CVE-2026-65669)

  A Microsoft SQL Server Management Studio 22 22.8.2 előtti kiadásaiban kritikus injekciós hiba (CVSS 9,6) található; ezt a hibát kihasználva egy hitelesítés nélküli támadó a hálózaton keresztül, felhasználói interakcióval jogosultságszint-emelést érhet el. Frissítsen a 22.8.2 verzióra.

• Kiadási összefoglaló Kritikus 10.0 19 érintett CVE SAP 2026. szeptember 8.

  SAP Security Patch Day, 2026. szeptember: 19 javításból négy kritikus sérülékenység

  A 2026. szeptemberi SAP Security Patch Day 19 CVE-t ölel fel: 4 kritikus, 4 magas, 8 közepes és 3 alacsony besorolású. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. Először a hitelesítés nélkül, hálózaton keresztül támadható problémákat kezelje az SAP Extended Passport, az SAP NetWeaver Message Server és az SAP CAP esetében, majd a fennmaradó SAP Note-ok alapján javítsa a többi hibát.

• Kritikus 9.8 CVE-2026-67643 Microsoft 2026. szeptember 8.

  A Microsoft SQL Server heap-alapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak (CVE-2026-67643)

  A Microsoft SQL Server kritikus heap-alapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak. Az SQL Server 2022 és 2025 CU- és GDR-ágához a javított buildek már elérhetők.

• Kiadási összefoglaló Kritikus 9.8 KEV 938 érintett CVE Microsoft 2026. szeptember 8.

  Microsoft Patch Tuesday, 2026. szeptember: két kihasznált Windows-hiba a 938 javítás élén

  A Microsoft 2026. szeptemberi Patch Tuesday-kiadása 938 CVE-t tartalmaz, köztük két, támadásokban már kihasznált Windows jogosultságszint-emelési hibát, amelyek már a CISA KEV-listáján szerepelnek, valamint 41 kritikus besorolású problémát. Először a Windows ALPC-t és a Windows Update Stacket érintő javításokat részesítse előnyben, majd a hálózatról elérhető SQL Server- és Skype for Business-frissítéseket, valamint a Windows-összetevők frissítéseit.

• Kritikus 9.0 CVE-2026-67636 Microsoft 2026. szeptember 8.

  Microsoft SQL Server: hitelesítés nélküli távoli kódfuttatás határokon kívüli olvasás miatt (CVE-2026-67636)

  A Microsoft SQL Server 2019, 2022 és 2025 verziói kritikus súlyosságú, határokon kívüli olvasási hibát tartalmaznak. A hálózaton keresztül, hitelesítés nélkül támadó fél kódot futtathat; a javított buildek elérhetők.

• Kritikus 9.8 CVE-2026-78509 Microsoft 2026. szeptember 8.

  A Microsoft Office Outlook heap-alapú puffertúlcsordulási hibája hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-78509)

  A Microsoft Office Outlook kritikus heap-alapú puffertúlcsordulási hibája (CVE-2026-78509) lehetővé teszi, hogy hitelesítés nélküli támadó hálózaton keresztül kódot futtasson. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítéseit az Ön Office-kiadásához.

• Kritikus 9.0 CVE-2026-67378 Microsoft 2026. szeptember 8.

  CVE-2026-67378: Hitelesítés nélküli távoli kódfuttatás a Microsoft SQL Serverben

  Kritikus, hitelesítés nélkül kihasználható távoli kódfuttatási sérülékenység érinti a Microsoft SQL Server 2019, 2022 és 2025 verzióit. Telepítse a Microsoft 2026. szeptemberi biztonsági frissítését.

• Kritikus 9.8 CVE-2026-69579 Microsoft 2026. szeptember 8.

  Windows Message Queuing use-after-free sebezhetősége távoli kódvégrehajtást tesz lehetővé (CVE-2026-69579)

  A Windows Message Queuing use-after-free sebezhetősége lehetővé teszi, hogy egy támadó hitelesítés nélkül, a hálózaton keresztül kódot futtasson (CVSS 9,8). A Microsoft a 2026. szeptemberi frissítésben tette közzé a javított buildeket. Telepítse ezeket az érintett Windows 10, Windows 11 és Windows Server rendszerekre.

• Kritikus 9.8 CVE-2026-72982 Microsoft 2026. szeptember 8.

  A Windows Netlogon veremalapú puffertúlcsordulása lehetővé teszi, hogy hitelesítés nélküli támadók hálózaton keresztül kódot futtassanak (CVE-2026-72982)

  A Microsoft Windows Netlogon összetevőjében kritikus veremalapú puffertúlcsordulás található (CVE-2026-72982). Hitelesítés nélküli támadó hálózaton keresztül, felhasználói beavatkozás nélkül futtathat kódot. A 2026. szeptemberi biztonsági frissítés tartalmazza a javított buildeket; telepítse őket az érintett Windows-kliensekre és -kiszolgálókra.

• Kritikus 9.8 CVE-2026-72979 Microsoft 2026. szeptember 8.

  Windows DHCP Server use-after-free sérülékenysége távoli kódfuttatást tesz lehetővé (CVE-2026-72979)

  A Windows DHCP Server use-after-free sérülékenysége lehetővé teszi, hogy hitelesítés nélküli támadó a hálózaton keresztül kódot futtasson. A Microsoft a hibát kritikusnak minősíti, és javított buildeket adott ki az érintett Windows Server és Windows 10 verziókhoz. Telepítse mielőbb a 2026. szeptemberi frissítéseket.

• Kritikus 9.1 CVE-2026-69641 Microsoft 2026. szeptember 8.

  Microsoft Exchange Server hiányzó jogosultság-ellenőrzése jogosultságszint-emelést tesz lehetővé (CVE-2026-69641)

  A Microsoft Exchange Server hiányzó jogosultság-ellenőrzésből eredő sérülékenységet tartalmaz (CVE-2026-69641). Egy hitelesített, magas jogosultságú támadó a hálózaton keresztül további jogosultságokat szerezhet. A javított biztonsági frissítések elérhetők; telepítse a felsorolt buildeket. CVSS 9,1.

• Kritikus 9.3 CVE-2026-69356 Microsoft 2026. szeptember 8.

  Microsoft Exchange Server XSS-hibája hálózaton keresztüli hamisítást tesz lehetővé (CVE-2026-69356)

  A Microsoft Exchange Server 2016 CU23, 2019 CU14/CU15 és Subscription Edition RTM kiadásait cross-site scripting (XSS) biztonsági rés érinti, amelynek CVSS-besorolása 9,3 (kritikus). A Microsoft a 2026. szeptemberi biztonsági frissítésekben tette közzé a javított buildeket.

• Kritikus 9.8 CVE-2026-69730 Microsoft 2026. szeptember 8.

  A Windows DNS Server use-after-free típusú sérülékenysége hitelesítés nélküli, távoli kódfuttatást tesz lehetővé (CVE-2026-69730)

  A Windows DNS Server use-after-free sérülékenysége (CVE-2026-69730) jogosultság és felhasználói beavatkozás nélkül, hálózaton keresztül történő kódfuttatást tesz lehetővé. A Microsoft kiadta a javításokat az érintett Windows 10- és Windows Server-buildekhez; telepítse a 2026. szeptemberi frissítést.

• Kritikus 9.8 CVE-2026-69525 Microsoft 2026. szeptember 8.

  CVE-2026-69525: Use-after-free hiba a Windows Remote Desktop Servicesben – nem hitelesített távoli kódfuttatást tesz lehetővé

  A Windows Remote Desktop Services szolgáltatásban található use-after-free (CVE-2026-69525) jogosulatlan távoli kódfuttatást tesz lehetővé a hálózaton keresztül. CVSS-alappontszáma 9,8 (kritikus); a Microsoft fontosként sorolja be. Aktív kihasználást vagy nyilvános közzétételt nem rögzítettek. Telepítse a 2026. szeptemberi biztonsági frissítést.

• Kritikus 9.8 CVE-2026-67631 Microsoft 2026. szeptember 8.

  Microsoft SQL Server heap-alapú puffertúlcsordulása hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-67631)

  A Microsoft SQL Server 2017-től 2025-ig terjedő kiadásait érinti egy kritikus heap-alapú puffertúlcsordulás (CVE-2026-67631), amely lehetővé teszi, hogy hitelesítés nélküli támadó hálózaton keresztül kódot futtasson. Telepítse az Ön ágához tartozó, 2026. szeptemberi biztonsági frissítést; a javított buildeket alább soroljuk fel.

• Kritikus 9.4 CVE-2026-76969 SAP 2026. szeptember 8.

  Az SAP Cloud Application Programming Model hitelesítőadat-kiszivárogtatása hitelesítés nélkül lehetővé teszi a bérlői adatok cseréjét vagy törlését (CVE-2026-76969)

  Azok a több-bérlős SAP Cloud Application Programming Model (CAP) alkalmazások, amelyeknél az @sap/cds-mtxs csomag verziója legfeljebb 1.18.3, legfeljebb 2.7.6, legfeljebb 3.9.6, illetve legfeljebb 4.0.2, hitelesítés nélküli hitelesítőadat-kiszivárogtatást tesznek lehetővé, ami bérlői adatok cseréjéhez vagy törléséhez vezethet. Alkalmazza az SAP Note 3798315 dokumentumot.

• Kritikus 9.0 CVE-2026-66768 SAP 2026. szeptember 8.

  A SAP GUI for Java nem megfelelő hozzáférés-szabályozása tetszőleges parancsok végrehajtását teszi lehetővé (CVE-2026-66768)

  A SAP GUI for Java (BC-FES-JAV 8.10) nem megfelelően érvényesíti a csatlakoztatott háttérrendszer által meghívott funkciókra vonatkozó bizalmi szintű szabályzatot, így egy alacsony jogosultságú támadó tetszőleges parancsokat futtathat az áldozat gépén (CVSS 9). Alkalmazza a SAP Note 3781729 szerinti javítást.

• Kritikus 9.8 CVE-2026-58240 SAP 2026. szeptember 8.

  Hiányzó hitelesítési ellenőrzés az SAP NetWeaver Message Serverben: hitelesítés nélküli támadók komponenseket regisztrálhatnak (CVE-2026-58240)

  Az SAP NetWeaver Message Server KERNEL 9.16, 9.18, 9.19 és 9.20 verziójából hiányzik egy hitelesítési ellenőrzés. A hálózati hozzáféréssel rendelkező, hitelesítés nélküli támadó jogosulatlan komponenst regisztrálhat, ami magas hatást gyakorolhat a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. Alkalmazza az SAP Note 3759472-t.

• Kritikus 10.0 CVE-2026-44756 SAP 2026. szeptember 8.

  Az SAP Extended Passport (EPP) memóriasérülése hitelesítés nélküli hálózati kompromittálódást tesz lehetővé (CVE-2026-44756)

  Az SAP Extended Passport (EPP) feldolgozó összetevője az SAP kernel- és Web Dispatcher-termékvonalakban kritikus memóriasérülési hibát tartalmaz (CVE-2026-44756). Hitelesítés nélküli támadó speciálisan kialakított EPP-fejlécet küldhet, ami nem definiált működést és a folyamat leállását okozhatja. Alkalmazza az SAP Note 3747649 alapján elérhető javítást.

• Kritikus 10.0 KEV CVE-2026-75650 2026. szeptember 7.

  Az Adobe Commerce és a Magento Open Source sablonmotor-hibája hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-75650)

  A CISA KEV katalógusa szerint a CVE-2026-75650 azonosítójú sérülékenységet aktívan kihasználják. Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source sablonmotorjában olyan hiba van, amely hitelesítés nélküli távoli kódfuttatást tesz lehetővé. Telepítse a megfelelő gyorsjavítást, és az internet felől elérhető példányokat tekintse kitettnek.

• Heti összefoglaló Magas 7.5 6 érintett CVE IBM 2026. szeptember 6.

  IBM 2026. 36. hét: hat CVE, élen egy magas súlyosságú Verify Identity Access információfeltárási sérülékenység

  Az IBM 2026. 36. heti csomagja hat CVE-t tartalmaz: egy magas, öt közepes súlyosságút; egyik sem szerepel a CISA KEV-ben, és nincs megerősített aktív kihasználás. A prioritás a CVE-2026-13297, egy hitelesítést nem igénylő információfeltárási sérülékenység a Verify Identity Access és a Security Verify Access termékekben. Először ezt javítsa, majd a Db2 Mirror és az MQ Agent következzen.

• Heti összefoglaló Kritikus 9.8 11 érintett CVE Cisco 2026. szeptember 6.

  Cisco 2026. 36. hete: a 11 CVE-t három kritikus IOS XR- és NX-OS-sérülékenység vezeti

  A Cisco 2026. 36. heti kiadása 11 CVE-t érint: 3 kritikus, 6 magas és 2 közepes besorolású. A CVE-k egyike sincs kihasználtként nyilvántartva, és nincs közöttük CISA KEV-bejegyzés sem. Elsőként az NX-OS Silicon One távoli kódfuttatási hibáját és az IOS XR megerősítési (hardening) kiadását kezelje, majd a SIP- és a Secure Email-javításokat.

• Heti összefoglaló Magas 7.6 2 érintett CVE Nyílt forráskódú üzleti platformok 2026. szeptember 6.

  Nyílt forráskódú üzleti platformok, 2026. 36. hete: SQL-injekció a WooCommerce-ben és hozzáférés-szabályozási gyengeség a Dolibarrban

  Nyílt forráskódú üzleti platformok, 2026. 36. hete: két CVE, egy magas és egy közepes súlyosságú. A WooCommerce 11.0 előtti verzióiban magas súlyosságú SQL-injekció található; a Dolibarrban egy közepes súlyosságú hozzáférés-szabályozási gyengeség található, amelyet a 23.0.4-es verzió javít. Egyik sem szerepel a CISA KEV listáján. Először frissítse a WooCommerce-t.

• Kritikus 10.0 KEV CVE-2026-86218 2026. szeptember 6.

  N-central hitelesítést nem igénylő távoli kódfuttatási sérülékenysége jogosulatlan kódfuttatást tesz lehetővé (CVE-2026-86218)

  Az N-central 2026.3.1.14 előtti kiadásaiban hitelesítést nem igénylő távoli kódfuttatási sérülékenység (CVE-2026-86218) található, amely a CVSS 4.0 szerint 10-es, kritikus besorolású. A CISA KEV katalógusa aktívan kihasználtként tartja nyilván. Azonnal telepítse a javított N-central 2026.3.1.14 kiadást.

• Kritikus 9.2 KEV CVE-2026-86060 2026. szeptember 5.

  MikroTik RouterOS SSH-felhasználónév-hibája jogosultságszint-emelést tesz lehetővé (CVE-2026-86060)

  A MikroTik RouterOS kritikus SSH-bejelentkezési hibát tartalmaz (CVE-2026-86060), amely hitelesítést nem igénylő támadó számára is lehetővé teszi a jogosultságszint-emelést. A CISA KEV-katalógusa kihasználtként tartja nyilván a hibát. Frissítsen a RouterOS 6.49.21, 7.23.4 vagy 7.24.2 verzióra, és korlátozza az SSH elérhetőségét.

• Kritikus 9.8 CVE-2026-11928, CVE-2026-11921, CVE-2026-12101 … IBM 2026. szeptember 5.

  IBM Verify Identity Access és Security Verify Access: puffertúlcsordulás több javított hiba között (CVE-2026-11928)

  Az IBM több sérülékenységet javított a Verify Identity Access és a Security Verify Access termékekben, köztük egy hálózatról elérhető, CVSS 9,8-as pontszámú puffertúlcsordulást. Telepítse az IBM frissítését, és vizsgálja felül az internet felől elérhető példányokat.

• Kritikus 9.8 CVE-2026-20274, CVE-2026-20279, CVE-2026-20275 … Cisco 2026. szeptember 3.

  Cisco IOS XR Software: a 2026. szeptemberi biztonsági megerősítő kiadás belsőleg feltárt sérülékenységeket javít

  A Cisco IOS XR Software terméket több, belső biztonsági vizsgálat során feltárt sérülékenység érinti; ezeket a 2026. szeptemberi biztonsági megerősítő kiadás javítja. Kettő közülük kritikus, és hitelesítés nélkül elérhető; nincs kerülő megoldás. Telepítse a kiadást, és korlátozza az eszközök hálózati kitettségét.

• Kritikus 9.8 CVE-2026-20212 Cisco 2026. szeptember 2.

  Cisco Nexus 3000 és 9000 sorozatú switchek Silicon One HAL távoli kódfuttatás (CVE-2026-20212)

  A Nexus 3000/9000 sorozatú eszközökön futó Cisco NX-OS az alapértelmezett L3 VRF-ben elérhetővé teszi a 43210-es és a 43211-es TCP-portot, ami hitelesítés nélküli, távoli kódfuttatást tesz lehetővé root jogosultságokkal. A CVSS-pontszám 9,8, kritikus. Telepítse a Cisco javítását, és kerülő megoldásként alkalmazzon iACL-eket.

• Kritikus 10.0 KEV CVE-2026-83548 2026. szeptember 1.

  SMA1000 Work Place: hitelesítést nem igénylő SSRF érzékeny funkciókhoz ad hozzáférést (CVE-2026-83548)

  Az SMA1000 Work Place felületén hitelesítést nem igénylő SSRF sérülékenység található (CVE-2026-83548). A CVSS 3.1 szerinti pontszám 10 (kritikus); távoli, nem hitelesített támadók érzékeny funkciókhoz férhetnek hozzá. A CISA KEV aktív kihasználást jelez. Telepítse az alább felsorolt javított buildeket.

• Heti összefoglaló Kritikus 9.6 31 érintett biztonsági közlemény Nyílt forráskódú üzleti platformok 2026. augusztus 30.

  Nyílt forráskódú üzleti platformok, 2026. 35. hét: három kritikus Shopware biztonsági közlemény áll a 31 javítás élén

  Nyílt forráskódú üzleti platformok, 2026. 35. hét: 31, ebbe a körbe tartozó sérülékenység a Shopware, a Dolibarr, a Frappe, a Drupal core és az ERP rendszerekben. Három kritikus Shopware biztonsági közlemény és a Dolibarr REST API-hibái emelkednek ki; CISA KEV-bejegyzés nincs, és aktív kihasználásról sem érkezett jelentés. Először a Shopware 6.6.10.23/6.7.13.1 és a Dolibarr 24.0.0 javításait telepítse.

• Kritikus 9.8 KEV CVE-2026-82329 2026. augusztus 28.

  JFrog Artifactory hitelesítési megkerülése hitelesítés nélküli adminisztrátori hozzáférést adhat (CVE-2026-82329)

  A JFrog Artifactory olyan hitelesítési hiányosságot tartalmaz, amely alapértelmezett konfiguráció mellett lehetővé teheti, hogy hitelesítés nélküli, hálózati hozzáféréssel rendelkező támadó adminisztrátori jogosultságokat szerezzen. A CISA aktív kihasználást tart nyilván. A javított kiadások: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 és 7.161.20.

• Kritikus 9.4 KEV CVE-2026-82078 2026. augusztus 28.

  A PaperCut MF/NG nem biztonságos dinamikus osztálybetöltése tetszőleges kódfuttatást tehet lehetővé (CVE-2026-82078)

  A PaperCut MF/NG adatbázis-kapcsolati segédprogramjaiban nem biztonságos dinamikus osztálybetöltési hiba található. Magas jogosultságú támadók, akik képesek módosítani a konfigurációt, tetszőleges Java bytecode-ot futtathatnak. A CISA KEV és az SSVC aktív kihasználást jelez; javított verziók érhetők el. Telepítse a frissítést haladéktalanul.

• Kritikus 9.8 KEV CVE-2026-60004 2026. augusztus 26.

  Távoli kódfuttatás a Gitea diffpatch API-ján keresztül Git hook telepítésével (CVE-2026-60004)

  A Gitea 1.27.1 előtti verziói hitelesítést nem igénylő távoli kódfuttatást tesznek lehetővé a diffpatch API-n keresztül, Git hook telepítésével. A CISA KEV katalógusa szerint a sérülékenységet aktívan kihasználják. Frissítsen a Gitea 1.27.1-es verziójára.

• Kiadási összefoglaló Magas 8.8 5 érintett CVE Apple 2026. augusztus 26.

  Apple biztonsági frissítések, 2026. augusztus: öt CVE, köztük egy nagy súlyosságú Safari CSP-megkerülés

  Az Apple 2026. augusztusi biztonsági frissítései öt CVE-t érintenek: egy nagy, három közepes és egy alacsony súlyosságút. Egyiket sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. Elsőként a nagy súlyosságú Safari Content Security Policy-megkerülést kezelje, ezt követi a hálózati szolgáltatásmegtagadás, majd frissítse az iOS-t, az iPadOS-t, a Safarit és a kapcsolódó Apple-rendszereket.

• Kritikus 9.6 GHSA-6qhw-38wm-7g7h, GHSA-xj2c-8fw5-mr6m, GHSA-xrcf-c96g-q5hr … Shopware 2026. augusztus 25.

  Shopware 6.6.10.23 és 6.7.13.1 javítják az App Script sandboxból való kiszökését, az adminisztrátori fiók átvételét és további hibákat

  A Shopware 6.6.10.23 és 6.7.13.1 kiadásai tíz hibát javítanak, köztük egy kritikus App Script sandboxból való kiszökést, a Host fejléc mérgezésével végrehajtható adminisztrátori fiók átvételét, SQL-injekciót, SSRF-et és útvonal-bejárást. Azonnal frissítsen.

• Magas 8.8 CVE-2026-81730, CVE-2026-71504, CVE-2026-81728 … Dolibarr 2026. augusztus 25.

  Dolibarr 24.0.0 javítja az útvonalbejárási, SQL-injekciós és REST API-s jogosultság-ellenőrzési hibákat

  A 24.0.0-nál korábbi Dolibarr-verziókat tíz magas súlyosságú hiba érinti: hitelesítést nem igénylő útvonalbejárás az EmailCollector mellékletein keresztül, SQL-injekció az importálási és felhasználói API-kban, valamint a REST API jogosultság-ellenőrzésének megkerülései, amelyek jelszavakat, kifizetéseket, banki adatokat és bérszámfejtést érintenek. Frissítsen a 24.0.0-s verzióra.

• Heti összefoglaló Kritikus 10.0 KEV 125 érintett CVE Cisco 2026. augusztus 23.

  Cisco-sérülékenységek, 2026. 34. hét: a kritikus Splunk-, Crosswork- és Secure Workload-javítások vezetik a 125 CVE-s listát

  A Cisco 2026. évi 34. hete 125 CVE-t ölel fel: 12 kritikus, 42 magas, 66 közepes és 5 alacsony besorolású. Egyik CVE sem szerepel a CISA KEV listáján, és egyiknek sincs ismert aktív kihasználása. Kezelje prioritásként a Crosswork Planning, a Secure Workload, a Splunk Enterprise beágyazott jelentéseit és a Splunk MCP Server alkalmazást, majd haladjon tovább a fennmaradó magas besorolású Splunk-tételekre.

• Heti összefoglaló Magas 8.9 11 érintett CVE Nyílt forráskódú üzleti platformok 2026. augusztus 23.

  Nyílt forráskódú üzleti platformok, 2026. 34. hét: 11 javítás a Joomla és a WordPress feltöltési és hozzáférési hibáira

  A nyílt forráskódú üzleti platformok 2026. 34. heti összefoglalója (augusztus 17–23.) 11 CVE-t fed le: 10 a Joomla! CMS-t, egy a WordPress-t érinti. Egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján. A négy magas súlyosságú hiba közé tartozik a Joomla SHTML-feltöltése, a WordPress PostScript RCE-je, továbbá egy ACL- és egy MFA-megkerülés. Frissítse a Joomlát 5.4.8 vagy 6.1.3 verzióra; frissítse a WordPress-t.

• Heti összefoglaló Kritikus 9.9 144 érintett CVE IBM 2026. augusztus 23.

  IBM AIX 2026. 34. hét: 32 kritikus sérülékenység, köztük hitelesítést nem igénylő parancsvégrehajtás

  Az IBM 2026. 34. heti kiadása 144 AIX CVE-t tartalmaz; ezek egy része a PowerVM VIOS-t is érinti: 32 kritikus, 79 magas besorolású. Egyik CVE sem szerepel a CISA KEV-katalógusában, és egyikről sem jelentették, hogy aktívan kihasználták volna. A hitelesítést nem igénylő parancsvégrehajtási és memóriasérülési hibákat az AIX és a VIOS rendszereknél az internet felől elérhető gépeken kell először javítani.

• Kritikus 9.1 CVE-2026-76404 Cisco 2026. augusztus 20.

  A Splunk MCP Server app deszerializációs hibája révén az admin szerepkörű felhasználók parancsokat futtathatnak az operációs rendszeren (CVE-2026-76404)

  A Splunk MCP Server app 1.2-es verziójától az 1.2.1-es verzió előtti kiadásokig terjedő változatai kritikus deszerializációs sérülékenységet tartalmaznak (CVSS 9,1). Az admin Splunk szerepkörrel rendelkező támadó tetszőleges parancsokat hajthat végre az operációs rendszeren. A probléma javításához telepítse az 1.2.1-es verziót.

• Kritikus 9.4 CVE-2026-76312 Cisco 2026. augusztus 20.

  Nem megfelelő hozzáférés-szabályozás a Splunk Enterprise beágyazott jelentéseiben hitelesítés nélküli adathozzáférést tesz lehetővé (CVE-2026-76312)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 verzióiban a javított buildek előtt nem megfelelő hozzáférés-szabályozás érvényesül a beágyazott jelentéseknél. Az a hitelesítés nélküli felhasználó, aki el tudja olvasni egy beágyazó oldal HTML-forrását, az abban feltárt munkamenet-adatokat újra felhasználva adatokhoz férhet hozzá, és befolyásolhatja a rendszer sértetlenségét. Telepítse a javított kiadásokat.

• Kritikus 9.4 CVE-2026-76311 Cisco 2026. augusztus 19.

  Splunk Enterprise beágyazott jelentéseinek hozzáférés-szabályozása lehetővé teszi, hogy hitelesítetlen felhasználók dispatch-archívumokat töltsenek le (CVE-2026-76311)

  A Splunk Enterprise 10.4.2, 10.2.6, 10.0.9 és 9.4.14 előtti verziói a beágyazott jelentések dispatch-archívumait érintő, nem megfelelő hozzáférés-szabályozási hibát tartalmaznak. A beágyazott jelentés tokenjével rendelkező hitelesítetlen felhasználó letöltheti az archívumot, és az abban lévő, hozzáférhetővé vált munkamenet-adatokkal hozzáférhet az adatokhoz, valamint befolyásolhatja a sértetlenséget. Frissítsen most.

• Kritikus 9.4 CVE-2026-76310 Cisco 2026. augusztus 19.

  A Splunk Enterprise beágyazott jelentéseinek hozzáférés-szabályozási hibája lehetővé teszi, hogy hitelesítés nélküli felhasználók adminisztratív műveleteket hajtsanak végre (CVE-2026-76310)

  A Splunk Enterprise 9.4, 10.0, 10.2 és 10.4 javított buildek előtti verziói kritikus hozzáférés-szabályozási hibát tartalmaznak. A hitelesítés nélküli felhasználó egy beágyazott jelentés tokenjével munkamenet-adatokat szerezhet meg, és a jelentés tulajdonosának jogosultságaival – adott esetben admin szerepkörrel – járhat el. Frissítsen a 9.4.14, 10.0.9, 10.2.6 vagy 10.4.2 verzióra.

• Kiadási összefoglaló Kritikus 10.0 KEV 390 érintett CVE Oracle 2026. augusztus 19.

  Oracle Critical Patch Update, 2026. augusztus: egy kihasznált Identity Manager-sérülékenység a 390 javítás között

  Oracle 2026. augusztusi Critical Patch Update kiadása 390 CVE-t fed le: 84 kritikus és 247 magas. A CVE-2025-61757 az Oracle Identity Managerben aktívan kihasznált, és szerepel a CISA KEV listáján. Először ezt telepítse, majd a hitelesítést nem igénylő Oracle Internet Directory (OID) és WebCenter sérülékenységeket, ezután pedig a teljes frissítést.

• Kritikus 9.5 KEV CVE-2026-72530 2026. augusztus 19.

  TrueConf Server: kitörés az elkülönített környezetből hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-72530)

  A TrueConf Server 5.3.9 előtti (5.3.x), 5.4.9 előtti (5.4.x) és 5.5.5 előtti (5.5.x) kiadásait a 4307-es TCP-porton keresztül egy hitelesítés nélküli támadó kihasználhatja arra, hogy kitörjön az elkülönített környezetből, és kódot futtasson a gazdagépen. A CISA KEV aktív kihasználást tart nyilván. Telepítse a javított buildeket.

• Kritikus 9.3 KEV CVE-2026-72529 2026. augusztus 19.

  A TrueConf Server hiányzó hitelesítése hitelesítés nélküli szkript futtatását teszi lehetővé a 4307/TCP porton keresztül (CVE-2026-72529)

  A CVE-2026-72529 kritikus (CVSS 9.3) súlyosságú hiányzó hitelesítési hiba a TrueConf Serverben. A 4307/TCP porthoz hálózati hozzáféréssel rendelkező távoli támadó hitelesítési adatok nélkül tetszőleges szkriptet futtathat. A CISA KEV aktív kihasználást tart nyilván; a javított verziók: 5.3.9, 5.4.9 és 5.5.5.

• Kritikus 10.0 CVE-2026-20317, CVE-2026-20315, CVE-2026-20231 … Cisco 2026. augusztus 19.

  Cisco Secure Workload 2026. augusztusi megerősítő kiadása nem megfelelő hitelesítést és hozzáférés-szabályozást javít (CVE-2026-20317 és további CVE-k)

  A Cisco Secure Workload 2026. augusztusi megerősítő kiadása több, belső vizsgálat során feltárt, nem megfelelő hitelesítési és hozzáférés-szabályozási sérülékenységet javít. A Cisco nem tud arról, hogy ezeket nyilvánosságra hozták vagy rosszindulatúan kihasználták volna. Telepítse a megerősítő kiadást; kerülő megoldás nem létezik.

• Kritikus 10.0 CVE-2026-20030, CVE-2026-20357, CVE-2026-20358 … Cisco 2026. augusztus 19.

  Cisco Crosswork Planning megerősítő kiadása SQL-befecskendezést, hiányzó hitelesítést és további hibákat javít (CVE-2026-20030, CVE-2026-20357)

  A Cisco Crosswork Planninghoz kiadott 2026. augusztusi megerősítő kiadás négy kritikus, hálózaton keresztül elérhető hibát javít, köztük SQL-befecskendezést és hiányzó hitelesítést. Kerülő megoldás nincs; a Cisco nem jelentett rosszindulatú kihasználást. Telepítse a megerősítő kiadást.

• Kritikus 9.9 CVE-2026-17040, CVE-2026-15068, CVE-2026-16816 … IBM 2026. augusztus 19.

  Az IBM AIX és a PowerVM VIOS kritikus sérülékenységei távoli kódfuttatást tesznek lehetővé (CVE-2026-17040, CVE-2026-15068 és további nyolc)

  Az IBM AIX 7.2/7.3 és a PowerVM VIOS 4.1 kritikus sérülékenységeket tartalmaznak, amelyek távoli, hitelesítést nem igénylő kódfuttatást, parancsinjektálást és jogosultságszint-emelést tesznek lehetővé. Az IBM már kiadta a VIOS javított buildjeit: 4.1.0.50, 4.1.1.30 és 4.1.2.20; ezeket haladéktalanul telepíteni kell.

• Kritikus 9.3 KEV CVE-2026-19490 2026. augusztus 19.

  NetScaler ADC és NetScaler Gateway: hitelesítés megkerülése (CVE-2026-19490)

  A NetScaler ADC és a NetScaler Gateway termékeket kritikus, hálózatról elérhető, hitelesítést megkerülő sérülékenység érinti, a CISA pedig aktív kihasználást tart nyilván. Néhány ADC-kiadáshoz javított buildeket sorolnak fel; ellenőrizze a saját verzióágát, és haladéktalanul korlátozza az eszközök elérhetőségét.

• Magas 8.9 CVE-2026-73337, CVE-2026-73373, CVE-2026-71574 … Joomla! 2026. augusztus 19.

  Joomla! Core biztonsági frissítése javítja az MFA-megkerülést, az SHTML-feltöltéseket és a webservice-ek ACL-hibáit

  A Joomla! Core 4.0.0-5.4.6 és 6.0.0-6.1.2 verziói (valamint a Joomla! Framework Filesystem csomag) több biztonsági hibát tartalmaznak, köztük MFA-megkerülést, SHTML-feltöltési hibát és a webservice-ek ACL-hibáit. Frissítsen a Joomla! CMS 5.4.8 vagy 6.1.3 verziójára.

• Magas 8.2 GHSA-xrwj-pq6w-f8m4, GHSA-w6j9-q9rq-wrqg, GHSA-2cr4-vw9p-pjvf … PrestaShop 2026. augusztus 18.

  PrestaShop 9.1.5 és 8.2.8 kiadásai javítják az SSRF-, SQL-injekciós és hozzáférés-vezérlési hibákat

  A PrestaShop 9.0.0-tól a 9.1.5 előtti verzióig, valamint a 8.0.0-tól a 8.2.8 előtti verzióig terjedő kiadásokat öt biztonsági közlemény érinti: SSRF, CSV-injekció, IP-hamisítás, SQL-injekció és hibás hozzáférés-vezérlés. Frissítsen a PrestaShop 9.1.5 vagy 8.2.8 verzióra.

• Magas 8.8 CVE-2026-65640 WordPress 2026. augusztus 18.

  Távoli kódfuttatás a WordPressben Author szintű felhasználók által feltöltött PostScript-fájl révén (CVE-2026-65640)

  CVE-2026-65640: a WordPress 7.0.4 előtti verzióiban magas súlyosságú távoli kódfuttatási hiba található. Ha az Imagick és a Ghostscript engedélyezve van, egy Author szintű felhasználó rosszindulatú PostScript-fájlt tölthet fel. Frissítsen a WordPress 7.0.4-es verziójára, vagy telepítse a használt ághoz kiadott visszaportolt javítást.

• Kritikus 9.3 KEV CVE-2026-64849 2026. augusztus 17.

  Az MLflow webhook-tesztjében található SSRF hitelesítés nélkül elérhetővé teszi a belső és felhős metaadat-szolgáltatásokat (CVE-2026-64849)

  Az MLflow 3.15.0 előtti verzióiban a webhook-tesztelés során hitelesítés nélkül kihasználható kiszolgálóoldali kéréshamisítási (SSRF) hiba található. A támadók átirányításokkal belső vagy felhős metaadat-szolgáltatásokat érhetnek el, és olvashatják a válaszadatokat. A CISA KEV aktív kihasználást tart nyilván. Frissítsen az MLflow 3.15.0-s verziójára.

• Heti összefoglaló Kritikus 9.1 KEV 7 érintett CVE Nyílt forráskódú üzleti platformok 2026. augusztus 16.

  Nyílt forráskódú üzleti platformok, 2026. 33. hét: egy kihasznált Adobe Commerce sérülékenység hét CVE között

  Nyílt forráskódú üzleti platformok, 2026. 33. hét: hét Adobe Commerce CVE, köztük egy kihasznált, a KEV-listán szereplő nem megfelelő jogosultság-ellenőrzési hiba. Kezelje kiemelten a CVE-2026-71362 azonosítót, és telepítse a 2026. augusztusi Adobe Commerce, B2B és Magento Open Source frissítéseket.

• Kritikus 9.9 GHSA-x635-wr4c-7345, GHSA-6w83-8777-v93q, GHSA-8pr6-r75h-h8xx … Frappe / ERPNext 2026. augusztus 13.

  Frappe/ERPNext 2026. évi 33. heti biztonsági közleményei: jogosultságszint-emelés, SSTI, SQL-injekció és tárolt XSS

  A Frappe 2026. évi 33. heti biztonsági közleményei tíz Frappe- és ERPNext-hibát fednek le, köztük kiemelt jogosultságú fiókok létrehozását, szerveroldali sabloninjektálást, tárolt XSS-t, SQL-injekciót és OAuth-visszaélést. Az alacsony jogosultságú felhasználók átvehetik a webhelyek irányítását. Alkalmazza a felsorolt javításokat; két hiba egyelőre javítatlan marad.

• Kiadási összefoglaló Kritikus 9.8 KEV 375 érintett CVE Microsoft 2026. augusztus 11.

  Microsoft Patch Tuesday, 2026. augusztus: két kihasznált sérülékenység emelkedik ki 375 CVE közül

  A Microsoft 2026. augusztusi Patch Tuesday kiadása 375 CVE-t fed le: 5 kritikus, 246 magas és 124 közepes. Két sérülékenységet kihasználnak, és mindkettő szerepel a CISA KEV listáján: egy SharePoint Server távoli kódfuttatási hibát, valamint egy Windows AFD WinSock jogosultságszint-emelési hibát. Először ezeket javítsa, majd a hálózat felől elérhető kritikus szolgáltatásokat.

• Kritikus 9.1 KEV CVE-2026-48413, CVE-2026-71362, CVE-2026-48414 … Adobe Commerce / Magento 2026. augusztus 11.

  Adobe Commerce APSB26-92: tárolt XSS- és jogosultság-ellenőrzési hibák javítása (CVE-2026-48413 és további öt)

  Az Adobe Commerce APSB26-92 biztonsági közleménye hat hibát javít: a tárolt XSS-sérülékenységeket (CVE-2026-48413 és CVE-2026-48414), valamint a jogosultság-ellenőrzési hibákat (CVE-2026-48415, CVE-2026-48416, CVE-2026-48411, CVE-2026-48412). A kihasznált CVE-2026-71362 külön riasztáson szerepel. Frissítsen a 2026. augusztusi kiadásokra.

• Kritikus 9.1 KEV CVE-2026-71362 2026. augusztus 11.

  Adobe Commerce: hitelesítés nélküli jogosultságszint-emelés hibás jogosultságkezelés miatt (CVE-2026-71362)

  Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source termékeket hibás jogosultságkezelésből eredő sérülékenység (CVE-2026-71362) érinti, amelynek kritikus, 9,1-es CVSS-pontszáma van. A CISA aktívan kihasználtként tartja nyilván. Telepítse a 2026. augusztusi biztonsági frissítéseket 2026. szeptember 27. előtt.

• Kritikus 10.0 KEV CVE-2026-5430 2026. augusztus 6.

  WSO2 JWT-hitelesítés megkerülése hitelesítés nélküli fiókátvételt tesz lehetővé (CVE-2026-5430)

  Több WSO2 API-termék elfogad olyan JWT-ket, amelyeket nem engedélyezett algoritmusokkal írtak alá, így hitelesítés nélküli támadók fiókokat vehetnek át. A CISA KEV listája a CVE-2026-5430-at aktívan kihasználtként tartja nyilván, 2026. szeptember 27-i határidővel; a javított buildek elérhetők.

• Kritikus 9.9 CVE-2026-72911, CVE-2026-13227, CVE-2026-72909 … Frappe / ERPNext 2026. augusztus 5.

  ERPNext 2026. 32. heti biztonsági közleményei: kritikus szerveroldali sablonbefecskendezés (CVE-2026-72911) és hozzáférés-szabályozási hibák

  A Frappe/ERPNext 2026. 32. heti biztonsági közleményei kritikus, hitelesítést igénylő szerveroldali sablonbefecskendezést (CVE-2026-72911), valamint több hozzáférés-szabályozási és tárolt XSS-hibát tartalmaznak. Frissítse az ERPNextet a 15.118.0/16.29.0, a Frappét pedig a 15.109.0/16.19.0 verzióra; a CVE-2026-53569 hibához egyelőre nincs javítás.

• Kritikus 9.9 GHSA-mjjw-75gv-j5g5, CVE-2026-71550, CVE-2026-100358 … SuiteCRM 2026. július 31.

  SuiteCRM 7.15.2 és 8.10.2 javítja a jelszó-visszaállítással történő fiókátvételt, az SQL-befecskendezést és a jogosultságszint-emelést (GHSA-mjjw-75gv-j5g5, CVE-2026-71550)

  A SuiteCRM 7.15.2 és 8.10.2 javítja a jelszó-visszaállítással történő fiókátvételt, a kódfuttatást, a jogosultságszint-emelést és az SQL-befecskendezést. Érintettek: a SuiteCRM 7.15.2-nél korábbi kiadások, valamint a 8.0.0 és újabb, de a 8.10.2-t nem tartalmazó kiadások; a SuiteCRM-Core 8.8.0 és újabb, de a 8.10.2-t nem tartalmazó kiadásai. Azonnal frissítsen.

• Kritikus 9.9 CVE-2026-65974, CVE-2026-12895, CVE-2026-72908 … Frappe / ERPNext 2026. július 29.

  ERPNext és Frappe 31. heti riasztásai: szerveroldali sablonbefecskendezés, SQL-injekció és hozzáférés-vezérlési hibák (CVE-2026-65974)

  A Frappe és az ERPNext 31. heti riasztásai szerveroldali sablonbefecskendezést (CVE-2026-65974), SQL-injekciót és hozzáférés-vezérlési hibákat ismertetnek. Egy korlátozott jogosultságú, hitelesített felhasználó kódfuttatást érhet el, vagy pénzügyi adatokat olvashat. Frissítsen a 15.112.0/16.23.0 verzióra; a CVE-2026-47185 hibát a Frappe 16.18.0 verziója javítja.