An #Authlib signature bypass #vulnerability (CVE-2026-96760, CVE-2026-28802, CVE-2026-27962) lets attackers forge #JWS payloads.

Update libraries ASAP!.

#OSS #Authlib #CVE #Cybersecurity #security

Apple załatało 329 unikalnych luk w zabezpieczeniach – co warto wiedzieć?

Wraz z premierą systemów z rodziny 27.2 Apple załatało co najmniej 329 unikalnych luk bezpieczeństwa, a na iPhone’ach i iPadach ponad 160. Wśród poprawek są dostęp do kamery bez zgody, wyciek danych z Apple Intelligence i błąd Hide My Email. Poniżej lista aktualizacji.

Wydanie systemów 27.2 przyniosło nie tylko nowości, ale też rekordowo długą listę poprawek bezpieczeństwa. Jak podaje 9to5Mac, Apple zaktualizowało stronę z informacjami o zabezpieczeniach i wyliczyło w sumie 329 unikalnych luk, które wiele systemów dzieli ze sobą, co daje łącznie 1265 wpisów CVE. Liczby mogą jeszcze wzrosnąć, bo Apple regularnie uzupełnia swoje biuletyny po ich publikacji.

Które aktualizacje dotyczą zabezpieczeń?

W powyższej tabeli odsyłamy do dokumentów Wsparcia Apple w języku angielskim, ponieważ ich polskojęzyczne wersje pojawiają się z opóźnieniem.

Co zostało załatane?

Według 9to5Mac wśród najważniejszych poprawek jest błąd w CoreMedia, który pozwalał złośliwej aplikacji uzyskać dostęp do kamery na iPhonie, iPadzie, Macu lub Apple Vision Pro bez zgody użytkownika (CVE-2026-86990), oraz luka w Apple Intelligence umożliwiająca zdalnemu atakującemu dostęp do wrażliwych danych na obsługiwanych iPhone’ach i iPadach (CVE-2026-86987). Apple załatało też lukę w Siri na macOS Tahoe, pozwalającą aplikacji dotrzeć do wrażliwych danych (CVE-2026-43736), oraz kilka błędów w WebKit, przez które spreparowana strona mogła wykonać dowolny kod.

MacRumors skupia się na iOS i iPadOS 27.2, w których poprawiono ponad 160 luk. Poza błędem w Apple Intelligence naprawiono także usterkę w Hide My Email, która mogła ujawniać prawdziwy adres e-mail użytkownika. Są też ponad 30 poprawek w WebKit i około 15 w jądrze systemu. Sześć wpisów CVE przypisano zespołowi Calif, który w dniu premiery zdołał włamać się do iPhone’a Duo i pokazał jailbreak iOS 27.0.1 bez konieczności ponownego uruchamiania. Stefan Esser z tego zespołu mówił niedawno, że „większość” luk użytych w jailbreaku jest naprawiona w iOS 27.2.

Apple nie podało, by którakolwiek z luk była aktywnie wykorzystywana, ale MacRumors przypomina, że po publikacji szczegółów nieaktualizowane urządzenia mogą stać się celem ataków, więc aktualizację warto zainstalować jak najszybciej. Użytkownicy, którzy nie przeszli jeszcze na iOS 27, mogą zainstalować iOS 26.7.2, który zawiera wiele z tych samych poprawek.

Starsze iPhone’y

Ciekawy jest też wątek starszych urządzeń. Do iOS i iPadOS 18 trafiła poprawka w CoreGraphics (CVE-2026-86950), która pozwalała spreparowanemu plikowi wywołać wykonanie dowolnego kodu. Apple naprawiło ją po raz pierwszy we wcześniejszych aktualizacjach, ostrzegając, że mogła zostać wykorzystana w niezwykle wyrafinowanym ataku na wybrane osoby korzystające z wersji iOS sprzed 27. Wcześniej w tym roku Apple łatało też luki wykorzystywane przez zestawy exploitów Coruna i DarkSword, które w łańcuchach ataków używały błędów w WebKit i infekowały iPhone’y ze starszymi wersjami iOS.

AI pomaga znajdować luki

Rosnąca liczba poprawek ma związek z tym, że modele AI coraz lepiej wyszukują podatności. 9to5Mac zauważa, że Apple od miesięcy łata WebKit w tempie, które częściowo wynika z użycia narzędzi AI, a w dzisiejszych aktualizacjach docenia zarówno takie narzędzia, jak i zespoły badawcze. Według MacRumors Anthropic Research jest wymienione przy trzech poprawkach, a OpenAI przy czterech.

Co z tego wynika?

Praktyczny wniosek jest prosty: kto jeszcze nie zainstalował wersji 27.2 (lub odpowiednika dla swojego systemu), powinien to zrobić. A dla tych, którzy nie chcą przechodzić na nowe systemy, Apple przygotowało równoległe wydania z łatami: iOS 26.7.2, macOS Tahoe 26.7.2 i macOS Sequoia 15.8.2.

Aktualizacje systemów do wersji 27.2

Apple załatało 329 unikalnych luk w zabezpieczeniach – co warto wiedzieć?

Wraz z premierą systemów z rodziny 27.2 Apple załatało co najmniej 329 unikalnych luk bezpieczeństwa, a na iPhone’ach i iPadach ponad 160. Wśród poprawek są dostęp do kamery bez zgody, wyciek danych z Apple Intelligence i błąd Hide My Email. Poniżej lista aktualizacji.

Wydanie systemów 27.2 przyniosło nie tylko nowości, ale też rekordowo długą listę poprawek bezpieczeństwa. Jak podaje 9to5Mac, Apple zaktualizowało stronę z informacjami o zabezpieczeniach i wyliczyło w sumie 329 unikalnych luk, które wiele systemów dzieli ze sobą, co daje łącznie 1265 wpisów CVE. Liczby mogą jeszcze wzrosnąć, bo Apple regularnie uzupełnia swoje biuletyny po ich publikacji.

Które aktualizacje dotyczą zabezpieczeń?

W powyższej tabeli odsyłamy do dokumentów Wsparcia Apple w języku angielskim, ponieważ ich polskojęzyczne wersje pojawiają się z opóźnieniem.

Co zostało załatane?

Według 9to5Mac wśród najważniejszych poprawek jest błąd w CoreMedia, który pozwalał złośliwej aplikacji uzyskać dostęp do kamery na iPhonie, iPadzie, Macu lub Apple Vision Pro bez zgody użytkownika (CVE-2026-86990), oraz luka w Apple Intelligence umożliwiająca zdalnemu atakującemu dostęp do wrażliwych danych na obsługiwanych iPhone’ach i iPadach (CVE-2026-86987). Apple załatało też lukę w Siri na macOS Tahoe, pozwalającą aplikacji dotrzeć do wrażliwych danych (CVE-2026-43736), oraz kilka błędów w WebKit, przez które spreparowana strona mogła wykonać dowolny kod.

MacRumors skupia się na iOS i iPadOS 27.2, w których poprawiono ponad 160 luk. Poza błędem w Apple Intelligence naprawiono także usterkę w Hide My Email, która mogła ujawniać prawdziwy adres e-mail użytkownika. Są też ponad 30 poprawek w WebKit i około 15 w jądrze systemu. Sześć wpisów CVE przypisano zespołowi Calif, który w dniu premiery zdołał włamać się do iPhone’a Duo i pokazał jailbreak iOS 27.0.1 bez konieczności ponownego uruchamiania. Stefan Esser z tego zespołu mówił niedawno, że „większość” luk użytych w jailbreaku jest naprawiona w iOS 27.2.

Apple nie podało, by którakolwiek z luk była aktywnie wykorzystywana, ale MacRumors przypomina, że po publikacji szczegółów nieaktualizowane urządzenia mogą stać się celem ataków, więc aktualizację warto zainstalować jak najszybciej. Użytkownicy, którzy nie przeszli jeszcze na iOS 27, mogą zainstalować iOS 26.7.2, który zawiera wiele z tych samych poprawek.

Starsze iPhone’y

Ciekawy jest też wątek starszych urządzeń. Do iOS i iPadOS 18 trafiła poprawka w CoreGraphics (CVE-2026-86950), która pozwalała spreparowanemu plikowi wywołać wykonanie dowolnego kodu. Apple naprawiło ją po raz pierwszy we wcześniejszych aktualizacjach, ostrzegając, że mogła zostać wykorzystana w niezwykle wyrafinowanym ataku na wybrane osoby korzystające z wersji iOS sprzed 27. Wcześniej w tym roku Apple łatało też luki wykorzystywane przez zestawy exploitów Coruna i DarkSword, które w łańcuchach ataków używały błędów w WebKit i infekowały iPhone’y ze starszymi wersjami iOS.

AI pomaga znajdować luki

Rosnąca liczba poprawek ma związek z tym, że modele AI coraz lepiej wyszukują podatności. 9to5Mac zauważa, że Apple od miesięcy łata WebKit w tempie, które częściowo wynika z użycia narzędzi AI, a w dzisiejszych aktualizacjach docenia zarówno takie narzędzia, jak i zespoły badawcze. Według MacRumors Anthropic Research jest wymienione przy trzech poprawkach, a OpenAI przy czterech.

Co z tego wynika?

Praktyczny wniosek jest prosty: kto jeszcze nie zainstalował wersji 27.2 (lub odpowiednika dla swojego systemu), powinien to zrobić. A dla tych, którzy nie chcą przechodzić na nowe systemy, Apple przygotowało równoległe wydania z łatami: iOS 26.7.2, macOS Tahoe 26.7.2 i macOS Sequoia 15.8.2.

Aktualizacje systemów do wersji 27.2

🚨🇺🇸 Veeam patches critical Backup & Replication authorization bypass

Veeam has released security updates addressing five vulnerabilities across Backup & Replication, Veeam Agent for Linux and Veeam ONE.
⠀
The most serious, CVE-2026-108142, carries a CVSS score of 9.1 and allows an unauthenticated attacker to bypass authorization on the CDP Coordinator Service.
⠀
Other patched vulnerabilities include:

• CVE-2026-105477: Local privilege escalation in managed Veeam Agent for Linux installations, CVSS 7.3
• CVE-2026-108140: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-108141: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-107671: Veeam ONE administrator can bypass MFA by disabling it before completing verification, CVSS 8.5
⠀
Backup & Replication versions 13.0 and 13.1 are affected by the authorization and path-traversal flaws.

Older 12.x releases are not affected by those specific issues.
⠀
Administrators should update to:

• Backup & Replication 13.1.2 build 13.1.2.57
• Backup & Replication 13.0.3 build 13.0.3.63
• Veeam Agent for Linux 13.1.2 build 13.1.2.11
• Veeam ONE 13.1 P1 build 13.1.0.7940

Sources: https://www.veeam.com/kb4948, https://www.veeam.com/kb4951

🚨🇺🇸 Veeam patches critical Backup & Replication authorization bypass

Veeam has released security updates addressing five vulnerabilities across Backup & Replication, Veeam Agent for Linux and Veeam ONE.
⠀
The most serious, CVE-2026-108142, carries a CVSS score of 9.1 and allows an unauthenticated attacker to bypass authorization on the CDP Coordinator Service.
⠀
Other patched vulnerabilities include:

• CVE-2026-105477: Local privilege escalation in managed Veeam Agent for Linux installations, CVSS 7.3
• CVE-2026-108140: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-108141: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-107671: Veeam ONE administrator can bypass MFA by disabling it before completing verification, CVSS 8.5
⠀
Backup & Replication versions 13.0 and 13.1 are affected by the authorization and path-traversal flaws.

Older 12.x releases are not affected by those specific issues.
⠀
Administrators should update to:

• Backup & Replication 13.1.2 build 13.1.2.57
• Backup & Replication 13.0.3 build 13.0.3.63
• Veeam Agent for Linux 13.1.2 build 13.1.2.11
• Veeam ONE 13.1 P1 build 13.1.0.7940

Sources: https://www.veeam.com/kb4948, https://www.veeam.com/kb4951

🚨🇺🇸 Veeam patches critical Backup & Replication authorization bypass

Veeam has released security updates addressing five vulnerabilities across Backup & Replication, Veeam Agent for Linux and Veeam ONE.
⠀
The most serious, CVE-2026-108142, carries a CVSS score of 9.1 and allows an unauthenticated attacker to bypass authorization on the CDP Coordinator Service.
⠀
Other patched vulnerabilities include:

• CVE-2026-105477: Local privilege escalation in managed Veeam Agent for Linux installations, CVSS 7.3
• CVE-2026-108140: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-108141: Arbitrary file writes through path traversal, CVSS 5.9
• CVE-2026-107671: Veeam ONE administrator can bypass MFA by disabling it before completing verification, CVSS 8.5
⠀
Backup & Replication versions 13.0 and 13.1 are affected by the authorization and path-traversal flaws.

Older 12.x releases are not affected by those specific issues.
⠀
Administrators should update to:

• Backup & Replication 13.1.2 build 13.1.2.57
• Backup & Replication 13.0.3 build 13.0.3.63
• Veeam Agent for Linux 13.1.2 build 13.1.2.11
• Veeam ONE 13.1 P1 build 13.1.0.7940

Sources: https://www.veeam.com/kb4948, https://www.veeam.com/kb4951