Een reeks CVE’s in OpenSSH vóór 10.4 raakt sshd, scp en sftp: van padmanipulatie bij bestandsoverdracht tot een use-after-free in de client en het niet honoreren van hardening-opties. Ubuntu heeft de fixes uitgebracht in USN-8533-1.

Twee kwetsbaarheden in libssh2 (CVE-2026-58050 en CVE-2026-58051) in de afhandeling van het publickey-subsysteem. Een aanvaller die een malafide SSH-server beheert, kan een client laten crashen of mogelijk code laten uitvoeren.

Meerdere actieve campagnes richten zich op Microsoft 365: de Forg365 PhaaS combineert device-code phishing, AiTM en AI-lures; een andere actor misbruikt nep-Entra-passkey-enrollment via voice-phishing voor data-afpersing.

Ubuntu heeft kernel-updates uitgebracht voor twee logische fouten in de XFRM ESP-in-TCP-subsystemen (Fragnesia, CVE-2026-43503, en Dirty Frag, CVE-2026-43284). Een lokale aanvaller kan hiermee rechten verhogen of uit een container ontsnappen.

De PostgreSQL JDBC-driver kon een verbinding met channelBinding=require stil downgraden van SCRAM-SHA-256-PLUS naar SCRAM-SHA-256, waardoor de MitM-bescherming wegviel. Opgelost in 42.7.12; getroffen zijn 42.7.4 t/m 42.7.11.

Microsoft heeft drie cloud-side kwetsbaarheden gepubliceerd: een open redirect in M365 Copilot (CVE-2026-41106), incorrect authorization in Exchange Online (CVE-2026-54998) en een Entra ID spoofing-fout (CVE-2026-32208). Microsoft heeft ze server-side verholpen.

Naast de kritieke FortiSandbox-bugs bracht Fortinet een reeks middelzware advisories uit: een Lua-CLI-escape in FortiOS/FortiProxy, een access-control-lek in de FortiPortal API en een command injection in de FortiAP CLI.

Twee kritieke kwetsbaarheden (CVSS 9.1) in de FortiSandbox WEB UI laten een niet-geauthenticeerde aanvaller commando’s uitvoeren via speciaal gemaakte HTTP-requests: een second-order OS command injection (FG-IR-26-141) en een missing-authorization fout (FG-IR-26-136).