> ## Content Index > Fetch the complete content index at: https://terminal42.pl/llms.txt > Use this file to discover other available public pages before exploring further. # Security Brief — 28.09.2026 - URL: https://terminal42.pl/t42-daily-security-2026-09-28/ - Published: 2026-09-28T17:56:54.000Z - Updated: 2026-09-28T18:10:32.000Z - Author: Redaktor Czacik - Tags: Security, #news, #brief, #daily Aktywnie wykorzystywane luki zero-day w Citrix NetScaler oraz aktualizacje bezpieczeństwa dla Ubuntu LXC i Requests, Elasticsearch, WEBCON BPS, PgBouncer i containerd. ## Citrix NetScaler: dwa krytyczne zero-daye w aktywnej eksploatacji CISA poinformowała o ośmiu nowych podatnościach w Citrix NetScaler ADC i NetScaler Gateway: CVE-2026-88771–CVE-2026-88778\. Do katalogu Known Exploited Vulnerabilities dodano CVE-2026-88771 oraz CVE-2026-88772. Według CISA obie podatności są krytycznymi lukami zero-day i każda z nich może niezależnie umożliwić zdalne wykonanie kodu. CISA otrzymała zgłoszenia oraz dane wywiadowcze partnerów potwierdzające aktywne wykorzystywanie tych luk globalnie. CISA zaleca przejrzenie biuletynu Citrix. Jeżeli to możliwe, przed instalacją poprawek należy sprawdzić oznaki kompromitacji; Citrix udostępnił wskaźniki kompromitacji w NetScaler Console oraz dodatkowe wskazówki w biuletynie dla CVE-2026-88771–CVE-2026-88778. [Źródło: CISA](https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway?ref=terminal42.pl) [Źródło: CISA](https://www.cisa.gov/news-events/alerts/2026/09/27/cisa-adds-two-known-exploited-vulnerabilities-catalog?ref=terminal42.pl) ## Ubuntu: poprawki dla LXC i biblioteki Requests Ubuntu opublikowało USN-8826-1 dla LXC. Aktualizacja usuwa CVE-2022-47952, które może prowadzić do ujawnienia wrażliwych informacji przez nieprawidłową obsługę logowania komunikatów błędów, oraz CVE-2026-39402, umożliwiające atakującemu potencjalne wywołanie odmowy usługi przez błąd obsługi autoryzacji użytkownika. CVE-2022-47952 dotyczy Ubuntu 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS i 24.04 LTS. Po standardowej aktualizacji systemu Ubuntu wymaga ponownego uruchomienia kontenerów LXC, aby zastosować wszystkie zmiany. USN-8825-1 usuwa CVE-2026-25645 w pakiecie Requests. Według Ubuntu błąd generowania losowych ścieżek plików tymczasowych może pozwolić atakującemu na wykonanie dowolnego kodu, jeżeli otwarty zostanie specjalnie przygotowany plik. Poprawki są dostępne dla Ubuntu 20.04 LTS, 22.04 LTS, 24.04 LTS i 26.04 LTS. [Źródło: Ubuntu](https://ubuntu.com/security/notices/USN-8826-1?ref=terminal42.pl) [Źródło: Ubuntu](https://ubuntu.com/security/notices/USN-8825-1?ref=terminal42.pl) ## Ubuntu: aktualizacja jądra Linux dla systemów IBM Ubuntu wydało USN-8818-2 dla pakietu linux-ibm-5.15 w Ubuntu 20.04 LTS. Biuletyn usuwa kilka problemów bezpieczeństwa w jądrze Linux, obejmujących m.in. architekturę ARM64, sterowniki InfiniBand i sieciowe, NFS, exFAT, Netfilter oraz IPv4 i IPv6. Jedna z opisanych luk, CVE-2025-10263, dotyczy zachowania niektórych procesorów Arm podczas unieważniania TLB. Lokalny atakujący mógł potencjalnie zapisywać pamięć po cofnięciu uprawnień, obchodząc ochronę pamięci lub podnosząc uprawnienia. [Źródło: Ubuntu](https://ubuntu.com/security/notices/USN-8818-2?ref=terminal42.pl) ## Elasticsearch: dwie luki odmowy usługi bez obejść Elastic opublikował poprawki dla dwóch podatności typu uncontrolled resource consumption w Elasticsearch, które mogą prowadzić do odmowy usługi przez nadmierną alokację zasobów. CVE-2026-94408 ma ocenę CVSS 4.9, a CVE-2026-94397 — 6.5. CVE-2026-94408 dotyczy wszystkich konfiguracji Elasticsearch 8.0.0–8.19.21, 9.0.0–9.4.6 oraz 9.5.0–9.5.2\. Poprawkę zawierają wersje 8.19.22, 9.4.7 i 9.5.3. CVE-2026-94397 dotyczy wersji 8.0.0–8.19.21, 9.0.0–9.4.6 oraz 9.5.0–9.5.3\. Poprawkę zawierają wersje 8.19.22, 9.4.7 i 9.5.4\. Elastic wskazuje, że dla obu luk nie ma obejść i zaleca aktualizację do najnowszej dostępnej wersji po sprawdzeniu znanych problemów docelowego wydania. [Źródło: Elastic](https://discuss.elastic.co/t/elasticsearch-8-19-22-9-4-7-9-5-3-security-update-esa-2026-184/390688?ref=terminal42.pl) [Źródło: Elastic](https://discuss.elastic.co/t/elasticsearch-8-19-22-9-4-7-9-5-4-security-update-esa-2026-183/390687?ref=terminal42.pl) ## WEBCON BPS: IDOR ujawniający harmonogramy urlopów CERT Polska opisał CVE-2026-92419 w WEBCON BPS. Podatność typu Insecure Direct Object Reference występuje w endpoincie /api/vacations/{path}, gdzie parametr selectedPeople nie sprawdza uprawnień użytkownika żądającego dostępu do danych wskazanych osób. Uwierzytelniony atakujący może podać loginy dowolnych użytkowników w parametrze selectedPeople i uzyskać wgląd w harmonogramy urlopów innych pracowników, w tym kierowników oraz osób z innych oddziałów, niezależnie od ograniczeń logiki biznesowej. Podatne są wersje od 2024.1.1.145 do poniżej 2025.2.1.177 oraz od 2026.1.1.1 do poniżej 2026.1.1.20\. Poprawki są dostępne w wersjach 2025.2.1.177 i 2026.1.1.20. [Źródło: CERT Polska](https://cert.pl/posts/2026/09/CVE-2026-92419?ref=terminal42.pl) ## PgBouncer 1.26.0: trzy poprawione CVE Według informacji wydawcy PgBouncer 1.26.0 usuwa trzy podatności. CVE-2026-19888 może wywołać awarię i odmowę usługi przez nieuwierzytelnionego klienta, który prześle komunikat SCRAM client-final-message bez nonce. Wydawca wskazuje także CVE-2026-6668, powodujące odmowę usługi przez nieskończoną pętlę po przepełnieniu liczby całkowitej w mechanizmie powiększania bufora pakietu, oraz CVE-2026-6669, umożliwiające nieograniczoną pracę podczas logowania przez złośliwy serwer PostgreSQL z nieograniczoną liczbą iteracji SCRAM. [Źródło: PostgreSQL](https://www.postgresql.org/about/news/pgbouncer-1260-released-fixes-three-cves-3385?ref=terminal42.pl) ## containerd 2.3.6 zawiera poprawkę bezpieczeństwa Projekt containerd wydał wersję 2.3.6, szóstą aktualizację poprawkową linii 2.3\. Według informacji wydawcy wydanie zawiera różne poprawki i aktualizacje, w tym poprawkę bezpieczeństwa dla CVE-2026-53493. W wydaniu zmieniono również domyślne maskowanie ścieżek /proc/interrupts oraz ścieżek sysfs dotyczących throttlingu termicznego CPU w kontenerach Linux. [Źródło: containerd](https://github.com/containerd/containerd/releases/tag/v2.3.6?ref=terminal42.pl) ## Do sprawdzenia - W środowiskach Citrix NetScaler ADC i Gateway sprawdzić oznaki kompromitacji przed instalacją poprawek, jeśli jest to możliwe, a następnie zastosować zalecenia Citrix dla CVE-2026-88771–CVE-2026-88778. - Zaktualizować LXC w objętych wydaniach Ubuntu i ponownie uruchomić kontenery LXC po standardowej aktualizacji systemu. - Zaktualizować pakiet python3-requests w Ubuntu 20.04 LTS, 22.04 LTS, 24.04 LTS i 26.04 LTS do wersji wskazanych w USN-8825-1. - Zaktualizować Elasticsearch do wersji usuwających CVE-2026-94408 i CVE-2026-94397; przed aktualizacją sprawdzić znane problemy docelowego wydania. - Zaktualizować WEBCON BPS do wersji 2025.2.1.177 lub 2026.1.1.20. - Zaktualizować PgBouncer do wersji 1.26.0. - Zaktualizować containerd do wersji 2.3.6.