Security Brief — 30.09.2026
Najważniejsze podatności dotyczą routerów, urządzeń sieciowych, kamer, oprogramowania open source i pakietów Ubuntu; część umożliwia zdalne wykonanie kodu lub odmowę usługi.
Kaon AR2140: dostęp bez logowania
CERT Polska informuje o dwóch podatnościach w firmware Kaon AR2140 do 4.2.17: umożliwiają pobranie kopii konfiguracji oraz przejęcie sesji i działania związane z aktualizacją.
Quick.Cart: CSRF w panelu
CERT Polska podaje, że Quick.Cart do 6.7.0 jest podatny na CSRF w panelu administratora. Odwiedzenie spreparowanej strony może zmienić login i hasło administratora.
Ghostscript: lokalna eskalacja
Według CERT Polska Ghostscript dla Windows przed 10.08.0 może automatycznie wykonać złośliwy plik PostScript z przewidywalnej ścieżki, uruchamiając kod z uprawnieniami procesu.
Baicells Nova 430H: zakłócenie usługi
CISA ostrzega, że nieuwierzytelnione urządzenie w zasięgu radiowym może wysłać wadliwy komunikat do Nova 430H, czasowo przerywając usługę komórki. Brak planowanej poprawki.
Ubuntu: c-ares
Ubuntu usunęło błąd c-ares w 26.04 LTS. Spreparowany ruch sieciowy mógł wywołać use-after-free lub double-free, prowadząc do odmowy usługi albo wykonania kodu.
MikroTik RouterOS: krytyczny błąd HTTP
CISA wskazuje, że RouterOS poniżej 7.24 zawiera błąd integer underflow w usłudze webowej przed uwierzytelnieniem, umożliwiający zdalne wykonanie kodu jako root lub odmowę usługi.
Das U-Boot: wykonanie kodu
CERT Polska informuje, że Das U-Boot z CONFIG_IP_DEFRAG=y może pozwolić na wykonanie dowolnego kodu przez zduplikowane końcowe fragmenty datagramu IP. Poprawka weszła do 2026.07.
VIVOTEK: przejęcie kamer
CISA podaje, że CVE-2026-22755 w firmware licznych modeli kamer VIVOTEK może umożliwić zdalne wykonanie poleceń, potencjalnie z uprawnieniami root, i pełne przejęcie systemu kamery.
MyPresta gmfeed: zdalny kod PHP
CERT Polska informuje, że moduł Google Merchant Center Feed 1.9.1–2.3.8 pozwala nieuwierzytelnionemu atakującemu zapisać dowolny plik przez feed.php i zdalnie wykonać kod PHP.
Ubuntu: poprawki OpenSSL
Ubuntu naprawiło kilka problemów OpenSSL w wydaniach LTS, obejmujących nadmierne zużycie pamięci, odmowę usługi QUIC oraz ataki kanałem czasowym na krzywe eliptyczne.
Ubuntu: poprawki libheif
Ubuntu usunęło wiele podatności libheif w wydaniach 18.04–26.04 LTS. Błędne przetwarzanie metadanych, sekwencji HEIF i referencji obrazów mogło prowadzić do odmowy usługi.
Do sprawdzenia
- Zaktualizować c-ares w Ubuntu 26.04 LTS do libcares2 1.34.6-1ubuntu0.1.
- Zaktualizować RouterOS zgodnie z zaleceniem MikroTik.
- Zaktualizować Ghostscript do wersji 10.08.0 lub nowszej.
- Zaktualizować Das U-Boot do wersji 2026.07.
- Zaktualizować moduł MyPresta Google Merchant Center Feed do wersji 2.3.9.
- Zastosować standardowe aktualizacje Ubuntu dla OpenSSL i libheif.
