Olulisemad turvanõrkused 2026. aasta 44. nädalal: WordPress, Brotli, Apple jt

WordPressi koodi kaugkäivitamist võimaldavat turvanõrkust proovitakse aktiivselt ära kasutada

WordPressi versioonides 4.7 kuni 7.1.3 avastati turvanõrkus CVE-2026-119977 (CVSS-skoor 8,1/10), mis võimaldab autentimata ründajal uuendamise ajal serveris koodi käivitada. Edukas rünne eeldab õige hetke tabamist, mil WordPress uuendusfaile lahti pakib. Wordfence registreeris 24 tunniga ligi 63 000 ründekatset, kuid edukatest rünnetest pole teatatud. 

Soovitame paigaldada WordPressi versiooni 7.1.4 või vastava versiooniharu turvaparandusega versiooni. Kontrollida tuleks ka kataloogiga wp-content/upgrade seotud päringuid, tundmatuid administraatorikontosid, pluginaid ja PHP-faile. (WP, THN)

Apple parandas 286 turvanõrkust ja avaldas turvauuendused ka vanematele seadmetele

Apple avaldas operatsioonisüsteemide iOS 27.2 ja macOS Golden Gate 27.2 turvauuendused, millega parandati kokku 286 turvanõrkust. Parandatud vead mõjutavad muu hulgas WebKiti brauserimootorit, operatsioonisüsteemi tuuma ning piltide, fontide, PDF-failide ja multimeedia töötlemist. Turvavead võimaldavad suvalise koodi käivitamist, rakenduste liivakastist väljumist või kõrgemate õiguste omandamist.

Lisaks avaldas Apple vanematele seadmetele paranduse turvanõrkusele CVE-2026-86950, mis mõjutab CoreGraphicsi komponenti ja võimaldab kirjutada andmeid väljapoole ettenähtud mälupiirkonda. Apple’i sõnul on seda nullpäeva turvanõrkust kasutatud väga sihitud ja keerukates rünnetes. Parandus on nüüd saadaval versioonides iOS 18.7.11 ja iPadOS 18.7.11.

Lisaks avaldati turvaparandustega versioonid tvOS 27.2, watchOS 27.2, visionOS 27.2 ja Safari 27.2. Soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada. (SW, BC)

Chrome’i ja Firefoxi uuendused parandavad kokku 240 turvanõrkust

Google parandas Chrome’i versiooni 156 kahe uuendusega kokku 73 turvanõrkust, millest viis hinnati kriitiliseks. Viimases uuenduses parandatud turvanõrkus CVE-2026-76024 (CVSS-skoor 9,6/10) võimaldab MediaStreami mälurikke kaudu koodi käivitada. Mozilla parandas Firefoxi versioonis 159 kokku 167 turvanõrkust, sealhulgas 108 suure mõjuga viga. Parandused avaldati ka Firefox ESR-i ja Thunderbirdi jaoks. Tootjad ei ole teatanud turvanõrkuste aktiivsest ärakasutamisest. Soovitame uuendada Chrome’i versioonile 156.0.8078.79/.80 ning Firefoxi versioonile 159. (Google, Mozilla, SW)

Adobe parandas Campaign Classicus kaheksa kriitilist turvanõrkust

Adobe parandas Campaign Classicus koodi käivitamist võimaldavad turvanõrkused CVE-2026-104351 (CVSS-skoor 9,9/10), CVE-2026-104353 (CVSS-skoor 9,9/10) ja CVE-2026-105780 (CVSS-skoor 9,9/10). Turvameetmetest möödumist võimaldavad turvanõrkused CVE-2026-105489 (CVSS-skoor 9,9/10), CVE-2026-105781 (CVSS-skoor 9,8/10), CVE-2026-104354 (CVSS-skoor 9,1/10) ja CVE-2026-105779 (CVSS-skoor 9,1/10). Turvanõrkus CVE-2026-104350 (CVSS-skoor 9,3/10) võimaldab õiguste tõstmist.

Mõjutatud on Windowsi ja Linuxi jaoks mõeldud Campaign Classicu versioon 7.4.4 (järk 9402) ning varasemad versioonid. Soovitame uuendada järgule 9403. Adobe ei ole tuvastanud turvanõrkuste aktiivset ärakasutamist. (Adobe, THN)

n8n parandas koodi käivitamist võimaldava turvanõrkuse

n8n parandas turvanõrkuse CVE-2026-119408 (CVSS-skoor 8,7/10), mis mõjutab vananenud Functioni, Function Itemi ja LangChain Code’i sõlmi. Töövoogude loomise või muutmise õigusega kasutaja võib käivitada suvalist koodi n8n-i põhiprotsessis ning mööduda Code’i sõlme isolatsioonist. Mõjutatud on versioonid enne 2.42.6, 2.43.3 ja 3.0.1. Soovitame tarkvara uuendada, sest n8n-i turvanõrkusi püüavad ründajad sageli ära kasutada. (n8n)

Drupal Commerce Core’i kriitilist turvanõrkust kasutatakse aktiivselt ära

Drupal hoiatas Commerce Core’i mooduli turvanõrkuse CVE-2026-118539 (CVSS-skoor ei ole avaldatud) aktiivse ärakasutamise eest. Puudulikud juurdepääsukontrollid võimaldavad ründajal pääseda ligi kaitstud marsruutidele ja andmeväljadele ning mõjutada e-poe tellimusi. Haavatavad on versioonid enne 2.41 ning 3.0.0–3.3.12. Soovitame uuendada versioonile 8.x-2.41 või 3.3.13 ja kontrollida tellimusi võimalike kõrvalekallete suhtes. (Drupal, SA)

Citrix parandas NetScaleri haldusliideses kaks kriitilist turvanõrkust

Citrix parandas NetScaler ADC ja NetScaler Gateway PHP-põhises haldusliideses turvanõrkused CVE-2026-109618 (CVSS-skoor 9,2/10) ja CVE-2026-109619 (CVSS-skoor 9,2/10). Vead võimaldavad autentimata ründajal koodi käivitada. Mõjutatud on kõik toetatud NetScaleri versioonid, kuid NetScaler Console ja SVM ei ole haavatavad. Soovitame uuendada versioonile 14.1-73.49, 13.1-64.32, 14.1-73.49 FIPS või 13.1-37.286 ning piirata ligipääs haldusliidesele üksnes usaldatud võrkudest. (Citrix, Citrix TZ)

Cisco hoiatab aktiivselt ära kasutatava nullpäeva turvanõrkuse eest, mis võimaldab VPN-seadmeid taaskäivitada

Cisco avalikustas turvanõrkuse CVE-2026-76418 (CVSS-skoor 8,6/10), mida ründajad kasutavad Cisco Secure Firewall ASA ja Secure Firewall Threat Defense’i (FTD) seadmete vastu. Viga võimaldab autentimata ründajal haavatava seadme ootamatult taaskäivitada, põhjustades teenusetõkestuse (DoS).

Cisco sõnul on ründajatel õnnestunud turvaviga ära kasutada. Shadowserveri andmetel on enam kui 51 000 Cisco ASA SSL-VPN-seadet internetist ligipääsetavad. Cisco on avaldanud turvauuendused ning soovitab haavatavad seadmed esimesel võimalusel parandatud versioonidele uuendada. (BC, SW)

HPE parandas 72 turvanõrkust Aruba võrgutoodetes

HPE avaldas turvauuendused 72 turvanõrkuse kõrvaldamiseks Aruba võrgutoodete operatsioonisüsteemides AOS-8 ja AOS-10, sealhulgas 33 kriitilise vea parandamiseks. Kaheksa turvanõrkust on hinnatud maksimaalse CVSS-skooriga. Nende ärakasutamine võib võimaldada autentimata ründajal käivitada suvalisi käske või koodi, mööduda autentimisest, saada administraatoriõigused ja võtta mõjutatud süsteem täielikult üle.

Parandused on saadaval AOS-i versioonides 8.10.0.24, 8.13.3.1, 10.4.1.14, 10.7.2.7 ja 10.8.1.2. HPE ei ole tuvastanud turvanõrkuste ärakasutamist rünnetes, kuid soovitab parandused võimalikult kiiresti paigaldada. (SW)

Microsoft parandas Visual Studio sertifikaadikontrolli turvanõrkuse

Microsoft parandas Visual Studio turvanõrkuse CVE-2026-118147 (CVSS-skoor 7,4/10), mis tuleneb sertifikaatide ebapiisavast kontrollimisest. Viga võimaldab autentimata võrguründajal ühendust võltsida. Mõjutatud on Visual Studio 2017, 2019, 2022 ja 2026 varasemad versioonid. Soovitame uuendada vastavalt versioonile 15.9.84, 16.11.62, 17.14.44 või 18.11.3. Microsofti hinnangul ei ole turvanõrkuse toimivat ärakasutamisviisi seni tõendatud. (Microsoft)

Moodle parandas neli turvanõrkust

Moodle’is parandati neli turvanõrkust. Kõige tõsisem neist on turvanõrkus CVE-2026-119553 (CVSS-skoor 7,1/10), mis võimaldab õpetaja õigustega kasutajal pääseda Blackboardi küsimuste impordi kaudu ligi serverifailidele. Mõjutatud on Moodle’i versioon 5.3.0, 5.2.4 ja vanemad toetatud versiooniharude versioonid. Soovitame paigaldada vastava versiooniharu uusima turvaparandustega paketi. Moodle’i versiooni 5.0 kasutajad peaksid üle minema toetatud versioonile. Aktiivsest ärakasutamisest ei ole teatatud. (Moodle, NVD).