Ivanti parandas kaks Connect Secure’i nullpäeva turvanõrkust
Ivanti avaldas turvauuendused kahele Connect Secure’i (ICS) turvanõrkusele, mida ründajad kasutasid alates oktoobri algusest nullpäevarünnetes koos varem avalikustatud autentimisest möödumise veaga CVE-2026-104935 (CVSS-skoor 8,6/10). Uued paigatud turvanõrkused tähistega CVE-2026-111357 (CVSS-skoor 8,8/10) ja CVE-2026-118527 (CVSS-skoor 4,3/10) võimaldavad õigustega manipuleerida ja faile üles laadida. Kolme turvanõrkuse kombineerimine võimaldab ründajatel juurkasutaja õigustes koodi käivitada. Turvanõrkused mõjutavad Ivanti Connect Secure’i versioone 25.1.1.2 ja vanemaid ning 22.8R2.5 ja vanemaid. Parandused on saadaval versioonides 25.1.1.3 ja 22.8R2.6. CISA lisas mõlemad uued turvanõrkused aktiivselt ärakasutatud turvanõrkuste kataloogi. (SW, BC)
Androidi turvauuendusega paigatakse enam kui 200 haavatavust
Androidi seadmetele avaldati turvauuendus, millega parandatakse enam kui 200 haavatavust, neist suurem osa on Framework ja System komponentides. Paigatud vigade hulgas on 23 kriitilist turvaviga. Kõige suurema mõjuga on hinnatud Framework komponendi viga tähisega CVE-2026-58868 (CVSS-skoor 9,8/10), mis võimaldab kaugteel koodi käivitada. Lisaks avaldati turvauuendused ka tarkvaradele Android XR ja Wear OS. Kuigi ettevõte ei maini, et vigu oleks õnnestunud ära kasutada, on soovitatav kõigil Androidi nutiseadmete kasutajatel tarkvara uuendada esimesel võimalusel. (SW, HN, SA, Android)
OpenSSH parandas Alpine Linuxit mõjutava autentimisest möödumise vea
OpenSSH parandas turvanõrkuse CVE-2026-123158 (CVSS-skoor 8,1/10), mis võimaldab autentimata ründajal pääseda paroolita või ainult SSH-võtmega kaitstud kontole. Viga mõjutab musl teeki kasutavaid Linuxi süsteeme, kus OpenSSH töötab ilma PAM-ita (Pluggable Authentication Modules) ja parooliga autentimine on lubatud. Turvanõrkust püütakse aktiivselt ära kasutada. Parandus sisaldub OpenSSH versioonis 10.6p2 ning Alpine avaldas parandatud paketid versioonidele alates 3.16. Pärast uuendamist tuleb sshd taaskäivitada. Ajutise meetmena saab keelata parooliga autentimise. (OpenSSH, Alpine Linux, THN, BC)
SonicWall parandas SSL-VPN-i turvanõrkuse, mida on rünnetes ära kasutatud
SonicWall avaldas turvauuendused seitsmele SonicOS-i turvanõrkusele, millest kõige suurema mõjuga on CVE-2026-19868 (CVSS-skoor 7,1/10), mis võimaldab autentimisest mööda minna. Turvanõrkus mõjutab neid SSL-VPNi teenuseid, mille sisselogimisel kasutatakse SAML-autentimist (Security Assertion Markup Language), ning selle ärakasutamiseks peab ründajal olema kehtiv konto mõne alternatiivse autentimismeetodi jaoks. CISA lisas turvanõrkuse aktiivselt ära kasutatud turvanõrkuste kataloogi. Haavatavad on Gen7 seadmed SonicOS-i versiooniga 7.3.3-7015 ja vanemad ning Gen8 seadmed versiooniga 8.2.2-8015 ja vanemad. Kõigil administraatoritel soovitatakse uuendused esimesel võimalusel paigaldada. (BC, SW)
Chrome ja Firefox said olulised turvauuendused
Google parandas Chrome 157-s kokku 213 turvanõrkust, sealhulgas seitse kriitilist ja 77 suure mõjuga viga. Parandatud on muu hulgas mälu rikkumise, puhvri ületäitumise ja vabastatud mälu kasutamise nõrkused. Uued versioonid on Windowsis ja macOS-is 157.0.8103.38/.39 ning Linuxis 157.0.8103.38. Mozilla parandas Firefoxi paigutusmootori turvanõrkuse CVE-2026-120572 (CVSS-skoor 8,8/10), mis võib põhjustada lubamatut mälupöördust. Viga on parandatud Firefoxi versioonis 159.0.1. Teadaoleva aktiivse ärakasutamise kohta info puudub. (Chrome, Mozilla, SW)
Barracuda parandas kaks turvanõrkust, mille kombineerimine võimaldab seadmetes juurõigustes käske käivitada
Barracuda avaldas turvauuendused kahele turvanõrkusele, mida saab omavahel kombineerides kasutada seadme ülevõtmiseks. Esimene viga CVE-2026-116606 (CVSS-skoor 9,3) võimaldab autentimata ründajal mööduda autentimisest ja muuta Email Security Gateway (ESG) seadme konfiguratsiooni. Teine turvanõrkus CVE-2026-111560 (CVSS-skoor 8,6) võimaldab käivitada operatsioonisüsteemi käske juurõigustes ja mõjutab lisaks ESG-le veel viit tarkvara. Barracuda on avaldanud kõigile mõjutatud toodetele parandused ning soovitab paigaldada uusimad versioonid. Kui uuendamine ei ole kohe võimalik, tuleb haldusliideste ligipääs piirata sisevõrgus või kindlate IP-aadressidega. (BC, SW)
Linuxi kerneli kriitiline turvanõrkus võimaldab koodi kaugkäivitamist
Linuxi kerneli IPv4 võrgualamsüsteemi turvanõrkus CVE-2026-98432 (CVSS-skoor 9,8/10) võimaldab autentimata ründajal kaugteel käivitada süsteemis suvalist koodi. Mälu vabastamisjärgse kasutamise viga tekib TCP-ühenduste töötlemisel ning mõjutab sisenevaid ühendusi lubavaid süsteeme. Mõjutatud on RHEL 8–10, OpenShift ja teised RHEL-i kernelil põhinevad tooted. Seni saab riski vähendada IPv4 IP-suvanditega pakettide filtreerimisega. (RedHat)
Oracle parandas enda toodetes kriitilised PHP2Shelli turvanõrkused
Oracle avaldas turvaparandused PHP2Shelli turvanõrkustele CVE-2026-109618 (CVSS-skoor 9,8/10) ja CVE-2026-109619 (CVSS-skoor 9,8/10), millest oleme kirjutanud ka RIA blogis. Mõjutatud on Oracle Solaris 11, Secure Backup 19.1 ja mitu Oracle Communicationsi toodet. Mõlemad nõrkused on lisatud CISA KEV-kataloogi. Soovitame paigaldada Oracle’i avaldatud parandused viivitamata. Oracle võib nimekirja täiendavate tootepaikade ilmumisel uuendada. (Oracle, CISA)
D-Link hoiatas DGS-3130 võrgulülitite parandamata nullpäevanõrkuste eest
D-Link hoiatas mitme parandamata turvanõrkuse eest DGS-3130-30TS B1 võrgulülitites. Vead mõjutavad D-Link Discovery Protocoli ning püsivara turvamehhanisme. Ründaja võib avaldada tundlikku teavet, muuta seadistusi ja administraatori kasutajaandmeid või katkestada võrguteenuseid. Haavatavust kinnitati püsivara versioonides 2.00.B014, 2.00.B034, 2.04.000 ja 2.04.001. CVE-tunnuseid ning CVSS-skoore ei ole veel avaldatud. Paranduse ilmumiseni soovitab D-Link keelata DDP, eemaldada vaikimisi SNMP-kogukonnad ja piirata haldusliideste võrgupääsu. (D-Link, BC)
CISA lisas uued turvanõrkused ära kasutatud turvanõrkuste andmebaasi
CISA lisas uued turvanõrkused enda hallatavasse ära kasutatavate turvanõrkuste andmebaasi. Soovitame mõjutatud toodete kasutajatel kindlasti kontrollida, et tarkvara oleks uuendatud uusimale versioonile ja lõppenud tööeaga tooted oleksid võrgust eemaldatud.
- CVE-2026-119977 (CVSS-skoor 8,1/10) - WordPress Core’i kontrollimis- ja kasutamishetke võistlustingimuse turvanõrkus.
- CVE-2024-27834 (CVSS-skoor 5,5/10) - Apple’i mitme toote puuduliku autentimise turvanõrkus.
- CVE-2026-19868 (CVSS-skoor 7,5/10) - SonicWall SonicOS SSLVPN-i ühefaktorilise autentimise turvanõrkus.
Loe lähemalt CISA hallatavast teadaolevalt ära kasutatavate turvanõrkuste kataloogist (CISA).
Artikli loomisel on kasutatud GPT-5.5 abi. Artikli illustratsioon on loodud tehisintellekti tarkvaraga ChatGPT.
Soovid RIA blogipostitusi ja uudiseid oma postkasti? Meie RSS-vood leiad siit!
Vanemad blogipostitused (2014–2024) leiad veebiarhiivist .
Loomise kuupäev: 09.11.2026
