Kritične ranjivosti i krađe podataka u razvojnim platformama
Bezbednosni događaji ove sedmice obuhvataju kritični propust u Laravel TokenGuard mehanizmu za API autentikaciju, ranjivost u Signal pozivima sa CVSS ocenom 9,3, krađu izvornog koda u kompaniji PingCAP i curenje više od 3,2 miliona zapisa promenljivih okruženja sa platforme Zeabur. Laravel je problem CVE-2026-114509 ispravio u verzijama 13.29.0 i 12.68.0, dok je Signalov problem CVE-2026-113380 vezan za RingRTC biblioteku i klijente za Android, iOS i desktop.
Autentikacija, pozivi i razvojna infrastruktura
Laravel je naveo da posebno oblikovana vrednost akreditiva koja nije niska, u određenim MySQL i MariaDB konfiguracijama, može dovesti do toga da upit pronađe nenameran korisnički zapis. Posledica može biti prijavljivanje kao postojeći korisnik bez njegovog važećeg API tokena, na rutama zaštićenim pogođenim TokenGuard mehanizmom.
U slučaju Signala, istraživač je opisao mogućnost da zlonamerni sagovornik zatrpa red događaja poziva. Lokalni prekid se tada obrađuje tek iza događaja koje šalje udaljena strana, pa audio, a potencijalno i video zapis, ne mora biti ugašen. Problem se odnosi na RingRTC, sloj koji Signal koristi za glasovne i video pozive zasnovane na WebRTC-u.
OpenCode je ispravio kritičnu RCE ranjivost u verziji 1.18.33. Prema objavljenim detaljima, udaljeni MCP server pod kontrolom napadača mogao je tokom OAuth autentikacije izvršiti proizvoljan kod na razvojnoj mašini pod Windowsom ili Windows Subsystem for Linux okruženjem, bez dodatne interakcije korisnika.
Krađa pristupa i podataka
PingCAP je saopštio da je neovlašćena strana, koristeći ukradene akreditive servisnog naloga, između 9. septembra i 7. oktobra 2026. pristupila pojedinim internim sistemima i kopirala podatke i izvorni kod. Izvezeni podaci obuhvataju sadržaj SQL editora i greške, korisnička imena i adrese e-pošte, podatke o organizacijama i projektima, kao i pojedine poslovne i obračunske podatke kupaca TiDB Cloud usluge.
Zeabur je najavio gašenje usluga od 1. do 31. decembra 2026. nakon drugog sajber napada tokom godine. Napadač je, prema navodima kompanije, iskoristio procurele interne akreditive, pristupio deljenom klasteru, delu namenskih servera i internim sistemima, a zatim pročitao bazu platforme. Kompanija je prijavila krađu više od 3,2 miliona zapisa promenljivih okruženja i informacija za 321.810 naloga.
Zakrpiti izloženo i proveriti privilegije
Roundcube je objavio verzije 1.6.20 i 1.7.5 sa ispravkama 20 bezbednosnih problema, uključujući IMAP komandnu injekciju, zaobilaženje SSRF filtera i nebezbednu obradu priloga. GLPI 11.0.9 ispravlja neautentifikovanu SQL injekciju prisutnu u verziji 11.0.8, koja je mogla omogućiti čitanje cele baze aplikacije.
Za timove koji koriste pogođene proizvode prioritet je popis javno dostupnih instanci, primena dostupnih zakrpa i provera da li su servisi koristili kompromitovane naloge ili tokene. Rotacija servisnih akreditiva, ograničavanje prava pristupa i pregled zapisa o autentikaciji pomažu da se smanji posledica i kada početni upad nije odmah vidljiv.