Apache hat in OFBiz 24.09.06 insgesamt 17 Sicherheitslücken geschlossen, darunter eine kritische Schwachstelle durch einen hartkodierten Schlüssel (CVE-2026-31986) und eine Remote-Code-Execution-Lücke (CVE-2026-45434).

Node.js schließt mit vm2 3.11.4 vier kritische Sicherheitslücken mit CVSS-Höchstwertung 10, über die Angreifer aus der Sandbox ausbrechen und Code auf dem Hostsystem ausführen können.

Microsoft hat eine Sicherheitslücke (CVE-2026-45585) behoben, die es Angreifern mit physischem Zugriff ermöglichte, BitLocker-Verschlüsselung zu umgehen. Durch die Entfernung der „autofstx.exe“-Datei und den Wechsel zu TPM+PIN-Authentifizierung lässt sich das Risiko minimieren.

Laut Verizons DBIR 2026 überholten 2025 erstmals seit 19 Jahren Angriffe über Softwarelücken jene mit gestohlenen Zugangsdaten, begünstigt durch KI-gestützte Schwachstellenfindung und -ausnutzung.

Drupal veröffentlicht am 20. Mai 2026 zwischen 19 und 23 Uhr ein hochkritisches Core-Update, das ausnahmsweise auch für bereits ausgelaufene Versionen wie 11.1.x, 10.4.x, 9.5 und 8.9 bereitgestellt wird und wegen erwarteter schneller Exploit-Entwicklung zügig installiert werden sollte.