A világ egyik fontos kiberbiztonsági adatbázisa, a Common Vulnerabilities and Exposures (CVE) jövője kérdésessé vált, miután a Reuters jelentése szerint az amerikai kormány április 17-én megszünteti a finanszírozását. A MITRE által fenntartott rendszer kulcsfontosságú szerepet tölt be a sérülékenységek azonosításában és kezelésében világszerte – leállása súlyos zavarokat idézhet elő az informatikai védelem területén.
A Fortinet egy kritikus biztonsági résre figyelmeztet, amely a FortiSwitch termékcsaládot érinti. A CVE-2024-48887 azonosítójú sebezhetőség a CVSS (Common Vulnerability Scoring System) szerint 9.3-as pontszámot kapott a 10-ből és sürgős intézkedést igényel.
A PCAutomotive biztonsági kutatói a Black Hat Asia 2025 konferencián mutatták be, miként tudták távolról átvenni egy 2020-as gyártású, második generációs Nissan Leaf elektromos jármű teljes szoftveres és részben fizikai irányítását. A több lépcsős támadási lánc nemcsak megfigyelést, hanem kritikus járműfunkciók manipulálását is lehetővé tette.
A Meta biztonsági csapata súlyos biztonsági rést fedezett fel a WhatsApp for Windows asztali alkalmazásában, amely CVE-2025-30401 azonosítót kapta. Ez a sérülékenység távoli kódfuttatást tesz lehetővé, ha a felhasználó a WhatsApp Desktopban megnyitott egy manipulált fájlcsatolmányt.
Javasolt mielőbb frissíteni az Androidos rendszereket, ugyanis a Google által kiadott áprilisi biztonsági frissítéssel összesen 62 darab sérülékenység, köztük két, célzott támadások során is kihasznált, zero day sebezhetőség (CVE-2024-53197, CVE-2024-53150) is javításra került.
Az XZ Utils tömörítőeszköz 5.8-as verziója számos teljesítménybeli és biztonsági fejlesztéssel érkezett. A nyílt forráskódú, .xz formátumot kezelő C99-alapú eszközkészlet mostantól még hatékonyabban használható a különböző architektúrákon.
A frissítés a liblzma könyvtár teljesítményét optimalizálja:
A Next.js, a modern webfejlesztésben széles körben alkalmazott React-alapú keretrendszer, egy kritikus sérülékenységet tartalmaz, amely lehetővé teszi a middleware által végzett biztonsági ellenőrzések megkerülését.
A Google biztonsági kutatói részletes információkat tettek közzé az "EntrySign" nevű sérülékenységről, amely az összes AMD Zen processzort érinti egészen a Zen 4 generációig.
Az Apache Tomcat legújabb, kritikus súlyosságú biztonsági hibája, a CVE-2025-24813 távoli kódfuttatást tesz lehetővé. A támadók egy egyszerű PUT kéréssel teljesen átvehetik az irányítást a kiszolgáló felett. A sérülékenységet már aktívan kihasználják, és alig 30 órával a hiba nyilvánosságra kerülése után bizonyító erejű (PoC) exploitok jelentek meg a GitHubon.
A FreeType nyílt forráskódú betűkészlet-megjelenítő könyvtárban egy kritikus biztonsági sérülékenységet fedeztek fel, amely távoli kódfuttatást tehet lehetővé. A CVE-2025-27363 azonosítón nyomon követett sérülékenység súlyosságát jelzi a 8,1-es CVSS pontszám, továbbá az is, hogy a jelentések szerint jelenleg aktív kihasználás alatt áll.
TP-Link TL-WR845N típusú routereknél használnak ki sebezhetőséget a hackerek, amely lehetővé teszi számukra a teljes, rendszerszintű hozzáférést. A támadók így megszerezhetik a rendszergazdai bejelentkezési adatokat a firmware fájlok elemzésével és egy egyszerű MD5 hash-jelszó visszafejtésével.
A Google kiadta a 2025. márciusi biztonsági frissítést, amely 43 sebezhetőséget orvosol az Android rendszerben, köztük két, célzott támadásokban kihasznált nulladik napi (zero-day) hibát.
A CISA (Cybersecurity and Infrastructure Security Agency) figyelmeztette az amerikai szövetségi ügynökségeket, hogy biztosítsák rendszereiket a Cisco és a Windows rendszerek sebezhetőségeit kihasználó támadások ellen. Annak ellenére, hogy a CISA ezeket a sérülékenységeket aktívan kihasználtnak minősítette, valójában konkrét részleteket még nem közölt a rosszindulatú tevékenységről vagy azok elkövetőiről.
A Google kutatói jelentést küldtek az AMD-nek, melyben leírták az „AMD mikrokód aláírási ellenőrzés sérülékenységét” (AMD ID: AMD-SB-7033). A sérülékenység lehetővé teszi egy támadó számára, hogy rendszergazdai jogosultsággal aláírás nélküli mikrokód-patcheket töltsön be a CPU-ba. A kutatók demonstrálták, hogy hogyan hamisíthattak aláírásokat tetszőleges mikrokód-patchekhez.
Az AMD nem kapott bejelentést ilyen támadásról működő rendszerekben.
A Docker Desktop, a népszerű fejlesztői platform, amely lehetővé teszi a konténerizált alkalmazások építését, tesztelését és telepítését különböző környezetekben, mostanra kiadta legújabb frissítését, a Docker Desktop 4.39-et. A legnagyobb újdonság, hogy a korábban bevezetett Docker Desktop CLI mostantól általánosan elérhető. Ez egy jelentős változást jelent a Docker parancssori eszköztárában, különösen a docker desktop logs parancs hozzáadásával, amely a naplók lekérdezését intuitívabbá teszi.