Dwa sanitizery, jedna spacja

sie 10, 2026 | Cyberflux

Opisywaliśmy, jak pół miliarda stron dostało w rdzeniu wbudowaną bramę do modeli AI, a dwa miesiące później znaleziono w tym samym rdzeniu dziurę, która nie wymaga logowania. Siódmego sierpnia przyszła kolejna, w tym samym rdzeniu i również bez uwierzytelnienia — tym razem na ekranie logowania, w kodzie, który jest w WordPressie od wersji 4.7, czyli od 2016 roku.

Nazywa się XSS2Shell, oznaczono ją jako CVE-2026-64638 i dotyczy każdej wersji WordPressa. Pojedyncza nieudana próba logowania wystarcza, żeby uruchomić kod atakującego w przeglądarce odwiedzającego, a przy spełnieniu dodatkowych warunków — doprowadzić do wykonania kodu PHP na serwerze.

Ale nie to jest w niej najciekawsze. Najciekawsze jest, że cała luka sprowadza się do jednej spacji, którą dwa różne mechanizmy zabezpieczające czytają na dwa różne sposoby. I że znalazł ją autonomiczny system wieloagentowy.

Spacja, której jeden parser nie widzi

Mechanizm jest elegancki w sposób, który docenia każdy, kto kiedykolwiek szukał błędów w kodzie.

Gdy do formularza logowania trafi nieistniejąca nazwa użytkownika, WordPress buduje komunikat o błędzie i przepuszcza tę nazwę przez funkcję wp_strip_all_tags, która ma usunąć z niej wszelkie znaczniki HTML. Pod spodem korzysta ona z natywnego parsera PHP.

I tu badacze z pwn.ai zauważyli rzecz drobną: jeśli między nawiasem otwierającym a nazwą znacznika wstawić spację — na przykład < area zamiast <area — to parser PHP uznaje, że to nie jest znacznik, tylko zwykły tekst. Nie ma czego usuwać, więc przepuszcza ciąg dalej nietknięty.

Problem w tym, że kilka kroków później ten sam ciąg trafia do drugiego mechanizmu sanityzującego, KSES, który ma własny tokenizer i własne reguły. A ten uznaje, że < area to jak najbardziej znacznik — i odpowiednio go interpretuje.

Dwa sanitizery. Każdy z nich działa dokładnie tak, jak go zaprojektowano. Każdy z osobna jest poprawny. Luka nie istnieje w żadnym z nich — istnieje wyłącznie w różnicy między nimi, w wąskim marginesie, gdzie jeden widzi tekst, a drugi znacznik.

To jest ten sam kształt, który opisywaliśmy przy Cordyceps, luce istniejącej wyłącznie w kompozycji — tam niezaufane dane przekraczały granicę zaufania, której nikt nie audytował, bo każdy komponent osobno był w porządku. Tutaj granicą jest przejście między dwoma tokenizerami, z których żaden nie wie o istnieniu drugiego.

Potwierdza to zresztą sama poprawka. WordPress nie zmienił żadnego z tokenizerów. Zamiast tego zakodował nazwę użytkownika przy pomocy esc_html() w miejscu, gdzie trafia ona do komunikatu — czyli zanim w ogóle dotrze do któregokolwiek z sanitizerów. Nie naprawiono niezgodności. Wycofano dane z obszaru, w którym ta niezgodność miała znaczenie.

Od nieudanego logowania do wtyczki na serwerze

Sam XSS jest poważny, ale to, co pwn.ai zbudowało na jego bazie, jest ciekawsze — bo pokazuje, jak wiele funkcji trzeba połączyć, żeby dojść od komunikatu o błędzie do kodu na serwerze.

Punktem wyjścia jest wykonanie skryptu atakującego w origin witryny. Osiąga się to, kierując żądanie do REST API WordPressa z parametrami nadpisania metody i JSONP — odpowiedź wraca opakowana w wykonywalny JavaScript. Ten etap nie wymaga żadnego konta.

Dalsza część łańcucha opiera się na technice sprzed czterech lat: Same Origin Method Execution, opisanej przez Paulosa Yibelo w 2022 roku, która pozwala wywołać metodę w innym oknie przeglądarki przez dozwolony łańcuch JSONP. Za jej pomocą skrypt sięga do natywnej kontrolki zatwierdzania haseł aplikacji w sesji zalogowanego administratora. WordPress tworzy wtedy poświadczenie API i przekierowuje je na wskazany adres.

Ten fragment jest wart podkreślenia, bo pokazuje, jak działa nowoczesny łańcuch ataku: nie trzeba kraść hasła administratora. Hasła aplikacji to odwoływalne poświadczenia przeznaczone do dostępu przez API — legalna funkcja, użyta zgodnie z przeznaczeniem, tylko przez niewłaściwą osobę.

Mając to poświadczenie, atakujący publikuje przez REST stronę WordPressa zawierającą własny JavaScript. Gdy zachowana sesja administratora otworzy tę stronę, skrypt pobiera token zabezpieczający formularz wgrywania wtyczek i przesyła przygotowane archiwum ZIP. Wtyczka to kod PHP, a kod PHP wykonuje się na serwerze.

Każdy krok tego łańcucha jest funkcją WordPressa działającą poprawnie. Zsumowane dają przejęcie serwera.

Znalazł to system wieloagentowy

I tu dochodzimy do części, która dla nas jest najważniejsza.

Pwn.ai podaje, że łańcuch został odkryty całkowicie autonomicznie przez wieloagentowy system, zasilony wcześniejszymi badaniami Yibelo nad Same Origin Method Execution z 2022 roku. Nie chodzi więc o narzędzie, które przeczesuje kod w poszukiwaniu wzorców — chodzi o system, który połączył niezgodność dwóch parserów z czteroletnią techniką badawczą i zbudował z tego wieloetapowy łańcuch aż do wykonania kodu.

Zestawmy to z dwoma wcześniejszymi przypadkami, o których pisaliśmy. Na początku lipca model znalazł jeden błąd w łatce jądra i przeoczył bliźniaczy, a pod koniec miesiąca badacz opisał wyścig w jądrze, przy którym AI pomogła mu dopiero wtedy, gdy pokazał jej, gdzie patrzeć. Postawiliśmy wtedy tezę, że granica biegnie nie między klasami błędów, lecz między trybami pracy: autonomiczne przeczesywanie ma ślepe pole, prowadzona asysta go nie ma.

XSS2Shell tę tezę doprecyzowuje, a nie obala. Bo różnica między tym, co system znalazł tutaj, a tym, co przeoczył przy Bad Epoll, jest konkretna. Wyścig w jądrze istnieje wyłącznie w czasie — w oknie szerokim na kilka instrukcji, w splocie dwóch wątków, bez śladu w kodzie i bez sygnału w runtime. Niezgodność dwóch parserów istnieje w kodzie: jest deterministyczna, powtarzalna i da się ją wywnioskować, czytając oba tokenizery i porównując ich reguły. To wciąż jest kompozycja, ale statyczna.

Zgadza się to z całą teksturą, którą opisujemy od miesięcy. AI radzi sobie znakomicie z tym, co da się rozstrzygnąć, patrząc na kod — nawet gdy wymaga to porównania dwóch odległych komponentów i zbudowania wieloetapowego łańcucha. Wciąż potyka się na tym, co istnieje tylko w konkretnej sekwencji zdarzeń w czasie.

Warto też zauważyć, że autonomia nie oznaczała tu pracy od zera. System był zasilony konkretnym ludzkim badaniem sprzed czterech lat — to człowiek opisał technikę, którą maszyna zastosowała w nowym kontekście. To jest ten sam wzorzec co przy wyścigu w jądrze, tylko z dłuższym dystansem między ludzkim wkładem a maszynowym wykonaniem.

Uczciwie: skala i warunki

Kilka rzeczy trzeba postawić proporcjonalnie, bo ta luka jest opisywana w mediach bardzo różnie.

Ocena to 8,9 punktu w skali CVSS — wysoka, nie krytyczna, i to rozróżnienie ma znaczenie przy kalibrowaniu realnego ryzyka. Sam XSS nie wymaga uwierzytelnienia i tu nie ma dyskusji: każdy może przygotować odpowiedni adres. Ale eskalacja do wykonania kodu PHP wymaga dodatkowo zalogowanego administratora, jego świadomej interakcji ze stroną kontrolowaną przez atakującego oraz określonych warunków wdrożenia. Sam WordPress opisuje to jako wymagające skutecznej socjotechniki i wyraźnego działania ofiary.

Na dzień 8 sierpnia nie potwierdzono wykorzystania w realnych atakach, a pwn.ai wstrzymało publikację pełnego dowodu koncepcji, żeby dać czas na wdrożenie łatki.

Reakcja WordPressa zasługuje przy tym na dobre słowo. Zgłoszenie wpłynęło 27 lipca, tego samego dnia projekt uznał ryzyko, a 6 sierpnia wyszło wydanie 7.0.3 — osiem dni od zgłoszenia do poprawki, wraz z jedenastoma innymi łatkami bezpieczeństwa, wypłaconą nagrodą i przeniesieniem poprawki wstecz aż do gałęzi 4.7. Publiczne ujawnienie nastąpiło dzień po łatce, w skoordynowanym trybie.

Jest tu jednak przypis, który wynika wprost z naszego lipcowego wpisu o WordPressie. Wtedy CERT Polska ostrzegał, że wymuszona automatyczna aktualizacja w licznych przypadkach nie zadziałała. Ta sama uwaga obowiązuje teraz: automatyczne aktualizacje bezpieczeństwa są tu głównym mechanizmem ochrony i dla większości witryn zadziałają bez żadnego działania administratora — ale zakładanie, że zadziałały, jest tym samym błędem, który popełniono trzy tygodnie temu.

Co z tego wynika dla obrońcy

Rzecz pierwsza jest natychmiastowa: sprawdź faktycznie zainstalowaną wersję, nie to, czy automatyczne aktualizacje są włączone. Docelowo 7.0.3 lub odpowiednia załatana wersja ze starszej gałęzi. Instalacje na wersjach starszych niż 4.7 nie dostały poprawki i wymagają przeniesienia na wspieraną gałąź.

Rzecz druga wynika z łańcucha eskalacji i jest tania: przejrzyj hasła aplikacji w kontach administracyjnych i odwołaj te, których nie rozpoznajesz. To jest poświadczenie, które w tym ataku powstaje legalnie i bez kradzieży hasła głównego, więc nie zostawia śladu w postaci nieudanych logowań. Warto też ograniczyć liczbę kont z uprawnieniami do wgrywania wtyczek — cały łańcuch kończy się na tej jednej funkcji.

Rzecz trzecia jest ogólniejsza i wynika z mechanizmu. Wszędzie tam, gdzie dane przechodzą przez więcej niż jedenmechanizm sanityzujący, powstaje margines między ich interpretacjami. Poprawka WordPressa pokazuje właściwe podejście: zamiast uzgadniać dwa tokenizery, zakodowano wartość, zanim do nich dotarła. Jeśli w twoim kodzie dane przechodzą przez łańcuch filtrów, warto sprawdzić, czy wszystkie czytają je tak samo — a jeśli nie masz pewności, wycofać je z tego łańcucha przez wcześniejsze kodowanie.

Jedna myśl na koniec

Ta luka siedziała w WordPressie dziesięć lat i nie była ukryta. Oba sanitizery są publiczne, oba mają otwarty kod, a różnica w ich interpretacji jednego znaku dała się wykazać jednym żądaniem. Nikt jej przez dekadę nie znalazł nie dlatego, że była trudna do zobaczenia, lecz dlatego, że wymagała jednoczesnego czytania dwóch komponentów, które w żadnym przeglądzie kodu nie występują razem — jeden jest funkcją pomocniczą, drugi biblioteką filtrowania, a łączy je tylko to, że dane przechodzą przez oba po kolei.

To jest dokładnie ten rodzaj pracy, w którym maszyna nie ma naszych ograniczeń. Nie nudzi się porównywaniem reguł dwóch tokenizerów linijka po linijce i nie zakłada, że skoro każdy z nich przeszedł przeglądy, to ich złożenie też jest bezpieczne. XSS2Shell nie jest dowodem, że AI wymyśliło coś, czego człowiek nie mógłby wymyślić. Jest dowodem, że potrafi wykonać żmudne porównanie, którego przez dziesięć lat nikt nie chciał zrobić — i że w kodzie, którym stoi połowa internetu, takich porównań czeka jeszcze bardzo wiele.

Źródła

pwn.ai — oryginalne badanie XSS2Shell z opisem łańcucha od nieudanego logowania do wykonania kodu PHP, informacją o autonomicznym odkryciu przez system wieloagentowy oraz pełną osią czasu ujawnienia: https://pwn.ai/blog/xss2shell

WordPress — ogłoszenie wydania 7.0.3 z 6 sierpnia 2026, zawierającego poprawkę dla tej luki oraz jedenaście innych łatek bezpieczeństwa: https://wordpress.org/news/2026/08/wordpress-7-0-3-release/

WordPress / GitHub Security Advisory — oficjalny opis podatności z potwierdzeniem, że dotyczy wszystkich wersji, wraz z warunkami eskalacji do zdalnego wykonania kodu i zakresem przeniesienia poprawki wstecz do gałęzi 4.7: https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-52p2-r8wf-jcrf

Hadrian — analiza techniczna z opisem miejsca poprawki w wp-includes/user.php, zaznaczeniem, że żaden tokenizer nie został zmieniony, oraz informacją o zasileniu systemu badaniami Yibelo z 2022 roku: https://hadrian.io/blog/wordpress-xss2shell-unauthenticated-login-screen-xss-to-php-code-execution-cve-2026-64638

Cybersecurity News — szczegółowy opis niezgodności między parserem PHP a sanitizerem KSES przy ciągu ze spacją po nawiasie otwierającym oraz kontekst skali wdrożeń WordPressa: https://cybersecuritynews.com/wordpress-xss2shell-vulnerability/

Dwa sanitizery, jedna spacja

Spacja, której jeden parser nie widzi

Od nieudanego logowania do wtyczki na serwerze

Znalazł to system wieloagentowy

Uczciwie: skala i warunki

Co z tego wynika dla obrońcy

Jedna myśl na koniec

Źródła

Dwa sanitizery, jedna spacja

Jeden dostawca, cztery laboratoria

Cztery kanały, zero przeglądów

To nie był plik konfiguracyjny

Model zostanie oszukany

Podpis był ważny

Zatrzymał się ten, którego nie wydano

Cyberflux Radar #4 – lipiec 2026

Lipiec 2026 — miesiąc, w którym okazało się, że nie ma hamulca

Rozpoznanie to nie zatrzymanie

Uciekł z piaskownicy i poszedł szukać klucza odpowiedzi

Nie 95,95%. Ciekawe liczby to 90 i 50

AI nie widzi wyścigów w jądrze. Chyba że ktoś jej pokaże, gdzie patrzeć

ServiceNow zabezpieczył własną chmurę w dobę. Klienci z instalacjami u siebie czekali trzy i pół miesiąca — a instrukcja obsługi ataku ukazała się w dniu, w którym dostali łatkę.

CISA właśnie uchyliła własny nakaz łatania wszystkiego. Nie dlatego, że się poddała — dlatego, że liczba luk przestała cokolwiek mówić o ryzyku.

Pół miliarda stron dostało w rdzeniu wbudowaną bramę do OpenAI, Anthropic i Google. Dwa miesiące później w tym samym rdzeniu znaleziono dziurę, która nie wymaga logowania.

AI nauczyło się pisać kod odporny na ataki, których baliśmy się najbardziej. Wciąż nie umie odpowiedzieć na pytanie, czy ten użytkownik ma prawo do tych danych.

Dwanaście z czternastu zachowań tego robaka wygląda jak zwykła praca programisty. Bo wykonuje je twój asystent AI.

W 2025 załatali brak uwierzytelnienia na tym endpoincie. Dziś ten sam endpoint wykonuje kod jako root — przez inny parametr, którego nikt nie sprawdził.

Nikt nie kazał modelowi włamywać się do Hugging Face. Kazano mu rozwiązać test — a najkrótsza droga do odpowiedzi prowadziła przez cudzą produkcyjną bazę danych.

Atakujący nie musi włamywać się do AI. Wystarczy, że wie, jaką nazwę model regularnie zmyśla — i zarejestruje ją, zanim zrobi to agent.

Nie złamali zabezpieczeń agenta. Przekonali go, że gra w grę, w której 2+2=5 — a wtedy sam przestał ich pilnować.

Prompt nie chronił. Sandbox pękał. Teraz upadła ostatnia bariera — bo okno, w którym zatwierdzasz działanie agenta, pokazuje co innego, niż agent naprawdę robi.

Wczoraj agent AI wszedł przez Langflow i wyczyścił skarbiec. Dziś ta sama platforma dostaje trzecią lukę tej samej klasy — bo Langflow wykonuje cudzy kod nie przez błąd, lecz przez projekt.

Przez tydzień pisaliśmy o atakach napędzanych przez AI. Nowy raport dokłada liczbę, którą trzeba postawić obok: 84% realnych włamań używa legalnych narzędzi, które już masz w sieci — a boi się ich jeden na pięciu

Pierwszy ransomware w całości poprowadzony przez agenta AI nie okazał się skuteczniejszym wymuszeniem. Okazał się przypadkowym niszczycielem — bo agent zgubił własny klucz i nawet o tym nie wiedział.

AI znalazło jeden błąd w tej samej łatce jądra. Drugi, bliźniaczy, przeoczyło — i po raz pierwszy wiemy dokładnie, gdzie jest jego ślepe pole.

Sandbox miał być twardą barierą, której prompt nie przekroczy. DuneSlide pokazuje, że agent potrafi nadpisać własne więzienie — bo klucz do niego leży w środku.

DeepSeek nie znalazł luki. Wymyślił sposób ataku, którego obrońcy nie brali pod uwagę — składając go z funkcji, która w przeglądarce jest legalna.

Cyberflux Radar #3 – czerwiec 2026

Czerwiec 2026 — miesiąc, w którym zdolność pokazała, że nie da się zamknąć

Klue zapłacił okup. Dane i tak wyciekły — do drugiej grupy, która ukradła je pierwszej. A połowa ofiar to firmy, które zawodowo chronią innych przed dokładnie tym

Nie złamali szyfrowania Signala. Przekonali użytkownika, żeby sam oddał klucz — a ten klucz działa nawet po tym, jak założysz nowe konto na tym samym numerze.

Austria chce ściągnąć Anthropic do Europy. To brzmi jak polityka przemysłowa — naprawdę jest próbą przeniesienia „kill switcha” pod jurysdykcję, której amerykański nakaz nie dosięga.

USA zablokowało Mythos, żeby zdolność nie wyciekła. Trzy tygodnie później Azja pokazała trzy sposoby, że już wyciekła – orkiestracją, open-weight za 1/6 ceny i prawem, które każe zgłaszać zero-daye do Pekinu.

Malware, który nie ukrywa się przed piaskownicą. Ukrywa się przed analitykiem AI – wmawiając mu, że to jego własna sesja się sypie

Skill przeszedł skanery Cisco i NVIDIA. Trafił do 26 000 agentów. Potem badacze podmienili stronę, na którą wskazywał — i wszystkie agenty zaczęły wykonywać kod atakującego.

Skaner widzi poprawny YAML. Atakujący widzi czterokrokową drogę do trwałych poświadczeń chmury. Cordyceps to luka, która istnieje tylko w kompozycji — i AI rozsiewa ją wykładniczo.

Pięć agencji wywiadowczych właśnie powiedziało to, co opisujemy od kwietnia: „miesiące, nie lata”. Ale najważniejsze jest jedno zdanie, którego nie powiedziały.

Błąd parsera FTP z 1997 roku. Znalazł go Claude Mythos Preview w niemal sekundę — ten sam program Glasswing, którego trajektorię śledzimy od kwietnia.

Zapomniane poświadczenie do porzuconego prototypu. Icarus wszedł przez nie do Klue, ukradł klucze OAuth i opróżnił CRM-y firm, które chronią innych.

„Kalibruj według dzisiejszej rzeczywistości, nie jutrzejszego potencjału.” Brytyjska agencja cyberbezpieczeństwa nazwała drugą stronę medalu, który opisujemy od miesięcy

usbliter8: pierwszy od checkm8 niezałatywalny exploit BootROM Apple. Dlaczego to bardziej prezent dla badaczy niż powód do niepokoju

Kim są Gentlemen — i dlaczego gang, który zaczął pół roku temu, w pierwszym kwartale 2026 był już w pierwszej piątce

Osiem wariantów, każdy podszywa się pod inny program antywirusowy. GentleKiller zabija EDR jego własnym sterownikiem — i robi to z publicznego PoC w kilka dni.

Agent przeglądający stronę ma tożsamość localhost. AutoJack pokazuje, że to wystarczy, by jedna strona uruchomiła kod na maszynie dewelopera.

Pickle in the Middle: atakujący podmienił model w 1,4 sekundy. Vertex AI czytał go po 2,5. Cała różnica między bezpieczeństwem a przejęciem zmieściła się w tej sekundzie.

FortiBleed: w nazwie jest „bleed”, ale nie ma żadnego exploita. 86 tysięcy firewalli przejętych hasłami, których nikt nie zmienił po poprzednich włamaniach.

Plugin działał dokładnie tak, jak obiecywał. Kradł tylko jedną rzecz: twój klucz do AI. A potem sprzedawał go komuś innemu.

Backdoor, który nie otwiera portu, tylko czeka na sekretny pakiet. SprySOCKS przeszedł z Linuksa na Windows i nauczył się ukrywać w jądrze.

Atakujący wziął lukę załataną tydzień temu i napisał exploit z pomocą AI. Działa wadliwie — i to jest najważniejsza informacja w całej historii.

„Dłużej niż kilka dni”. Cztery dni po tym, jak rząd wyłączył Fable 5, Anthropic tłumaczy Białemu Domowi swoje zabezpieczenia — a Europa pyta, czemu ją wyłączono bez ostrzeżenia.

„Zbyt niebezpieczny, by go wydać” trafił do wszystkich 9 czerwca. 12 czerwca o 17:21 rząd USA kazał go wyłączyć. Co spór o Fable 5 mówi o tym, gdzie naprawdę leży granica.

Authorized Intent Chain: atak, w którym każdy krok jest legalny. Agentjacking porywa twojego agenta AI, a EDR, WAF i firewall nie widzą nic, bo nie ma czego widzieć.

npm wyłącza to, co napędzało każdy atak na łańcuch dostaw, który opisywaliśmy. Cena: części buildów przestanie działać – i to jest zamierzone.

RCE bez logowania w systemie, który trzyma kadry, płace i akta studentów. ShinyHunters włamali się na 300 instancji, zanim Oracle w ogóle wydało komunikat.

Microsoft łata dwie jego luki w Defenderze. Tego samego popołudnia on wypuszcza siódmą. Saga Chaotic Eclipse zatoczyła koło — i działa na w pełni załatanym Windows

27 dni z eksploatowanym Exchange bez trwałej łatki. Dziś Microsoft ją wydał — a sam atak jest tym samym wzorcem, który opisujemy od tygodni.

„Zbyt niebezpieczny, by go wydać” właśnie trafił do twojej aplikacji mobilnej. Co Claude Fable 5 mówi o tym, że okno się zamknęło dokładnie tak, jak zapowiadaliśmy.

429 łatek w jednym wydaniu Chrome. Rekord, którego nikt nie chciał — i dowód, że znajdowanie błędów właśnie przestało być wąskim gardłem.

Branża właśnie nazwała to, co opisywaliśmy incydent po incydencie. OWASP: bezpieczeństwo i „safety” agentów AI to już jedno i to samo.

Oxford nie został zhakowany. Dwa razy. Co drugi breach uczelni w miesiąc mówi o tym, że celem nie jest uczelnia, tylko jej dostawca.

Twój telewizor scrapuje sieć dla AI. Z twojego IP, na twoim łączu — i robi to przez protokół słabszy niż malware

Dwa commity go zasadziły. Dwa lata go ukrywały. Code review nigdy go nie znalazł — znalazło AI.

Powiadomienie, którego nie przeczytałeś, mówi Gemini co ma zrobić. „Tak” wypowiedziane przy kierownicy otwiera okna w domu.

Jeden issue, żeby przejąć repozytorium. I jeszcze jeden, żeby zatruć akcję, której używają wszyscy inni.

Zakodowane na stałe hasło do serwera aktualizacji polskiego systemu medycznego. Ten sam wzorzec, który dziś opisywaliśmy trzy razy w skali świata.

RCE w platformie AI to nie koniec ataku. To klucz do skarbca, który trzyma hasła do tuzina innych usług.

Platforma która chroni endpointy staje się tą, która rozprowadza malware. Trzeci raz w tym tygodniu.

Ten sam błąd. Ta sama ocena. Microsoft załatał jeden i odmówił drugiemu. Co dziura bez CVE mówi o łataniu według numerów.

RCE bez logowania w systemie, który zna oceny, PESEL i konto bankowe studenta. Co CVE-2026-34906 mówi o drugiej prędkości polskiego oprogramowania.

Codex znalazł HTTP/2 Bomb. Potem te same łatki posłużyły AI do potwierdzenia, że podatne są też IIS, Envoy i Pingora.