Команда безпеки Drupal закрила дві критичні вразливості віддаленого виконання коду: в модулі ядра Field UI та в додатковому модулі Entity List. Під загрозою всі підтримувані версії CMS. Розробники заздалегідь попросили адміністраторів зарезервувати час на оновлення, бо експлойти можуть з'явитися «протягом годин або днів».
Adobe закрила в Magento і Adobe Commerce вразливість CVE-2026-103849, через яку можна виконати довільний PHP-код на сервері магазину без входу в систему. Офіційно — «пріоритет 2», тобто є 30 днів. Дослідники Sansec за добу знайшли чотири робочі шляхи атаки й радять не чекати.
Сервіс, якому компанії довірили бекап пошти й файлів, став ключем до самих тенантів. Нападник увійшов у Microsoft 365 як застосунок ConnectWise Cloud Backup: без паролів користувачів, без MFA, з дозволами, які клієнти колись видали самі. Huntress підтвердила вторгнення щонайменше в 162 тенанти, Microsoft називає це атакою на ланцюг постачання.