Microsoft’s Patching

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2026/09/microsofts-patching.html

Once a month, Microsoft pushes a security update to all Windows users. Tomorrow’s is a new record:

Microsoft’s patch for September is a doozy, with a record number of roughly 972 vulnerabilities fixed and 112 of them meeting the high critical-severity threshold.

It was only two months ago that Microsoft patched a then-record 570 vulnerabilities. Then, last month, Microsoft patched some 620 of them. Google and other companies have also published record numbers of vulnerabilities in recent months. Two weeks ago, OpenAI, Anthropic, Amazon Web Services, Google, Microsoft, and 100 companies and organizations published an open letter warning of a narrowing window for patching vulnerabilities ahead of an expected tsunami of AI-enabled attacks that actively exploit them first. The industry is taking the threat seriously by pumping out unprecedented numbers of patches in their software.

This is the result of AI-powered vulnerability finding, and a good example of AI helping the defenders more than the attackers.

What will be interesting to watch is how the number of vulnerabilities changes over the next few months. My prediction is that it will continue to increase as the AIs get better at finding software vulnerabilities, and then decrease as they run out of vulnerabilities to find. How high the number gets, how fast the trend reverses, and how quickly it declines after that are all unknown.

And Microsoft is right: The window to patch has shrunk to “immediately.” AIs are also good at reverse-engineering exploits from patches, which means that these vulnerabilities will be weaponized as soon as the update is published.

CVE-2026-85706: Critical GitLab Path Traversal Exploited in the Wild

Post Syndicated from Rapid7 original https://www.rapid7.com/blog/post/etr-cve-2026-85706-critical-gitlab-path-traversal-exploited-in-the-wild

Overview

On September 10, 2026, GitLab published a critical patch release for GitLab Community Edition (CE) and Enterprise Edition (EE). The release addresses CVE-2026-85706, a critical path traversal vulnerability (CWE-22) in the repository commits API with a CVSSv3.1 score of 10.0. According to GitLab, improper path confinement and missing authentication enforcement could allow an unauthenticated user to read arbitrary files from an affected GitLab server under certain conditions.

On September 11, 2026, CVE-2026-85706 was added to the U.S. Cybersecurity and Infrastructure Security Agency’s (CISA) Known Exploited Vulnerabilities (KEV) catalog, based on evidence of active exploitation. CISA set a remediation due date of September 14, 2026, for affected Federal Civilian Executive Branch agencies and marked the vulnerability as subject to forensic triage requirements under Binding Operational Directive 26-04.

Organizations running affected self-managed GitLab instances should remediate CVE-2026-85706 on an emergency basis, outside of normal patch cycles.

Mitigation guidance

A vendor-supplied update is available to remediate CVE-2026-85706. Organizations running affected self-managed GitLab CE or EE instances should upgrade to a fixed version immediately.

Affected GitLab CE/EE versions

Fixed version

All versions from 18.7 before 19.1.8

19.1.8

All versions from 19.2 before 19.2.6

19.2.6

All versions from 19.3 before 19.3.2

19.3.2

GitLab.com is already running a patched version, and GitLab Dedicated customers do not need to take action. Per GitLab, all self-managed deployment types are affected, including Omnibus, source code, and Helm chart deployments.

The updates include database migrations. Single-node installations will experience downtime while the migrations run; multi-node deployments can use GitLab’s zero-downtime upgrade procedure. Of the fixed releases, only 19.3.2 includes post-deployment migrations.

The patch release also addresses 17 other vulnerabilities. These include CVE-2026-87719, a critical insecure deserialization vulnerability (CWE-502) in GitLab EE with a CVSSv3.1 score of 9.9. GitLab states that, under certain conditions, an authenticated user with Duo Chat access could obtain Advanced Search instance configurations and sensitive credentials using a specially crafted GraphQL subscription argument. At the time of publication, only CVE-2026-85706 is known to be exploited in the wild.

Given the confirmed exploitation, Rapid7 strongly recommends looking for signs of compromise even after the update has been applied. Organizations subject to CISA’s BOD 26-04 should also follow the forensic triage requirements associated with the KEV entry.

For the latest mitigation guidance, please refer to the vendor’s security advisory.

Rapid7 customers

Exposure Command, InsightVM, and Nexpose

Exposure Command, InsightVM, and Nexpose customers can assess exposure to CVE-2026-85706 with a vulnerability check available in the September 15 content release.

Updates

  • September 14, 2026: Initial publication.

Must be surreal

Post Syndicated from Боян Юруков original https://yurukov.net/blog/2026/must-be-surreal/

Must be surreal to live history all over
repeating the same lies of self-defense,
superiority, destiny and final solution
watching passively as everyone –
yourself included – prays, votes, kills,
burns and rebuilds atop graves.

Must be heartbreaking to watch
your bloodline relive what you endured
now from the perpetrator’s desk
history forgotten, repeated, rebranded
uttering those exact excuses and hate
following through as orders are followed.

Must be difficult to face the tape rolling
once ashes and truth settle alike,
to explain once more, eighty years later,
to insist common folk didn’t know,
only sought safety and promised destiny,
to feel the shame once those lies crumble.

Must be painful for the witness and learned
to watch events unfold and reconstruct
what was once labeled as „never again“
knowing that in eighty more years
the bloodline of those who now slay
will emerge from the shame and lead yet again.

Must be terrifying to entertain the thought
that what remains of a charred people –
scattered across, but not at home –
will rise to hunt the monsters down
one by one, as decades past,
to end, to seek justice, to avenge.

Must be certain some labels will be named:
terror, and stench of decaying foe
or truth seekers and retribution
for a humanity failing yet again.

Must be up to the scribes or those
who will still utter „never again“
and still fail to know how or what,
yet dream of safety and promised destiny.

Седмицата (7–12 септември)

Post Syndicated from Боряна Телбис original https://www.toest.bg/sedmitsata-7-12-septemvri/

Седмицата (7–12 септември)

Ако през последните дни сте следили българските медии, вероятно знаете кой е в инициативния комитет на Илияна Йотова, кой е в този на Андрей Гюров, кой до кого е седнал, кой кого подкрепя и какво евентуално означава присъствието на еди-кого си в еди-кой си списък.

Вероятно обаче сте попаднали и на друга новина. Джейкъб Коксън, изследовател, работил в OpenAI и Anthropic, напусна последната с предупреждението, че компаниите, разработващи най-мощните системи за изкуствен интелект, бягат към някаква финална линия, за която дори самите хора вътре в организациите не са сигурни до каква „победа“ ще доведе. След него Евън Хюбингър, който все още работи в Anthropic и ръководи екипа по Alignment Science, уточни публично собствената си оценка: над 10% вероятност изкуственият интелект да убие всички хора в рамките на следващото десетилетие.

Десет процента.

Ако става дума за вероятност да вали в събота, не е драма. Заприличва на такава, ако говорим за края на човечеството. Но какво са няколко процента между приятели…

Докато тук гледаме на инициативни комитети като на кафе и се опитваме да разберем какво ни казват за бъдещето, хората, които строят въпросното бъдеще в буквалния смисъл, спорят дали има едно към десет шанс в него да няма хора. Живеем в края на дните, драги читатели. Не непременно в библейския смисъл, макар че напоследък човек не бива да отхвърля с лека ръка никакви варианти. Но почти сигурно живеем в края на някакви дни. Аз собствено живея в края на дните преди началото на учебната година, в която имам още един първокласник и отново ще ми се наложи да чуя приветствие от Янка Такева на 15 септември. 

При всички положения обаче „Тоест“ се завръща в интернетите ви.

След едномесечната си лятна ваканция, която правим не толкова защото страшно много държим да си почиваме през август, а защото „Тоест“ е медия, издържана от даренията на читателите си, и август е месецът, в който почти никой не иска да чете нищо. Затова използваме случая да не произвеждаме медия, която няма да бъде прочетена, и така да спестим малко пари.

Толкова е просто. Или толкова е тъжно (ако ви е важна тъгата като мотиватор).

Но сме тук. И понеже светът може да свърши, или по-лошото – да продължи все така, започваме новия сезон постарому: с истории за хора.

Йоанна Елми тръгна из България и на първо време стигна до восъчния Левски в един музей в Ловеч. Това е първият текст от новата ѝ рубрика „Фрагменти от България“, в която тя ще пътува, ще гледа, слуша и снима, а през малките неща ще се опитва да разбере големите. В случая въпросът е как разказваме собственото си минало и какво остава от него, когато го затворим в музейна витрина.

Фрагменти от България: Восъчният Левски

Как разказваме историята си и какво остава от нея, когато я заключим зад витрини, патос и задължително преклонение? В първия текст от „Фрагменти от България“ Йоанна Елми тръгва от един музей в Ловеч, за да стигне до въпроса защо още не умеем да говорим за миналото без идеология.

Восъчният Левски е малко смешен и после става по-скоро плашещ. Защото е метафора за една държава, която от десетилетия не е измислила нов начин да говори за себе си, а пък народът на тая държава (иначе много древен и велик) продължава да живее сред полуфабрикатни разкази кой е, откъде идва и с какво се гордее.

Лошото е, че тука вакуум не се търпи и когато не умеем да разказваме миналото си, някой друг с удоволствие ще го разкаже вместо нас.

В Германия това в момента прави „Алтернатива за Германия“ (АзГ). В новия си текст Светла Енчева разказва за убедителната победа на крайнодясната партия в Саксония-Анхалт през един 40-годишен поп хит – Forever Young на Alphaville, превърнал се по странно стечение на обстоятелствата в песен на съпротивата срещу АзГ. Хит от времето на Студената война, роден от страха от атомната бомба и бъдещето, се връща четири десетилетия по-късно в една Германия, която отново спори колко минало има в настоящето си. Миналото, както завършва Светла, също може да бъде forever young.

Forever Young. Да поговорим за възхода на „Алтернатива за Германия“

Крайната десница печели там, където демокрацията не успява да даде нито убедителни отговори, нито визия за бъдещето. Светла Енчева разглежда възхода на АзГ в Източна Германия и проследява как усещането за изоставеност, носталгията и страхът се превръщат в политическа сила.

Разбира се, няма как да минем без кампанията за президентските избори. Имаме два текста по темата в съвсем различни посоки. 

Емилия Милчева се занимава с въпроса какъв национален хоризонт очакваме от президента. В статията си тя разказва накратко за петимата пряко избирани български президенти през различните представи за тази институция – от коректив и гарант за геополитическата посока на държавата до посредник, архитект на промяна и център на политическа власт. 

Какъв национален хоризонт чакаме от президента?

Какво всъщност избираме, когато избираме президент – лице на държавата, коректив на властта или посока за бъдещето? Емилия Милчева проследява как различните президенти на България са разбирали ролята си, и пита какъв национален хоризонт предлагат днешните кандидати отвъд политическото позициониране.

Дарина Сарелска пък коментира кандидатурата на Кирил Вълчев, генерален директор на БТА, за вицепрезидент на Илияна Йотова, отваряйки изключително важния разговор за журналистите, които преминават в политиката. Не защото журналистът няма право на политически убеждения, а защото доверието е капиталът на тази професия. И когато днес го трупаш като човек, който задава въпроси на властта, а утре го осребряваш като кандидат на същата тази власт, сметката я плаща журналистиката.

Признанието като самопризнание

Защо прескачането на журналисти в политиката е саморазобличително и за политиката, и за журналистиката? Как журналистическото доверие се превръща в политически капитал и какво остава след това от самата журналистика – от Дарина Сарелска.

И понеже думите все пак са основният инструмент, с който тази журналистика се прави, Павлина Върбанова отваря вратата към редакционната кухня на „Тоест“ и разказва за нашите вътрешни езикови правила. Защо в „Тоест“ понякога съзнателно се отклоняваме от официалната норма и как една редакция решава кое да пази, кое да променя и с кое да спори. В крайна сметка нищо не е вдялано в камък, освен, разбира се, нещата, които са вдялани в камък…

Вътрешни езикови правила за външна употреба (на ваш риск)

Павлина Върбанова, нашият вътрешен arbiter philologiae, открива новия сезон, като ви кани на редакционната ни кръгла маса и ви поднася малка порция отклоняващи се от нормата езикови правила, които сме решили да съблюдаваме в ежедневната си работа. Опитайте ги, може да ви допаднат!

И накрая идват три истории, които Надежда Цекулова разказва в рубриката си „Да говорим с грижа“. Едната е за Елица – двегодишно дете с тежки увреждания, което живее извън дома си, защото системата може да му осигури медицинска грижа, но трудно успява да осигури едновременно и нея, и семейството му. Родителите ѝ, разбира се, мечтаят да си я приберат у дома.

Другата е за Диана и дъщеря ѝ Ида, прекарала пет месеца в кома в неонатологията. Майка ѝ я вижда редовно, но я прегръща за първи път едва след смъртта ѝ.

Третият глас е на детския анестезиолог и реаниматор д-р Христо Христов, който си позволява да говори извънпротоколно как родителите да останат родители и когато детето им е тежко болно, и когато лекарите вече не могат да го спасят.

Остани до края

Надежда Цекулова разказва три истории за срещата с институциите, за уязвимостта, достойнството и за всичко, което системите избират да видят, да подминат или да оставят за някой друг.

Почнахме седмицата с разказване на истории и така я приключваме – с истории за хора.

Ако много ви липсват такива, четете „Тоест“, но вижте и платформата anyhumanever.com.

Идеята ѝ е проста и прекрасна. Натискате бутон и от повече от 100 милиарда души, живели някога на Земята, получавате разказ за един случаен човешки живот. Като тото-лото за човешки истории. Първо ви се пада година, после място на раждане, пол, условия, вероятности – колко е било вероятно този човек да преживее детството си, да има образование, да роди деца, да умре от болест, глад или насилие. 

Историите не са биографични, а възможни животи, статистически сглобени на базата на научните знания за света ни до този момент.

И нас ни има в тези 100 милиарда човешки живота.

Много ни се иска да вярваме, че сме от различни племена. Чертаем граници в прахта, учредяваме партии и комитети, поддържаме кухи идеологии, за да си обясняваме кои сме ние и кои са другите – изобщо, голяма дейност кипи. В същото време едно дете лежи пет месеца в кувьоз, майка му иска просто да го прегърне и тази история всички я разбираме и преживяваме.

Съжалявам, че ще ви го съобщя в първия бюлетин на „Тоест“ за сезона, но в целия ужас и хаос, и радост от всичкото сме заедно.

Благодарим ви.

Friday Squid Blogging: Rotting Squid on a Beached California Boat

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2026/09/friday-squid-blogging-rotting-squid-on-a-beached-california-boat.html

Smells awful:

But an estimated 30 to 50 tons of dead squid remain inside the boat’s catch tank, where they have been decomposing for days. “That is nasty. I wouldn’t want to do that,” said commercial fisherman Dick Ogg of the Bodega Bay Fishermen’s Marketing Association.

Ogg said anyone familiar with the fishing industry understands what happens when a large catch sits for an extended period.

“If you think about what happens after four or five days, it’s a gooey mess,” he said.

The odor has become a defining feature of the operation, and the beach remains closed to the public while crews work on a removal plan.

According to salvage expert Ernie English of Parker Diving Service, the squid has deteriorated into a thick mass that will be difficult to remove.

“It’s like concrete,” English said when asked about its consistency.

As usual, you can also use this squid post to talk about the security stories in the news that I haven’t covered.

Blog moderation policy.

The collective thoughts of the interwebz