CVE-2026-7531
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 — wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność Use-after-free w obsłudze hybrydowych kluczy PQC. Jest to niekompletne załamanie problemu CVE-2026-5460 (załatanego w wersji 5.9.1): złośliwy serwer TLS 1.3 wysyłający obcięty hybrydowy KeyShare PQC może nadal uruchomić ścieżkę czyszczenia błędów na zwolnionej pamięci.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu lub awarii systemu przez atakującego serwer TLS, co może prowadzić do naruszenia poufności i dostępności usług.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 5.9.2 lub nowszej, która zawiera pełne załamanie tej podatności. Należy również monitorować komunikację TLS 1.3 z hybrydowymi kluczami PQC.
Oryginalny opis (angielski, źródło NVD)
Use-after-free in PQC hybrid key-share handling. This is an incomplete-fix follow-up to CVE-2026-5460 (released in 5.9.1): a malicious TLS 1.3 server sending a truncated PQC hybrid KeyShare can still trigger the error cleanup path to operate on freed memory.