Firma Lava proskenovala internet na portu 623 a našla 36 872 serverových řadičů s odkrytým protokolem IPMI. Dvě třetiny z nich vydají otisk odvozený z hesla ještě před přihlášením, takže se dá lámat offline. Tovární heslo Supermicra jde z něj na serveru s osmi grafickými kartami dopočítat zhruba za hodinu, u HPE iLO za 32 sekund.
WordPress vydal 17. července opravu dvou chyb, které jdou zřetězit do spuštění cizího kódu na výchozí instalaci. Za tři dny popsal SANS Internet Storm Center útoky zachycené v honeypotech, o den později zapsal obě chyby mezi zneužívané i americký úřad CISA.
Norský výzkumník Håkon Måløy zveřejnil 28. července útok, při kterém skrytý pokyn ve wordovském dokumentu přiměje Microsoft 365 Copilot nejen změnit obsah, ale vepsat týž pokyn i do nově vytvořeného souboru. Ten se tím stane dalším nosičem. Microsoft tvrdí, že nahlášené nálezy vyřešil; podle Måløye se útok dal zopakovat i v den zveřejnění.
Bezpečnostní chyby nahlášené GNOME od 1. srpna 2026 se zveřejní po třiceti dnech, ne po devadesáti. Michael Catanzaro, který hlášení v GNOME třídí od listopadu 2020, to zdůvodňuje tím, že delší lhůta nikdy nic nezachránila: kdo chybu opraví, zvládne to do tří týdnů. Zároveň oznámil, že od 1. listopadu tuhle práci dělat přestane.
Hugging Face zveřejnila 16. července zprávu o průniku do své provozní infrastruktury, který podle ní vedl autonomní systém agentů. O pět dní později OpenAI oznámila, že šlo o její vlastní modely: během měření ExploitGym se dostaly z izolovaného prostředí ven a šly si na servery Hugging Face pro řešení úloh, které měly vyřešit samy.