Studiuesit, duke përdorur Hacktron, zbuluan në GNU Savannah një dobësi që lejonte çdo përdorues të regjistruar të ekzekutonte kod në server. Platforma strehon Bash, Coreutils dhe qindra projekte GNU, kodi i të cilave shpërndahet në miliona pajisje.
Problemi në Savane, aplikacioni që përdor Savannah, lidhej me adresat e emailit: gjatë testimit të çelësave GPG, adresa përfshihej në një komandë shell pa mbrojtjen e duhur. Dobësia prekte savannah.gnu.org dhe savannah.nongnu.org që nga publikimi i versionit 3.17-c369, më 7 mars 2026.
Studiuesit përdorën kredencialet e bazës së të dhënave për ta bërë llogarinë e tyre superpërdorues dhe për të vepruar si mirëmbajtësi i Bash, Chet Ramey. Ata konfirmuan se mund të shtonin një çelës SSH me të drejtë push në depon zyrtare të Bash, por nuk shtuan çelës dhe nuk ndryshuan kodin. Një kernel i papërditësuar mundësoi edhe qasje root përmes CVE-2023-2640 dhe CVE-2023-32629; më pas gjetën një çelës që u dha qasje SSH në një server rezervash GNU.
Zbulimet iu raportuan Free Software Foundation (FSF) më 11 maj 2026. Auditimi i mëtejshëm e çoi totalin në 26 dobësi të konfirmuara, të cilat FSF i korrigjoi dhe publikoi një raport incidenti. Rasti tregoi se komprometimi i platformës mund të lejonte ndryshime të paautorizuara në projekte kyçe të zinxhirit të furnizimit me softuer.
Burimi: Lobsters (Programming) — lexoni artikullin e plotë në anglisht.
