Dwa dni po Zephyrze 4.5.0 projekt wydał poprawkową wersję dla starszej gałęzi. Zephyr 4.3.2 ukazał się wieczorem 30 października 2026 roku jako następca 4.3.1, a jego część o bezpieczeństwie jest wyjątkowo długa: 225 numerów CVE. Przy 121 z nich jest opis i biuletyn bezpieczeństwa na GitHubie. Pozostałe 104 są objęte embargiem, z datami od 31 października 2026 do 9 stycznia 2027 roku, więc szczegóły będą się pojawiać stopniowo.

Zephyr to system operacyjny czasu rzeczywistego, który działa w wielu małych urządzeniach sieciowych: czujnikach Bluetooth, sprzęcie Thread i Matter, węzłach LoRaWAN i płytkach z układami Nordic, NXP, Silicon Labs czy Espressif. Większość użytkowników nigdy go nie widzi, bo siedzi w oprogramowaniu układowym urządzenia.

Czego dotyczą ujawnione luki

Opisane podatności obejmują niemal cały system. Kilka ważnych dla sprzętu domowego i IoT:

  • Dołączanie do Thread (CVE-2026-19741). Automatyczne dołączanie w OpenThread korzystało z publicznie opisanego, domyślnego klucza dołączania (PSKd). Skoro klucz jest znany, etap dodawania urządzenia do sieci nie opiera się już na żadnej tajemnicy.
  • Bluetooth. Około 20 pozycji, w tym przepełnienie bufora na stosie w Bluetooth Mesh wywoływane zbyt dużym pakietem rozgłoszeniowym (CVE-2026-15894), użycie zwolnionej pamięci przy subskrypcjach GATT i nieskończona pętla w kliencie GATT.
  • LoRaWAN. Zapis poza granicą bufora w transporcie pofragmentowanych danych, gdy indeks fragmentu wynosi 0 (CVE-2026-12363), oraz odczyty poza granicą bufora w obsłudze synchronizacji zegara i aktualizacji FUOTA.
  • Układy Espressif. Mieszanie kluczy AES między sesjami w sterowniku sprzętowego szyfrowania ESP32 (CVE-2026-82390) i odczyt poza buforem w sterowniku ESP-hosted po SPI, który mógł na stałe odciąć odbiór Wi-Fi (CVE-2026-17054).
  • Sieć i aktualizacje. Zapis poza buforem w 6LoWPAN, osiągalny przez nieuwierzytelnione ogłoszenie routera IPv6 (Router Advertisement) (CVE-2026-12633), przepełnienie sterty w kliencie aktualizacji hawkBit (CVE-2026-10849) i kilka błędów w agencie aktualizacji UpdateHub, w tym zdalna odmowa usługi.
  • Bezpieczne przechowywanie danych. Ponowne użycie wartości jednorazowej przy szyfrowaniu AEAD w domyślnym mechanizmie secure_storage ITS, przez brak synchronizacji wątków (CVE-2026-15890).

Około 20 kolejnych dotyczy wywołań systemowych, przez które wątek użytkownika mógł czytać pamięć jądra albo przejąć nad nim kontrolę. To ma znaczenie w urządzeniach, które naprawdę korzystają z izolacji trybu użytkownika w Zephyrze.

Poza lukami wydanie zamyka 157 zgłoszeń i podnosi Mbed TLS do wersji 3.6.7. Jedno z tych zgłoszeń dotyczyło wbudowanego serwera HTTP, który dla ścieżek z .. wydawał pliki spoza katalogu strony.

Co zrobić

Jeśli budujesz własne oprogramowanie na Zephyrze 4.3, przejdź na 4.3.2 albo na nową linię 4.5 i skompiluj je od nowa. W gotowych produktach wszystko zależy od producenta. Na przykład nRF Connect SDK firmy Nordic ma własną odmianę Zephyra, więc poprawki trafią do takich urządzeń przez SDK i aktualizacje producenta, a nie prosto z tego wydania. W najbliższych tygodniach warto sprawdzać aktualizacje oprogramowania urządzeń opartych na Zephyrze, zwłaszcza sprzętu Thread i Bluetooth Mesh.