Проект GnuPG анонсировал выход обновления версии 2.5.17, направленного на устранение критической уязвимости в линейке 2.5.x. По информации из рассылки gnupg-announce, проблема касалась версий GnuPG 2.5.13, 2.5.14, 2.5.15 и 2.5.16, а также Windows-пакета Gpg4win 5.0.0 и его бета-версий. Прочие версии не подвержены уязвимости, утверждают разработчики.
Уязвимость связана с обработкой данных CMS (S/MIME) EnvelopedData и может привести к переполнению буфера в gpg-agent, что создает угрозу отказа в обслуживании и потенциального удаленного выполнения кода. Идентификатор CVE еще не определен; уязвимость отражена как T8044 в трекере GnuPG.
Изменения были инициированы командой OpenAI Security Research, которая зафиксировала проблему 18 января 2026 года, а релизы с исправлениями появились 27 января. Пользователям Gpg4win рекомендуется обновиться до версии 5.0.1. Разработчики настаивают на необходимости быстрого перехода на GnuPG 2.5.17, а также предлагают временную меру — удалить бинарник gpgsm для предотвращения активации уязвимости.
