Розробники середовища виконання WebAssembly Wasmtime усунули дві критичні вразливості в компіляторі Cranelift, яким присвоєно оцінку 9.9 із 10 за шкалою CVSS. Перша проблема (CVE-2026-115889) пов’язана з переповненням числових полів у внутрішніх структурах даних під час компіляції великих модулів на всіх процесорних архітектурах. Друга вразливість (CVE-2026-115893) стосується некоректної обробки інструкцій розгалуження виключно на процесорах ARM64.

Ці дефекти дозволяли зловмиснику за допомогою спеціально створеного WebAssembly-модуля здійснити тип конфузії та примусово виконати довільний машинний код поза ізольованим середовищем пісочниці. Найвищому ризику піддавалися хмарні сервіси та платформи, які виконують недовірений код сторонніх користувачів. Проєкт Bytecode Alliance випустив позачергові оновлення безпеки та закликав до оновлення компонентів у всіх програмах, що інтегрують Wasmtime як бібліотеку.