W narzędziu rsync, powszechnie wykorzystywanym do synchronizacji plików i tworzenia kopii zapasowych, wykryto podatność CVE-2026-119741. Luka znajduje się w funkcji hashsearch() w pliku match.c i wynika z nieefektywnej złożoności algorytmicznej. Atakujący może wysyłać specjalnie przygotowane, słabe sumy kontrolne, które wymuszają na nadawcy ciągłe, niepotrzebne obliczenia silnych skrótów, co prowadzi do całkowitego wyczerpania mocy procesora.
Problem dotyczy wszystkich wersji rsync aż do 3.5.1 włącznie. Jeśli serwer uruchamia publiczny moduł daemon, każdy może przeprowadzić taki atak bez konieczności posiadania konta. Luka zagraża dostępności usług, ale nie wpływa bezpośrednio na poufność danych.
Naprawa została wprowadzona w wersji 3.5.2. Nowa wersja wprowadza również mechanizmy kontroli priorytetów procesów za pomocą opcji --nice oraz --no-nice, co pozwala na lepsze zarządzanie zasobami CPU i I/O podczas dużych transferów.
