PHP2Shell (CVE-2026-109618 và CVE-2026-109619) cho thấy một lỗi sử dụng bộ nhớ trong lõi PHP có thể thành thực thi mã từ xa không cần xác thực, và các PoC bắt đầu lưu hành trong vòng một ngày sau khi thông tin bị rò rỉ.
Qua bốn bản release năm 2026, U-Boot chuyển từ "ký kernel là đủ" sang bảo vệ cả chuỗi khởi động: mở rộng chuỗi tin cậy tới rootfs, loại bỏ các đường vòng và xem mọi dữ liệu trên boot media là không đáng tin.
Secure boot cần một nơi lưu hash của root key mà không ai sửa được sau khi xuất xưởng. Trên SoC Rockchip, nơi đó là eFuse, và Linux không được phép đọc nó.