Проектът rsync пусна версия 3.5.2, която отстранява уязвимост, позволяваща на свързан клиент да претовари процесора на сървъра с безсмислени изчисления на контролни суми. Новата версия дава и възможност трансферът да се постави най-отзад в опашката за процесор и диск, така че голяма синхронизация да не измества всичко останало на машината.
rsync е помощна програма с отворен код, която копира файлове локално и през мрежа и се използва широко за огледални копия на софтуерни архиви и за резервни копия. Тя ограничава обема на трансферите, като изпраща само променените части на файла, което я прави удобна дори при бавна връзка. Приемащата страна разделя своето копие на блокове и изпраща на подателя за всеки от тях лека плъзгаща се контролна сума и по-силна контролна сума. Подателят плъзга прозорец по своето копие, първо сравнява леката контролна сума и едва след това изчислява силната, за да потвърди, че блокът е идентичен.
Именно в този цикъл се намира CVE-2026-119741, във функцията hash_search() в match.c. Злонамерен получател изпраща слаби контролни суми, които се сблъскват с прозорец след прозорец, заедно със силни контролни суми, които не съвпадат, и подателят продължава да изчислява силни контролни суми, които се провалят. При няколко едновременни връзки процесорът се изчерпва напълно. Засегнати са всички версии до 3.5.1 включително. VulnCheck, които са присвоили идентификатора, определят проблема като неефективна алгоритмична сложност и му дават оценка 8.7 по CVSS 4.0 и 7.5 по CVSS 3.1, като цялото въздействие е върху наличността, без засягане на данните.
Ако стартирате публичен модул на демона, всеки може да извърши това без акаунт. Теглене на файлове е точно това, за което служи модулът.
Версия 3.5.2 добавя и контрол върху приоритета на процесите. Новите опции --nice и --no-nice задават приоритета за планиране на процесора и на входно-изходните операции за локалния процес, за отдалечения или и за двата, като двете стойности се комбинират независимо. Клиент на демона може да поиска само CPU nice 19, празен (idle) I/O приоритет или и двете, а rrsync, ограниченият SSH обвиващ скрипт, приема само локални намаления. Когато локална промяна не се поддържа или е отказана, rsync издава предупреждение и трансферът продължава. Отдалечените настройки изискват отсрещна страна, която ги поддържа, докато локалните работят и със по-стари отсрещни страни.