Уязвимость CVE-2026-16599 (5,1) обнаружена в механизме FTP-аутентификации OPIE/S-KEY, который используется в GNU Wget. Проблема связана с тем, что Wget не проверял верхнюю границу порядкового номера, полученного от сервера при вычислении MD5-хеша.
Для эксплуатации достаточно контролировать FTP-сервер или перехватывать трафик между сервером и клиентом. При передаче числа, близкого к максимальному значению целого типа, Wget может выполнить около 2,1 млрд операций MD5 подряд.
Разработчики исправили ошибку 20 июня 2026 года, ограничив порядковый номер OPIE/S-KEY значением 9999. CERT Polska раскрыла подробности уязвимости 25 августа, согласовав сроки публикации с разработчиками утилиты.