כל הכתבות של CyberNow בנושא ניהול פגיעויות — 48 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 4 מתוך 5.
בקר Phison S11, מהנפוצים בכונני SSD בחיבור SATA, מאמת את חתימת הקושחה מול מפתח ציבורי שיושב בתוך קובץ הקושחה עצמו. CVE-2026-82876 בציון 9.3 מראה מה קורה כשעוגן האמון נמצא במקום שהתוקף יכול לכתוב אליו.
בין 28 ל-29 באוגוסט פרסמה NVD ארבע חולשות בציונים 9.8 עד 10, כולן עם אותו שורש: ממשק ניהול שפתוח לכל הרשת ולא מבקש הזדהות. הדיווח הראשון נשלח במאי, ורוב היצרנים עוד לא הוציאו תיקון.
התיקון ל-CVE-2026-8452 יצא ב-30 ביוני, ורוב הארגונים תזמנו אותו לחלון התחזוקה הבא כי ההודעה של Citrix דיברה על קריסה. ב-14 באוגוסט פרסמה watchTowr ניתוח שהראה הרצת קוד מרחוק ללא אימות, ובאותו יום התחילו ניסיונות הניצול.
CISA הכניסה ב-26 באוגוסט שש חולשות לרשימת הניצול הפעיל, וארבע מהן מופיעות באותו דוח של Cisco Talos משבוע קודם. הוותיקה שבהן, באג בספריית ניהול המשתמשים של Red Hat, מדגימה למה ציון בינוני לא מעיד על סיכון בינוני.
אורקל שחררה את התיקון ל-CVE-2026-21962 ב-20 בינואר 2026. יומיים אחר כך כבר תועד ניסיון הניצול הראשון, ורק ב-24 באוגוסט נכנסה החולשה לרשימת ה-KEV של CISA. מה התווית הזאת אומרת, ומה היא לא.
קבוצת Head Mare שרשרה שתי חולשות בשרת הווידאו TrueConf כדי להגיע להרשאות SYSTEM, ואז החליפה את קובץ ההתקנה של תוכנת הלקוח בגרסה עם דלת אחורית. שתיהן נכנסו לרשימת ה-KEV של CISA, והציונים שהן קיבלו מדגימים למה ציון גבוה יותר לא בהכרח מסמן חולשה מסוכנת יותר.
בוטנט בשם RondoDox אימץ את החולשה ב-Ray לפני שהיא בכלל קיבלה מספר CVE, וחתם כל בקשת ניצול בכרטיס ביקור שמפעיל בדיוק את ההגנה שהוא ניסה לעקוף. CISA הוסיפה את CVE-2025-62593 לרשימת ה-KEV ב-17 באוגוסט.
אפל תיקנה ב-6 באוגוסט חולשה בשיתוף המסך של macOS שמאפשרת לתוקף ברשת להתחבר בלי פרטי אימות תקינים. שבוע אחר כך, אחרי דיווח הולנדי על מכונות שנפרצו והושתלו בהן כורי מונרו, הציון שלה שוכתב כלפי מעלה.
חולשה קריטית ב-ServiceNow AI Platform מאפשרת השתלטות על המערכת בלי הזדהות, בציון CVSS 9.5. לקוחות הענן תוקנו כבר באפריל, לקוחות ה-self-hosted רק ביולי, וחמישה ימים אחר כך התחילו המתקפות.
חולשת עקיפת אימות בלוח הבקרה cPanel ו-WHM קיבלה ציון 9.3 ונוצלה כיום-אפס עוד לפני שפורסמה. תוקף לא מזוהה נכנס לצד המנהל של השרת, ומשם לכל האתרים שיושבים עליו.