CISA הוסיפה ב-26 באוגוסט את CVE-2026-8452 לרשימת החולשות המנוצלות. Citrix תיארה אותה ביוני כבאג שגורם לקריסה, אבל חוקרי watchTowr הראו שאפשר להריץ דרכה קוד בהרשאות root, ותוקפים כבר משתילים Web Shell.
חולשה בטפסים של Elementor Pro אפשרה לתוקף בלי סיסמה להעלות קובץ PHP לשרת ולהריץ דרכו קוד. התיקון יצא ב-19 באוגוסט בגרסה 4.2.2, וניסיונות הניצול התחילו באותו יום.
CISA הוסיפה ב-18 באוגוסט את CVE-2026-33824 ב-Windows IKE לקטלוג החולשות המנוצלות. החולשה מאפשרת הרצת קוד מרחוק בלי סיסמה, והתיקון זמין מאפריל.
CVE-2026-55040 מאפשרת לתוקף בלי סיסמה להתחזות לכל משתמש ב-SharePoint Server, כולל מנהלים. Rapid7 פרסמה ניתוח וקוד הדגמה ב-11 באוגוסט, ותוך שעות הופיעו ניסיונות ניצול. התיקון זמין מיולי.
WordPress שחררה ב-12 באוגוסט את גרסה 7.0.4, שסוגרת חולשה שמאפשרת לבעל חשבון כותב להריץ קוד על השרת. זה קרה שישה ימים אחרי 7.0.3, שסגרה 12 חולשות, ובהן XSS2Shell בדף הכניסה.
עדכון האבטחה של 11 באוגוסט סגר חולשת יום אפס בדרייבר afd.sys של Windows. לפי Check Point, קבוצת Lazarus ניצלה אותה בקמפיין הצעות עבודה מזויפות נגד תעשיות ביטחון ותעופה.
Cisco הזהירה ב-11 באוגוסט מ-CVE-2026-20349, חולשה בשירות ה-SSL VPN של ASA ו-FTD. בקשת HTTP אחת, בלי סיסמה, מספיקה כדי לאתחל את חומת האש. תוקפים כבר מנצלים אותה, ואין דרך עקיפה.
חוקרי A Security חשפו שרשרת של שלוש חולשות בכלי ההערות של Zoom. משתתף זדוני בפגישה יכול היה להריץ קוד אצל משתתף אחר. Zoom כבר תיקנה, והחוקרים מספרים שמודלי AI עזרו להם לבנות את הניצול בפחות מיממה.
WordPress שחררה ב-6 באוגוסט את גרסה 7.0.3, שסוגרת 12 חולשות. הבולטת בהן, XSS2Shell, פוגעת בדף הכניסה ויכולה להגיע להרצת קוד על השרת, אם מנהל אתר ילחץ על קישור זדוני.
חברת האבטחה Forescout חשפה ב-4 באוגוסט 15 חולשות במנגנון ההקמה האוטומטית של TP-Link Omada. לדבריה, שרשור שלהן עלול להשתלט על בקר ועל כל ציוד הרשת שהוא מנהל.
לפי Microsoft, קבוצה שהיא מזהה כחלק מ-Midnight Blizzard פורצת לציוד ה-Wi-Fi של מלונות ומרכזי כנסים. היא מפנה אורחים לדפי כניסה מזויפים ל-Microsoft 365 ולהתקנת נוזקה.
