אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-08-01 עד 2026-08-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-08-06 | WordPress | CVE-2026-64638 | 7.0.3 |
| 2026-08-12 | WordPress | CVE-2026-65640 | 7.0.4 |
| 2026-08-25 | OpenSSL | CVE-2026-18798 | 4.0.2 / 3.6.4 / 3.5.8 |
WordPress: XSS מוחזר במסך הכניסה (CVE-2026-64638)
דף חיצוני שנבנה במיוחד יכול לנצל XSS מוחזר במסך הכניסה. מעבר להרצת PHP דורש הנדסה חברתית מוצלחת, פעולה מפורשת של הנפגע ותנאים נוספים. הודעת היצרן מפרטת מהדורות מתוקנות לכל ענף, לרבות 7.0.3.
עדכנו את הליבה ואמתו את התיקון לענף. הזכירו לעורכים לפתוח ישירות את כתובת הניהול המוכרת ובדקו כניסה ושחזור גישה לאחר העדכון.
WordPress: עיבוד מדיה עם Imagick ו-Ghostscript (CVE-2026-65640)
משתמש עם הרשאת העלאת קבצים ברמת Author ומעלה יכול לגרום להרצת קוד באמצעות קובץ PostScript זדוני כאשר Imagick ו-Ghostscript בשימוש. מהדורת התיקון יצאה ב-12 באוגוסט; רשומת CNA פורסמה ב-17 באוגוסט.
בדקו את שני רכיבי השרת ואת הרשאות ההעלאה והתקינו את תיקון הליבה המתאים. בעותק בדיקה בדקו תמונות ותצוגות מקדימות של מסמכים עם קבצים תקינים.
OpenSSL: טיפול בחבילת QUIC ראשונית (CVE-2026-18798)
חבילת QUIC INITIAL פגומה עלולה לגרום לשחרור כפול כאשר יצירת החיבור נכשלת. OpenSSL מתארת פגיעה בערימה ומניעת שירות, ללא ראיות שהמקרה מאפשר הרצת קוד. הענפים המושפעים הם 4.0, 3.6 ו-3.5 לפני התיקונים המתאימים.
בררו אם השירות משתמש במימוש שרת QUIC של OpenSSL. עדכנו את חבילת הספרייה בפועל ובדקו יצירת חיבור וזמינות, כולל כללי UDP נכנסים הרלוונטיים.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך אוגוסט 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Chubu Electric Power | 2026-08-04 | גישה לא מורשית לחשבונות |
| SickKids | 2026-08-20 | אירוע אצל ספק |
Chubu Electric: שימוש לרעה בפרטי גישה (2026-08-04)
ב-2026-08-04 דיווחה Chubu Electric על שימוש לא מורשה בפרטי גישה, שנבדק בעקבות התראה מ-29 ביולי. ייתכן שנצפו הודעות דוא"ל ופרטי קשר של הקבוצה. החברה לא דיווחה על הפרעה באספקת חשמל או על דליפה מאומתת של מידע על לקוחות חשמל וגז.
הפרידו גישה לדואר עסקי ולספרי כתובות מגישה למערכות תפעול ולקוחות. בדקו פעילות חשבונות ודרכי ביטול גישה, ותעדו בנפרד חשיפה אפשרית ודליפה שאומתה בחקירה.
SickKids: אתר משרות ומידע על עובדים (2026-08-20)
בהודעה מ-2026-08-20 קישר SickKids גישה לא מורשית למידע עובדים ושיבוש באתר המשרות החיצוני לחולשה ביישום של ספק. הבדיקה התייחסה גם לעובדים לשעבר ולמועמדים. ההודעה עסקה במידע כוח אדם ולא אישרה דליפה של כלל תיקי המטופלים בבית החולים.
התייחסו לטופסי גיוס וליישומי משאבי אנוש כמאגרי מידע רגישים נפרדים. מפו ספקים, אחריות לעדכונים ותקופות שמירה, גם עבור עובדים לשעבר ומועמדים שלא התקבלו.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
