Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-08-01 по 2026-08-31. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-08-06 | WordPress | CVE-2026-64638 | 7.0.3 |
| 2026-08-12 | WordPress | CVE-2026-65640 | 7.0.4 |
| 2026-08-25 | OpenSSL | CVE-2026-18798 | 4.0.2 / 3.6.4 / 3.5.8 |
WordPress: отражённый XSS на странице входа (CVE-2026-64638)
Специальная сторонняя страница может использовать отражённый XSS на экране входа. Переход к выполнению PHP требует успешной социальной инженерии, явного действия жертвы и дополнительных условий. Уведомление производителя перечисляет исправления отдельных веток, включая 7.0.3.
Обновите ядро и подтвердите исправление своей ветки. Напомните редакторам открывать известный адрес админки напрямую и проверьте вход и восстановление доступа.
WordPress: медиафайлы, Imagick и Ghostscript (CVE-2026-65640)
Пользователь с правом загрузки файлов уровня Author или выше может добиться выполнения кода через вредоносный PostScript, если используются Imagick и Ghostscript. Выпуск исправления состоялся 12 августа; запись CNA опубликована 17 августа.
Проверьте оба серверных компонента и права загрузки, затем примените исправление ядра. На тестовой копии проверьте обычные изображения и предпросмотр документов с безопасными файлами.
OpenSSL: первый пакет QUIC (CVE-2026-18798)
Некорректный QUIC INITIAL может вызвать двойное освобождение памяти при ошибке создания соединения. OpenSSL описывает повреждение кучи и отказ в обслуживании, без доказательств возможности выполнения кода через этот случай. Затронуты ветки 4.0, 3.6 и 3.5 до соответствующих исправлений.
Уточните, использует ли сервис серверный QUIC именно из OpenSSL. Обновите его библиотечный пакет и проверьте установку соединений и доступность с нужными правилами входящего UDP.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за август 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Chubu Electric Power | 2026-08-04 | Чужой доступ к аккаунтам |
| SickKids | 2026-08-20 | Инцидент поставщика |
Chubu Electric: чужой доступ по учётным данным (2026-08-04)
2026-08-04 Chubu Electric сообщила об использовании учётных данных без разрешения, выявленном после сигнала 29 июля. Возможен доступ к письмам и контактным данным группы. Компания не сообщала о перебоях электроснабжения или подтверждённой утечке информации клиентов электро- и газоснабжения.
Разделяйте доступ к деловой почте и адресной книге с доступом к производственным и клиентским системам. Проверяйте действия аккаунтов и порядок отзыва доступа; отдельно фиксируйте возможное раскрытие и подтверждённую расследованием утечку.
SickKids: сайт вакансий и данные сотрудников (2026-08-20)
В уведомлении от 2026-08-20 SickKids связала доступ к информации сотрудников и сбой внешнего сайта вакансий с уязвимостью стороннего приложения. Проверка также касалась бывших сотрудников и кандидатов. Сообщение относилось к кадровым данным и не подтверждало утечку всех медицинских карт больницы.
Учитывайте формы найма и HR-приложения как отдельные хранилища чувствительных данных. Определите их поставщиков, ответственных за обновления и сроки хранения, включая сведения о бывших сотрудниках и кандидатах, которым отказали.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
